5. SICUREZZA NEL TRADING ELETTRONICO 5.1 SICUREZZA AL 100%? 5.2 NAVIGARE IN RETE SENZA LASCIARE TRACCE 5.3 CANCELLARE I COOKIES

Transcript

1 This project funded by Leonardo da Vinci has been carried out with the support of the European Community. The content of this project does not necessarily reflect the position of the European Community or the National Agency, nor does it involve any responsibility on their part. 5. SICUREZZA NEL TRADING ELETTRONICO 5.1 SICUREZZA AL 100%? Prima di tutto, è superfluo specificare che, secondo Salmi and Vahtera (1997), è importante raggiungere una sicurezza del 100% sulle transazioni Internet, e che la frode può sempre esistere, anche sulle transazioni tramite carta di credito, trasferimenti bancari o acquisti per posta. 5.2 NAVIGARE IN RETE SENZA LASCIARE TRACCE Grazie a siti come Anonymizer ( possiamo navigare in rete senza lasciare tracce, in modo da mantenere privato il nostro indirizzo IP ed evitare rischi dalla pagina che stiamo visitando. E' sufficiente entrare nel sito indicato sopra ed introdurre l'indirizzo che vogliamo visitare senza lasciare tracce, in modo gratuito; il sito, comunque, commercializza altri prodotto per la sicurezza. Esercizio: Entra nella pagina di Ciberconta senza lasciare tracce. E' equivalente scrivere il seguente URL: ( Nota dell' Autore: Ho controllato nel registro visite che l'accesso è stato registrato in un IP diverso da quello da cui provenivo. 5.3 CANCELLARE I COOKIES In molti negozi virtuali ed in molti altri servers, tipicamente vengono usati i cookies: Esistono programmi che cancellano questi cookies, come FileCleanup ( Gratuitamente Obiettivi Esistono 4 parametri di sicurezza in un sistema di pagamento: Confidenzialità: identità segrete e pagamento in presenza di terzi. Autenticazione: per identificare l'origine del messaggio, se dall'altra parte si è chi si dice. Integrità: il messaggio non viene modificato durante il trasferimento Nessun rifiuto: ne' chi trasmette, ne' chi riceve possono negare di avere richiesto un pagamento o un'autorizzazione al pagamento. Quando spediamo una o una richiesta di pagamento attraverso un Data Electronic Interchange, l'obiettivo è sempre quello di garantire che il messaggio arrivi a destinazione nella massima confidenzialità

2 Nel particolare caso del commercio elettronico, esistono diversi rischi: il cliente riceve la merce e poi non paga, il cliente è disonesto, oppure c'è una terza persona che si appropria del denaro o della merce, approfittando del fatto che una volta che l'ordine è partito non si può negare. Attenzione quindi alle modalità di pagamento. La sicurezza dipende per prima cosa dalle modalità di pagamento. Per esempio, comunicare gli estremi della propria carta di credito in una normale e ovviamente pericolosissimo. Ma persino il sistema di pagamento più comune, SSL, che ora vedremo, non garantisce il "no-rejection". 5.4 IL SAFE SERVER SSL Concetto Il sistema SSL è quello più usato nei negozi virtuali. Funziona criptando i dati mandati dal cliente (l'ordinazione, il numero della carta di credito ecc) per mezzo del sistema codificante RSA quando si trovi in un'area della rete sicura. Il programma navigatore- Netscape o Explorer- cripta i dati in modo tale che anche se qualcuno dovesse appropriarsene, non sarebbero in grado di leggerli, non avendo il codice di lettura. Ogni volta che un utente entra in un server sicuro, questo genera un codice per la sessione che sta avendo luogo, mentre il navigatore del cliente genera un altro codice, ugualmente casuale, che serve per identificarsi al server Come si può sapere se un server ha incorporato SSL? Per sapere se stiamo usando un server sicuro, possiamo cercare il lucchetto che dovrebbe apparire sotto al programma di navigazione Inoltre, l'url cambia da http a https. Per esempio, se entriamo in qualunque electronic banking, il server cambia ad SSL. Se andate alla pagina ciberconta e cliccate 2 volte nel suo navigatore vicino al globo di Internet, vedrete che qui l'ssl non è incorporato.

