"Eneuel Leszek Ciszewski" <p...@c...fontem.lucida.console>
writes:

> Czytnik czyta i decyduje o tym, czy PIN jest poprawny, ale
> sam tego PINu nie poznaje!!!

Jak moze go nie poznawac, jesli musi go pobrac od klienta.

> -- klient nie ma prawa do podania PINu tak długo, jak
> długo karta mu nie powie, że zbadała sklepowy czytnik
> kart; czasami karta nie zezowali na podanie PINu, choć
> dogada się z czytnikiem kart -- jeśli klient PIN poda
> (o czym karta dowie się od sprawnego czytnika kart,
> z którym jest w jawnej zmowie) mimo braku zgody karty,
> to karta się zamknie :) przed sfinalizowaniem transakcji
> i poprosi klienta o wizytę w banku, gdzie ów klient
> zostanie (odpłatnie) poinformowany o tym, że nie wolno
> mu podawać PINu bez zgody jego karty

Nierealne. Lepiej dorobic do karty klawiature i wyswietlacz, i tam
wpisywac PIN. Tak sie czasem robi, ale w innych zastosowaniach, w
przypadku kart bankowych takie karty bylyby (chwilowo?) zbyt drogie.

> Jeśli w tej sytuacji czytnik kart i czytnik PINu będą ZAWSZE w tej
> samej obudowie (otworzenie której skutkować będzie zniszczeniem
> elektroniki lub innym dezaktywowaniem czytnika kart/PINów) to
> wykradanie PINów będzie utrudnione, ale nadal możliwe będzie
> instalowanie ukrytych kamer, których zapisy pokażą wstukiwane PINy.

Nope. Wystarczy "wystukiwac" PIN np. elektromagnesami, a styki do
karty nieco "przedluzyc".

To nie zadziala, dokladnie tak samo jak nie da sie skutecznie
zaszyfrowac DVD.

> I na te kamery nie ma prostych sposobów: jeśli czytnik kart/PINów
> nie prosi o podanie całego PINu, ale kolejno o którąś z jego cyfr,
> to nie tylko klient wie, o które cyfry chodzi, ale i kamera czy
> raczej kamerzysta...

A dodatkowo, aby zachowac wzglednie mala szanse "trafienia" (i tak
stosunkowa duza przy 4 cyfrach), caly PIN musi byc dluzszy.

I 80% klientow bedzie podawac caly PIN sprzedawcy, bo to bedzie dla
nich zbyt skomplikowane.
--
Krzysztof Halasa

do góry

"kashmiri" <k...@i...pl> writes:

>> A ja nie wyobrażam sobie człowieka, który zna absolutnie wszystkie typy
>> klawiatur PINowych. :) No... I szczerze wątpię w to, że elektronika ich
>> ulega nieodwracalnemu zniszczeniu w wypadku otwarcia obudowy czytnika.
>
> To warunek dopuszczenia urzadzenia do sprzedazy.

Gdzie widziales taki warunek?

> Pisza tam nie tylko o wadach czytnikow, ale też o zabezpieczeniach
> używanych obecnie - zarowno w urzadzeniach, jak i na poziomie
> komunikacji miedzy karta a czytnikiem. Np (na co nie wpadles)
> komunikacja miedzy karta a czytnikiem moze byc szyfrowana (troche tak
> jak SSL w przegladarce), jezeli karta obsluguje DDA (Dynamic Data
> Authentication).

To nie ma specjalnie wielkiego znaczenia, nie blokuje zadnego
praktycznego wektora ataku.
--
Krzysztof Halasa

do góry

Użytkownik "Krzysztof Halasa" <k...@p...waw.pl> napisał w wiadomości
news:m3ve3m9zc7.fsf@maximus.localdomain...
> "Eneuel Leszek Ciszewski" <p...@c...fontem.lucida.console>
> writes:
>
>> A sam nie możesz przeciągnąć po lewym czytniku?
>> Wchodzisz do sklepu, robisz zakupy, przeciągasz kartą nie po czytniku
>> bankowym, ale po lewym, który czyta dane z paska i gdzieś je zapisuje.
>>
>> Sprzedawca przeprasza Cię za niesprawność czytnika
>
> Teoretycznie mozna przeniesc sygnal z glowicy "podstawionego" czytnika
> na glowice prawdziwego.

