On 2013-07-13, Piotrek <p...@p...na.berdyczow.info> wrote:

[...]

>> No ale na jaką odległość chcesz te tunelowanie przeprowadzić? Właśnie
>> o to chodzi, że przecież tu trzeba zsynchronizować w tym momencie kupującego
>> i skanującego. Od początku piszę, że największym "wyzwaniem" nie jest
>> technologia, ale konieczność synchronizacji i operacji f2f. A zasięg
>> czytnika 50 cm, czy nawet 1m to nadal zasięg przy którym trzeba dziwnie
>> się do ludzi kleić. Pal tam sześć jakby to było "na chwilkę", ale biorąc
>> pod uwagę, że druga osoba musi mieć czas dokonać tego zakupu i zakładając
>> czystość punktu sprzedaży, to taka operacja robi się wybitnie ryzykowna.
>
> IMHO doszukujesz się problemów tam, gdzie ich po prostu nie ma.
>
> Zgaduję, że w pierwszym lepszym autobusie/tramwaju/SKM-ce znajdzie się
> bez problemu nie jedną potencjalną ofiarę. W zajęciu miejsca obok takiej
> ofiary nie ma niczego podejrzanego. Tak więc IMHO można założyć, że
> przez kilka-kilkanaście minut w zasięgu będzie co najmniej jedna kartę
> do której można przetunelować transakcję.
>
> I teraz mając przygotowane zakupy (pewnie jakąś flaszkę albo wyroby
> tytoniowe, bo łatwo zbywalne) płacisz za nie kartą ofiary.
>
> Widzisz jeszcze jakieś inne problemy?

Próbowałeś Ty kiedyś 3G w autobusie używać? o.O

Jak już lecimy po pudelkach blogowych:
http://samcik.blox.pl/2013/02/Dwa-smartfony-internet
-i-juz-mozna-zdalnie.html

W MasterCardzie mają i inne wątpliwości. "W opisywanym przypadku od strony
technicznej wszystko jest teoretycznie wykonalne. Ale tylko teoretycznie
i w warunkach laboratoryjnych. Gdy pierwszy oszust w sklepie płaci w kasie,
to drugi ma mało czasu, by "rozganizować" transmisję z jakąś inną kartą.
Dozwolony czas transakcji to na ogół pół sekundy, choć może to trwać
dłużej - terminal może czekać na odpowiedź karty nawet kilka sekund,
więc teoretycznie jest czas na połączenie z urządzeniem drugiego oszusta
(w autobusie, metrze czy innym zatłoczonym miejscu - jak w przykładzie).
Drugi oszust nie tylko ma mało czasu - musi być też w odległości maksymalnie
30 cm od posiadaczy kart zbliżeniowych. I - aby sczytać dane kart
w czasie rzeczywistym, co jest niezbędne do realizacji transakcji - musi
utrzymywać urządzenie, za pomocą którego chce się połączyć z kartą,
w pozycji stabilnej - co w warunkach panujących w autobusie czy innym
zatłoczonym miejscu może być trudne" - piszą mi ludzie z MasterCarda.
A więc ich zdaniem operacja musi się zmieścić w kilku sekundach,
bo inaczej się nie uda - terminal nie przyjmie płatności.. "Terminal
zakłada, że karta odpowiada w konkretnym czasie - jeżeli komunikacja
jest zbyt wolna, terminal przerwie transakcję".

W MasterCardzie twierdzą też, że przeszkodą do fraudu typu relay attack
może też być kwestia jakości połączenia internetowego między smartfonem
znajdującym się w sklepie i tym, który ma być blisko tłumu posiadaczy
kart zbliżeniowych. "Na czas transakcji wpływa transmisja danych między
smartfonami. W laboratorium, przy małym obciążeniu sieci i telefonu
teoretycznie może udałoby się zdążyć, ale praktycznie, jeżeli jeden
oszust jest w sklepie, drugi w tłumie, to najczęściej nie jest to idealny
zasięg i sieć jest obciążona, więc opóźnienia będą spore - i w dodatku
zmienne (są widoczne nawet jeżeli telefon łączy się z serwerem, a co
dopiero z drugim telefonem)". No i kolejny problem: kwestia możliwości
czytania karty, która jest w portfelu lub kieszeni. "Sczytanie karty
w autobusie czy metrze może i jest możliwe w warunkach laboratoryjnych,
ale trzeba mieć dobrą antenę, solidny wzmacniacz oraz mocne zasilanie,
do tego brak zakłóceń. Nie wystarczy zatem sam telefon, tylko trzeba
już podróżować z większym sprzętem"

W MasterCardzie przedstawiają sprawę w kategoriach zabawy dla
hobbystów, a nie zajęcia dla poważnych ludzi od dużych fraudów.
[...]

--
Wojciech Bańcer
p...@p...pl