Dipartimento di Matematica e Informatica · Web viewLa Accettable Use Policy è l’insieme delle...

PAYPAL: LA SICUREZZA NEL PAGAMENTO

RELAZIONE SUL SEMINARIO “PAYPAL: LA SICUREZZA NEL PAGAMENTO”

Fino a non molto tempo fa la maggior parte delle persone non si fidava ad acquistare merce online perché vi era la paura di subire delle truffe; si temeva che, pur pagando, la merce non arrivasse e che non era possibile contestare la truffa. Con l’avanzare dei progressi nella tecnologia informatica, gli utenti chiedevano a gran voce ai gestori dei siti di e-commerce di promuovere la sicurezza nelle transazioni attraverso l’introduzione metodi di pagamento che salvaguardavano gli interessi di ambo le parti. Il sistema di pagamento Paypal, nato nel 1998 e in seguito acquisito da ebay.com, è oggi considerato il servizio più sicuro per i pagamenti online. Tale servizio garantisce sicurezza e protezione attraverso un sistema di policy, grazie alle quali gli utenti possono essere individuati fisicamente attraverso la comunicazione dei dati personali e controllati quando compiono azioni illegali. Il sistema Paypal è soggetto a tre diverse policy:

1. Privacy Policy2. Accettable Use Policy3. Delivery Policy

La privacy policy è l’insieme delle norme riguardanti il trattamento dei dati personali. Quando si visita il sito di Paypal, dopo essersi registrati, il nostro dispositivo comunica a Paypal il suo indirizzo IP, il sistema operativo utilizzato, le pagine visitate, il tipo di browser utilizzato e le informazioni riguardanti il traffico tra il nostro dispositivo e i server di Paypal. Quando si crea un account Paypal è obbligatorio comunicare le seguenti informazioni di contatto:

i. Nome e Cognomeii. Indirizzo

iii. Numero di telefonoiv. E-mail

E’ possibile rilasciare altre informazioni aggiuntive come ad esempio l’ID Skype, Twitter, Facebook, e simili per poter ulteriormente controllare l’utente. Il servizio, in addizione a ciò, richiede la comunicazione delle informazioni finanziarie:

i. Numeri delle carte di credito collegate all’accountii. Numeri del conto corrente bancario

Vi è inoltre la richiesta di sottomissione di dati aggiuntivi come la data di nascita, numeri sociali di sicurezza (solo per gli utenti degli USA). Tali informazioni possono essere verificate dal sistema attraverso la consultazione di terze parti come ad esempio le agenzie governative. Tutte queste informazioni sono raccolte solo al fine di:

1) Prevenire frodi2) Risolvere controversie tra utenti entrambi usufruenti del servizio Paypal

Le informazioni raccolte dal sito riguardanti il dispositivo con cui ci colleghiamo al sito di Paypal vengono utilizzate solo per permettere di comunicarci l’eventuale presenza di software dannoso all’esecuzione delle funzionalità del servizio. Tali informazioni vengono raccolte grazie all’utilizzo dei cookies che entrano nel nostro dispositivo appena ci colleghiamo al sito. Questi vengono utilizzati per riconoscere chi si è collegato come cliente Paypal e per prevenire le frodi.

1


Vengono usati tre tipi di cookies: i “session cookies” i “persistent cookies” ed i “flash cookies”. I primi hanno effetto dal log in al log out, dopodiché si eliminano automaticamente, i secondi, rimangono nel browser e dopo un determinato lasso di tempo si eliminano automaticamente, infine, i flash cookies che servono a garantire che la sicurezza del nostro dispositivo non sia compromessa. I cookies sono criptati con una codifica che solo Paypal sa decifrare. E’ possibile impedire l’invio dei cookies anche se ciò interferisce con l’utilizzo dei servizi. Il servizio usa le informazioni personali di un utente per fornirgli servizi e assistenza, elaborare transazioni e le notifiche che le riguardano, risolvere dispute, prevenire attività proibite (riportate nella Accettable Use Policy), paragonare le informazioni fornite con terze parti. Paypal non comunica queste informazioni ad altri enti senza il nostro consenso. Può tuttavia condividerle con:

