Było tu trochę pytań o to, czy na karcie nie ma zapisanego pin-u...
Myślałem, że faktycznie jest to sprawdzane w jakimś centrum... ale niedawno
zdarzyło się coś, co moją wiarę "lekko" podważyło.
Mianowicie miałem odebrać z bankomatu pieniądze dla matki. Ma ona
"szczęście" mieć konto w PKO BP i kartę Express, której nic nie akceptuje.
Postanowiłem mimo wszystko spróbować - podszedłem do bankomatu Euronetu,
włożyłem kartę. Ten zapytał o pin, wpisałem - ale błędnie. Za drugim razem
wpisałem dobrze. Po dłuższej chwili bankomat napisał "nieobsługiwana karta"
czy jakoś tak.
Czyli wygląda na to, że PIN jest zapisany po prostu na karcie! I to w bardzo
standardowy sposób...
Wniosek? Jak ktoś ukradnie kartę bankomatową, to posiadając odpowiedni
sprzęt bez problemu odczyta PIN, z którym już bez problemów będzie mógł
wybrać pieniądze z banku :(
Kurcze, kiedy będą te karty procesorowe?
Pozdrawiam,
--
| Jacek Osiecki Kraków, tel. (012)-645 57 87 |
|mailto:jos...@linux.uci.agh.edu.pl http://www.joshua.radzisz.krakow.pl/ |
>Było tu trochę pytań o to, czy na karcie nie ma zapisanego pin-u...
>Postanowiłem mimo wszystko spróbować - podszedłem do bankomatu Euronetu,
>włożyłem kartę. Ten zapytał o pin, wpisałem - ale błędnie. Za drugim razem
>wpisałem dobrze. Po dłuższej chwili bankomat napisał "nieobsługiwana karta"
>czy jakoś tak.
>Czyli wygląda na to, że PIN jest zapisany po prostu na karcie! I to w bardzo
>standardowy sposób...
>Wniosek? Jak ktoś ukradnie kartę bankomatową, to posiadając odpowiedni
>sprzęt bez problemu odczyta PIN, z którym już bez problemów będzie mógł
>wybrać pieniądze z banku :(
Wyjasnienie sytuacji bardzo proste - bankomat w celu oszczednosci
pieniazkow swojego operatora stara sie jak najmniej laczyc w celu
przeprowadzenia autoryzacji. Zatem najczesciej wyglada to tak, ze
po wlozeniu karty bankomat od razu prosi o wybor jezyka, podanie kodu
PIN a nawet o wybor kwoty wyplaty a dopiero jak skompletuje wszystkie
informacje laczy sie i przeprowadza autoryzacje.
Wowczas sprawdzane jest min. czy karta tego typu jest obslugiwana,
i jesli nie to dopiero wowczas zwracana jest informacja, ze karta
jest nieprawidlowa.
Byloby bowiem klopotliwe, kosztowne i czasochlonne gdyby bankomat
musial laczyc sie kilkakrotnie w celu sprawdzenia czy wlozona
karta jest obslugiwana, nastepnie sprawdzenia czy zostal podany
prawidlowy PIN i jeszcze raz w celu autoryzacji (po podaniu kwoty).
Taka sytuacje mozna zaobserwowac w przypadku wiekszosci kart
(nie tylko PKO Ekspres) i bankomatow.
Zatem Twoja teoria o mozliwosci odszyfrowania kodu PIN wylacznie
z karty nie jest mozliwa.
>Kurcze, kiedy będą te karty procesorowe?
No coz - nie chcialbym byc zlym prorokiem, ale i w przypadku
tych kart wczesniej czy pozniej pojawia sie podobne
mozliwosci :(
Pozdrawiam,
Sebastian Malarz
> Pozdrawiam,
> Sebastian Malarz
Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
razem wpisałem dobrze."
Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez
połączenia stwierdzić prawidłowość wprowadzenia pina. Czyli dość
logiczny jest wniosek Jacka o pinie zapisanym na karcie.
--
Marek Monikowski
marek.mo...@bresa.com.pl
Nie, nie jest logiczy.
może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i zaszyfrowany
następnie bankomat po zapytaniu o pin próbuje go użyć do zaszyfrowania
czystego. Jeśli wyjdzie mu zaszyfrowany to można przypuszczać że pin jest OK
jeżeli nie to na pewno jest zły.
KJ
>
--
Kamil Jońca kj15...@zodiac2.mimuw.edu.pl
The world is coming to an end ... SAVE YOUR BUFFERS!!!
> Sebastian Malarz wrote:
> >
> > Wyjasnienie sytuacji bardzo proste - bankomat w celu oszczednosci
> > pieniazkow swojego operatora stara sie jak najmniej laczyc w celu
> > przeprowadzenia autoryzacji.
>
> Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
> razem wpisałem dobrze."
> Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
> bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
> za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez
> połączenia stwierdzić prawidłowość wprowadzenia pina. Czyli dość
> logiczny jest wniosek Jacka o pinie zapisanym na karcie.
Niekoniecznie. Bankomat na podstawie innych zapisow sprawdzil, czy PIN
jest "mozliwy do przyjecia" a nie, ze nie jest zgodny z "oryginalem".
Sam mialem sytuacje, ze wpisalem bledny PIN i bankomat sie nie
przejal, spokojnie skompletowal ode mnie wszystkie dane, "przystapil
do realizacji operacji" po czym zameldowal: bledny PIN.
Pozdrowienia
---
Slawek Kos --> sk...@alpha.net.pl
> Kurcze, kiedy będą te karty procesorowe?
Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
funkcji jednokierunkowej. Nie wiem jaka z funkcji wykorzystywana jest w
bankomatach, ale w kryptografii jest to najczesciej potegowanie modulo.
Tak zaszyfrowany PIN jest porownywany z tym, ktory zapisany jest na karcie
(takze w postaci zaszyfrowanej). Rozszyfrowanie PIN'u na podstawie kodu na
karcie jest dosc skomplikowane, ale nie niemozliwe.
W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
swoim systemie. Nie jestem na tyle ufny, aby wierzyc pracownikowi banku,
ktory dzieki dostepowi do takiego kodu jest w stanie w sposob anonimowy
wyciagnac z naszego konta pieniadze. Jesli nie jestes zamozny, to wiele Ci z
tego popwodu nie zrobia, bo pewnie masz niski limit kredytowy, a poza tym
kazda karta ma limit wyplat w okreslonej jednostce czasu.
Karty procesorowe: w momencie wlozenia karty do bankomatu karta podaje klucz
wedlug jakiego ma byc zaszyfrowany PIN. Bankomat dodaje do klucza swoj klucz
i szyfruje PIN podwojnym kluczem podajac karcie swoj klucz. Rzeczywiscie
taka karta jest niezmiernie trudna do "zlamania".
Co do sprawdzenia, czy karta jest obslugiwana. W dawnych czasach wystarczylo
sprawdzic, czy kod banku wydajacego karte, to nasz bank i juz. Obecnie,
kiedy karty przynaleza nie do banku, ale do sieci kart (np: visa, maestro,
mastercard itd) sama informacja o banku - wydawcy karty nie jest
wystarczajaca. Stad tez po sprawdzeniu PIN'u bankomat sprawdza w swojej
bazie danych, lub tez laczy sie z centrum w celu autoryzacji.
Hadrian
--
Hadrian Lutogniewski
call: (+48 604) 444 369
e-mail: had...@beer.com
>W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
>ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
>swoim systemie.
To musialbys praktycznie pozamykac wiekszosc kont - bo wiekszosc
systemow ma mozliwosc wygenerowania duplikatu kodu PIN - inna
kwestia czy banki to moga i chca wykorzystywac. Ze wzgledow
bezpieczenstwa tego typu operacji raczej sie nie przeprowadza
a tylko wydanie nowa karte z nowym kodem PIN.
>Co do sprawdzenia, czy karta jest obslugiwana. W dawnych czasach wystarczylo
>sprawdzic, czy kod banku wydajacego karte, to nasz bank i juz. Obecnie,
>kiedy karty przynaleza nie do banku, ale do sieci kart (np: visa, maestro,
>mastercard itd) sama informacja o banku - wydawcy karty nie jest
>wystarczajaca. Stad tez po sprawdzeniu PIN'u bankomat sprawdza w swojej
>bazie danych, lub tez laczy sie z centrum w celu autoryzacji.
Bankomat (on-line'owy) nigdy sam nic nie sprawdza ani weryfikuje. On
po prostu zbiera informacje (dane z karty, kwota wyplaty, PIN podany
przez posiadacza), szyfruje to i wysyla do autoryzacji. I czeka
na odpowiedz typu zwroc karte, zatrzymaj karte czy wyplac gotowke.
Ma "w glebokim powazaniu" co poda mu posiadacz karty i nie wysila
sie aby cokolwiek sprawdzic - o wszystkim decyduje system autoryzacji,
ktory zreszta tez nie robi nic oprocz wyslania zapytania w swiat
i oczekiwaniu na odpowiedz.
Pozdrawiam,
Sebastian Malarz
>Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
>PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
>funkcji jednokierunkowej. Nie wiem jaka z funkcji wykorzystywana jest w
>bankomatach, ale w kryptografii jest to najczesciej potegowanie modulo.
>Tak zaszyfrowany PIN jest porownywany z tym, ktory zapisany jest na karcie
>(takze w postaci zaszyfrowanej). Rozszyfrowanie PIN'u na podstawie kodu na
>karcie jest dosc skomplikowane, ale nie niemozliwe.
