Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Re:Il PIN è presente sul chip del bancomat!!!
719 views
Skip to first unread message
Message has been deleted
Bob Torello (fu Roby Ross)
Nov 26, 2014, 11:21:24 AM11/26/14
to
Paolo C <pao...@gfdgdg.it> ha scritto:
> pc farne il bruteforce (capirai, sono mediamente 5000 tentativi prima di
> trovare quello giusto)
>
e come fa il bruteforce a capire se la decodifica è giusta o è errata?
Qualche test potrebbe farlo chi ha la macchinetta delle poste per
ottenere i codici da usare con l'interfaccia web del bancoposta.
È probabile che faccia il test senza alcun collegamento ai
server.
----Android NewsGroup Reader----
http://usenet.sinaapp.com/
> pc farne il bruteforce (capirai, sono mediamente 5000 tentativi prima di
> trovare quello giusto)
>
e come fa il bruteforce a capire se la decodifica è giusta o è errata?
Qualche test potrebbe farlo chi ha la macchinetta delle poste per
ottenere i codici da usare con l'interfaccia web del bancoposta.
È probabile che faccia il test senza alcun collegamento ai
server.
----Android NewsGroup Reader----
http://usenet.sinaapp.com/
ginopilotino
Nov 26, 2014, 11:35:10 AM11/26/14
to
Il 26/11/2014 17:10, Paolo C ha scritto:
> Sarà criptato come ti pare, ma c'è, ne ho le prove.
> Ho aperto un nuovo thread per mettere al corrente anche chi aveva smesso
> di seguire l'altro.
> Su suggerimento di qualcuno che non ricordo (scusatemi, non lo ricordo),
> ho fatto la prova.
> Ieri sera sono andato a cena in una trattoria a Firenze e, facendo finta
> di nulla, al momento di pagare col bancomat ho sbagliato il PIN.
> Immediatamente il pos ha risposto "pin errato" senza fare la telefonata.
> Poi ho messo il pin giusto al secondo tentativo ed è comparsa l'iconcina
> della cornetta ed è partita la chiamata e tutto il resto!!!
>
> Quindi le due entità POS+CARTA CON CHIP possono sapere se un pin è
> giusto o no.
> Quindi, i pirati, con un pos (modificato) e un chip, possono sapere se
> un pin è errato o giusto.
>
> Dal sapere "se un pin è giusto o no" a sapere "qual'e' il pin" le cose
> si complicano: a meno di non azzeccarlo nei primi 3 tentativi, al terzo
> errore il chip dovrebbe bloccarsi, quindi:
>
> -o i pirati hanno trovato un modo per resettare il counter dei tentativi
> errati e quindi fare tentativi illimitati, magari con un'exploit
>
> -o i pirati riescono ad estrarre il pin criptato dal chip e poi con un
> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
> bloccare la scheda.
Non si puo'.
Ciao ... Dino
> Sarà criptato come ti pare, ma c'è, ne ho le prove.
> Ho aperto un nuovo thread per mettere al corrente anche chi aveva smesso
> di seguire l'altro.
> Su suggerimento di qualcuno che non ricordo (scusatemi, non lo ricordo),
> ho fatto la prova.
> Ieri sera sono andato a cena in una trattoria a Firenze e, facendo finta
> di nulla, al momento di pagare col bancomat ho sbagliato il PIN.
> Immediatamente il pos ha risposto "pin errato" senza fare la telefonata.
> Poi ho messo il pin giusto al secondo tentativo ed è comparsa l'iconcina
> della cornetta ed è partita la chiamata e tutto il resto!!!
>
> Quindi le due entità POS+CARTA CON CHIP possono sapere se un pin è
> giusto o no.
> Quindi, i pirati, con un pos (modificato) e un chip, possono sapere se
> un pin è errato o giusto.
>
> Dal sapere "se un pin è giusto o no" a sapere "qual'e' il pin" le cose
> si complicano: a meno di non azzeccarlo nei primi 3 tentativi, al terzo
> errore il chip dovrebbe bloccarsi, quindi:
>
> -o i pirati hanno trovato un modo per resettare il counter dei tentativi
> errati e quindi fare tentativi illimitati, magari con un'exploit
>
> -o i pirati riescono ad estrarre il pin criptato dal chip e poi con un
> pc farne il bruteforce (capirai, sono mediamente 5000 tentativi prima di
> trovare quello giusto)
>
> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
> trovare quello giusto)
>
> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
> bloccare la scheda.
Non si puo'.
Ciao ... Dino
Message has been deleted
ginopilotino
Nov 26, 2014, 12:16:43 PM11/26/14
to
Il 26/11/2014 17:52, Paolo C ha scritto:
> Il 26/11/14 17:35, ginopilotino ha scritto:
> (seppur criptato) stesse nel chip, e negli anni 90 si diceva che il gsm
> fosse inclonabile.
Perche' accosti le due cose? Ovvio che il pin sia in qualche modo nel
chip, che effettua la verifica. Come nelle sim del resto.
Poi chi puo' dirlo, magari un giorno qualcuno trovera' il modo di
forzarlo. Per il momento non si puo' ne clonare il chip ne scoprire in
qualche modo il pin.
Ciao ... Dino
> Il 26/11/14 17:35, ginopilotino ha scritto:
>
>>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>>> bloccare la scheda.
>>
>> Non si puo'.
>>
>> Ciao ... Dino
>
> All'inizio dell'altro thread si diceva che era impossibile che il pin
>>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>>> bloccare la scheda.
>>
>> Non si puo'.
>>
>> Ciao ... Dino
>
> (seppur criptato) stesse nel chip, e negli anni 90 si diceva che il gsm
> fosse inclonabile.
Perche' accosti le due cose? Ovvio che il pin sia in qualche modo nel
chip, che effettua la verifica. Come nelle sim del resto.
Poi chi puo' dirlo, magari un giorno qualcuno trovera' il modo di
forzarlo. Per il momento non si puo' ne clonare il chip ne scoprire in
qualche modo il pin.