1) Società con cui Paypal intende fondersi2) Agenzie di credito

Tuttavia, se è in atto una transazione tra due parti, il sistema può provvedere allo scambio dei dati personali quali indirizzi ed estremi della carta di credito qualora fosse necessario rispedire la merce al mittente per poter essere cambiata e rispedita ancora. Entrambi le parti possono usare le informazioni dell’altro utente solo per risolvere problematiche di questo tipo.

La Accettable Use Policy è l’insieme delle azioni vietate agli utenti quando si usa il servizio Paypal. Vengono vietate tutte le azioni che vanno contro la legge del Paese dell’utente, la vendita di narcotici, sostanze stupefacenti e tabacco. Viene tutelata la sicurezza degli utenti impedendo transazioni che seguono schemi piramidali (o a catena di Sant’Antonio) o che coinvolgono società offshore. Paypal si estranea da coinvolgimenti in attività di online gambling (gioco d’azzardo) nonostante questa attività sia approvata in moltissimi Paesi.

Infine, la Delivery Policy serve per informare l’utente sui tipi di messaggi che Paypal invia elettronicamente. Qualora si ricevessero messaggi di diverso tipo da quelli riportati, è responsabilità dell’utente segnalare l’accaduto per tutelare la sicurezza degli utenti da eventuali frodi. I messaggi inviati non richiedono mai all’utente informazioni personali, ma informano solamente sui cambiamenti che stanno per essere applicati al servizio, sul ricalcolo delle imposte statali o sull’esito di una transazione, come ad esempio la conferma o fallimento dell’invio del pagamento.

La sicurezza dei dati personali è il cuore della filosofia di Paypal. Questi cripta automaticamente le informazioni provenienti dal computer dell’utente attraverso la crittografia a 128 bit. Questi dati vengono stoccati nei computer di Paypal che sono protetti da vari tipi di firewall (hardware e software). Il sistema, durante l’invio dei nostri dati personali ai computer della società, verifica la presenza del protocollo SSL all’interno del browser che stiamo utilizzando. Tutti i processi di comunicazione tra gli utenti e Paypal sono basati interamente su questo protocollo, che quindi costituisce il nucleo operante del servizio vero e proprio. La protezione si articola in una parte software e in una parte “umana”. Per quanto riguarda la parte software, vi è l’utilizzo del sistema AVS (Address Verification System). Questo sistema confronta l’indirizzo di accredito della carta di credito fornito dall’utente con quello fornito dalla compagnia che ha rilasciato la carta di credito. Purtroppo questo sistema effettua il confronto solamente per le parti numeriche del codice in questione. Per colmare questa deficienza Paypal fa uso del sistema CVV2 (Card Verification Value 2) il quale confronta solamente le ultime tre cifre della carta di credito. Tutte le azioni compiute

2


durante una transazione sono monitorate e salvate sui computer di Paypal. Infine, per quanto riguarda la parte “umana”, vi sono dei team di specialisti incaricati di moderare le discussioni durante una controversia e provvedere al recupero del denaro e al risarcimento dell’utente truffato. Gli utenti vengono protetti dai tentativi di frode attraverso il sistema FMF (Fraud Management Filters). Ha il compito di proteggere chi riceve il pagamento e chi lo emette. Tale sistema è articolato in varie applicazioni, i filtri, che possono essere di due tipologie:

1. Free Filters : sono filtri gratuiti che offrono la protezione di base a tutti gli usufruenti del servizio; controllano i Paesi coinvolti nella transazione e l’ammontare del denaro che deve essere trasferito

2. Advanced Filters : sono filtri che controllano carte di credito e indirizzi facendo riferimento a degli indicatori di rischio forniti dalle società che rilasciano le carte di credito. Tale servizio è a pagamento

Il funzionamento dei filtri antifrode è composto di tre step:

Configurazione manuale: i filtri antifrode possono essere impostati manualmente dall’utente per segnalare, mantenere in sospeso per revisione o negare i pagamenti etichettati dal sistema come rischiosi.

