s...@g...com writes:

>> > Niekoniecznie.
>> > Sms niech przychodzi z informacja za co sie placi.
>> > kod niech sie wpisuje z tokena.
>>
>> To samo można zrobić z listą papierową.
> No nie. Bo wpisujesz koda z listy w stronke a stronka cie oklamuje.
> A w sms widzisz za co placisz.

Ale tak samo można wpisać kod z listy jak i kod z tokena. SMS można
wykorzystać tak samo w obu przypadkach. Tyle że (w obu przypadkach) to
zwiększa komplikację.

> Oczywiscie ze moze. Ale mozna miec osobny fon do banku. taki bez androida/iosa.
> Trudno bedzie go shackowac i trudno bedzie aby zlodziej znal jego
> numer jak do czego innego nie uzywamy.
>
> BA! Mozna miec tradycyjny telefon z apka javoska robiaca za token.
> Biorac pod uwage ponizsze koszt bylby na poziomie tokena rsa.

Owszem. Ale ilu klientów robiłoby coś takiego? Klient nie może "wybrać"
bezpieczeństwa, jego trzeba zmusić do bezpiecznych zachowań (co
udowodniono w ciągu przynajmniej ostatnich kilkudziesięciu lat).

Typowy klient użyje telefonu z Androidem oraz przeglądarki/aplikacji na
tym samym telefonie, a o bezpieczeństwie ew. będzie myślał "po
szkodzie". Nie żeby to nie dotyczyło specjalistów - tak samo dotyczy
zarówno speców od bezpieczeństwa, jak i np. od statystyki :-)

Podobnie np. z backupem, z tym że tu groźba awarii dysku jest bardziej
namacalna i dlatego niektórzy jednak mają backup.

>> Zrobili już tak, by włamywacze (albo "włamywacze", nie wiem) nie mogli
>> od nich dostać listy seedów nowych tokenów?
>>
>
> Jesli zakladasz az taki sceptyczny scenariusz to nic nie poradzisz.

Tzn. jaki "sceptyczny"? Przecież to się wydarzyło. W zaufaniu nie ma
"do trzech razy sztuka". Inna sprawa, że wiele osób (ja zresztą także)
przewidywało, że coś takiego zapewne działa - nie myślałem tylko, że
dostęp do takich informacji uzyskają tak łatwo ludzie spoza 3-literowych
firm (pamiętam, że często powtarzanym argumentem było to, że przecież
używają tego banki oraz inne "pentagony").
--
Krzysztof Hałasa

do góry

s...@g...com writes:

> Dlatego to urzadzenie powinno byc prymitywne. Zadnego
> ios-a/androida/bada/windowsa czy co tam jeszcze jest. Starczy zwykly
> dedykowany minisystem i tyle. Wspomnialem o starym fonie bo po prostu
> sa tanie i malo popularne i jest wiele rodzajow. Wiec trudno zbudowac
> jeden hack ktory da sie na slepo zastosowac skutecznie na wielu
> ofiarach.

Ale da się zbudować kilka, może kilkanaście takich hacków, to niewielka
różnica dla budującego. Stary, niewspierany system - bez żartów.

Natomiast zbudowanie małego, nowoczesnego i specjalizowanego komputerka
bez łatwej możliwości ingerencji w niego (tylko kamera i wyświetlacz,
ew. pinpad) to zupełnie inna sprawa. To taki token, tyle że potrafiący
pobrać (np. w formie kodu QR), wyświetlić i ew. podpisać dane.
--
Krzysztof Hałasa

do góry

W dniu środa, 13 lutego 2019 11:10:22 UTC-6 użytkownik Krzysztof Halasa napisał:
> s...@g...com writes:
>
> >> > Niekoniecznie.
> >> > Sms niech przychodzi z informacja za co sie placi.
> >> > kod niech sie wpisuje z tokena.
> >>
> >> To samo można zrobić z listą papierową.
> > No nie. Bo wpisujesz koda z listy w stronke a stronka cie oklamuje.
> > A w sms widzisz za co placisz.
>
> Ale tak samo można wpisać kod z listy jak i kod z tokena. SMS można
> wykorzystać tak samo w obu przypadkach. Tyle że (w obu przypadkach) to
> zwiększa komplikację.
>

Oczywiscei ze zwieksza. Bo taka natura utrudniania zlodziejom zycia.
Tyle ze przy kodzie z kartki nie masz informacji zwrotnej za co placisz bo bank sie z
toba komunikuje tylko stronka a ta moze byc podstawiona.
A podstawic stronke i oszukac sms trudniej niz sama stronke podstawic.

