2831
diazr.com/es-bbva-un-banco-seguro/ 
Soy cliente desde hace años del BBVA, uno de los grandes bancos del capital. He pasado por varios, y es de los pocos donde me he sentido cómodo, y donde nunca he tenido problemas. Pero ahora, me estoy empezando a cuestionar que el banco como tal sea realmente seguro, y os voy a contar por qué.
menéame
#2 Quizás os sea de interés ver este post, que ya salió en la portada de meneamé hace un par de semanas o así... libertadparacrear.com/2011/11/07/la-informacion-que-falta-en-los-cajer
Caixagalicia da a elegir entre sucursal o domicilio e iBanesto te la manda a casa desactivada.
(He aquí el resumen de la noticia
Entonces, total, para guardarlo de manera insegura, lo guardan en claro, que desde el puntod e vista de seguridad va a ser lo mismo. Otro tema es que la LOPD obliga a no guardarlo en claro sirva o no sirva para algo.
El problema que le veo es que aunque guarden el PIN con una función resumen es trivial probar las 10000 combinaciones, se use o no una sal para el cifrado.
Como mucho se podría cifrar las hashes o el propio PIN con un algoritmo simétrico con una cotnraseña fuerte que sepa el banco. En este caso, mientras la contraseña no se filtre los PINs están seguros, pero eso si, el banco puede recuperar el PIN y imprimirlo y mandarlo por correo como se cuenta en el artículo...
#13 No te flipes tanto, atacar la libertad de expresión sería borrar comentarios. Los negativos solo los ocultan, pero ahí están disponibles para quien los quiera leer y para el que quiera obsequiar al autor con mas negativos.
No es un riesgo ya que mientras la clave criptografica no sea publica no hay peligro y creeme, estan muy muy protegidas, fliparias con lo que hay que hacer para conseguir una nueva o para instalarla en un CPD.
1 Que en la base de datos de clientes del BBVA se agregue en el registro del cliente la nueva tarjeta y quede asociada con la antigua clave de la tarjeta dada de baja.
2. O simplemente copiar el hash del md5 en en el campo correspondiente al PIN en el registro de la nueva tarjeta, al fin y al cabo es una cadena de carácteres aparentemente inconexos que el código maneja a través de una función que la desencripta para compararla con el pin marcado en un cajero automático p.e., el administrador de la base de datos podría hacerlo si alguien consiguiera hackear el md5 (en esto último estoy poco puesto la verdad de si sigue seguro ese algorítmo).
Verano de 2006.Me quiero comprar una cámara de fotos.Voy al banco a sacar dinero en mano para comprármela.Me dicen que no existe una cuenta a mi nombre.
¿Como?
La chica me lo repite:"Ni por su nombre ni por su DNI me aparece cuenta alguna asignada a usted.Usted no tiene cuenta aquí".
Imposible Ja!Pero si me llegan los recibos a mi casa!Amos, tengo dinero desde la Comunión, de todos los Reyes, no me jodas,de mis ahorros de toda la vida de dios...
La chica de malos modos me dice: "Traigame su recibo entonces".
Vuelvo a casa, suerte que estaba en la misma localidad.Recojo el recibo y mientras vuelvo a la sucursal detecto cargos de 60 Euros en mi contra:"Comisiones de operación de cuenta".
¿Peroestoquecojo..?
La mala leche en aumento por momentos: La inutil del BBVA dice que no tengo ni dinero, ni cuenta, ¿y encima me están cobrando 60 euros?...
Llego a la sucursal y me dice que la titular de esa cuenta es mi madre y no yo.Que el sistema le indica que hay un bloqueo y tengo que ir a la oficina de emisión..
Me voy corriendo a toda velocidad a la dichosa oficina, y me dicen lo siguiente:
"Al cumplir los 18 años su cuenta de ahorro ha sido bloqueada ya que le solicitamos el DNI y usted no lo ha traido a la oficina.Por su seguridad le hemos bloqueado la cuenta".
Me quedo de una pieza: ¿Por mi seguridad?¿Quitarme de la co-titularidad de una cuenta es seguridad?
Extrañado les pregunto que cuándo me han solicitado dicha información y cómo lo han hecho.
La respuesta: Correo ordinario.En el 2001(5 años!!).
Yo irónicamente le pregunto: ¿Así pues la seguridad de este Banco se basa en correo ordinario?
La chica, subdirectora, sonríe la jodida.
-¿Así pues se tiran 5 años con un problema de seguridad bloqueandome una cuenta y no avisan?
La chica no sabe donde meterse y me pide que baje la voz.La gente en la cola nos mira y murmura algo de "menuda verguenza de bancos"...
Pero lo peor estaba por llegar...
-¿Cuando me desbloquea la cuenta?
Me dice que hasta el Lunes nada. Mala ostia increscendo..ya se estaban enterando hasta las cajeras.
Pero lo peor no habia llegado...
De pronto caigo en el detalle de esos 60 euros que me están cobrando semestralmente.La chica muy maja me dice:"Cuando en una cuenta no se realizan movimientos de depósitos o retirada de efectivo durante 6 meses, se cobra una comisión de 60 euros".
