Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

PIN na karcie?

186 views
Skip to first unread message

Jacek Osiecki

unread,
Sep 6, 1999, 3:00:00 AM9/6/99
to
Witam!

Było tu trochę pytań o to, czy na karcie nie ma zapisanego pin-u...
Myślałem, że faktycznie jest to sprawdzane w jakimś centrum... ale niedawno
zdarzyło się coś, co moją wiarę "lekko" podważyło.
Mianowicie miałem odebrać z bankomatu pieniądze dla matki. Ma ona
"szczęście" mieć konto w PKO BP i kartę Express, której nic nie akceptuje.
Postanowiłem mimo wszystko spróbować - podszedłem do bankomatu Euronetu,
włożyłem kartę. Ten zapytał o pin, wpisałem - ale błędnie. Za drugim razem
wpisałem dobrze. Po dłuższej chwili bankomat napisał "nieobsługiwana karta"
czy jakoś tak.
Czyli wygląda na to, że PIN jest zapisany po prostu na karcie! I to w bardzo
standardowy sposób...
Wniosek? Jak ktoś ukradnie kartę bankomatową, to posiadając odpowiedni
sprzęt bez problemu odczyta PIN, z którym już bez problemów będzie mógł
wybrać pieniądze z banku :(

Kurcze, kiedy będą te karty procesorowe?

Pozdrawiam,
--
| Jacek Osiecki Kraków, tel. (012)-645 57 87 |
|mailto:jos...@linux.uci.agh.edu.pl http://www.joshua.radzisz.krakow.pl/ |

Sebastian Malarz

unread,
Sep 7, 1999, 3:00:00 AM9/7/99
to

Witam,

>Było tu trochę pytań o to, czy na karcie nie ma zapisanego pin-u...

>Postanowiłem mimo wszystko spróbować - podszedłem do bankomatu Euronetu,
>włożyłem kartę. Ten zapytał o pin, wpisałem - ale błędnie. Za drugim razem
>wpisałem dobrze. Po dłuższej chwili bankomat napisał "nieobsługiwana karta"
>czy jakoś tak.
>Czyli wygląda na to, że PIN jest zapisany po prostu na karcie! I to w bardzo
>standardowy sposób...
>Wniosek? Jak ktoś ukradnie kartę bankomatową, to posiadając odpowiedni
>sprzęt bez problemu odczyta PIN, z którym już bez problemów będzie mógł
>wybrać pieniądze z banku :(

Wyjasnienie sytuacji bardzo proste - bankomat w celu oszczednosci
pieniazkow swojego operatora stara sie jak najmniej laczyc w celu
przeprowadzenia autoryzacji. Zatem najczesciej wyglada to tak, ze
po wlozeniu karty bankomat od razu prosi o wybor jezyka, podanie kodu
PIN a nawet o wybor kwoty wyplaty a dopiero jak skompletuje wszystkie
informacje laczy sie i przeprowadza autoryzacje.
Wowczas sprawdzane jest min. czy karta tego typu jest obslugiwana,
i jesli nie to dopiero wowczas zwracana jest informacja, ze karta
jest nieprawidlowa.
Byloby bowiem klopotliwe, kosztowne i czasochlonne gdyby bankomat
musial laczyc sie kilkakrotnie w celu sprawdzenia czy wlozona
karta jest obslugiwana, nastepnie sprawdzenia czy zostal podany
prawidlowy PIN i jeszcze raz w celu autoryzacji (po podaniu kwoty).

Taka sytuacje mozna zaobserwowac w przypadku wiekszosci kart
(nie tylko PKO Ekspres) i bankomatow.

Zatem Twoja teoria o mozliwosci odszyfrowania kodu PIN wylacznie
z karty nie jest mozliwa.

>Kurcze, kiedy będą te karty procesorowe?

