"Robert Tomasik" <r...@g...pl> writes:

> No tak, ale karty w firmie mają inny format zapisu (tzw. rzadki) w stosunku
> do bankowych (tzw. gęsty).

Niekoniecznie.

> Po za tym ja nie jestem za zakazem posiadania
> takich maszyn, tylko za monitoringiem wykorzystaniach tych nadających się do
> produkcji kart kredytowych.

One nie nadaja sie do produkcji kart kredytowych (fizyczne zabezpieczenia
kart). Jak wyobrazasz sobie ten monitoring? Taki czytnik to jest dosc male
pudeleczko, ktore mozna podpiac nawet do peceta.

> Rejestracja użytkowników plus prawo do kontroli
> wykorzystania.

A cel tych dzialan? Bo nie widze zadnego sensownego. Tak jak pisalem,
takie urzadzenie (moze gorsze, ale potrafiace odpowiednio zapisac karte)
mozna wyprodukowac z naprawde powszechnie dostepnych elementow. Takze
chcialbys je rejestrowac i kontrolowac?

> | > Kilka tygodni temu było głośno, że ktoś tam ujawnił, że PIN-y nie są
> | > przechowywane w żadnej bazie danych, tylko generowane z numeru karty.
> | Nonsens.
> Też tak sądzę.

Tu nie ma nic do sadzenia, to jest fakt niewatpliwy :-)

> Da się. W wyniku otrzymasz serię numerów kart, do których będą pasować
> PIN-y.

Ale myslalem o jakims sensownym zastosowaniu, np. takim, ktore sie moze
do czegos przydac.

> Nie wszystkie banki dają taką możliwość.

Wystarczy jeden np. z VISA i jeden z MC. Nie potrzeba wszystkich.

> Zresztą przyszło mi do głowy, że
> mogłoby to działać zupełnie inaczej. Bank, który daje możliwość zmiany PIN
> robi taką sztuczkę, że zapisywana jest w bazie danych różnica pomiędzy
> wygenerowanym automatycznie z numeru karty PIN-em. (zakładając, że taka
> zależność istnieje) i wygenerowanym PIN-em.

Jaki mialby byc cel takiego dzialania w porownaniu do zwyczajnego zapisania
(tak jak to robia banki) par numer_karty + PIN (ew. numer_karty bez BINu)?
Bo wbrew pozorom bezpieczenstwa to to nie zwieksza, choc moze zwieksza
pozory bezpieczenstwa.

Tak czy owak, PINy sa za krotkie by dalo sie z nimi robic jakies
kryptograficzne sztuczki. Bank musi byc w stanie sprawdzic PIN.

> Ja tylko twierdzę, że nawet jakbyśmy chcieli, by taki związek istniał, to są
> możliwe o wiele bezpieczniejsze procedury, niż wyliczanie tego z numeru
> karty.

Jasne, nie ma sie wiec nad czym rozwodzic.
--
Krzysztof Halasa, B*FH