Dokładnie. I to za pomocą GSM - w czasie rzeczywistym na drugi koniec kraju
albo świata.

Dalej uważam jednak, że fałszywy czytnik *musi* działać i autoryzować
karty - podstawianie atrapy urządzenia byłoby zbyt ryzykowne. I tutaj tkwi
słabość systemu: jest możliwe (1) przechwycenie danych pomiędzy chipem a
czytnikiem, (2) odczytanie PINu, gdyż dane zwykle nie są szyfrowane (a nawet
gdy są szyfrowane, wystarczy podmienić jeden bit i zostaną przesłane bez
szyfrowania), (3) użycie PINu ze zeskimmowanym paskiem.

Ryzyko, że sprzedawca będzie oszustem, jest wg mnie mało realne: raczej
czytniki będą podrabiane, a dane odczytywane zdalnie.

k.

do góry

"kashmiri" <k...@i...pl> writes:

> Dalej uważam jednak, że fałszywy czytnik *musi* działać i autoryzować
> karty - podstawianie atrapy urządzenia byłoby zbyt ryzykowne.

Raczej zupelnie niepraktyczne.

Jak by to mialo wygladac? Wszyscy po kolei mieliby wadliwe karty,
ktore magicznie zaczynalyby dzialac w drugim czytniku? I tak
codziennie, tydzien w tydzien i rok w rok? :-)

> I tutaj
> tkwi słabość systemu: jest możliwe (1) przechwycenie danych pomiędzy
> chipem a czytnikiem,

Bez wiekszego znaczenia, to nie sa specjalnie wazne dane w przyjetych
zalozeniach. Oczywiscie, nieco lepiej byloby gdyby nie dalo sie ich
podsluchac ale to niewielka roznica.

> (2) odczytanie PINu, gdyż dane zwykle nie są
> szyfrowane (a nawet gdy są szyfrowane, wystarczy podmienić jeden bit i
> zostaną przesłane bez szyfrowania),

Albo podmienic klawiature itp. Zalozenie jest takie, ze PIN to tylko
pomocnicze zabezpieczenie.

> (3) użycie PINu ze zeskimmowanym
> paskiem.

Ale wtedy nie placi klient ani jego bank, tylko sklep/bank gdzies na
koncu swiata, co nikogo nie obchodzi. A jesli sie sklepowi nie podoba,
to niech sobie kupi terminal z czytnikiem kart procesorowych.

> Ryzyko, że sprzedawca będzie oszustem, jest wg mnie mało realne:
> raczej czytniki będą podrabiane, a dane odczytywane zdalnie.

Samo odczytanie danych wiele nikomu nie da, one nie sa tajne - tak jak
dane o nadawcy i odbiorcy przelewu nie sa tajne.
--
Krzysztof Halasa

do góry

"kashmiri" frjprr$717$...@n...interia.pl

> Pisza tam nie tylko o wadach czytnikow, ale też o zabezpieczeniach używanych
> obecnie - zarowno w urzadzeniach, jak i na poziomie komunikacji miedzy karta
> a czytnikiem. Np (na co nie wpadles) komunikacja miedzy karta a czytnikiem
> moze byc szyfrowana (troche tak jak SSL w przegladarce), jezeli karta
> obsluguje DDA (Dynamic Data Authentication).