3 5.5. SERVIZIO DI CERTIFICAZIONE Chi garantisce che l'azienda sia veramente quello che dichiara essere? Quando noi entriamo nel server di un'azienda in cerca di un prodotto, a parte garantire che i sistemi di pagamento sono regolari, chi garantisce che l'azienda sia veramente quello che dichiara essere? Qui entrano in gioco le autorità di certificazione Come possiamo conoscere chi fornisce il certificato di sicurezza? In qualunque negozio o banca possiamo consultare l'opzione "per avere informazioni" (cliccare sul lucchetto) Ci sarà una dicitura di questo tipo: "Questo è un documento sicuro che usa un sistema di criptazione di grado intermedio adatto all'esportazione negli USA (RC4-40, 128 bit with 40 secret); in questo caso abbiamo informazioni sull'intestazione del certificato (il negozio) e chi lo emette; per esempio "Questo certificato è stato emesso da FESTE". Esercizio: Controllate il banking elettronico di Ibercaja ( chi ha emesso il certificato? Un'opportunità per i contabili Possono veramente avere delle opportunità! I contabili e chi si occupa di bilanci hanno campo aperto in questo ramo, usando la loro esperienza per garantire che l'azienda in questione è veramente ciò che dichiara essere. Consiglio di interessarsi a Web Trust, un'interessante iniziativa di AICPA, (American Institute of Certified Public Accounts) (http;//

4 5.5.3 AICPA: WebTrust Proyect Fonte ( ( WebTrust è un servizio fornito da un collegio di contabili (CPA) per determinare se un web server segue certe linee guida richieste. I server che sono in linea con queste linee guida ricevono un logo ed un diploma che possono mostrare sulla loro pagina web, e che ha durata di 90 giorni, che significa che devono sottoporsi frequentemente a questo controllo. Solo i CPA che sono membri del AICPA, che hanno seguito determinati seminari, hanno una licenza e si sottopongono a test di qualità possono fornire questi servizi. Il logo che possono mostrare è fornito da VeriSign, che è l'azienda che fornisce l'equipaggiamento tecnico. Tutte le aziende ed organizzazioni che effettuano transazioni elettroniche attraverso la rete e che presentano questo certificato garantiscono di seguire 3 linee guida molto importanti: Diffusione della pratica di business. Estende il suo business per il commercio elettronico e effettua questo tipo di operazione correttamente. Integrità delle transazioni. Mantiene controlli efficaci al fine di garantire che gli ordini dei clienti via web siano processati e completati entro i termini stipulati con i clienti. Protezione dell'informazione: Mantiene controlli efficaci al fine di garantire che le informazioni private del consumatore siano protette da usi non relativi alla vendita. Per esempio qui possiamo vedere il certificato di una compagnia assicurativa danese: Coda ( o quello della Puerto Rico Authorised Public Accountants School ( ha ottenuto anch'essa un certificato WebTrust: possiamo anche leggere il contenuto del certificato: "Abbiamo esaminato l'affermazione dell'ufficio del Responsabile della Puerto Rico Authorised Public Accountants School (la Scuola) a proposito della diffusione delle sue attività commerciali nella sua pagina interattiva per il commercio elettronico, e della efficienza dei controlli a garanzia della completezza delle transazioni e della protezione dell'informazione nell'ambito del commercio elettronico (in nel periodo dal 1 Giugno 1999 al 31 Agosto del " " E' nostra opinione che durante il periodo dal 1 Giugno 1999 al 31 Agosto del 1999 la Scuola, ha significativamente: diffuso la sua attività commerciale di commercio elettronico, e processato le transazioni in accordo con la pratica commerciale comune, ed ha mantenuto controlli efficaci che ci permettono di affermare, con relativa certezza, che le transazioni eseguite dai clienti via commercio elettronico sono state completate in rispetto degli accordi stipulati e che sono stati eseguiti efficienti controlli che ci permettono di affermare che le informazioni private dei clienti ottenute come risultato del commercio elettronico sono state protette dagli usi non legati al commercio con la Scuola.."

5 webtrust certificate In questo tipo di aziende di controllo è usato un programma sviluppato da Pricewaterhouse Coopers Ovviamente queste compagnie di controllo (audit) non sono le uniche a cercare di avvantaggiarsi delle possibilità dell'attività di certificazione (anche AGACE Electronic Trade Guarantee Agency ( per esempio). Siti Web consigliati per contabili: Notizie, informazioni e prodotti nel sito di Knowledge Era CPA2biz (

6 5.6. PAGAMENTI CON IL SISTEMA ATTUALE Di che cosa si tratta? Ricordiamo di nuovo i 4 parametri di sicurezza in un sistema di pagamento: Confidenzialità: identità segrete e pagamento in presenza di terzi. Autenticazione: per identificare l'origine del messaggio, se dall'altra parte si è chi si dice. Integrità: il messaggio non viene modificato durante il trasferimento Nessun rifiuto: ne' chi trasmette, ne' chi riceve possono negare di avere richiesto un pagamento o un'autorizzazione al pagamento SSL non garantisce il no-rejection. Per gestire questo aspetto, è necessario usare firme digitali con chiavi pubbliche certificate da organismi di fiducia. Più "difficili" rispetto a SSL, Visa e Mastercard hanno sviluppato insieme il sistema SET (Secure Electronic Transaction), che si base su firme digitali. Chi sono i partecipanti nel sistema SET? Il cliente, il venditore, la banca, il ricettore e l'organismo che ha emesso la carta; tutti loro hanno firme elettroniche: Con questo sistema, è garantito che sia il compratore che il venditore siano effettivamente chi dicono di essere. Inoltre, i dati della carta vengono criptati. Queste informazioni possono essere reperite qui: Set Facil ( Gonzalo Álvarez Marañon, SET a fondo, (

