Carte di credito: sistema di sicurezza

[morpheus3g]

Ciao!

poco fa stavo pensando al problema della sicurezza delle carte di credito, del fatto che in Italia (ma anche in molti altri paesi) la gente non si fida ad utilizzarle su internet. Cosa che ha chiaramente limitato di molto l'e-commerce... non ho dati ufficiali ma il 99% delle persone che conosco non si fida ad usare la carta di credito e anche se vorrebbe comprare su internet alla fine non lo fa.

Le carte prepagate potrebbero essere una soluzione, eppure neanche quelle le ho viste cosi tanto utilizzate. Forse qui sul forum nel mercatino si ma bisogna considerare che la maggiorparte delle persone sono smanettoni (non a caso si chiama Hwupgrade forum ..

Allora ho pensato a un sistema di sicurezza che potrebbe essere facilmente applicato a tutte le carte di credito, semplice ed efficace; vi spiego come potrebbe funzionare..

Ogni acquisto su internet non viene autorizzato immediatamente ed automaticamente ma viene richiesta la conferma dell'acquirente stesso; mi spiego con un esempio pratico:

Io acquisto su internet un telefonino nuovo per 400€, inserisco i dati della carta di credito, numero e scadenza e confermo l'ordine.

Dopo pochi istanti mi arriva un email della banca o della società della carta di credito che mi informa che è stata richiesto un trasferimento di 400€ del negozio xxx con tutte le altre informazioni.

Ora per confermare clicco sul link nella mail che mi porta ad una pagina (possibilmente semplice per rendere le cose veloci e pratiche) dove inserisco la mia user-id e la password e da là posso visualizzare il trasferimento richiesto e confermarlo con un semplice click.

Se qualcuno entra in possesso dei dati della mia carta di credito tenterà di fare acquisti su internet (perchè per acquistare nella 'realtà' bisogna presentare la carta e comunque firmare e per utilizzarla nei pos o nei bancomat bisogna conoscere il pin)..

A me arriverà l'email che indicherà che è stato richiesto un trasferimento di xxx € dal negozio xxx con tutte le informazioni e ovviamente non autorizzerò il pagamento, ma anzi potrò contattare subito la società della carta di credito e avviare le procedure del caso (sostituzione della carta di credito e disabilitazione di quella vecchia).

Se l'email per qualche motivo non dovesse arrivare, oppure mi trovo in un internet cafe o da qualche parte per cui non posso accedervi, la stessa operazione di conferma del trasferimento è possibile andando direttamente sul sito web della società emittente della carta. L'email serve solo per comodità e per essere avvertiti quando qualche malintenzionato sta tentanto di usare la carta di credito.

Punti deboli: il sito per l'autorizzazione dei trasferimenti utilizzerebbe protocolli sicuri e un buon sistema di criptazione ma tuttavia, credo che ormai l'abbiamo imparato tutti, non esiste niente di sicuro al 100%, quindi potrebbe essere 'crakkato' anche quello. Tuttavia è sicuramente molto ma molto + remota la possibilità che un ladro di carte di credito riesca ad appropriarsi contemporaneamente del numero della carta, della società emittente e della user-id e pwd del proprietario. Inoltre a quel punto la responsabilità sarebbe della banca stessa il cui sistema di sicurezza ha fallito. Non dimentichiamo infine che il proprietario riceverebbe comunque l'email ed entro poche ore al massimo si accorgerebbe che è stato effettuato un trasferimento non autorizzato e potrebbe, nuovamente, contattare la banca.

Infine un accenno a una soluzione ancora più evoluta, piuttosto complessa ma che potrebbe interessare a chi pretende sicurezza assoluta. L'identificazione sul sito per autorizzare i trasferimenti potrebbe essere fatta con una chiave hardware (ad esempio una key usb) consegnata al cliente insieme alla carta di credito.

Fatemi sapere cosa ne pensate...

[nicscics]

Chi compra con la tua carta, potrebbe dare la propria e.mail... ed autorizzare.