Revisione: i filtri, a seconda delle impostazioni date dall’utente controllano il pagamento che si sta ricevendo

Trasferimento (o Negazione): se il pagamento è ritenuto sicuro, facendo riferimento alle impostazioni manuali, allora il denaro viene trasferito (cosa molto frequente perché se il denaro è disponibile allora è molto probabile che non vi sia nessun tentativo fraudolento), altrimenti, se viene etichettato come insicuro, conformemente alle nostre impostazioni, allora il pagamento viene rifiutato.

3

ConfigurazioneManuale

Revisione Trasferimento /Negazione


L’utilizzo dei filtri consente all’utente di risparmiare tempo nel revisionare tutti i pagamenti da lui ricevuti permettendogli di concentrarsi su quelle transazioni che richiedono un’accurata visione di insieme per capire se sono fraudolente o meno. I filtri lavorano attraverso il controllo della cifra coinvolta nella transazione, dei Paesi coinvolti, dei codici di sicurezza delle carte di credito.

Esistono quattro tipi di filtri antifrode, i primi due sono Free mentre gli altri due sono Advanced:

Maximum transaction amount filter Country monitor filter Card security code mismatch filter Minimum transaction amount filter

Il primo filtro entra in azione quando il venditore è coinvolto in una transazione che lo porterebbe ad incassare una quantità di denaro molto maggiore rispetto a quella che incassa di solito. Preso in

4


esame da solo non rappresenta una fonte affidabile per chi deve decidere se accettare un pagamento o meno, per questo deve essere usato in combinazione con altri filtri.

Se l’importo supera la soglia del filtro, allora la transazione viene sospesa e sarà compito dell’utente dare il consenso per procedere. Il secondo filtro permette all’utente di creare una lista nera con i Paesi con i quali non si vogliono effettuare transazioni perché ritenuti poco sicuri. Questo filtro è differente rispetto al primo perché se riconosce che il Paese da cui ha origine il pagamento fa parte di questa lista allora vi è la negazione automatica del trasferimento di denaro senza passare per il consenso dell’utente. Il terzo filtro entra in azione quando vi è una incongruenza nei codici di sicurezza delle carte di credito fornite dai clienti. Il sistema vede tale errore come un errore disonesto e quindi lo etichetta come un tentativo di frode, può però accadere che l’errore sia fatto in buona fede per questo la transazione viene solo segnalata e non annullata. Questo filtro non annulla il pagamento ma si limita a segnalare tale incongruenza. Sarà compito dell’utente che riceve il pagamento di dare il consenso all’invio del denaro. Infine, si ha il Minimum amount transaction filter, che rappresenta l’interezza dei pagamenti sui cui devono operare gli altri tre filtri. Grazie a questo filtro, saranno considerati solamente i pagamenti al di sopra di una certa soglia minimale. Se infatti l’entità del pagamento che dobbiamo ricevere sta al di sotto della soglia imposta allora si ha l’immediata convalida dell’accettazione del pagamento senza passare per i rimanenti tre filtri. Se ad esempio la soglia minima è di 10 $ e devo ricevere un pagamento di 10 $, il filtro convalida la transazione senza passare per gli altri tre. Se invece dovrei ricevere un pagamento di 20 $ allora entrano in azione anche gli altri filtri.