A na co tu wpadać? Zawsze jest jakoś szyfrowane. :)
Problem w tym, że ktoś podaje klientowi nie czytnik
PINów, ale podrobioną maszynkę. Jak klient ma odróżnić
prawdziwą klawiaturę od podrobionej? To, co idzie z takiej
podrobionej klawiatury jest szyfrowane tak, jak Ty chcesz.

-==-

Pada elektronika w chwili otwarcia? I co z tego, skoro ją wyrzucasz
do śmietnika i wstawiasz w jej miejsce swoją własną -- zupełnie inną
niż ta, która padła w chwili otwarcia. Co z tego, że jest szyfrowanie?
Klient przecież wciska cyferki PINu bez jakiegokolwiek szyfrowania,
a dybiemy nie na zawartość karty, lecz na ów PIN, jeśli dobrze pamiętam. :)

Po co Ci to szyfrowanie? Po to, aby ktoś ze stetoskopem nie podsłuchał? ;)
To nie publiczny internet, ale komunikacja pomiędzy kartą i czytnikiem
lub pomiędzy czytnikiem PINu a resztą czytnika. I kolejny problem: Jak
sam zauważasz, informację się szyfruje, bo (na przykład) można wpiąć się
do przewodu (choć i tak trzeba znać protokoły transmisji, które już same
z siebie stanowią jakiś szyfr) a przecież żadna elektronika nie padnie od
tego, że ktoś zeskrobie trochę izolacji z przewodu, którym łączy się czytnik
PINów z resztą czytnika karty. :)

A może mylę się? Może jednak elektronika padnie, gdy stwierdzi, że
kawałek miedzi wystaje na zewnątrz przewodu? :) Poklejone przewody
czytników PINu wdziałem nieraz. Speca, który w ten sposób bada
instalacje alarmowe w samochodach -- znam. Zdejmuje izolację
z wiązki, po czym wpina się do pojedynczych przewodów tak, że po
badaniu nie zachodzi potrzeba izolowania nakłutych przewodów, choć
w samochodzie atmosfera sprzyja korozji miedzianych przewodów znacznie
mocniej niż w sklepie. Taki człowiek bez trudu podłączy się do takiego
przewodu i na nic niszczenie elektroniki czytnika karty czy PINu. :)

A że komunikacja jakoś jest szyfrowana -- to zawsze prawda, bo zawsze
jest jakiś sposób dogadywania się urządzeń. I jeśli tego sposobu nie
znasz -- na nic Ci podłączanie się do przewodów. Choć era analogowych
telefonów nie minęła, już dziś proste/bezpośrednie wpięcie się słuchawką
telefoniczną do czyjejś pary przewodów telefonicznych niekoniecznie umożliwi
podsłuchanie prowadzonej tą parką rozmowy. :)

-==-

Podanych przez Ciebie linków nie czytam (a raczej tego, co jest pod tymi
linkami) bo jeśli zechcę, otrzymam dokumentację techniczną tych urządzeń. :)

-==-

Aby uchronić się przed stratą (wykradnięciem) PINu, trzeba jakoś
szyfrować podawanie tego PINu do klawiatury. Klient ma podawać PIN
w sposób zaszyfrowany, nie zaś w prosty/bezpośredni. Niestety takie
szyfrowanie byłoby na tyle męczące, że ludzie zrezygnowaliby z kart.

Na razie klienta pamięta cyfry swego PINu (ja na przykład do swojej
złotej sprzed dziesięciu lat z PeKaO SA -- 8119) i wciska za każdym
razem te właśnie cyferki na klawiaturze. Wystarczy, że raz podejrzysz
te cyferki i po PINie. A podejrzysz za pomocą sprawnego oka lub kamery.
Na nic szyfrowanie, skoro klient wciska te cyferki bez szyfrowania!
Każda klawiatura jest dokładnie taka sama, jeśli chodzi o rozkład klawiszy.