No coz - nie chcialbym byc zlym prorokiem, ale i w przypadku
tych kart wczesniej czy pozniej pojawia sie podobne
mozliwosci :(

Pozdrawiam,

Sebastian Malarz

Marek Monikowski

unread,
Sep 7, 1999, 3:00:00 AM9/7/99
to
Sebastian Malarz wrote:
>
> Wyjasnienie sytuacji bardzo proste - bankomat w celu oszczednosci
> pieniazkow swojego operatora stara sie jak najmniej laczyc w celu
> przeprowadzenia autoryzacji.

> Pozdrawiam,
> Sebastian Malarz

Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
razem wpisałem dobrze."
Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez
połączenia stwierdzić prawidłowość wprowadzenia pina. Czyli dość
logiczny jest wniosek Jacka o pinie zapisanym na karcie.

--
Marek Monikowski
marek.mo...@bresa.com.pl

Koni

unread,
Sep 7, 1999, 3:00:00 AM9/7/99
to

Użytkownik Marek Monikowski <marek.mo...@bresa.com.pl> w wiadomości do
grup dyskusyjnych napisał:37D54A97...@bresa.com.pl...
PIN-u napewno nie ma nakarcie.
Jesli by byl jak twierdzisz, to wyjasnij sytuacje gdy drukowany jest reprint
PIN-u
do karty juz wydanej (np. gdy gosc zapomni starego), w takiej sytuacji nie
ma mozliwosci zapisania go na karcie.
Konrad

Kamil Jonca

unread,
Sep 7, 1999, 3:00:00 AM9/7/99
to
Dnia Tue, 07 Sep 1999 17:17:50 GMT,
osoba podpisana: Marek Monikowski <marek.mo...@bresa.com.pl>
napisała:

>Sebastian Malarz wrote:
>>
>> Wyjasnienie sytuacji bardzo proste - bankomat w celu oszczednosci
>> pieniazkow swojego operatora stara sie jak najmniej laczyc w celu
>> przeprowadzenia autoryzacji.
>
>> Pozdrawiam,
>> Sebastian Malarz
>
>Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
>razem wpisałem dobrze."
>Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
>bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
>za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez
>połączenia stwierdzić prawidłowość wprowadzenia pina. Czyli dość
>logiczny jest wniosek Jacka o pinie zapisanym na karcie.

Nie, nie jest logiczy.
może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i zaszyfrowany
następnie bankomat po zapytaniu o pin próbuje go użyć do zaszyfrowania
czystego. Jeśli wyjdzie mu zaszyfrowany to można przypuszczać że pin jest OK
jeżeli nie to na pewno jest zły.

KJ
>


--
Kamil Jońca kj15...@zodiac2.mimuw.edu.pl
The world is coming to an end ... SAVE YOUR BUFFERS!!!

Slawek Kos

unread,
Sep 8, 1999, 3:00:00 AM9/8/99
to
On Tue, 7 Sep 1999 17:17:50, Marek Monikowski
<marek.mo...@bresa.com.pl> napial/a:

> Sebastian Malarz wrote:
> >
> > Wyjasnienie sytuacji bardzo proste - bankomat w celu oszczednosci
> > pieniazkow swojego operatora stara sie jak najmniej laczyc w celu
> > przeprowadzenia autoryzacji.
>

> Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
> razem wpisałem dobrze."
> Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
> bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
> za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez
> połączenia stwierdzić prawidłowość wprowadzenia pina. Czyli dość
> logiczny jest wniosek Jacka o pinie zapisanym na karcie.

Niekoniecznie. Bankomat na podstawie innych zapisow sprawdzil, czy PIN
jest "mozliwy do przyjecia" a nie, ze nie jest zgodny z "oryginalem".
Sam mialem sytuacje, ze wpisalem bledny PIN i bankomat sie nie
przejal, spokojnie skompletowal ode mnie wszystkie dane, "przystapil
do realizacji operacji" po czym zameldowal: bledny PIN.

Pozdrowienia
---
Slawek Kos --> sk...@alpha.net.pl

Hadrian Lutogniewski

unread,
Sep 8, 1999, 3:00:00 AM9/8/99
to
> Wniosek? Jak ktoś ukradnie kartę bankomatową, to posiadając odpowiedni
> sprzęt bez problemu odczyta PIN, z którym już bez problemów będzie mógł
> wybrać pieniądze z banku :(

> Kurcze, kiedy będą te karty procesorowe?

Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
funkcji jednokierunkowej. Nie wiem jaka z funkcji wykorzystywana jest w
bankomatach, ale w kryptografii jest to najczesciej potegowanie modulo.
Tak zaszyfrowany PIN jest porownywany z tym, ktory zapisany jest na karcie
(takze w postaci zaszyfrowanej). Rozszyfrowanie PIN'u na podstawie kodu na
karcie jest dosc skomplikowane, ale nie niemozliwe.

W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
swoim systemie. Nie jestem na tyle ufny, aby wierzyc pracownikowi banku,
ktory dzieki dostepowi do takiego kodu jest w stanie w sposob anonimowy
wyciagnac z naszego konta pieniadze. Jesli nie jestes zamozny, to wiele Ci z
tego popwodu nie zrobia, bo pewnie masz niski limit kredytowy, a poza tym
kazda karta ma limit wyplat w okreslonej jednostce czasu.

Karty procesorowe: w momencie wlozenia karty do bankomatu karta podaje klucz
wedlug jakiego ma byc zaszyfrowany PIN. Bankomat dodaje do klucza swoj klucz
i szyfruje PIN podwojnym kluczem podajac karcie swoj klucz. Rzeczywiscie
taka karta jest niezmiernie trudna do "zlamania".

Co do sprawdzenia, czy karta jest obslugiwana. W dawnych czasach wystarczylo
sprawdzic, czy kod banku wydajacego karte, to nasz bank i juz. Obecnie,
kiedy karty przynaleza nie do banku, ale do sieci kart (np: visa, maestro,
mastercard itd) sama informacja o banku - wydawcy karty nie jest
wystarczajaca. Stad tez po sprawdzeniu PIN'u bankomat sprawdza w swojej
bazie danych, lub tez laczy sie z centrum w celu autoryzacji.


Hadrian

--
Hadrian Lutogniewski
call: (+48 604) 444 369
e-mail: had...@beer.com

Sebastian Malarz

unread,
Sep 8, 1999, 3:00:00 AM9/8/99
to

Witam,

>W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
>ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
>swoim systemie.

To musialbys praktycznie pozamykac wiekszosc kont - bo wiekszosc
systemow ma mozliwosc wygenerowania duplikatu kodu PIN - inna
kwestia czy banki to moga i chca wykorzystywac. Ze wzgledow
bezpieczenstwa tego typu operacji raczej sie nie przeprowadza
a tylko wydanie nowa karte z nowym kodem PIN.

>Co do sprawdzenia, czy karta jest obslugiwana. W dawnych czasach wystarczylo
>sprawdzic, czy kod banku wydajacego karte, to nasz bank i juz. Obecnie,
>kiedy karty przynaleza nie do banku, ale do sieci kart (np: visa, maestro,
>mastercard itd) sama informacja o banku - wydawcy karty nie jest
>wystarczajaca. Stad tez po sprawdzeniu PIN'u bankomat sprawdza w swojej
>bazie danych, lub tez laczy sie z centrum w celu autoryzacji.

Bankomat (on-line'owy) nigdy sam nic nie sprawdza ani weryfikuje. On
po prostu zbiera informacje (dane z karty, kwota wyplaty, PIN podany
przez posiadacza), szyfruje to i wysyla do autoryzacji. I czeka
na odpowiedz typu zwroc karte, zatrzymaj karte czy wyplac gotowke.

Ma "w glebokim powazaniu" co poda mu posiadacz karty i nie wysila
sie aby cokolwiek sprawdzic - o wszystkim decyduje system autoryzacji,
ktory zreszta tez nie robi nic oprocz wyslania zapytania w swiat
i oczekiwaniu na odpowiedz.

