"Krzysztof Halasa" <k...@p...waw.pl> wrote in message
news:m3acjg2hy1.fsf@defiant.localdomain...
> "Vizvary Istvan II" <v...@p...onet.pl> writes:
>
>> A jesli PIN jest zapisane w postaci hash-a (standardowy padding, SHA1) ?
>
> To przeciez nic nie zmienia - jesli masz zawartosc karty (ktorej normalnie
> nie masz), to albo masz PIN clear textem, albo masz dowolny, jaki Ci sie
> podoba hash, ktory zmieniasz w PIN uzywajac 10 tys. prob (czyli w czasie
> mikrosekund). Nie ma takiego hasha, ktorego zlozonosc obliczeniowa
> utrudnialaby jego odwrocenie przy tak malej dlugosci klucza (rzedu
> 15 bitow - zmiennego elementu klucza, zaleznego od PINu).
>
> Jesli nie masz zawartosci karty (normalna sytuacja), to postac PINu takze
> nie ma znaczenia, albo go znasz albo nie.
>
>> Karty sa inteligentne.
>
> Nazwalbym to lekka przesada :-)
Mozna pisac w cudzyslowiu.
Generalnie masz racje (jesli chodzi o postac zapisu PINu w karcie - niewiele
to zmienia). Co do inteligencji : nawet najprostsze systemy operacyjne kart
sa przygotowane wlasnie pod tego rodzaju zadania - dotyczy to równiez
Javacard. Wiec ograniczenie ilosci prób podania PIN kodu sa nijako sprzetowo
implementowane, to samo dotyczy wszystkich operacji na karcie. Sa to systemy
operacyjne optymalizowane pod takim katem.
Generalnie wyglada tak, ze z wykorzystanie tej samej technologii (Javacard)
w produktach masowych (karty GSM, karty bankomatowe, karty kryptograficzne w
zastosowaniach cywilnych) i w produktach wojskowych (okolo 1 mln kart
miesiecznie w samym USA w zeszlym roku) spowodowalo, ze i cena jest bardziej
przystepna (skala produkcji) i system operacyjny+sposoby testowania sa
bardziej pewne (wymagania stawiane przez wojsko+certyfikacja).

> Mysle ze w przyszlosci beda dostepne karty, w ktorych programowanie
> sposobu podawania PINow bedzie zostawione uzytkownikowi. Wystarczy
> ze ci, ktorzy beda potrzebowac, zmienia zwykle PINy w listy
> jednorazowych.

Moze, ale tak na prawde ja bym oczekiwal to od systemów bankowych ogólnie
zróznicowane sposoby- w zaleznosci od sytuacji - dostepu do operacji. Coraz
wiecej jest uzytkownikow mobilnych z jednej strony (wymagajacych czasami
utrudnienia dostepu nawet kosztem wygody) a z drugiej naturalne tendencje do
automatyzacji konktaktu z bankiem. Mozna miec kilka kont.

Vizvary Istvan
http://www.cryptigo.com