On Fri, 11 Jan 2002 09:23:22 +0100, Wojtek Frabinski
<w...@a...net.pl> wrote:

>>d) haslo autoryzujące (jak LG).
>>
>>e) TANy. Najgorsze. Aktualną listę mam rozpakowaną. Więc wystarczy
>>syzbkie ksero lub odpis haseł i nawet nie zauważę kradzieży. Trzeba ją
>>bardzo dobrze zabezpieczać.
>No wez nie zartuj. Stale haslo jest lepsze od TANu ?!

Tak, bo to jest inne hasło niż do logowania, a masz je w pamieci, a
nie na kartce, więc nie ma możliwości skopiowania. Jeżeli w dodatku
często je zmieniasz... Generalnie wszystko zależy od sposobu
włamywania. Jeżeli poprzez różne hooki na klawiaturę i inne takie, to
oczywiście TANy lepsze, ale jeśli chodzi o kolegę-szpiega, to
zdecydowanie lepsze hasło.

>Przeciez do
>wykonania przelewu nie wystarczy TAN, trzeba znac jeszcze haslo
>klienta. Czyli mamy polaczenie dwoch roznych sposobow autoryzacji -
>tego co klient ma i tego co klient wie. W wypadku LG jest tylko to co
>klient wie i podlsuch na klawiature wystarczy zeby przelac pieniadze
>na dowolny rachunek.

Może i tak, dlatego np. BSK pyta tylko o niektóre kawałki hasła.
--
Tristan hrabia Alder
(ZTJ: Przemysław Adam Śmiejek)

do góry

On Wed, 9 Jan 2002 20:47:02 +0100, "blad" <b...@W...pl>
wrote:

>z) sam PIN od karty - citibank ;-))))

Ja mówiłem o bankach, a nie o ich ubogich emulatorach :-)

>Zapomniales o kluczu prywatnym/publicznym na karcie kryptograficznej (1)
>- na dyskietce (2)
>- na serwerze w banku (3)

Faktycznie zapomniałem. Ale nie bardzo wiem, jak to usytuować, bo
przecież jeżeli to leży na serwerze, to bezpieczeństwo jest na
poziomie hasła stałego (d).

>Ja jednak uważam podpis elektroniczny za bezpieczniejszy niz tokeny
>jak ktos z informatykow bankowych zrobi operacje podpisana TAN-em z tokena
>to sie jej nie wyprzesz - powiedza ze to ty.

Z tokena? Przecież go nie ma! On jest u mnie.

>A komputer w banku musi umiec wyliczyc TAN do sprawdzenia

Chyba jednak nie. Wydaje mi się, że on sprawdza tylko poprawność, ale
samo wygenerowanie nie występuje. Pracownik musiałby crackować system.
Przecież system może to logować...

>wiec dla kogos
>chcacego moglby go wyliczyc do autoryzacji transakcji.

Ale musiałby mieć dostęp do wnętrza systemu i inne takie. No cóż, to
ryzyko zawsze występuje.


--
Tristan hrabia Alder
(ZTJ: Przemysław Adam Śmiejek)

do góry