L’azione dei filtri parte dal Minimum amount transaction filter, attraversa il Maximum transaction filter, il Country monitor filter e il Card security code mismatch filter. E durante l’esecuzione dei filtri non è segnalata alcuna incongruenza allora il pagamento viene accettato, altrimenti viene sospeso e alla fine del controllo eseguito dai filtri, l’utente sarà informato della totalità delle incongruenze e dovrà decidere se accettare o meno di concludere la transazione. Se nessuno dei filtri sospende la transazione, cioè la transazione viene reputata sicura dal sistema, allora il pagamento viene generato automaticamente senza dover interpellare l’utente dopo l’analisi eseguita da ogni filtro. Solo il secondo filtro protegge ambo le parti, gli altri proteggono solo chi riceve il pagamento. Per la protezione dell’acquirente, cioè di colui che emette il pagamento, si fa riferimento ai dati contenuti nella Privacy Policy di Paypal. Descriviamo ora una frode avvenuta tramite Paypal, in cui la parte frodata è quella ricevente il denaro:

<< Per diverso tempo sono stato giocatore di un MMORPG ( World Of Warcraft ). Ho avuto modo di far crescere e potenziare il mio personaggio; dopo essermi annoiato di giocare ho notato che i personaggi venivano venduti a un buon prezzo ed ho deciso quindi di venderlo anche io visto che non avevo nessuna intenzione di continuare a giocare e che quindi, un se pur misero gruzzoletto avrebbe fatto sempre comodo. Metto annunci su determinati forum aspettando contatti dai possibili acquirenti. Dopo aver valutato tutte le proposte (con mio stupore moltissime ) concludo l’affare con un certo tizio che si fa chiamare BROWN. Pattuita la cifra di 280 USD ( Dollari ) mi faccio accreditare tali soldi sul conto Paypal e una volta ricevuti gli consegno l’account ossia USERNAME , PASSWORD e via dicendo , tutto telematicamente tramite MSN Messenger. Ci salutiamo entrambi contenti per l’affare ma forse lui un po’ di più, infatti 15 minuti dopo vado a controllare il conto Paypal e vedo che il tizio apre una controversia , sostenendo che la merce non gli era stata spedita e che voleva un rimborso. Accortomi della truffa decisi di spedire, il giorno seguente, anche i dati tramite Raccomandata all’indirizzo da lui specificato in modo tale da

5


dimostrare a Paypal che la spedizione era avvenuta. E feci anche notare che non si poteva pretendere una spedizione in meno di 15 minuti e che quindi c’era sotto qualcosa. Convinto di una tutela da parte di PayPal segnalo nella controversia che la merce è stata inviata e segnalo anche il numero di raccomandata in modo da poterla visionare su Internet. Nemmeno 30 minuti dopo Paypal mi avvisa che hanno visionato il tutto e hanno provveduto a rimborsare l’acquirente. Quello che mi ha lasciato basito e sopratutto che mi ha adirato enormemente non è la perdita del mio personaggio che sono solo un paio di Pixel animati. Perdita temporanea poiché la Blizzard sembra essere più seria e riesce davvero a tutelare il suo cliente, infatti inviando i propri documenti e dimostrando di essere il proprietario dell’account (l’intestazione dell’account non può essere mai cambiata ) riesci a riottenerlo. Ma il fatto che se avessi ad esempio venduto qualcosa di concreto come un Orologio , una Televisione o qualunque altra cosa avrei perso e la merce e i soldi. E non solo!La mia segnalazione di spedizione avvenuta non è stata minimamente presa in considerazione! Questa presa alla leggera di transazioni da parte di Paypal deve far riflettere. PAYPAL è dalla parte dei TRUFFATORI ! >>

Perché è successo tutto ciò? Perché il sistema non è stato in grado di tutelare il suo utente? Il motivo è molto semplice: la Blizzard (società che gestisce World of Warcraft) non è legata in alcun modo a Paypal e quindi non è possibile fare un confronto dei dati dei due database. In particolare Blizzard non accetta Paypal come metodo di pagamento. Allora, visto che l’utente BROWN aveva regolarmente pagato e il testimone non aveva fornito argomentazioni sufficienti; infatti Paypal non è in grado di verificare chi è il possessore di un account di una società a cui non è affiliato. Fortunatamente la truffa è stata risolta grazie all’intervento dei tecnici della Blizzard che hanno provveduto al recupero dell’account del testimone. Il testimone sbaglia quando dice che Paypal è dalla parte dei truffatori. La colpa dell’accaduto è tutta sua. Se avesse saputo che non vi è alcun legame tra Paypal e Blizzard, avrebbe trovato un altro modo di vendere il suo acount.