Pozdrawiam,

Sebastian Malarz


Sebastian Malarz

unread,
Sep 8, 1999, 3:00:00 AM9/8/99
to

I jeszcze troche komentarza:

>Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
>PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
>funkcji jednokierunkowej. Nie wiem jaka z funkcji wykorzystywana jest w
>bankomatach, ale w kryptografii jest to najczesciej potegowanie modulo.
>Tak zaszyfrowany PIN jest porownywany z tym, ktory zapisany jest na karcie
>(takze w postaci zaszyfrowanej). Rozszyfrowanie PIN'u na podstawie kodu na
>karcie jest dosc skomplikowane, ale nie niemozliwe.

Wszystko w miare sie zgadza (pomijajac sposob szyfrowania), ale
wszystko to wykonuje system autoryzacji banku, ktory wydal karte.
Na pewno tego nie robi bankomat (chyba, ze jest off-line'owy).

A co do odszyfrowania PINu z karty - oczywiscie jest to mozliwe
(w koncu nie ma nic zabezpieczonego na 100%), ale nie jest to
absolutnie mozliwe wlacznie na podstawie samej karty. Systemy
szyfrowania sa niezwykle rozbudowane i ewentualny hacker musialby
miec dostep do naprawde wielu informacji zapisanych w roznych
miejscach. Poza tym stosuje sie rozne metody szyfrowania kodow PIN
i nie ma jednego standardu szyfrowania.

Pozdrawiam,

Sebastian Malarz

Krzysztof Ciepłucha

unread,
Sep 8, 1999, 3:00:00 AM9/8/99
to
> Sam mialem sytuacje, ze wpisalem bledny PIN i bankomat sie nie
> przejal, spokojnie skompletowal ode mnie wszystkie dane, "przystapil
> do realizacji operacji" po czym zameldowal: bledny PIN.

ja wczoraj próbowałem podjąć trochę gotówki na Visę Electron z PKO-bp w
bankomacie PEKAO S.A. - podałem pin (prawidłowy) i kwotę... po dość długim
oczekiwaniu zameldował że błędny pin - chyba miał problemy z autoryzacją... za
drugim razem to samo, tyle że odpowiedź prawie natychmiastowa... musiałem wziąć
więc na Visę Classic...
tak więc nie wszystko co wypisują bankomaty trzeba brać dosłownie... niektóre
komunikaty są wręcz idiotyczne...

Piotr A. Dybczynski

unread,
Sep 9, 1999, 3:00:00 AM9/9/99
to
Kamil Jonca wrote:
>
> Dnia Tue, 07 Sep 1999 17:17:50 GMT,

> może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i zaszyfrowany


> następnie bankomat po zapytaniu o pin próbuje go użyć do zaszyfrowania
> czystego. Jeśli wyjdzie mu zaszyfrowany to można przypuszczać że pin jest OK
> jeżeli nie to na pewno jest zły.

Tyle ze to oznacza, ze na karcie de facto jest PIN,
tyle ze bez dobrego komputera ani rusz ...
PAD
--
/***********************************************************************
Piotr A. Dybczynski, e-mail: dy...@amu.edu.pl,
Astronomical Observatory, A.Mickiewicz University
tel +48(61)8679670, Sloneczna 36, 60-286 Poznan, POLAND
*****************************************************************PAD***/

Jaroslaw Rafa

unread,
Sep 9, 1999, 3:00:00 AM9/9/99
to
Hadrian Lutogniewski wrote:
>
> Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
> PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
> funkcji jednokierunkowej. Nie wiem jaka z funkcji wykorzystywana jest w
> bankomatach, ale w kryptografii jest to najczesciej potegowanie modulo.
> Tak zaszyfrowany PIN jest porownywany z tym, ktory zapisany jest na karcie
> (takze w postaci zaszyfrowanej). Rozszyfrowanie PIN'u na podstawie kodu na
> karcie jest dosc skomplikowane, ale nie niemozliwe.