7 5.7. MICROPAYMENTS: PICCOLI PAGAMENTI Che cosa sono? Per piccoli pagamenti, o per fare pagamenti in anonimato, esitono diversi tipi di borsellino elettronico. In altre parole, senza usare la carta di credito. Alcuni sistemi richiedono un certo tipo di hardware, come una carta intelligente come Mondex ( di Mastercard. Si tratta di moneta elettronica che non necessita di autorizzazioni bancarie. Esistono poi dei sistemi fedeltà, che convertono un certo punteggio in modalità di pagamento per fare delle spese. Ci sono poi i pagamenti effettuati tramite telefonia mobile. I sistemi di micropagamento sono una categoria a parte; ad esempio, PayPal ( Clickbank ( E-cash ( etc. Per ulteriori informazioni: ( ( In molti negozi è possibile fare pagamenti con questi sistemi. Ci sono varie possibilità, negli anni a venire se prevarrà un sistema in particolare.

8 5.8. QUALCHE CONSIGLIO PER ACQUISTI SICURI Comprate, ma i sicurezza. In Criptonomicón si trovano consigli su come navigare in Internet in sicurezza, su come comprare in modo intelligente, come proteggersi dai virus ecc Come si fa a comprare in sicurezza in Rete? Gonzalo Álvarez Marañón, CSIC ( 1 Marzo2002. Non dovreste mai fornire informazioni confidenziali su Internet senza protezione, specialmente quando si tratta di informazioni finanziarie. Se pensate di comprare quel libro o quella collezione musicale, che è disponibile solo online, ma siete in dubbio a fornire gli estremi della vostra carta di credito, dovreste essere informati di quali sono le opzioni sicure a disposizione. 1) Non fornite più informazioni di quante non siano strettamente necessarie per ricevere i prodotto che avete scelto (non c'è generalmente nessun motivo per cui dovreste specificare il vostro reddito o le vostre idee religiose) 2) Non date mai informazioni confidenziali, eccetto che su un server SSL. 3) Non mandate mai il numero della vostra carta di credito per 4) Controllate sempre i certificati dei siti sicuri in cui entrate. SSL non è utile se non viene considerata seriamente. 5) Richiedete i vostri diritti di clienti 6) Richiedete immagini del prodotto che avete intenzione di comprare, almeno quando questo sia rilevante. 7) Richiedete informazioni precise e dettagliate sui prezzi 8) Richiedete informazioni sui metodi di consegna e sui costi aggiuntivi. 9) Richiedete informazioni sulla garanzia e sulle regole per l'eventuale restituzione. 10) Cercate la pagina sulle strategie commerciali, per avere informazioni su come vengono processate le vostre informazioni personali, sia quelle fornite direttamente da voi nel modulo d'ordine, sia quelle ottenibili indirettamente a causa del vostro passaggio sulla Rete. 11) Non pagate ne' in contanti, ne' per assegno o per carta di debito, bensì per carta di credito: è più sicura di quanto si possa immaginare, ed avrete meno problemi in caso di irregolarità con la consegna o di frode sulla carta. Consultate la banca a proposito delle

9 condizioni commerciali per la risoluzione dei problemi. La organizzazione finanziaria che si occupa dei vostri pagamento vi appoggia. In caso di frode, è il negozio che avrà problemi, non voi.

10 5.9. SOMMARIO E CONCLUSIONI E' molto importante In queste note abbiamo affrontato gli aspetti relativi alla sicurezza in Internet. La sicurezza ed il controllo delle informazioni sono una priorità per i contabili. Rischi possono provenire sia dall'interno che dall'esterno dell'organizzazione: virus, hackers, gli stessi impiegati, etc: Una strategia di sicurezza aziendale per le informazioni dovrebbe gestire tutti questi rischi, che da Internet vengono amplificati. I contabili dovrebbero conoscere determinate tecniche, come i certificati digitali, il coding ed i firewalls. I revisori possono avere in questo ambito molte opportunità. Alla fine dei conti quello della sicurezza è uno degli aspetti fondamentali del commercio elettronico. 6. BIBLIOGRAFIA Nombela, J.J. (1996): Seguridad informática, Editorial Paraninfo, ITP an International Thompson Publishing Company, Madrid Criptonomicon, ( a fundamental address about security on the Internet, a service offered by the Instituto de Física Aplicada del CSIC (Consejo Superior de Investigaciones Científicas, en Espana). Kriptopolis, ( about technical concepts, operation and use of the cryptographer tools and security on the Internet.