Wszystko w miare sie zgadza (pomijajac sposob szyfrowania), ale
wszystko to wykonuje system autoryzacji banku, ktory wydal karte.
Na pewno tego nie robi bankomat (chyba, ze jest off-line'owy).
A co do odszyfrowania PINu z karty - oczywiscie jest to mozliwe
(w koncu nie ma nic zabezpieczonego na 100%), ale nie jest to
absolutnie mozliwe wlacznie na podstawie samej karty. Systemy
szyfrowania sa niezwykle rozbudowane i ewentualny hacker musialby
miec dostep do naprawde wielu informacji zapisanych w roznych
miejscach. Poza tym stosuje sie rozne metody szyfrowania kodow PIN
i nie ma jednego standardu szyfrowania.
Pozdrawiam,
Sebastian Malarz
ja wczoraj próbowałem podjąć trochę gotówki na Visę Electron z PKO-bp w
bankomacie PEKAO S.A. - podałem pin (prawidłowy) i kwotę... po dość długim
oczekiwaniu zameldował że błędny pin - chyba miał problemy z autoryzacją... za
drugim razem to samo, tyle że odpowiedź prawie natychmiastowa... musiałem wziąć
więc na Visę Classic...
tak więc nie wszystko co wypisują bankomaty trzeba brać dosłownie... niektóre
komunikaty są wręcz idiotyczne...
> może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i zaszyfrowany
> następnie bankomat po zapytaniu o pin próbuje go użyć do zaszyfrowania
> czystego. Jeśli wyjdzie mu zaszyfrowany to można przypuszczać że pin jest OK
> jeżeli nie to na pewno jest zły.
Tyle ze to oznacza, ze na karcie de facto jest PIN,
tyle ze bez dobrego komputera ani rusz ...
PAD
--
/***********************************************************************
Piotr A. Dybczynski, e-mail: dy...@amu.edu.pl,
Astronomical Observatory, A.Mickiewicz University
tel +48(61)8679670, Sloneczna 36, 60-286 Poznan, POLAND
*****************************************************************PAD***/
Na kartach, ktore moga byc uzywane w bankomatach offline, jest zapisany
hash z PIN-u, mniej wiecej w taki sposob jak opisujesz. Co do tej
"trudnosci rozszyfrowania" to nie przesadzalbym: w koncu jest tylko 10
tysiecy mozliwych PIN-ow, to tyle co nic. Znajac algorytm hashowania
wystarczy sczytac hash PIN-u z karty i przeskanowac wszystkie 10 tys.
mozliwosci - zadna robota.
Natomiast w przypadku kart obslugiwanych wylacznie on-line tego hasha na
karcie nie ma, jest on tylko w centrum autoryzacyjnym.
> W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
> ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
> swoim systemie.
A moze to niezbyt fortunne okreslenie "reprint" mialo oznaczac
wygenerowanie nowego PIN-u do istniejacej karty? W przypadku kart
obslugiwanych tylko on-line bez problemu daloby sie to zrobic. W
przypadku off-line jest trudniej, bo trzeba by zapisac nowy PIN na
karcie.
> Karty procesorowe: w momencie wlozenia karty do bankomatu karta podaje klucz
> wedlug jakiego ma byc zaszyfrowany PIN. Bankomat dodaje do klucza swoj klucz
> i szyfruje PIN podwojnym kluczem podajac karcie swoj klucz. Rzeczywiscie
> taka karta jest niezmiernie trudna do "zlamania".
Raczej z tego co wiem, to karta procesorowa sama sprawdza PIN, ktory
przekazuje jej bankomat, a bankomatowi podaje po prostu swoj podpis
cyfrowy, ktory jest porownywany z kluczem publicznym karty
przechowywanym w bazie centrum autoryzacyjnego. Klucz prywatny natomiast
jest zapisany w karcie w sposob uniemozliwiajacy wydostanie go
stamtad... Ale tu sie moge mylic, bo nie wiem dokladnie...
--
Pozdrowienia,
Jaroslaw Rafa
r...@inf.wsp.krakow.pl
>>Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
>>razem wpisałem dobrze."
>>Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
>>bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
>>za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez
>może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i zaszyfrowany
>następnie bankomat po zapytaniu o pin próbuje go użyć do zaszyfrowania
>czystego. Jeśli wyjdzie mu zaszyfrowany to można przypuszczać że pin jest OK
>jeżeli nie to na pewno jest zły.
Mniejsza o to, co jest na karcie - chodzi mi po prostu o fakt, że mając
odpowiedni sprzęt i kartę bankomatową można bez najmniejszego problemu
sprawdzić, jaki pin ma karta: przecież to tylko cztery cyfry - sprawdzenie
wszystkich kombinacji to ułamek sekundy...