Ciao ... Dino
Roberto
Nov 26, 2014, 12:27:36 PM11/26/14
to
"Paolo C" <pao...@gfdgdg.it> ha scritto nel messaggio
news:m54u1p$r91$1...@speranza.aioe.org...
5 le cifre del pin?
news:m54u1p$r91$1...@speranza.aioe.org...
> -o i pirati riescono ad estrarre il pin criptato dal chip e poi con un pc
> farne il bruteforce (capirai, sono mediamente 5000 tentativi prima di
> trovare quello giusto)
Non uso mai il bancomat perchè c'è uno che lo usa al posto mio, ma non sono
> farne il bruteforce (capirai, sono mediamente 5000 tentativi prima di
> trovare quello giusto)
5 le cifre del pin?
Message has been deleted
Message has been deleted
Roberto
Nov 26, 2014, 12:39:53 PM11/26/14
to
news:m5531m$d43$2...@speranza.aioe.org...
> Il 26/11/14 18:27, Roberto ha scritto:
> si hai ragione ho confuso con i pin delle carte di credito
Nemmeno quella uso mai, basta la carta d'identità.
> Il 26/11/14 18:27, Roberto ha scritto:
Nemmeno quella uso mai, basta la carta d'identità.
Max max
Nov 26, 2014, 12:58:49 PM11/26/14
to
Il 26/11/2014 17.10, Paolo C ha scritto:
> Sarà criptato come ti pare, ma c'è, ne ho le prove.
Gia si sapeva che c'era ...
> Sarà criptato come ti pare, ma c'è, ne ho le prove.
http://www.bancomat.it/filemanager/cms_bancomat/img/pdf/All_Circ_15_2013PoLiTo.pdf
segarender
Nov 26, 2014, 1:01:17 PM11/26/14
to
"Paolo C" ha scritto nel messaggio news:m550fg$37o$1...@speranza.aioe.org...
>Verso il 2000 venne fuori era possibile estrarre il Ki dalle sim card
>gsm e crearne dei cloni,
ok
>ora pare (PARE) che con le nuove sim di nuovo
>non sia possibile
Lol, e non dico altro.
>Verso il 2000 venne fuori era possibile estrarre il Ki dalle sim card
>gsm e crearne dei cloni,
ok
>ora pare (PARE) che con le nuove sim di nuovo
>non sia possibile
Lol, e non dico altro.
Message has been deleted
segarender
Nov 26, 2014, 2:18:02 PM11/26/14
to
"Paolo C" ha scritto nel messaggio news:m555jr$n91$1...@speranza.aioe.org...
>Sono già clonabili anche le nuove?
si e da quel che ho capito è complesso parecchio e si son solo limitati con
fili ed un chip esterno però ci son riusciti, cosa te ne fai non l'ho ancora
capito ne tantomeno a che serve
>Sono già clonabili anche le nuove?
si e da quel che ho capito è complesso parecchio e si son solo limitati con
fili ed un chip esterno però ci son riusciti, cosa te ne fai non l'ho ancora
capito ne tantomeno a che serve
Message has been deleted
Tobia
Nov 26, 2014, 7:23:40 PM11/26/14
to
"Paolo C" ha scritto nel messaggio news:m54u1p$r91$1...@speranza.aioe.org...
<Dal sapere "se un pin è giusto o no" a sapere "qual'e' il pin" le cose
( l'operazione di digest non è reversibile, usando shs-512 ad esempio come
algoritmo di cifratura).
Bob Torello (fu Roby Ross)
Nov 26, 2014, 10:15:09 PM11/26/14
to
"Tobia" <ge...@gerti.io> ha scritto:
>
>
> potrebbe contenere l'hash del PIN,dal quale non č possibile risalire al PIN
> ( l'operazione di digest non č reversibile, usando shs-512 ad esempio come
> algoritmo di cifratura).
>
>
potrebbe contenere un hash del pin a cui corrispondono 1000 dei
100000 possibili pin, cosě da permettere una prima validazione
offline
--
>
>
> "Paolo C" ha scritto nel messaggio news:m54u1p$r91$1...@speranza.aioe.org...
>
> <Dal sapere "se un pin č giusto o no" a sapere "qual'e' il pin" le cose
>
> "Paolo C" ha scritto nel messaggio news:m54u1p$r91$1...@speranza.aioe.org...
>
>
>
> potrebbe contenere l'hash del PIN,dal quale non č possibile risalire al PIN
> ( l'operazione di digest non č reversibile, usando shs-512 ad esempio come
> algoritmo di cifratura).
>
>
potrebbe contenere un hash del pin a cui corrispondono 1000 dei
100000 possibili pin, cosě da permettere una prima validazione
offline
--
ginopilotino
Nov 27, 2014, 4:46:27 AM11/27/14
to
Il 26/11/2014 18:34, Paolo C ha scritto:
> Il 26/11/14 18:17, ginopilotino ha scritto:
> trova il modo di farla.
> in proposito che dica che si puo' scoprire il pin.
>
> Ma come puoi essere sicuro che nessuno abbia trovato il modo di farlo e
> non si sa in giro se non in determinati ambienti?
Perche' per la natura degli ambienti, certe cose si verrebbero a sapere
subito, come e' sempre avvenuto.
Ciao ... Dino
> Il 26/11/14 18:17, ginopilotino ha scritto:
>> Il 26/11/2014 17:52, Paolo C ha scritto:
>>> Il 26/11/14 17:35, ginopilotino ha scritto:
>>>
>>>>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>>>>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>>>>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>>>>> bloccare la scheda.
>>>>
>>>> Non si puo'.
>>>>
>>>> Ciao ... Dino
>>>
>>> All'inizio dell'altro thread si diceva che era impossibile che il pin
>>> (seppur criptato) stesse nel chip, e negli anni 90 si diceva che il gsm
>>> fosse inclonabile.
>>
>> Perche' accosti le due cose?