[morpheus3g]

Originariamente inviato da nicscics
Chi compra con la tua carta, potrebbe dare la propria e.mail... ed autorizzare.

no aspetta non hai capito bene il meccanismo..

l'e-mail è solo un sistema di avviso che contiene il link al sito della banca per autorizzare il trasferimento.. Uno con la sola email non può fare niente: per autorizzare ha bisogno di user-id e pwd.

E comunque l'email verrebbe spedita dalla banca, e di conseguenza la scelta dell'email a cui spedire l'avviso non avverrebbe nel negozio ma all'interno dell'area protetta del sito della banca...

Capito ?

[nicscics]

Originariamente inviato da morpheus3g
no aspetta non hai capito bene il meccanismo..

l'e-mail è solo un sistema di avviso che contiene il link al sito della banca per autorizzare il trasferimento.. Uno con la sola email non può fare niente: per autorizzare ha bisogno di user-id e pwd.

E comunque l'email verrebbe spedita dalla banca, e di conseguenza la scelta dell'email a cui spedire l'avviso non avverrebbe nel negozio ma all'interno dell'area protetta del sito della banca...

Capito ?

Sì, ma potrei sempre dare un indirizzo che utilizzo per la transazione con carta sottratta e non quello del proprietario della carta.

[morpheus3g]

Originariamente inviato da nicscics
Sì, ma potrei sempre dare un indirizzo che utilizzo per la transazione con carta sottratta e non quello del proprietario della carta.

Ma non potresti farlo.. !

il proprietario della carta indica il suo indirizzo email al momento dell'attivazione della carta di credito e lo può modificare solo ed esclusivamente dal pannello di controllo del sito della banca (quindi utilizzando la sua user-id e la sua password)..

Un malintenzionato che sia venuto in possesso del numero della carta non ha nessuna possibilità di sostituire l'indirizzo email.

Inoltre, anche se per qualche motivo il malintenzionato entrasse in possesso della suddetta email (l'email non sono criptate quindi non è poi cosi difficile) non potrebbe fare assolutamente niente, perchè l'unico modo per confermare la transazione sarebbe quello di conoscere la user-id e pwd da inserire nel sito.

Senza di quelle non puoi fare niente !

forse prima mi ero spiegato male..

[nicscics]

Allora bisogna modificare i form di pagamento con sistemi di verifica incrociata.

Molte volte, quando si acquista, non si deve far altro che inserire il proprio indirizzo e.mail. Ma chi mi garantisce che l'indirizzo inserito sia quello del proprietario della carta?

Se fosse così semplice, come tu dici, non pensi che ci si sarebbe già arrivati?

[morpheus3g]

Originariamente inviato da nicscics
Allora bisogna modificare i form di pagamento con sistemi di verifica incrociata.

Molte volte, quando si acquista, non si deve far altro che inserire il proprio indirizzo e.mail. Ma chi mi garantisce che l'indirizzo inserito sia quello del proprietario della carta?

Se fosse così semplice, come tu dici, non pensi che ci si sarebbe già arrivati?

no, ancora non ha capito...

che il negozio presso cui acquisti ti chieda l'indirizzo email non c'entra nulla ...Io dico che la banca darebbe l'effettiva autorizzazione al trasferimento dei soldi SOLO se tu entri nel tuo account sul sito della banca inserendo user-id e password e dai l'effettiva conferma.... solo e soltanto in questo caso....

Quando tu effettui un acquisto su internet inserendo i dati della carta di credito, il negozio invia la richiesta alla banca e la banca lo conferma...
Il passaggio di cui parlo io sarebbe che la conferma della banca avvenisse solo se il cliente della carta di credito confermasse la transazione.

non c'è bisogno di modificare niente sui siti dei negozi online..

capito ora ?

[nicscics]

Fattibile.

[morpheus3g]

Avete idea se qualcuno fa già qualcosa del genere?