Passiamo ora alla descrizione dei due principali protocolli utilizzati dal sistema Paypal, il protocollo IPN e il protocollo SSL.

Protocollo IPN

IPN è un message system che in Paypal è utilizzato per notificare ogni tipo di evento che interviene in una transazione, come ad esempio un pagamento istantaneo, una notifica di spedizione o un aggiornamento di una controversia. È evidente che in una piattaforma importante come PayPal è fondamentale avere un sistema di messaggistica efficiente, sicuro e preciso (basti pensare a quante truffe si potrebbero mettere in atto nel momento in cui non venisse certificata identità di ogni utente che effettua un’offerta o un acquisto). Per questo motivo PayPal utilizza l’IPN (Instant Payment Notifications), il sistema più sicuro per lo scambio di dati e, in generale, il flusso di informazioni tra vari host. IPN ha il compito di accelerare ed ottimizzare l’invio di messaggi tra utenti, controllando sempre l’identità e l’affidabilità delle varie componenti in gioco. È anche un sistema fortemente personalizzabile in quanto sfrutta un listener (detto anche handler), cioè uno script modificabile dall’utente che auto-gestisce le notifiche, le liste dei clienti, ecc, il che rende la procedura di invio-ricezione di informazioni assai più efficiente di un sistema di messaggistica più rigido. Il funzionamento è molto semplice ed è basato sulla presenza centrale del server PayPal, supponiamo che un’utente A voglia spedire un messaggio M ad un utente B, l’operazione si svolge così:

1. L’utente A che accede al proprio account su PayPal (prima autenticazione) 2. A compone il messaggio M3. M non viene spedito direttamente a B, infatti viene inviato al server Paypal che lo analizza

per scoprire eventuali virus, spam o inconvenienti vari

6


4. Dopo i vari controlli PayPal avvia una sessione con B, nella quale attraverso il listener (che svolge anche il ruolo di autenticatore dell’utente) si assicura che sia proprio B il destinatario del messaggio

5. Se le verifiche hanno esito positivo, M arriva a B; in caso contrario l’invio di dati viene interrotto.

Ovviamente IPN non si occupa solo dell’invio di messaggi tra utenti, attraverso di esso PayPal effettua controlli sul flusso di informazioni e sull’autenticazione degli utenti.

La forza della struttura dell’IPN è testimoniata anche dalla forte analogia col protocollo SET (Secure Electronic Transaction), infatti nel SET è prevista un’autenticazione iniziale dell’acquirente A, un successivo invio di dati alla banca di A che verifica la bontà delle informazioni ricevute, l’invio di questi dati (se verificati) alla banca del venditore V che, in caso di assenza di inconvenienti, avvia la transazione tra V e A. È facile vedere come IPN e SET abbiano una struttura di fondo quasi identica, basata su un duplice controllo degli utenti e su un controllo continuo del flusso dei dati.