>
> Solo per dire che qualunque cosa è impossibile solo finche' qualcuno
>>> Il 26/11/14 17:35, ginopilotino ha scritto:
>>>
>>>>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>>>>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>>>>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>>>>> bloccare la scheda.
>>>>
>>>> Non si puo'.
>>>>
>>>> Ciao ... Dino
>>>
>>> All'inizio dell'altro thread si diceva che era impossibile che il pin
>>> (seppur criptato) stesse nel chip, e negli anni 90 si diceva che il gsm
>>> fosse inclonabile.
>>
>> Perche' accosti le due cose?
>
> trova il modo di farla.
>
>
>> Ovvio che il pin sia in qualche modo nel
>> chip, che effettua la verifica. Come nelle sim del resto.
>> Poi chi puo' dirlo, magari un giorno qualcuno trovera' il modo di
>> forzarlo.
>
> Il problema è che forse quel qualcuno esiste già.
>
>> Ovvio che il pin sia in qualche modo nel
>> chip, che effettua la verifica. Come nelle sim del resto.
>> Poi chi puo' dirlo, magari un giorno qualcuno trovera' il modo di
>> forzarlo.
>
>
>> Per il momento non si puo' ne clonare il chip ne scoprire in
>> qualche modo il pin.
>
>
> E' questo il punto. Io non so farlo, tu nemmeno e non c'e' letteratura
>> Per il momento non si puo' ne clonare il chip ne scoprire in
>> qualche modo il pin.
>
>
> in proposito che dica che si puo' scoprire il pin.
>
> Ma come puoi essere sicuro che nessuno abbia trovato il modo di farlo e
> non si sa in giro se non in determinati ambienti?
Perche' per la natura degli ambienti, certe cose si verrebbero a sapere
subito, come e' sempre avvenuto.
Ciao ... Dino
ginopilotino
Nov 27, 2014, 4:47:46 AM11/27/14
to
Il 26/11/2014 23:09, Paolo C ha scritto:
> Il 26/11/14 20:18, segarender ha scritto:
> Ne metto una in un router umts a casa e l'altra nel cellulare.
> Ovviamente non posso usarle contemporaneamente, ma quando arrivo a casa
> spengo il telefono e accendo il router, senza la rogna di dover smontare
> cellulare e router per trasferire la sim di qua e di là.
>
> Oppure ne tengo una io una un amico e ci dividiamo le fasce orarie
> stando attenti a non tenerle accese contemporaneamente
E' un servizio gia' disponibile e non costa neanche tanto mi pare.
Ciao ... Dino
> Il 26/11/14 20:18, segarender ha scritto:
> Ovviamente non posso usarle contemporaneamente, ma quando arrivo a casa
> spengo il telefono e accendo il router, senza la rogna di dover smontare
> cellulare e router per trasferire la sim di qua e di là.
>
> Oppure ne tengo una io una un amico e ci dividiamo le fasce orarie
> stando attenti a non tenerle accese contemporaneamente
E' un servizio gia' disponibile e non costa neanche tanto mi pare.
Ciao ... Dino
Message has been deleted
ginopilotino
Nov 27, 2014, 8:03:58 AM11/27/14
to
Il 27/11/2014 11:45, Paolo C ha scritto:
> Il 27/11/14 10:47, ginopilotino ha scritto:
> tutti dicono che non esistono.
> Ora prova a chiederlo a Fabmind
Ma per piacere, sono almeno decenni che addormentano la gente in quel
modo, lo sanno anche i muri.
Ciao ... Dino
> Il 27/11/14 10:47, ginopilotino ha scritto:
>
>>
>> Perche' per la natura degli ambienti, certe cose si verrebbero a sapere
>> subito, come e' sempre avvenuto.
>
> Non sono d'accordo: pensa ai furti con gas narcotizzanti, su internet
>>
>> Perche' per la natura degli ambienti, certe cose si verrebbero a sapere
>> subito, come e' sempre avvenuto.
>
> tutti dicono che non esistono.
> Ora prova a chiederlo a Fabmind
Ma per piacere, sono almeno decenni che addormentano la gente in quel
modo, lo sanno anche i muri.
Ciao ... Dino
Message has been deleted
ginopilotino
Nov 27, 2014, 11:03:22 AM11/27/14
to
Il 27/11/2014 16:55, Paolo C ha scritto:
> Il 27/11/14 14:04, ginopilotino ha scritto:
Ah bho, mai interessato alla questione. Cosa cambia?
Ciao ... Dino
> Il 27/11/14 14:04, ginopilotino ha scritto:
>
>> Ma per piacere, sono almeno decenni che addormentano la gente in quel
>> modo, lo sanno anche i muri.
>
> e quindi che sostanza usano?
>> Ma per piacere, sono almeno decenni che addormentano la gente in quel
>> modo, lo sanno anche i muri.
>
Ah bho, mai interessato alla questione. Cosa cambia?
Ciao ... Dino
Message has been deleted
Don Fizzy
Nov 27, 2014, 1:35:04 PM11/27/14
to
Paolo C wrote:
|| Il 27/11/14 17:04, ginopilotino ha scritto:
|| la difesa
||
|| sapere se ti mettono un tampone sul naso o basta che con un forellino
|| dalla finestra immettano il gas già è importante per decidere come
|| difendersi
Non fai in tempo a far nulla (come tutti) a meno che non vivi con una
maschera antigas perenne in faccia
--
Don Fizzy ©
"Non c'è trucco non v'è inganno"
/)/)
( '.')
o(_('')('') That's all, folks!
Nessun bit è stato maltrattato
per spedire questo messaggio.
|| Il 27/11/14 17:04, ginopilotino ha scritto:
||
|| sapere se ti mettono un tampone sul naso o basta che con un forellino
|| dalla finestra immettano il gas già è importante per decidere come
|| difendersi
Non fai in tempo a far nulla (come tutti) a meno che non vivi con una
maschera antigas perenne in faccia
--
Don Fizzy ©
"Non c'è trucco non v'è inganno"
/)/)
( '.')
o(_('')('') That's all, folks!