Po prostu bez sensu jest fakt, że pin w ogóle może być weryfikowany bez
pośrednictwa jakiegoś centrum autoryzacji... to jest jedyny sposób na
bezpieczny pin - drugi to karty procesorowe.
>> Kurcze, kiedy będą te karty procesorowe?
>Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
>PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
>funkcji jednokierunkowej.
Nie zmienia to faktu, że z użyciem karty i ze znajomością tego algorytmu PIN
można wygenerować praktycznie natychmiast.
>Karty procesorowe: w momencie wlozenia karty do bankomatu karta podaje klucz
>wedlug jakiego ma byc zaszyfrowany PIN. Bankomat dodaje do klucza swoj klucz
>i szyfruje PIN podwojnym kluczem podajac karcie swoj klucz. Rzeczywiscie
>taka karta jest niezmiernie trudna do "zlamania".
Siła kart procesorowych polega na czym innym. Tutaj karta dostaje PIN do
autoryzacji - i jeśli jest dobry, to akceptuje; jeśli zły - prosi o ponowne
wprowadzenie, a sobie zaznacza jedną nieudaną próbę autoryzacji. Sama karta
jest zamkniętą "czarną skrzynką", z której niczego nie uda się wyciągnąć
(chyba, że istnieją jakieś wbudowane kody serwisowe lub coś w tym stylu).
Karta z paskiem magnetycznym wszystkie swoje tajemnice bezwstydnie pokazuje
każdemu chętnemu z czytnikiem...
Dlatego właśnie tak bardzo liczę na karty procesorowe.
>Mniejsza o to, co jest na karcie - chodzi mi po prostu o fakt, że mając
>odpowiedni sprzęt i kartę bankomatową można bez najmniejszego problemu
>sprawdzić, jaki pin ma karta: przecież to tylko cztery cyfry - sprawdzenie
>wszystkich kombinacji to ułamek sekundy...
Z tym mógłbym się zgodzić
>
>Po prostu bez sensu jest fakt, że pin w ogóle może być weryfikowany bez
>pośrednictwa jakiegoś centrum autoryzacji... to jest jedyny sposób na
>bezpieczny pin - drugi to karty procesorowe.
Trzeci: wydłużenie pinu do 100 cyfr :-> złamanie czegoś takiego mogłoby
trwać trochę dłużej.
KJ
--
Kamil Jońca kj15...@zodiac2.mimuw.edu.pl
EMACS = Eight Megabytes And Constantly Swapping
>> może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i
>> zaszyfrowany następnie bankomat po zapytaniu o pin próbuje go użyć do
>Tyle ze to oznacza, ze na karcie de facto jest PIN,
>tyle ze bez dobrego komputera ani rusz ...
Niekoniecznie musi być dobry - toż to tylko 10000 kodów do sprawdzenia...
każdy komputer sobie z tym poradzi. :(
P.S. Mam nadzieję, że karty VISA Classic są autoryzowane on-line?
>>Tyle ze to oznacza, ze na karcie de facto jest PIN,
>>tyle ze bez dobrego komputera ani rusz ...
>
>Niekoniecznie musi być dobry - toż to tylko 10000 kodów do sprawdzenia...
>każdy komputer sobie z tym poradzi. :(
pozostaje drobnostka: znajomość algorytmu i ewentualnie używanych w
nim kluczy.
--
Jarek Andrzejewski
Jacek Osiecki wrote:
>
> Mniejsza o to, co jest na karcie - chodzi mi po prostu o fakt, że mając
> odpowiedni sprzęt i kartę bankomatową można bez najmniejszego problemu
> sprawdzić, jaki pin ma karta: przecież to tylko cztery cyfry - sprawdzenie
> wszystkich kombinacji to ułamek sekundy...
>
- i gdzie indziej - :
>
> >Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
> >PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
> >funkcji jednokierunkowej.
>
> Nie zmienia to faktu, że z użyciem karty i ze znajomością tego algorytmu PIN
> można wygenerować praktycznie natychmiast.
>
Upraszczajac wyglada to tak:
--------------
A ----> | X | -----> PIN block ---> + offset = PIN
B ----> | |
--------------
A = validation data (np. zczytane z karty)
B = KLUCZ !!!
X = algorytm szyfrowania
Znajomosc A i X nie zalatwia sprawy. Trzeba znac jeszcze B (klucz).
Po dalsze szczegoly (procedury wymiany klucza, itp, itd) odsylam do
odp. lektur, badz do niezastapionego Sebastiana Malarza.
pozdrowienia
pj
Stalo sie. Zapomnialem Pinu do EC/. PMC PKOSAo zlozeniu stosownego
oswiadczenia Pin przyszedl w tradycyjnej przesylce do domu. Doznalem
olsnienia i stwierdzilem, ze jest taki sam. Wiec chyba jest on gdzies w
bazie.
Hansen