> > Oczywiscie ze moze. Ale mozna miec osobny fon do banku. taki bez androida/iosa.
> > Trudno bedzie go shackowac i trudno bedzie aby zlodziej znal jego
> > numer jak do czego innego nie uzywamy.
> >
> > BA! Mozna miec tradycyjny telefon z apka javoska robiaca za token.
> > Biorac pod uwage ponizsze koszt bylby na poziomie tokena rsa.
>
> Owszem. Ale ilu klientów robiłoby coś takiego? Klient nie może "wybrać"
> bezpieczeństwa, jego trzeba zmusić do bezpiecznych zachowań (co
> udowodniono w ciągu przynajmniej ostatnich kilkudziesięciu lat).
>

To juz inna sprawa. Rownie dobrze mozesz zapytac ilu ludzi zgodzi sie nosic pek
kluczy wazacy pol kilo. Albo te pol kilo miec rozlazone na 3-5 pekow kluczy (auto,
garaz, dom, praca, piwnica, furtka).
Gdzies granica upierdliwosci jest.
Przy dodatkowym fonie zamiast listy jednorazowej nie jest to masakryczne.

> Typowy klient użyje telefonu z Androidem oraz przeglądarki/aplikacji na
> tym samym telefonie, a o bezpieczeństwie ew. będzie myślał "po
> szkodzie". Nie żeby to nie dotyczyło specjalistów - tak samo dotyczy
> zarówno speców od bezpieczeństwa, jak i np. od statystyki :-)
>

No nie, Bank nie napisze wersji na smartfona. W etapie przejsciowym bedzie to apka na
"stara jave" ze starego fona. Potem na nowszy model ale nadal "dumbphone"

Zanadto komplikujesz temat. Klientowi nie dajemy wyboru. Dajemy rozwiazanie. Dobre.
Nieco upierdliwe ale dobre. Tak jak z noszeniem kluczy.

> >> Zrobili już tak, by włamywacze (albo "włamywacze", nie wiem) nie mogli
> >> od nich dostać listy seedów nowych tokenów?
> >>
> >
> > Jesli zakladasz az taki sceptyczny scenariusz to nic nie poradzisz.
>
> Tzn. jaki "sceptyczny"? Przecież to się wydarzyło. W zaufaniu nie ma
> "do trzech razy sztuka". Inna sprawa, że wiele osób (ja zresztą także)
> przewidywało, że coś takiego zapewne działa - nie myślałem tylko, że
> dostęp do takich informacji uzyskają tak łatwo ludzie spoza 3-literowych
> firm (pamiętam, że często powtarzanym argumentem było to, że przecież
> używają tego banki oraz inne "pentagony").

Sceptyczny bo jak zakladamy ze wlamywacze wejda w posiadanie bazy danych banku czy
tokenow to zadne rozwiazanie nie pomoze (w zaleznosci od tego co ukradna ale
zakladamy ze ukradna to po czym bank rozpoznaje klienta).

do góry

W dniu środa, 13 lutego 2019 11:21:47 UTC-6 użytkownik Krzysztof Halasa napisał:
> s...@g...com writes:
>
> > Dlatego to urzadzenie powinno byc prymitywne. Zadnego
> > ios-a/androida/bada/windowsa czy co tam jeszcze jest. Starczy zwykly
> > dedykowany minisystem i tyle. Wspomnialem o starym fonie bo po prostu
> > sa tanie i malo popularne i jest wiele rodzajow. Wiec trudno zbudowac
> > jeden hack ktory da sie na slepo zastosowac skutecznie na wielu
> > ofiarach.
>
> Ale da się zbudować kilka, może kilkanaście takich hacków, to niewielka
> różnica dla budującego. Stary, niewspierany system - bez żartów.
>