7


Protocollo SSL

L’altro protocollo su cui si basa PayPal (ma anche Internet più in generale) è il protocollo SSL (Secure Sockets Layer), fondamentale per l’accesso autenticato a qualsiasi sito lo richieda e per la crittazione dei dati. L’SSL è diviso in più “strati” dove in ognuno avviene una diversa fase dell’autenticazione dell’utente o del trattamento dei dati. In uno schema a cascata avremo all’inizio l’http di un sito e supponiamo che un’utente A voglia autenticarsi, come primo componente interviene l’SSL Handshake, che permette al server e all’utente di autenticarsi a vicenda. Consente inoltre di stabilire un algoritmo di crittografia e le relative chiavi prima che il livello di applicazione trasmetta o riceva il suo primo byte. È un passo molto importante perché stabilisce l’effettivo collegamento tra l’utente A e il server, senza però permettere ad A alcun accesso ai dati. Subito dopo interviene l’SSL Record, basato su di un protocollo di trasporto affidabile come il TCP. È usato per l'incapsulamento dei dati provenienti dai protocolli superiori, cioè nasconde il contenuto interno del pacchetto dei dati, in modo da proteggerle dai cambiamenti che si produrrebbero in esse nel caso che il processo fosse difettoso, oppure si decidesse di implementarlo in modo diverso. A questo punto interviene il suddetto TCP (Transmission Control Protocol): è' un protocollo di trasporto di tipo connection-oriented per la trasmissione dati tra due host, cioè offre un servizio orientato alla connessione garantendo la consegna e l'ordinamento corretto dei dati grazie all'utilizzo di sequence number e conferme di consegna. Gli host impegnati comunicano attraverso un canale che consente lo scambio interattivo delle informazioni (full-duplex). TCP segmenta e invia i dati ai protocolli superiori come un'unica sequenza (byte-stream). A chiudere lo schema interviene per ultimo il IP (Internet Protocol): fornisce un metodo di indirizzamento logico e di gestione frammentazione/riassemblaggio per la trasmissione dati tra gli host di una rete. L'IP protocol definisce una tecnica di trasmissione dati non orientata alla connessione (connectionless) e senza riscontro (non c'è garanzia che i pacchetti giungano a destinazione e nella sequenza corretta). Esso prevede che le informazioni vengano strutturate in unità chiamate datagrammi IP (IP datagram), di lunghezza massima 65535 byte, suddivise in due aree: il campo dati (data) che contiene il messaggio da inviare e l'intestazione (header) che contiene le informazioni necessarie per instradare il pacchetto.

8


Terminato questo iter l’utente è stato autenticato e le informazioni che voleva trasmettere sono state incapsulate, criptate e trasferite senza nessuna possibilità di modifica.

In generale l’SSL ha 3 obiettivi:

1. Confidenzialità: I dati coinvolti in una comunicazione vengono protetti utilizzando algoritmi di crittografia a chiave simmetrica

2. Autenticazione: L'autenticazione dell'identità (sia degli utenti che del server) nelle connessioni è eseguita usando la crittografia a chiave pubblica (RSA).

3. Integrità: Con un apposito MAC (Message Authentication Code), che utilizza funzioni hash, i dati vengono controllati e protetti da eventuali modifiche esterne.

Rispetto agli altri protocolli, SSL ha numerosi vantaggi, tra i quali:

1. SSL è indipendente dal protocollo di applicazione, in tal modo un protocollo di livello più alto può interfacciarsi sul protocollo SSL in modo trasparente;

2. Cifratura a 128 bit nella trasmissione dati tra il Browser ed il Server;

3. È un protocollo con bassissimi costi di manutenzione (cosa non da poco)

In conclusione, Paypal rappresenta il metodo di pagamento più sicuro in circolazione, purché venga usato con criterio; ogni utente deve essere cioè conscio di ciò che sta facendo durante ogni passaggio della transazione. Infatti, dato che non tutte le società adottano questo metodo di pagamento, non esiste una sicurezza assoluta e quindi ogni utente deve documentarsi in maniera precisa sui limiti (anche se pochi) che questo servizio offre.

9


10

Dipartimento di Matematica e Informatica · Web viewLa Accettable Use Policy è l’insieme delle...

Documents

Transcript of Dipartimento di Matematica e Informatica · Web viewLa Accettable Use Policy è l’insieme delle...