Nessun bit è stato maltrattato
per spedire questo messaggio.
Napo
Nov 28, 2014, 1:59:40 AM11/28/14
to
Il 26/11/14 17:35, ginopilotino ha scritto:
>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>> bloccare la scheda.
>
> Non si puo'.
>
> Ciao ... Dino
Quando uso il bancoposta online devo usare un OTR che richiede
>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>> bloccare la scheda.
>
> Non si puo'.
>
> Ciao ... Dino
l'inserimento della carta e il conseguente inserimento del PIN, questo
OTR non è collegato a niente, e non è solo per quella carta quindi ne
deduco con certezza che il PIN è sulla carta.
Dentro a quell'aggeggio che legge la carta c'è l'algoritmo e la
decriptazione del PIN sulla carta.
Una persona con competenze potrebbe estrapolare dal lettore l'algoritmo
che gli permette di leggere il PIN dentro una carta ed essendo
probabilmente standard potrebbe farlo da qualsiasi carta.
Finché c'è di mezzo un software, criptato finché vuoi, qualcuno potrebbe
capire come funziona.
--- news://freenews.netfront.net/ - complaints: ne...@netfront.net ---
Bob Torello (fu Roby Ross)
Nov 28, 2014, 2:12:08 AM11/28/14
to
Napo <na...@tin.it> ha scritto:
È possibile che ci sia solo un hash del pin sulla vanda magnetica
per una aporossimativa validazione (es. solo due cifre del pin,
ma ci sono hashing più efficaci). Ovvero a quell'hash
corrispondono ben mille pin e non puoi decodificare quello giusto
> Il 26/11/14 17:35, ginopilotino ha scritto:
>
>>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>>> bloccare la scheda.
>>
>> Non si puo'.
>>
>> Ciao ... Dino
>
> Quando uso il bancoposta online devo usare un OTR che richiede
> l'inserimento della carta e il conseguente inserimento del PIN, questo
> OTR non è collegato a niente, e non è solo per quella carta quindi ne
> deduco con certezza che il PIN è sulla carta.
> Dentro a quell'aggeggio che legge la carta c'è l'algoritmo e la
> decriptazione del PIN sulla carta.
> Una persona con competenze potrebbe estrapolare dal lettore l'algoritmo
> che gli permette di leggere il PIN dentro una carta ed essendo
> probabilmente standard potrebbe farlo da qualsiasi carta.
>
se dai un pin errato ti da errore o un codice da inserire errato?
>
>>> Comunque la cosa pazzesca è che dentro la carta fisica è presente il
>>> PIN, quindi se rubano la carta teoricamente hanno anche il pin, sempre
>>> che ci sia la possibilità di estrarlo o di provarlo all'infinito senza
>>> bloccare la scheda.
>>
>> Non si puo'.
>>
>> Ciao ... Dino
>
> Quando uso il bancoposta online devo usare un OTR che richiede
> l'inserimento della carta e il conseguente inserimento del PIN, questo
> OTR non è collegato a niente, e non è solo per quella carta quindi ne
> deduco con certezza che il PIN è sulla carta.
> Dentro a quell'aggeggio che legge la carta c'è l'algoritmo e la
> decriptazione del PIN sulla carta.
> Una persona con competenze potrebbe estrapolare dal lettore l'algoritmo
> che gli permette di leggere il PIN dentro una carta ed essendo
> probabilmente standard potrebbe farlo da qualsiasi carta.
>
È possibile che ci sia solo un hash del pin sulla vanda magnetica
per una aporossimativa validazione (es. solo due cifre del pin,
ma ci sono hashing più efficaci). Ovvero a quell'hash
corrispondono ben mille pin e non puoi decodificare quello giusto
Napo
Nov 28, 2014, 10:15:34 AM11/28/14
to
Il 28/11/14 08:11, Bob Torello (fu Roby Ross) ha scritto:
Se inserisco il Pin errato mi da codice errato, anche se sbagli un
numero e non legge la banda magnetica ma il CHIP.
numero e non legge la banda magnetica ma il CHIP.
doppio..massimo
Nov 28, 2014, 5:23:12 PM11/28/14
to
Il Wed, 26 Nov 2014 23:09:47 +0100, Paolo C ha scritto:
> Ne metto una in un router umts a casa e l'altra nel cellulare.
> Ovviamente non posso usarle contemporaneamente, ma quando arrivo a casa
> spengo il telefono e accendo il router, senza la rogna di dover smontare
> cellulare e router per trasferire la sim di qua e di là.
>
> Oppure ne tengo una io una un amico e ci dividiamo le fasce orarie
> stando attenti a non tenerle accese contemporaneamente
se proprio ci tieni puoi chiedere la doppia sim.
> Ne metto una in un router umts a casa e l'altra nel cellulare.
> Ovviamente non posso usarle contemporaneamente, ma quando arrivo a casa
> spengo il telefono e accendo il router, senza la rogna di dover smontare
> cellulare e router per trasferire la sim di qua e di là.
>
> Oppure ne tengo una io una un amico e ci dividiamo le fasce orarie
> stando attenti a non tenerle accese contemporaneamente
doppio..massimo
Nov 30, 2014, 5:07:30 PM11/30/14
to
Il Fri, 28 Nov 2014 07:59:37 +0100, Napo ha scritto:
> Quando uso il bancoposta online devo usare un OTR che richiede
> l'inserimento della carta e il conseguente inserimento del PIN, questo
> OTR non è collegato a niente, e non è solo per quella carta quindi ne
> deduco con certezza che il PIN è sulla carta.
anche il mio PC mi dice subito quando sbaglio la password, ma la password
> Quando uso il bancoposta online devo usare un OTR che richiede
> l'inserimento della carta e il conseguente inserimento del PIN, questo
> OTR non è collegato a niente, e non è solo per quella carta quindi ne
> deduco con certezza che il PIN è sulla carta.
sul PC non c'e' proprio.
Come dice roby ross, e' sufficiente che ci sia un hash, dal quale non e'
affatto facile risalire al PIN.
