Dnia Tue, 30 Sep 2003 11:05:41 +0200, "bwwald" <b...@p...onet.pl>
napisał(a):

>Użytkownik "A_Zet" <a...@p...onet.pl> napisał w wiadomości
>news:h8dinv4lo9jrnlqulk63vu6ksqu8h1h8io@4ax.com...

[...]

>> Moze w takim razie, skoro login
>> jest praktycznie jawny, to w ogole nie blokuja mylnych logowan?
>
>Pisza tak : "Błędne wprowadzenie hasła lub wskazania tokena więcej niż 3
>razy spowoduje zablokowanie obsługi on-line".

Przyznaje, rzadko czytam te rozne opisy, regulaminy, skoro ja sie
zachowuje w sposob 'przecietny' to i ogolna, 'przecietna' znajomosc
rzeczy mi wystarcza w zasadzie. :-)

>Tak więc do 4 razy sztuka :)
>Moze blednych prob maja wiecej, ale raczej blokada w koncu powinna byc.
>Gdyby nie blokowali po ilus tam razach blednych logowan, to hak bylby
>jeszcze lepszy. W koncu istnieje niezerowe prawdopodobienstwo, szczegolnie
>dla kanalu telefonicznego, ze sie w koncu trafi na wlasciwe cyfry.

Moze dla telefonicznego tak, nie wiem w ogole jakie sa tam zasady, czy
identyczne jak na internetowym. Bo jesli identyczne, to naprawde nie
wiem, w czym jest problem by nie blokowac w ogole.

>> I Twoje przypuszczenie o haku jest przedwczesne jakby...
>
>Jak napisalem powyzej, przy braku blokady "hak" bylby jeszcze powazniejszy.
>A jesli sie z tym nie zgadzasz, to podaj publicznie numer swojego rachunku,
>lub chociaz te 7 srodkowych cyfr ;) Obiecuje, ze nie bede bawil sie w
>zablokowanie Tobie kanalu, ale nie recze, ze znajda sie inni amatorzy
>kawalow. :-)

No nie, Twoja propozycja w swietle wlasnego stwierdzenia bedacego
cytatem, ze blokuja po trzecim razie jest malo sensowna. :-)))

Ja tylko po prostu nie rozumiem sensu blokowania samego loginu (o czym
nizej), bo haslo sklada sie z dwoch czlonow - stalego (wlasnego) i
zmiennego (tokena). Jest fizycznym nieprawdopodobienstwem, by trafic
nawet przy wielomilionowej probie na wlasciwe haslo. Poza obciazaniem
kanalu zadnej wiekszej krzywdy ani bankowi, ani klientom, zrobic nie
mozna.

Co zas do loginu - przeciez mozesz blokowac w sposob absolutnie
przypadkowy, skoro wiadomo, ze login sie sklada z c a l a pewnoscia
z siedmiu cyfr, wiec wybranie dowolnej, a w zasadzie szesciocyfrowej,
gdyz na poczatku jest raczej jedynka (choc nie - ja mam dwojke...), to
po prostu trafienie na jakis login. I chocby z tego wzgledu dodatkowo
nie widze sensu blokowania mylnych logowan przy dynamicznym (token)
tworzeniu listy hasel.

W sumie nadal utrzymuje, ze wedlug mnie bez sensu jest blokowanie
kanalu przy czwartej, kolejnej mylnej probie. I ze to zaden hak, a
samo blokowanie sluzy raczej wygodzie banku (wlasnie nie obciazanie
kanalu a nie zadne wlamanie - bo metoda brutal force jest praktycznie
niemozliwa przy dynamicznej zmianie hasla).

--
Adek
http://www.paliwa.tutaj.pl/index.php
http://adek124.republika.pl/