Na kartach, ktore moga byc uzywane w bankomatach offline, jest zapisany
hash z PIN-u, mniej wiecej w taki sposob jak opisujesz. Co do tej
"trudnosci rozszyfrowania" to nie przesadzalbym: w koncu jest tylko 10
tysiecy mozliwych PIN-ow, to tyle co nic. Znajac algorytm hashowania
wystarczy sczytac hash PIN-u z karty i przeskanowac wszystkie 10 tys.
mozliwosci - zadna robota.
Natomiast w przypadku kart obslugiwanych wylacznie on-line tego hasha na
karcie nie ma, jest on tylko w centrum autoryzacyjnym.

> W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
> ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
> swoim systemie.

A moze to niezbyt fortunne okreslenie "reprint" mialo oznaczac
wygenerowanie nowego PIN-u do istniejacej karty? W przypadku kart
obslugiwanych tylko on-line bez problemu daloby sie to zrobic. W
przypadku off-line jest trudniej, bo trzeba by zapisac nowy PIN na
karcie.

> Karty procesorowe: w momencie wlozenia karty do bankomatu karta podaje klucz
> wedlug jakiego ma byc zaszyfrowany PIN. Bankomat dodaje do klucza swoj klucz
> i szyfruje PIN podwojnym kluczem podajac karcie swoj klucz. Rzeczywiscie
> taka karta jest niezmiernie trudna do "zlamania".

Raczej z tego co wiem, to karta procesorowa sama sprawdza PIN, ktory
przekazuje jej bankomat, a bankomatowi podaje po prostu swoj podpis
cyfrowy, ktory jest porownywany z kluczem publicznym karty
przechowywanym w bazie centrum autoryzacyjnego. Klucz prywatny natomiast
jest zapisany w karcie w sposob uniemozliwiajacy wydostanie go
stamtad... Ale tu sie moge mylic, bo nie wiem dokladnie...
--
Pozdrowienia,
Jaroslaw Rafa
r...@inf.wsp.krakow.pl

Jacek Osiecki

unread,
Sep 9, 1999, 3:00:00 AM9/9/99
to
Dnia 7 Sep 1999 22:17:26 GMT, Kamil Jonca napisał(a):
>Dnia Tue, 07 Sep 1999 17:17:50 GMT, Marek Monikowski napisał:

>>Jacek napisał: "Ten zapytał o pin, wpisałem - ale błędnie. Za drugim
>>razem wpisałem dobrze."
>>Ja to rozumiem tak, że właśnie NIE ŁĄCZĄC SIĘ (to o czym piszesz)
>>bankomat potrafił stwierdzić, że pierwszy raz został wstukany zły pin, a
>>za drugim razem dobry. Czyli bankomat musi czytać pin z karty, aby bez

>może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i zaszyfrowany


>następnie bankomat po zapytaniu o pin próbuje go użyć do zaszyfrowania
>czystego. Jeśli wyjdzie mu zaszyfrowany to można przypuszczać że pin jest OK
>jeżeli nie to na pewno jest zły.

Mniejsza o to, co jest na karcie - chodzi mi po prostu o fakt, że mając
odpowiedni sprzęt i kartę bankomatową można bez najmniejszego problemu
sprawdzić, jaki pin ma karta: przecież to tylko cztery cyfry - sprawdzenie
wszystkich kombinacji to ułamek sekundy...

Po prostu bez sensu jest fakt, że pin w ogóle może być weryfikowany bez
pośrednictwa jakiegoś centrum autoryzacji... to jest jedyny sposób na
bezpieczny pin - drugi to karty procesorowe.

Jacek Osiecki

unread,
Sep 9, 1999, 3:00:00 AM9/9/99
to
Dnia 8 Sep 1999 16:58:48 GMT, Hadrian Lutogniewski napisał(a):

>> Wniosek? Jak ktoś ukradnie kartę bankomatową, to posiadając odpowiedni
>> sprzęt bez problemu odczyta PIN, z którym już bez problemów będzie mógł
>> wybrać pieniądze z banku :(

>> Kurcze, kiedy będą te karty procesorowe?

>Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu


>PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
>funkcji jednokierunkowej.

Nie zmienia to faktu, że z użyciem karty i ze znajomością tego algorytmu PIN
można wygenerować praktycznie natychmiast.