Message has been deleted
mr
Dec 1, 2014, 4:02:19 AM12/1/14
to
Il giorno lunedì 1 dicembre 2014 09:41:00 UTC+1, Paolo C ha scritto:
> capirai, sono 5 cifre da 0 a 9, se si avesse l'hash (e la chiave) ci
> vorrebbe poco a fare un bruteforce.
Certo, la questione è dopo quanti tentativi la carta va in blocco.
m.
> capirai, sono 5 cifre da 0 a 9, se si avesse l'hash (e la chiave) ci
> vorrebbe poco a fare un bruteforce.
Certo, la questione è dopo quanti tentativi la carta va in blocco.
m.
Message has been deleted
Bob Torello (fu Roby Ross)
Dec 1, 2014, 5:11:43 AM12/1/14
to
Paolo C <pao...@gfdgdg.it> ha scritto:
> Il 30/11/14 23:07, doppio..massimo ha scritto:
> Perche' il POS me lo dice anche senza connessione
non c'è una corrispondenza biunivoca tra dato e codice. Quindi da
un codice
non si può risalire al dato perchè a un codice
corrispondono diversi dati (anche infiniti, come nel caso di hash
per files).
Ne consegue che l'hash permette una prima validazione offline ma
non la verifica certa della correttezza della password, che va
fatta online.
La non reversibilità di md5 o altro è un'altra storia ancora.
--
> Il 30/11/14 23:07, doppio..massimo ha scritto:
>> Il Fri, 28 Nov 2014 07:59:37 +0100, Napo ha scritto:
>>
>>> Quando uso il bancoposta online devo usare un OTR che richiede
>>> l'inserimento della carta e il conseguente inserimento del PIN, questo
>>> OTR non è collegato a niente, e non è solo per quella carta quindi ne
>>> deduco con certezza che il PIN è sulla carta.
>>
>> anche il mio PC mi dice subito quando sbaglio la password, ma la password
>> sul PC non c'e' proprio.
>>
>
>
> se stacchi il cavo di rete te lo dice lostesso?
>>
>>> Quando uso il bancoposta online devo usare un OTR che richiede
>>> l'inserimento della carta e il conseguente inserimento del PIN, questo
>>> OTR non è collegato a niente, e non è solo per quella carta quindi ne
>>> deduco con certezza che il PIN è sulla carta.
>>
>> anche il mio PC mi dice subito quando sbaglio la password, ma la password
>> sul PC non c'e' proprio.
>>
>
>
> Perche' il POS me lo dice anche senza connessione
>
> >
> > Come dice roby ross, e' sufficiente che ci sia un hash, dal quale non e'
> > affatto facile risalire al PIN.
> >
>
>
> >
> > Come dice roby ross, e' sufficiente che ci sia un hash, dal quale non e'
> > affatto facile risalire al PIN.
> >
>
>
> capirai, sono 5 cifre da 0 a 9, se si avesse l'hash (e la chiave) ci
> vorrebbe poco a fare un bruteforce.
State confondendo hashing con criptazione. Hashing è crc o md5,
> vorrebbe poco a fare un bruteforce.
non c'è una corrispondenza biunivoca tra dato e codice. Quindi da
un codice
non si può risalire al dato perchè a un codice
corrispondono diversi dati (anche infiniti, come nel caso di hash
per files).
Ne consegue che l'hash permette una prima validazione offline ma
non la verifica certa della correttezza della password, che va
fatta online.
La non reversibilità di md5 o altro è un'altra storia ancora.
--
Message has been deleted
Message has been deleted
Bob Torello (fu Roby Ross)
Dec 1, 2014, 5:42:04 AM12/1/14
to
Paolo C <pao...@gfdgdg.it> ha scritto:
> Scusa, dimenticavo
>
>>
>>> Ne consegue che l'hash permette una prima validazione offline ma
>>> non la verifica certa della correttezza della password, che va
>>> fatta online.
>
> Questo al pirata non interessa, se ha 3 o 4 combinazioni possibili che
>>
>>> Ne consegue che l'hash permette una prima validazione offline ma
>>> non la verifica certa della correttezza della password, che va
>>> fatta online.
>
> corrispondano al medesimo hash, le prova in un bancomat, se gli va bene
> entro 3 tentativi preleva il massimo possibile, se gli va male.... amen,
> prova con un'altra carta rubata
>
l'hashing lo puoi progettare come ti pare. Un hashing classico e
banale è il cosidetto mod, ovvero il resto di una
divisione.
Prendi il pin e fai un mod con 131, ad esempio. Otterrai 131
possibili codici hash.
Potrai quindi fare il bruteforce di un pin che ti darà 131 codici,
da provare sul server. Spero sia chiaro adesso.
Bob Torello
Dec 1, 2014, 5:51:19 AM12/1/14
to
On 01/12/2014 11:41, Bob Torello (fu Roby Ross) wrote:
> Potrai quindi fare il bruteforce di un pin che ti darà 131 codici,
> da provare sul server. Spero sia chiaro adesso.
pardon, il bruteforce di un pin darà come risultato
> Potrai quindi fare il bruteforce di un pin che ti darà 131 codici,
> da provare sul server. Spero sia chiaro adesso.
circa 100.000/131 codici pin da testare sul server,
(763-764 pin da testare).
--
Evaporare la Grande Madre si può,
partecipa anche tu alla Grande Avventura...
segarender
Dec 1, 2014, 7:45:14 AM12/1/14
to
"Bob Torello" ha scritto nel messaggio
news:m5hh73$ju3$1...@speranza.aioe.org...
>> Potrai quindi fare il bruteforce di un pin che ti darà 131 codici,
>> da provare sul server. Spero sia chiaro adesso.
>pardon, il bruteforce di un pin darà come risultato
>circa 100.000/131 codici pin da testare sul server,
>(763-764 pin da testare).
non so come, ne perchè ne tantomeno me ne intendo di protocolli di
crittazione e hash vari, quel che dico è ciò che mi è stato detto, comunque
bando alle ciance, una cosa l'ho vista a due occhi:
metti la carta in un lettore usb, lanci un programma, inserisci un codice
(che è la famosa firma) ed in qualche secondo il programma ti restutuisce il
pin della carta.