Można zrobić inaczej: Na klawiaturze wyświetlają się wartości klawiszy -- za
każdym razem może być inaczej i klient ma wciskać konkretne cyferki, których
podpisy/wartości zmieniają się automagicznie po każdym naciśnięciu. Tutaj już
sprawne oko sprzedawcy na nic, bo nie widzi on tego, co widzi klient. Podobnie
może być z ukryta kamerą, ale nie musi -- kamer może być cała masa i wszystkie
razem mogą powiedzieć, co wciskał klient, bo patrzą na wyświetlaną klawiaturę
pod różnymi kątami, dzięki czemu widzą to samo, co widzi klient nawet wówczas,
gdy ten manipuluje klawiaturą w czasie wpisywania PINu.

Zapewniam Cię jednak, że taka pływająca ;) klawiatura byłaby nieprzyjemna
do tego stopnia, że zarzucono by płacenia kartami. :)

-=-

Lepszym rozwiązaniem jest podawanie PINu, który klient otrzyma za pomocą SMS.

Każdy PIN jest wówczas jednorazówką -- kamera czy dobre oko sprzedawcy tu na nic.

Co jednak wówczas, gdy ktoś zabierze Ci telefon razem kartami? :)

PIN można by podawać skaleczony** o kod (zaszyfrowany kodem) SMS. Wówczas
zabranie telefonu i karty niewiele pomoże, a wpisywany przez klienta PIN
jest nadal jednorazówką. Tu jednak potrzeba gimnastyki umysłowej klienta,
a ten jest zazwyczaj leniwy. :)

**Na przykład trzeba do cyfr PINu dodawać cyfry kodu SMS i sumy par
tych cyfr stosownie zMODULOwać, po czym wstukać dopiero otrzymane
sumy/cyfry --> modulo10(cyfra PINu plus cyfra kodu SMS) dla PINu
8119 i kodu 9136 dostajemy --> 8+9->7 --> wciskamy 7, choć PIN mówi
w tym miejscu 8 a kod 9; później wstukujemy 245, choć PIN mówi 119
a kod 136.

Niby podejrzenie otrzymanego kodu SMS i odczytanie tego, co wstukuje
klient (nadal mamy do dyspozycji kamerę lub masę kamer) w połączeniu
ze znajomością algorytmu kaleczenia PINu (różni klienci mogą mieć
różne algorytmy kaleczenia/szyfrowania) daje nam informację o PINie
karty, ale klientowi nadal trzeba zabrać telefon razem z kartą, gdyż
następnym razem przyjdzie inny kod, a sam PIN (wraz z algorytmem
kaleczenia tegoż PINu) na nic się nie zda... Czyli trzeba mu zabrać
telefon tuż/zaraz po tym, jak klientowi się wydawało, że płaci tą kartą...
Wpadka sklepu jest tutaj pewna.

-==-

Tak czy siak -- na razie PIN jest podawany przez klientów bez jakiegokolwiek
szyfrowania. Tak samo jest w sklepach i tak samo w bankomatach. Nagranie kamerą
(lub podejrzenie bystrym okiem) wstukiwanego PINu kładzie kres intymności. ;)

--
.`'.-. ._. .-.
.'O`-' ., ; o.' leszekc@@alpha.net.pl '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;, .;. . .;\|/....

do góry

"Krzysztof Halasa" m...@m...localdomain

> > To warunek dopuszczenia urzadzenia do sprzedazy.

> Gdzie widziales taki warunek?

Pewnie nigdzie, bo trzeba sporego zaangażowania technologicznego, ;)
aby wykryć wpięcie się do przewodów połączeniowych, a przecież po
takim wpięciu się też trzeba by zniszczyć elektronikę czytnika. :)

A nawet przy całym tym zaangażowaniu byłoby to nadal trudne, gdyż
byłaby cała masa fałszywych alarmów. Sprzedawcy dla jaj (albo dla
zysku) psuliby te czytniki -- wystarczyłoby pozakłócać przewody
polami elemagnetycznymi. :) Oczywiście taki przewód można ekranować
(ale czy skutecznie) i cwanie eliminować ataki wiązkowe (bo wpinamy
się raczej do jednego przewodu, nie do wszystkich naraz, a pole jednak
działa na wszystkie naraz) lecz chyba skórka nie jest tutaj warta wyprawki.