Roznica jest spora. Bo jak trzeba hackowac kazdy model fona osobno to sa koszty czas
i umiejetnosci. I nie da sie krasc masowo. A jak pisalem wyzej, na chcacego nie ma
rady i jak napoi klienta ghb to kasa z konta wyjdzie i tyle. Ale calego autobusu
ludzi sie nie da ghb napoic i okrasc.

> Natomiast zbudowanie małego, nowoczesnego i specjalizowanego komputerka
> bez łatwej możliwości ingerencji w niego (tylko kamera i wyświetlacz,
> ew. pinpad) to zupełnie inna sprawa. To taki token, tyle że potrafiący
> pobrać (np. w formie kodu QR), wyświetlić i ew. podpisać dane.
>

Ale nie sadze aby bylo tansze od tokena rsa. A to juz ustalilismy ze za drogie.

do góry

s...@g...com writes:

> Tyle ze przy kodzie z kartki nie masz informacji zwrotnej za co
> placisz bo bank sie z toba komunikuje tylko stronka a ta moze byc
> podstawiona.

Uparcie porównujesz SMS do kodu papierowego. Przecież napisałem, że
jedno nie wyklucza drugiego. Dokładnie tak samo, jak SMS nie wyklucza
kodu z tokena. Kwestia uciążliwości.

> No nie, Bank nie napisze wersji na smartfona. W etapie przejsciowym
> bedzie to apka na "stara jave" ze starego fona. Potem na nowszy model
> ale nadal "dumbphone"

Daj spokój, coś takiego jest możliwe w jednostkowych, "akademickich"
przypadkach, ale nie na masową skalę.

> Sceptyczny bo jak zakladamy ze wlamywacze wejda w posiadanie bazy
> danych banku czy tokenow to zadne rozwiazanie nie pomoze (w zaleznosci
> od tego co ukradna ale zakladamy ze ukradna to po czym bank rozpoznaje
> klienta).

Nie zakładamy niczego takiego. Zakładamy, że włamywacze (lub
"włamywacze") wejdą w posiadanie bazy danych producenta tokenów
(są w posiadaniu takiej bazy).
Przy czym to wcale nie jest pesymistyczne założenie. Każde inne byłoby
naiwnością.

Niby dlaczego użytkownik (np. firma) nie mógłby sam inicjalizować seedów
swoich tokenów (nowych lub używanych)? Wystarczy generator losowy
i odpowiednia procedura. Aaa, tylko wtedy agencje nie miałyby
łatwiejszego dostępu do np. jakiegoś tam "irańskiego programu
atomowego", albo np. do grup niezadowolonych z działań rządów.

Z tym że oczywiście podobne tokeny są kiepskim rozwiązaniem w kontekście
bankowości, lepsze byłyby takie, które podpisywałyby zlecenia.
--
Krzysztof Hałasa

do góry

s...@g...com writes:

> Roznica jest spora. Bo jak trzeba hackowac kazdy model fona osobno to
> sa koszty czas i umiejetnosci. I nie da sie krasc masowo.

Ależ da się. Koszt przygotowania rozwiązania dla konkretnego telefonu
nie jest decydujący. Ile chcesz mieć tych modeli telefonów, 10? Większe
koszty będą po stronie przygotowującego aplikację niż po stronie
przestępców.

Pomyśl jak chciałbyś wspierać te aplikacje na tych starych telefonach.
To jest kompletnie nierealistyczne.

>> Natomiast zbudowanie małego, nowoczesnego i specjalizowanego komputerka
>> bez łatwej możliwości ingerencji w niego (tylko kamera i wyświetlacz,
>> ew. pinpad) to zupełnie inna sprawa. To taki token, tyle że potrafiący
>> pobrać (np. w formie kodu QR), wyświetlić i ew. podpisać dane.
>>
>
> Ale nie sadze aby bylo tansze od tokena rsa. A to juz ustalilismy ze za drogie.