En ese momento entiendo la cara de culpabilidad, resulta que los muy ca-bro-nes me han bloqueado la cuenta, los muy in-de-cen-tes no avisan del bloqueo de la misma, los muy des-gra-cia-dos me impiden hacer ningun tipo de entrada y salida, y encima me cobran por el resultado de dicho bloqueo!!
Así se lo digo, así se enteraron todos los de la oficina.
¿"Comisión de operación de cuenta"?¿Por qué no me decís algo del estilo "Comisión por bloqueo de cuenta"?¿Por qué no me avisáis de que mi cuenta está bloqueada desde hace 5 años?Tiene huevos, le dije.
Me marché por la puerta.
El Lunes volví con una denuncia de la policia y una carta exigiendo no solo el dinero ilegalmente cobrado sino además todos sus intereses. Y el desbloqueo inmediato de la cuenta. No le pedí el Mercedes que iban a sortear con el libretón en compensación de puro milagro...
2 días más tarde tenía todo en la cuenta.
1 minuto después me lo llevé a la caja de ahorros de enfrente.
- Si realizas una compra por internet debes introducir previamente el CVV (que aparece en la parte trasera de la tarjeta) y la fecha de caducidad.
- Si quieres hacer una transferencia, contratación, etc, a través de la web de tu banco, necesitarás una contraseña adicional conocida como "contraseña de operaciones" y desde hace un tiempo, te obligan también a proporcionar un código aleatorio que recibess en el movil.
En el caso que se refiere el post os digo la operativa que se sigue cuando ocurre un incidencia de ese tipo:
Un cliente llama al SAT de un banco cualquiera y dice: He perdido o me han robado la tarjeta de crédito o débito.
Primer paso: Tarjeta bloqueada y emisión de una nueva si lo pide el cliente, en este caso el cliente tiene que pasar una política de seguridad y confirmar el domicilio que refleja la base de datos. La tarjeta se envía operativa y con el mismo nº PIN si el cliente no indica lo contrario. Nadie puede tener acceso al PIN, el PIN solo se facilita en oficina física y en sobre ciego.
Segundo paso: Se emite la tarjeta QUE CAMBIA DE NUMERACIÓN.
Tercer paso: No llega la tarjeta o la roban del correo. Si no tienen el PIN, no suelen poder realizar compras. Si la tarjeta es visa, para compras por internet lo normal es usar una clave de validacion, dependiendo de la entidad. (codigo al movil, firma electronica, etc)
Cuarto paso: Alertas. En toda entidad financiera se rastrean, se comprueban y saltan alarmas por "actividades sospechosas de fraude" desde operaciones con poco margen entre IPs distintas hasta compras "extrañas"
Total, que es prácticamente imposible cometer fraude hoy en dia con una tarjeta de crédito y que se pasen todos los controles sin que pase nada.
Un pin son 4 dígitos -> 10.000 números posibles. Calcular el md5 de 10.000 números se hace en un plis, por lo que no tiene sentido cifrar esa información.
Y vamos, que calcular el md5(sha(md5(pin))) llevaría un poco más de tiempo, pero poco más que un abrir y cerrar de ojos.
Edit: por si a alguien le interesa probarlo en python:
import md5
for i in range(10000):
num = str(i)
print num + ": " + md5.new(num).hexdigest()
Para que tardase 10 años en un ordenador de estar por casa, el número pin debería tener 16 dígitos o más.
Para que el mayor súperordenador del mundo de la lista del top500 actual (en Japón) tardase 10 años, el pin debería tener 23 dígitos.
Supongamos que un mega Hacker le roba a VISA (REDSYS) (que no al Banco) los PINs de las tarjetas. Para poder operar necesita el PAN (que el numero largo de la tarjeta), la caducidad y el CVV (el numerito impreso detrás)
Supongamos que el Hacker es la leche y lo pilla todo. Pues se dan estos caso:
- NO puede sacar dinero del cajero porque no tiene físicamente el plástico
- NO puede comprar en un establecimiento por lo mismo.
- SOLO puede entrar en las cuentas de los clientes para consultar pero no puede operar porque no tiene la Clave de Operaciones ni un teléfono móvil o tarjeta de coordenada valida.
- SOLO puede comprar por internet. Pero solo en algunos casos
1) Puede comprar en Tiendas virtuales sin seguridad extra... Normalmente esto está reservado a entradas de cine y teatro.
2) En los comercios con Tiendas virtuales seguras, ademas del PIN requieren códigos de validaciones extras como la Tarjeta de Coordenadas, Movil o el CIP (Codigo de comercio seguro)
Conclusion: un Hacker que sea capaz de la base de datos de VISA (REDSYS) se puede "hartar" de ir al cine. Lo más seguro es que lo terminen pillando en la puerta.
¿Vamos a ver, pero no dicen que eso nunca te lo van a pedir? Pues resulta que lo que no hacen es pedirlo ellos sin motivo, pero sí tú solicitas una operación (como activar las operaciones por internet), al ser tú el que lo solicitas, te lo piden para comprobarlo