Ah, non è collegato a niente quel software, funziona totalmente in locale.
Quindi, ciò che affermi non è la realtà.
Una volta che sai sta famosa firma (certificato o quel che lè) fai un
bruteforce di 99999 combinazioni in qualche secondo e ti salta fuori il tuo
bel pin.
Se i ladri trovano la firma o il modo di farla saltare, il pin lo trovano in
qualche attimo.
Da quel che mi è stato detto, con la firma estrai l'hash, che dicono
comunemente pin criptato, una volta che hai estratto per mezzo della firma
questo codice, fai X tentativi finchè la ri-criptazione hashing o quel che
lè del pin partendo da 00000 a 99999 produrrà un codice identico, a
quell'hash, in quel momento hai il pin in chiaro.
Così funziona il sistema, che lo vogliate o meno.... purtroppo.
L'rfid è ancora più complesso e l'hanno spaccato alla grande, infatti in
sordina stanno uscendo nuove carte e nuovi apparecchi pos ed aggiornamenti
per quelli esistenti del "rfid2" con un sistema a prova di clonazione (lol,
anche il precedente ed attuale dicevano la stessa cosa, peccato che i
bulgari siano stati più furbi).
news:m5hh73$ju3$1...@speranza.aioe.org...
>> Potrai quindi fare il bruteforce di un pin che ti darà 131 codici,
>> da provare sul server. Spero sia chiaro adesso.
>pardon, il bruteforce di un pin darà come risultato
>circa 100.000/131 codici pin da testare sul server,
>(763-764 pin da testare).
crittazione e hash vari, quel che dico è ciò che mi è stato detto, comunque
bando alle ciance, una cosa l'ho vista a due occhi:
metti la carta in un lettore usb, lanci un programma, inserisci un codice
(che è la famosa firma) ed in qualche secondo il programma ti restutuisce il
pin della carta.
Ah, non è collegato a niente quel software, funziona totalmente in locale.
Quindi, ciò che affermi non è la realtà.
Una volta che sai sta famosa firma (certificato o quel che lè) fai un
bruteforce di 99999 combinazioni in qualche secondo e ti salta fuori il tuo
bel pin.
Se i ladri trovano la firma o il modo di farla saltare, il pin lo trovano in
qualche attimo.
Da quel che mi è stato detto, con la firma estrai l'hash, che dicono
comunemente pin criptato, una volta che hai estratto per mezzo della firma
questo codice, fai X tentativi finchè la ri-criptazione hashing o quel che
lè del pin partendo da 00000 a 99999 produrrà un codice identico, a
quell'hash, in quel momento hai il pin in chiaro.
Così funziona il sistema, che lo vogliate o meno.... purtroppo.
L'rfid è ancora più complesso e l'hanno spaccato alla grande, infatti in
sordina stanno uscendo nuove carte e nuovi apparecchi pos ed aggiornamenti
per quelli esistenti del "rfid2" con un sistema a prova di clonazione (lol,
anche il precedente ed attuale dicevano la stessa cosa, peccato che i
bulgari siano stati più furbi).
segarender
Dec 1, 2014, 7:47:41 AM12/1/14
to
"mr" ha scritto nel messaggio
news:5c583fd0-fd53-493d...@googlegroups.com...
>> capirai, sono 5 cifre da 0 a 9, se si avesse l'hash (e la chiave) ci
>> vorrebbe poco a fare un bruteforce.
>Certo, la questione č dopo quanti tentativi la carta va in blocco.
e li che ti frega
se hai la chiave estrai l'hash ed il bruteforce non lo fai sulla carta ma su
ciň che hai estratto dalla carta mediante la firma di crittazione.
Quando becco uno di quei bimbominchia che si vantano di fare ste cose lo
torchio fino a quando non mi spiega perfettamente il sistema, ne sanno piů
degli addetti ai lavori sti stronzetti.
news:5c583fd0-fd53-493d...@googlegroups.com...
>> capirai, sono 5 cifre da 0 a 9, se si avesse l'hash (e la chiave) ci
>> vorrebbe poco a fare un bruteforce.
e li che ti frega
se hai la chiave estrai l'hash ed il bruteforce non lo fai sulla carta ma su
ciň che hai estratto dalla carta mediante la firma di crittazione.
Quando becco uno di quei bimbominchia che si vantano di fare ste cose lo
torchio fino a quando non mi spiega perfettamente il sistema, ne sanno piů
degli addetti ai lavori sti stronzetti.
segarender
Dec 1, 2014, 7:49:07 AM12/1/14
to
"Paolo C" ha scritto nel messaggio news:m5hc2m$5k3$1...@speranza.aioe.org...
>Concordo. Io presupponevo la possibilità con un exploit di estrarre l'hash,
>non di fare tentativi direttamente sul chip.
infatti è questo il fulcro.
come sono riusciti ad estrarre la il prodotto della crittazione senza la
apposita firma.
o conoscono la firma o son riusciti sfruttando qualche bug o exploit a
by-passarla ed estrarre il tutto, se ci son riusciti come pare, è merda
davvero.
>Concordo. Io presupponevo la possibilità con un exploit di estrarre l'hash,
>non di fare tentativi direttamente sul chip.
infatti è questo il fulcro.
come sono riusciti ad estrarre la il prodotto della crittazione senza la
apposita firma.
o conoscono la firma o son riusciti sfruttando qualche bug o exploit a
by-passarla ed estrarre il tutto, se ci son riusciti come pare, è merda
davvero.
Message has been deleted
Message has been deleted
segarender
Dec 1, 2014, 2:57:02 PM12/1/14
to
"Paolo C" ha scritto nel messaggio news:m5iaff$tqi$1...@speranza.aioe.org...
>E questo codice/ "famosa firma" come fai a saperlo?
non lo puoi sapere, così dicono.
la realtà non la sappiamo noi...