No pewnie że nie będzie tańsze. Będzie przynajmniej kilka razy droższe.
Zwłaszcza w stosunkowo małych seriach. Ale będzie istotnie
bezpieczniejsze od obecnie używanych rozwiązań. Nie chodzi przecież
o to, by zrobić rozwiązanie, które tak naprawdę nic nie daje (pomijam
nawet kwestię tych seedów).
--
Krzysztof Hałasa

do góry

Użytkownik "Krzysztof Halasa" napisał w wiadomości grup
dyskusyjnych:m...@p...waw.pl...
s...@g...com writes:
>> Roznica jest spora. Bo jak trzeba hackowac kazdy model fona osobno
>> to
>> sa koszty czas i umiejetnosci. I nie da sie krasc masowo.

>Ależ da się. Koszt przygotowania rozwiązania dla konkretnego telefonu
>nie jest decydujący. Ile chcesz mieć tych modeli telefonów, 10?
>Większe
>koszty będą po stronie przygotowującego aplikację niż po stronie
>przestępców.

>Pomyśl jak chciałbyś wspierać te aplikacje na tych starych
>telefonach.
>To jest kompletnie nierealistyczne.

Ale moze nie trzeba - dobrze napisana bedzie dzialac dlugo.

Tylko ... kto bedzie do nich baterie produkowal :-)

>>> Natomiast zbudowanie małego, nowoczesnego i specjalizowanego
>>> komputerka
>>> bez łatwej możliwości ingerencji w niego (tylko kamera i
>>> wyświetlacz,
>>> ew. pinpad) to zupełnie inna sprawa. To taki token, tyle że
>>> potrafiący
>>> pobrać (np. w formie kodu QR), wyświetlić i ew. podpisać dane.
>>
>> Ale nie sadze aby bylo tansze od tokena rsa. A to juz ustalilismy
>> ze za drogie.

>No pewnie że nie będzie tańsze. Będzie przynajmniej kilka razy
>droższe.

Najtansze telefony w biedronce po chyba 50 zl.

Tylko do tego dochodzi koszt transmisji danych - na ile sie moze bank
umowic z operatorem ... 1zl/mc ?

J.

do góry

Użytkownik "Krzysztof Halasa" napisał w wiadomości grup
dyskusyjnych:m...@p...waw.pl...
s...@g...com writes:
>> Sceptyczny bo jak zakladamy ze wlamywacze wejda w posiadanie bazy
>> danych banku czy tokenow to zadne rozwiazanie nie pomoze (w
>> zaleznosci
>> od tego co ukradna ale zakladamy ze ukradna to po czym bank
>> rozpoznaje
>> klienta).

>Nie zakładamy niczego takiego. Zakładamy, że włamywacze (lub
>"włamywacze") wejdą w posiadanie bazy danych producenta tokenów
>(są w posiadaniu takiej bazy).
>Przy czym to wcale nie jest pesymistyczne założenie. Każde inne
>byłoby
>naiwnością.

>Niby dlaczego użytkownik (np. firma) nie mógłby sam inicjalizować
>seedów
>swoich tokenów (nowych lub używanych)? Wystarczy generator losowy
>i odpowiednia procedura.

Tylko musza miec narzedzia do programowania tokena.
A jesli on nie ma komunikacja, bo maszynka to robi to dotykajac
plytki, po czym skleja obudowe ?

>Aaa, tylko wtedy agencje nie miałyby
>łatwiejszego dostępu do np. jakiegoś tam "irańskiego programu
>atomowego", albo np. do grup niezadowolonych z działań rządów.

Myslisz, ze tek latwo dociec nr tokenow, ktore posiadaja ?
No, mozna podsunac jakiegos przemytnika, ktory im sprzeda tysiac :-)

Przy czym pomijajac patenty i troche wiedzy, to taki token nie jest
zbyt skomplikowany i bank/Iran moze go zrobic samemu ...