[Damy83]

Si dovrebbere stravolgere il circuito di transazione della carta. Inserendo questa modifica dovresti confermare via mail anche per tutte le altre transazioni fatte "senza strisciare la carta", tipo quelle dove dai il numero della carta per telefono (molto utile se uno è fuori casa e non può usare il pc).
Per gli acquisti su internet, basta usare carte appropriate. Io uso quasi sempre la american express perchè ha una speciale assicurazione che non prevede nessuna franchigia in caso di uso fraudolento della carta (al contrario della visa che ha 150? di franchigia).
Mi è sembrato valido anche il servizio Moneta on-line, che offre Banca intesa. Praticamente la banca ti crea un indirizzo "virtuale" di carta di credito che può essere usato una sola volta per acquisti su internet; ogni acquisto viene fornito un numero nuovo.

Bye

[morpheus3g]

già hai ragione non ci avevo pensato

si è un buon servizio quello di banca intesa.. ma è l'unico del genere che ho visto sul mercato finora..

[Damy83]

Originariamente inviato da morpheus3g
già hai ragione non ci avevo pensato

si è un buon servizio quello di banca intesa.. ma è l'unico del genere che ho visto sul mercato finora..

Cmq il moneta on-line è troppo caro...Ricordo che tempo fa volevo comprare gli occhiali di Matrix su un sito americano. Ho attivato il servizio (che per me dato che ho banca primavera era gratis) ma poi ho scoperto che funziona a "ricariche", con taglio minimo di 50?, e ad ogni ricarica ci sono 5? di commissione.

[trappola]

cmq esiste un sistema che dovrebbe essere sicuro (il condizionale è d'obbligo sul net) si chiama bankpass in pratica funziona come quello che avete descritto pr moneta online, ma si collega alla carta di credito normale, non è gratuito, mi pare sui 25 € annui ma puoi fare gli acquisti che vuoi, bisogna solo che la banca che ha emesso la carta sia "affiliata"

Personalmente lo uso e ho comprato anche da sito un poco particolari senza mai problemi

[morpheus3g]

però si potrebbero fare delle carte di credito Internet funzionanti come moneta online o con il metodo di cui parlavo io..

esclusive per internet... sicure, inserite in circuiti famosi tipo mastercard e visa, per essere accetate ovunque, e soprattutto poco costose...

[Sir J]

Originariamente inviato da morpheus3g
già hai ragione non ci avevo pensato

si è un buon servizio quello di banca intesa.. ma è l'unico del genere che ho visto sul mercato finora..

Me lo da' anche la Banca di Roma.
Se ho necessita', dal sito stesso, creo una carta virtuale con il credito che mi serve. La uso e la carta sparisce. E' un sistema molto sicuro, perche' oltre a nome, password e autenticazioni standard, la banca mi ha dato una scheda piena di codici. Al momento di transazioni che comportano scambio di denaro, mi vengono richiesti 2 codici a caso da questa scheda (con il sitema della battaglia navale), e questi davvero non puoi indovinarli

[morpheus3g]

Ma allora .. se esistono sistemi sicuri e pratici per utilizzare le carte di credito su internet

Perchè tutti hanno paura di usare la carta di credito per comprare online ?

Troppa propaganda negativa da parte dei nostri competentissimi mass media ? Ignoranza in materia della gente ? ..

boh..

[Sir J]

Originariamente inviato da morpheus3g

Perchè tutti hanno paura di usare la carta di credito per comprare online ?

Troppa propaganda negativa da parte dei nostri competentissimi mass media ? Ignoranza in materia della gente ? ..

boh..

Un po' di tutto. Del resto se vai al ristorante e paghi con carta di credito, chi ti dice che il cameriere mentre e' "di la'" non si sta comprando qualcosa con la tua carta?

[morpheus3g]

già.. questa è una grande limitazione..

Probabilmente c'è un motivo.. .ma mi chiedo come mai anche per gli acquisti al di fuori di internet non viene richiesto il codice pin (tra l'altro memorizzato nella banda magnetica della carta e utilizzato con i prelievi pos)....

[Joe Foker]

Paschincard di Montepaschi...in pratica puoi attivare e disattivare la tua corta tramite internet, telefono o in banca in tempo reale...quindi attivi, compri e disattivi...logicamente tramite user e pass... e poi puoi farti arrivare movimenti per emali e sms....