>Il problema è come estraggono questa firma e anche il pin criptato.
la firma non la puoi estrarre, se non la sai non estrai il pin criptato, dal
chip.
dalla banda estrai il pin criptato e poi lo decodifichi però la devi mandare
lontano per usarla ed il proprietario se ne accorge prima.
>L'unica cosa che mi viene in mente è che esiste qualche exploit (es. buffer
>overflow), esempio gli dai al chip una stringa opportunatamente formattata
>e ti restituisce, a causa di un bug, il contenuto della sua memoria.
questo temo pure io.
>Dell'RFID crackato pero' si trova tanta informazione in rete. Del pin no.
>Forse sono informazioni per ora rimaste nei circuiti "elite" di crackers un
>po' come i bugs appena scoperti da qualche crew di crackers che non li
>diffondono in giro affinche' funzionino per piu' tempo possibile e al
>massimo li tradano (scambiano) con altre crews in cambio di altri bugs non
>ancora usciti nel mainstream.
probabile
>E questo codice/ "famosa firma" come fai a saperlo?
non lo puoi sapere, così dicono.
la realtà non la sappiamo noi...
>Il problema è come estraggono questa firma e anche il pin criptato.
la firma non la puoi estrarre, se non la sai non estrai il pin criptato, dal
chip.
dalla banda estrai il pin criptato e poi lo decodifichi però la devi mandare
lontano per usarla ed il proprietario se ne accorge prima.
>L'unica cosa che mi viene in mente è che esiste qualche exploit (es. buffer
>overflow), esempio gli dai al chip una stringa opportunatamente formattata
>e ti restituisce, a causa di un bug, il contenuto della sua memoria.
questo temo pure io.
>Dell'RFID crackato pero' si trova tanta informazione in rete. Del pin no.
>Forse sono informazioni per ora rimaste nei circuiti "elite" di crackers un
>po' come i bugs appena scoperti da qualche crew di crackers che non li
>diffondono in giro affinche' funzionino per piu' tempo possibile e al
>massimo li tradano (scambiano) con altre crews in cambio di altri bugs non
>ancora usciti nel mainstream.
probabile
segarender
Dec 1, 2014, 3:00:04 PM12/1/14
to
"Paolo C" ha scritto nel messaggio news:m5i9lv$rbu$1...@speranza.aioe.org...
>L'errore di base è stato quello di inserire il pin (seppur crittografato)
>nel chip.
>Il pin deve stare SOLO sul server;
il punto è che nemmeno così va bene
il pin è nato come tutela se perdi la carta il primo venuto non la può
usare.
se lo metti solo on line, perdi tutte le transazioni off-line (in altri
paesi sono usate per piccoli importi) ed in più fai passare il pin nella
tratta di collegamento, sarebbe in bocca a troppi server etc. etc.
invece nella carta non ti fa nemmeno provare a fare niente se non lo sai.
insomma, ci vorrebbero le cose che ho visto, un insieme di cose e di dati
sparati sul terminale in modo che riconosci inequivocabilmente il titolare,
foto, dati etc. etc. tutto fattibile ma chissà quando.
>L'errore di base è stato quello di inserire il pin (seppur crittografato)
>nel chip.
>Il pin deve stare SOLO sul server;
il punto è che nemmeno così va bene
il pin è nato come tutela se perdi la carta il primo venuto non la può
usare.
se lo metti solo on line, perdi tutte le transazioni off-line (in altri
paesi sono usate per piccoli importi) ed in più fai passare il pin nella
tratta di collegamento, sarebbe in bocca a troppi server etc. etc.
invece nella carta non ti fa nemmeno provare a fare niente se non lo sai.
insomma, ci vorrebbero le cose che ho visto, un insieme di cose e di dati
sparati sul terminale in modo che riconosci inequivocabilmente il titolare,
foto, dati etc. etc. tutto fattibile ma chissà quando.
Message has been deleted
Message has been deleted
Message has been deleted
Napo
Dec 2, 2014, 4:34:08 AM12/2/14
to
Il 01/12/14 21:00, segarender ha scritto:
I dati del titolare sono accessibili in rete e prevederebbero un
controllo on line in ogni caso.
Forse con la verifica telefonica: se l'operazione è all'estero o si
supera un certo limite di prelievo in tot ore per continuare serve la
convalida chiamando un numero verde con un inserimento di codice da un
telefono registrato a sistema e solo da quello si può sbloccare.
controllo on line in ogni caso.
Forse con la verifica telefonica: se l'operazione è all'estero o si
supera un certo limite di prelievo in tot ore per continuare serve la
convalida chiamando un numero verde con un inserimento di codice da un
telefono registrato a sistema e solo da quello si può sbloccare.
DeepThought
Dec 2, 2014, 4:48:21 AM12/2/14
to
Il 01/12/2014 22:10, Paolo C ha scritto:
> Dove sono finiti tutti quelli che sostenevano che non è possibile?
> Yorgos, Maxmax, deepthought.... ecc
>
Pronti... a parte questa voglia di rivalsa che sinceramente mi lascia
stranito, ma le spiegazioni tecniche possono essere tante. Io non le
conosco nello specifico come già piu' volte detto , ma non le conosci
neanche tu per cui è un vantarsi della scoperta dell'acqua calda.
Tanto per cominciare in locale si potrebbe semplicemente fare un
controllo di coerenza tra il pin e la carta il che non significa che il
pin sia buono, significa solo che se non vi è coerenza non si fa
neanche la connessione. Al momento della creazione del circuito per il
pos , fare una chiamata analogica costava soldini, quindi immagino che
ci sia stato un meccanismo per farne il meno possibile.