J.

do góry

W dniu czwartek, 14 lutego 2019 14:55:25 UTC-6 użytkownik Krzysztof Halasa napisał:
> s...@g...com writes:
>
> > Roznica jest spora. Bo jak trzeba hackowac kazdy model fona osobno to
> > sa koszty czas i umiejetnosci. I nie da sie krasc masowo.
>
> Ależ da się. Koszt przygotowania rozwiązania dla konkretnego telefonu
> nie jest decydujący. Ile chcesz mieć tych modeli telefonów, 10? Większe
> koszty będą po stronie przygotowującego aplikację niż po stronie
> przestępców.
>

Nie czytasz uwaznie co pisze. Wczesniej napisalem ze apka jest dla javy j2me. Starczy
ja napisac raz.
A zlamac fona trzeba kazdego bo jak zabezpieczony pinem czy inna blokada to kazdy
model indywidualnie trzeba atakowac zeby do apki tokenowej sie dobrac. I to trzeba
zaatakowac sam mechanizm blokady (pin/kod) albo zlamac telefon za pomoca wysylanych
na niego sms-ow). A i wtedy trzeba poznac piersze cyferki kodu ktore sa swego rodzaju
pinem dla tokena tylko zazwyczaj nie sa zapisywane w tym telefonie.

Tego sie nie da zrobic masowo. Da sie w pojedynczych przypadkach ale to juz
wyjasnialem wyzej.

Prosze czytaj uwaznie bo dyskusja kreci sie w kolko.

> Pomyśl jak chciałbyś wspierać te aplikacje na tych starych telefonach.
> To jest kompletnie nierealistyczne.
>
> >> Natomiast zbudowanie małego, nowoczesnego i specjalizowanego komputerka
> >> bez łatwej możliwości ingerencji w niego (tylko kamera i wyświetlacz,
> >> ew. pinpad) to zupełnie inna sprawa. To taki token, tyle że potrafiący
> >> pobrać (np. w formie kodu QR), wyświetlić i ew. podpisać dane.
> >>
> >
> > Ale nie sadze aby bylo tansze od tokena rsa. A to juz ustalilismy ze za drogie.
>
> No pewnie że nie będzie tańsze. Będzie przynajmniej kilka razy droższe.
> Zwłaszcza w stosunkowo małych seriach. Ale będzie istotnie
> bezpieczniejsze od obecnie używanych rozwiązań. Nie chodzi przecież
> o to, by zrobić rozwiązanie, które tak naprawdę nic nie daje (pomijam
> nawet kwestię tych seedów).

Napisalem ci, token rsa to 200pln. za tyle kupie tradycyjnego fona bez androida i
moge na niego wladowac apke do tokena. To nie bedzie drozsze. Bedzie mialo inne
niewielkie wady ale drozsze nie bedzie.

do góry

"J.F." <j...@p...onet.pl> writes:

> Tylko musza miec narzedzia do programowania tokena.
> A jesli on nie ma komunikacja, bo maszynka to robi to dotykajac
> plytki, po czym skleja obudowe ?

Nie widzę najmniejszego problemu - wystarczy procedura typu "wciśnij
przycisk przez 30 sekund i przepisz kod z tokena" (każde naciśnięcie
przycisku przewija kod do następnej części). Musi być przycisk, ale
samym przyciskiem chyba nikt się nie włamie?

Jeśli ktoś sobie przypadkowo wygeneruje nowy seed, to nie jest wielki
problem. Równie dobrze token mógł wpaść do pieca.

> Myslisz, ze tek latwo dociec nr tokenow, ktore posiadaja ?

Historia pokazuje, że nie było to niemożliwe.

> Przy czym pomijajac patenty i troche wiedzy, to taki token nie jest
> zbyt skomplikowany i bank/Iran moze go zrobic samemu ...

Są firmy, które tak robią. Nie żeby to było łatwe i przyjemne, lub
całkowicie pozbawione ryzyka.
--
Krzysztof Hałasa

do góry