-=-

Przypominam jednak, że problem pozyskania PINu jest nadal znacznie bliżej.
Na nic jakakolwiek elektronika śledząca otwieranie puszek. Wkładamy po
prostu do obudowy czytnika PINu to, co my chcemy; na przykład kalkulator
lub telefon -- koszt niewielki a elektronika dostatecznie rozbudowana
do tego, aby odczytać wciskane cyferki PINu i zapamiętać je... Cóż nas
obchodzi to, co stanie się z elektroniką prawdziwego czytnika PINu?
W razie kontroli bankowej zauważymy, że klawiatura spadła na podłogę,
lub nawet została przez nieuwagę rozjechana podnośnikiem widłowym do
palet -- czy jak się to nazywa poprawnie. :) No i... Otworzyła się...

-=-

A może się mylę? Może taka obudowa unicestwi się, gdy stwierdzi,
iż została otwarta przez niepowołaną osobę? :) Anihilacja czy
dematerializacja ja spotka? ;) A może inny proces ją unicestwi?
Może bardziej przyziemny/prozaiczny -- może plastik się stopi
pod wpływem ciepełka wydzielonego przez silną grzałkę elektryczną...
Nie... Spece by mrozili to w ciekłym azocie... Może coś bardziej zmyślnego?...

-=-

Nadal jednak te metody są dobre psu na budę: Jak klient ma stwierdzić,
że podają mu podrobioną klawiaturę? :)

--
.`'.-. ._. .-.
.'O`-' ., ; o.' leszekc@@alpha.net.pl '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;, .;. . .;\|/....

do góry

"Krzysztof Halasa" m...@m...localdomain

> > Sprzedawca przeprasza Cię za niesprawność czytnika

> Teoretycznie mozna przeniesc sygnal z glowicy "podstawionego" czytnika
> na glowice prawdziwego.

Można. Ale trzeba znać ten prawdziwy, a złodzieje niekoniecznie znają. :)
To by był jakiś Szpicbródka, który by kradł dla jaj, choć mógłby zarabiać
uczciwie znacznie (tysiące razy) więcej. :) Ile można nakraść w taki
sposób? (czyli do pierwszej wpadki, po której otrzymuje się wikt
i opierunek na koszt podatników) Pewnie mniej, niż można zarobić
w jeden rok przyjemnej pracy. :) No i nie ma tutaj ZUSu itp. :)

> > Widziałem takie przeciągowe (ręczne) zapisywarki kart magnetycznych
> > na własne oczy. :) (na wystawach komputerowych) Być może dzisiejsze
> > bankowe (itp.) karty magnetyczne trzeba zapisywać na gorąco, ale na
> > pewno czytać je można na oczach klienta, który je stale trzyma. :)

> Sa czytniki zapisujace "karty bankowe" przy recznym przeciagnieciu,
> aczkolwiek to nie jest specjalnie przydatne fraudsterom - a) bo i po,
> b) slady latwo prowadzilyby do ich sklepu.

Ano byłyby nieprzydatne. :)

--
.`'.-. ._. .-.
.'O`-' ., ; o.' leszekc@@alpha.net.pl '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;, .;. . .;\|/....

do góry

"krzysztofsf" a...@h...goo
glegroups.com

> > Czy uszkodzenie paska zwiększa bezpieczeństwo?

> Chip jest jak niezdobyta twierdza,

: Taaa...A Titanic byl niezatapialnym statkiem.

