1400
www.samuelparra.com/2009/02/22/como-vulnerar-la-proteccio... La web del banco Santander podría estar vulnerando el deber de secreto al revelar la identidad de sus clientes si se utiliza con picaresca el mecanismo que tiene configurado para recuperar la contraseña en caso de olvido. Como efecto colateral, sería posible que un usuario mal intencionado bloquease el acceso a los clientes de la banca online del Santander.
menéame
Si vais a la web de La Caixa y haceis click en "Recordar Contraseña", vereis que pide el número de tarjeta de crédito y la fecha de caducidad de ésta para recordar la contraseña.
Un buen error informatico.
Decir que esto es un problema de seguridad es amarillismo. Es una violación de la Ley de Protección de Datos a causa de un mal diseño de usabilidad. Pero no es más que eso.
Y si te bloquean una cuenta bajas a la sucursal de la esquina y solucionado. De nuevo un problema de usabilidad y no de seguridad. Nadie accede a tus datos ni a tu dinero.
Pues no he visto yo chapuzas de película de miedo ni nada en sistemas bancarios. Que una sin consecuencias se vea en una "web", se me ocurre que es de lo menos malo que puede pasar.
En efecto no accedes a ver el saldo de una cuenta, pero sí que quiebras la "disponibilidad" de la información de ese usuario, porque pueden estar bloqueándote la cuenta cada 2 segundos, y no todos tienen una sucursal debajo de su casa, ni a todos les apetece llamar a un 902 para reestablecerla.
El sistema de registro es sonrrojante, pidiendote datos como el DNI y con un sistema de comprobación para ver que no te lo inventas (hay una anécdota curiosa que me paso que busqué varias fotos de DNIs en Google y todos los números que instroduje decía que ya estaban en su base de datos luego a alguien más se le ocurrió mi idea antes
Tras unos 20 minutos intentando darme de alta, tras haberles dado mis datos, tras haber cumplido mi parte.... error, no se puede acceder a la página solicitada. Y desde entonces recibo toneladas de basura en el correo.
No me extraña que sean los primeros jugando así.
Si esto es así, lo cual solo sé por lo leído en el enlace (y tampoco dediqué mucho tiempo a darle vueltas), no es falso que se pueda conseguir un acceso.
edit: no lo filtra todo, no funciona creo.
A mi me vino de puta madre porque me ahorro mucho papeleo y tiempo de espera, pero esta claro que en cuanto pueda me dare de baja, ya que no me parecia nada seguro
Se portaron muy bien, ya que lo necesitaba y les pregunte si habia algun metodo para evitar toda la espera, pero no me parece muy profesional ni algo que deba ser permitido en la politica de una empresa (Si lo hizo a nivel particular me parece mas grave aun)
[/SARCASMO]
Ni que fuese un gran problema. Molestia, sí. Pero no pasa de ahí. Amarillismo total.
Si puedes evitar que un usuario acceda al sistema (bloqueando su cuenta) es un problema de seguridad, y grave.
Edit: Veo que #17 lo ha dejado claro
De entrada, lo que comenta el artículo es cierto. Puede intuirse quien tiene una cuenta en el BSCH con ese mecanismo.
Lo que no es cierto es lo de la entrada parcial de dígitos en la contraseña.
En el santander hay 2 contraseñas.
Con la primera, entras a la web en modo consulta. No puedes operar. Al realizar una operación, te piden la segunda contraseña (la clave electrónica que le llaman) y es ahí donde solo realizas una entrada parcial.
Esa misma entrada parcial es la que te piden cuando llamas por teléfono. De esa manera, un operador telefónico no puede quedarse con tu clave, salvo que realices muchísimas operaciones y siempre vayas a parar al mismo operador.
Por cierto, hace años el Santander permitía claves alfanuméricas para la contraseña y me obligaron a cambiar a una numérica. En aquel momento les envié un email quejándome, ya que se reducía el dominio de posibles valores a usar como clave. Me contestaron que su seguridad era la polla, y bla, bla, bla.
Por cierto, la vulnerabilidad de que hablamos no permite obtener logins de acceso válidos como dices, sino solamente validar logins aleatorios. No es lo mismo ni de lejos.
Salu2!!