Inoltre già praticamente nel sitarello di casa non si fa il confronto
tra pin ma si fa il confronto tra hash a partire da password, che è un
altro paio di maniche. Chiunque sa che partendo da un hash non si puo'
risalire al valore originale ( dipendendo dalla lunghezza dell'hash e
del valore originale , si corre il rischio di hash collide anche se è
perfettamente noto l'algoritmo e il seed di decodifica ) . Quindi si
rischia di avere valori perfettamente buoni per l'hash ma ugualmente
scazzati poichè diversi da quelli contenuto nella banca, con la quale la
connessione fisica è obbligatoria.
Quindi, cortesemente, vediamo di rimanere nell'ambito della
conversazione su cio' che non si conosce, e di non usare questi toni da
trionfo. Perchè alla discussione non portano molto, ma sicuramente
rivelano molto della personalità dello scrivente.
> Dove sono finiti tutti quelli che sostenevano che non è possibile?
> Yorgos, Maxmax, deepthought.... ecc
>
Pronti... a parte questa voglia di rivalsa che sinceramente mi lascia
stranito, ma le spiegazioni tecniche possono essere tante. Io non le
conosco nello specifico come già piu' volte detto , ma non le conosci
neanche tu per cui è un vantarsi della scoperta dell'acqua calda.
Tanto per cominciare in locale si potrebbe semplicemente fare un
controllo di coerenza tra il pin e la carta il che non significa che il
pin sia buono, significa solo che se non vi è coerenza non si fa
neanche la connessione. Al momento della creazione del circuito per il
pos , fare una chiamata analogica costava soldini, quindi immagino che
ci sia stato un meccanismo per farne il meno possibile.
Inoltre già praticamente nel sitarello di casa non si fa il confronto
tra pin ma si fa il confronto tra hash a partire da password, che è un
altro paio di maniche. Chiunque sa che partendo da un hash non si puo'
risalire al valore originale ( dipendendo dalla lunghezza dell'hash e
del valore originale , si corre il rischio di hash collide anche se è
perfettamente noto l'algoritmo e il seed di decodifica ) . Quindi si
rischia di avere valori perfettamente buoni per l'hash ma ugualmente
scazzati poichè diversi da quelli contenuto nella banca, con la quale la
connessione fisica è obbligatoria.
Quindi, cortesemente, vediamo di rimanere nell'ambito della
conversazione su cio' che non si conosce, e di non usare questi toni da
trionfo. Perchè alla discussione non portano molto, ma sicuramente
rivelano molto della personalità dello scrivente.
DeepThought
Dec 2, 2014, 4:51:38 AM12/2/14
to
Chiunque sa che partendo da un hash non si puo'
> risalire al valore originale ( dipendendo dalla lunghezza dell'hash e
> del valore originale , si corre il rischio di hash collide anche se è
> perfettamente noto l'algoritmo e il seed di decodifica ) . Quindi si
> rischia di avere valori perfettamente buoni per l'hash ma ugualmente
> scazzati poichè diversi da quelli contenuto nella banca, con la quale la
> connessione fisica è obbligatoria.
Ribadisco che in questo contesto la chiave sta nel numero di tentativi
> risalire al valore originale ( dipendendo dalla lunghezza dell'hash e
> del valore originale , si corre il rischio di hash collide anche se è
> perfettamente noto l'algoritmo e il seed di decodifica ) . Quindi si
> rischia di avere valori perfettamente buoni per l'hash ma ugualmente
> scazzati poichè diversi da quelli contenuto nella banca, con la quale la
> connessione fisica è obbligatoria.
possibili del controllo del pin messo che si fa obbligatoriamente con la
banca. E a quel punto mi aspetto un alto numero di hash collide possibili.
HASH COLLIDE: Fenomeno per il quale la relazione tra pin ed hash è
suriettiva , e quindi la funzione inversa non è possibile da applicare.
E' una regola matematica che si studia alle superiori..
Message has been deleted
DeepThought
Dec 2, 2014, 4:54:19 AM12/2/14
to
dette non sono possibili. O l'una o l'altra strategia, naturalmente. O
si fa il confronto di HASH unici, o si fa il confronto di pin reali e si
ha un alto numero di hash collide.
DeepThought
Dec 2, 2014, 4:59:30 AM12/2/14
to
>
> Hmm.. ragionando ad alta voce, mi sono reso conto che entrambe le cose
> dette non sono possibili. O l'una o l'altra strategia, naturalmente. O
> si fa il confronto di HASH unici, o si fa il confronto di pin reali e si
> ha un alto numero di hash collide.
un sistema asimmetrico di chiavi..
DeepThought
Dec 2, 2014, 5:05:14 AM12/2/14
to
Ad esempio, immaginiamo di avere l'hash memorizzato nel bancomat,
criptato con una prima chiave pubblica. Non il pin. ASsociamo ad esso la
data di oggi. ed è un hash di valore diverso. Criptiamo il tutto con una
chiave simmetrica.
Check di coerenza. OK.
Invio allla banca, decriptazione con la prima chiave simmetrica. Ottiene
la data di oggi e l'hash originale. Decrittazione con la chiave privata
del solo hash e scarto della data che cmq deve essere coerente con la
data di collegamento al server.
Come si rompe questo circuito ?
Message has been deleted
Message has been deleted
DeepThought
Dec 2, 2014, 6:58:28 AM12/2/14
to
Il 02/12/2014 12:19, Paolo C ha scritto:
>
> No, la data non è quella di oggi ma quella in cui è stato fatto il
> calcolo inverso di cui hai parlato all'inizio. Oppure ho capito poco.
>
No, la data di oggi viene legata all'hash al momento del pagamento, come
semplice controllo. Si, la chiave simmetrica è all'interno del chip: non
fa parte del controllo principe, ma assicura che cio' che si sta
inviando sia l'unione dell'hash originale e della data.
>
> No, la data non è quella di oggi ma quella in cui è stato fatto il
> calcolo inverso di cui hai parlato all'inizio. Oppure ho capito poco.
>
No, la data di oggi viene legata all'hash al momento del pagamento, come
semplice controllo. Si, la chiave simmetrica è all'interno del chip: non
fa parte del controllo principe, ma assicura che cio' che si sta
inviando sia l'unione dell'hash originale e della data.
0 new messages