Karty chipowe znasz tak dobrze, jak znasz Titanica? :)

O tym, że Titanic był bublem (i w jakim stopniu nim był) wiedziano
dokładnie w chwili wodowania. Zważ, że kapitan liniowca po otrzymaniu
raportu od załogi (raportu o uszkodzeniach) stwierdził bez najmniejszego
zająknięcia czy choćby niepokoju co do swej oceny -- statek zatonie.

Podobnie było z siostrzanym ;) Brytanikiem, tyle tylko, że Brytanik
już nie był bublem. Ale wiadomo było dokładnie o tym, że bez
zamkniętych grodzi -- zatonie po uszkodzeniu dywersanta.

-=-

Z kartą chipową jest inaczej. Nie można jej pokonać. :)

Oczywiście są różne karty chipowe. Widać to dokładnie chociażby
na przykładzie kart telefonicznych (tych z GSM) i kredytowych.
(już po pierwszym rzucie oka widać różną liczbę złączy)

Jeśli karta nie zechce się poddać -- nie podda się. :)
Ale zapewne kredytowe nie są wzorem doskonałości, choć
należy spodziewać się gwałtownego ich rozwoju...

-=-

Obok kart chipowych jest cała masa innych drobiazgów.

Wystarczy wejść do sklepu i obejrzeć etykietki/metki/ceny towarów. :)
Czasami są to układy zasilane bezprzewodowo w energię elektryczną,
a czasami nawet z własnym zasilaniem. Jest to tanie tak bardzo, że
może służyć do etykietowania. :)


No i już dziś są karty płatnicze (WBK reklamował takie przed
dwoma miesiącami) które wystarczy zbliżyć do czytnika. :)

Co śmieszniejsze -- do 50 złotych można nimi zapłacić bez
podawania jakiegokolwiek PINu. :)

--
.`'.-. ._. .-.
.'O`-' ., ; o.' leszekc@@alpha.net.pl '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;, .;. . .;\|/....

do góry

"Krzysztof Halasa" m...@m...localdomain

> > W najgorszym przypadku po prostu odetnij :) kawałek karty -- wówczas na
> > pewno zapis na pasku zostanie odcięty, :) a przeca chip pozostanie cały. :)
> > Tak kiedyś odcinano kawałki kart chipowych, aby uzyskać karty chipowe dziś
> > powszechnie stosowane w telefonach komórkowych. Widziałem i karty płatnicze
> > (czy raczej ich propozycje) znacznie mniejsze od dzisiejszych kart chipowych
> > czy magnetycznych.

> Przeciez sa karty chipowe (nawet z paskiem magnetycznym) mniejsze niz
> normalne. Tylko do bankomatow itp. nie mozna ich wkladac.

Skoro ja widziałem przed laty propozycje takich małych
kart -- Ty mogłeś widzieć już te karty w użyciu. :)

--
.`'.-. ._. .-.
.'O`-' ., ; o.' leszekc@@alpha.net.pl '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;, .;. . .;\|/....

do góry

"Krzysztof Halasa" m...@m...localdomain

> Z tym, ze oczywiscie takie rzeczy najlepiej kasuje sie elektromagnesem
> zasilanym pradem przemiennym. Sa nawet gotowe urzadzenia do kasowania
> (niekoniecznie kart, glownie kaset, ale na karty zadziala to dokladnie
> tak samo) dostepne w sklepach w rodzaju MM za ~ 10e.

Wróć (z kodowaniem) do Europy Środkowej. A magnesem po prostu
pomachaj -- będzie podobny efekt kasowniczy/niszczycielski do
elektromagnesu zasilanego prądem zmiennym czy przemiennym. :)

--
.`'.-. ._. .-.
.'O`-' ., ; o.' leszekc@@alpha.net.pl '.O_'
`-:`-'.'. '`\.'`.' ~'~'~'~'~'~'~'~'~'~'~ o.`.,
o'\:/.d`|'.;. p \ ;'. . ;,,. ; . ,.. ; ;, .;. . .;\|/....

do góry