>Karty procesorowe: w momencie wlozenia karty do bankomatu karta podaje klucz
>wedlug jakiego ma byc zaszyfrowany PIN. Bankomat dodaje do klucza swoj klucz
>i szyfruje PIN podwojnym kluczem podajac karcie swoj klucz. Rzeczywiscie
>taka karta jest niezmiernie trudna do "zlamania".

Siła kart procesorowych polega na czym innym. Tutaj karta dostaje PIN do
autoryzacji - i jeśli jest dobry, to akceptuje; jeśli zły - prosi o ponowne
wprowadzenie, a sobie zaznacza jedną nieudaną próbę autoryzacji. Sama karta
jest zamkniętą "czarną skrzynką", z której niczego nie uda się wyciągnąć
(chyba, że istnieją jakieś wbudowane kody serwisowe lub coś w tym stylu).
Karta z paskiem magnetycznym wszystkie swoje tajemnice bezwstydnie pokazuje
każdemu chętnemu z czytnikiem...

Dlatego właśnie tak bardzo liczę na karty procesorowe.

Kamil Jonca

unread,
Sep 9, 1999, 3:00:00 AM9/9/99
to
Dnia 9 Sep 1999 20:46:14 GMT,
osoba podpisana: Jacek Osiecki <jos...@linux.uci.agh.edu.pl>
napisała:
[...]

>Mniejsza o to, co jest na karcie - chodzi mi po prostu o fakt, że mając
>odpowiedni sprzęt i kartę bankomatową można bez najmniejszego problemu
>sprawdzić, jaki pin ma karta: przecież to tylko cztery cyfry - sprawdzenie
>wszystkich kombinacji to ułamek sekundy...

Z tym mógłbym się zgodzić

>
>Po prostu bez sensu jest fakt, że pin w ogóle może być weryfikowany bez
>pośrednictwa jakiegoś centrum autoryzacji... to jest jedyny sposób na
>bezpieczny pin - drugi to karty procesorowe.

Trzeci: wydłużenie pinu do 100 cyfr :-> złamanie czegoś takiego mogłoby
trwać trochę dłużej.
KJ


--
Kamil Jońca kj15...@zodiac2.mimuw.edu.pl
EMACS = Eight Megabytes And Constantly Swapping

Jacek Osiecki

unread,
Sep 10, 1999, 3:00:00 AM9/10/99
to
Dnia Thu, 09 Sep 1999 14:24:51 +0200, Piotr A. Dybczynski napisał(a):

>Kamil Jonca wrote:

>> Dnia Tue, 07 Sep 1999 17:17:50 GMT,

>> może być tak że na karcie jest zapiane "coś" (np.tekst) czysty i


>> zaszyfrowany następnie bankomat po zapytaniu o pin próbuje go użyć do

>Tyle ze to oznacza, ze na karcie de facto jest PIN,

>tyle ze bez dobrego komputera ani rusz ...

Niekoniecznie musi być dobry - toż to tylko 10000 kodów do sprawdzenia...
każdy komputer sobie z tym poradzi. :(

P.S. Mam nadzieję, że karty VISA Classic są autoryzowane on-line?

Jaroslaw Andrzejewski

unread,
Sep 10, 1999, 3:00:00 AM9/10/99
to
10 Sep 1999 10:12:50 GMT, jos...@linux.uci.agh.edu.pl (Jacek Osiecki)
napisał(-a):

>>Tyle ze to oznacza, ze na karcie de facto jest PIN,
>>tyle ze bez dobrego komputera ani rusz ...
>
>Niekoniecznie musi być dobry - toż to tylko 10000 kodów do sprawdzenia...
>każdy komputer sobie z tym poradzi. :(

pozostaje drobnostka: znajomość algorytmu i ewentualnie używanych w
nim kluczy.

--
Jarek Andrzejewski

Piotr Janikowski

unread,
Sep 13, 1999, 3:00:00 AM9/13/99
to

Jacek Osiecki wrote:
>
> Mniejsza o to, co jest na karcie - chodzi mi po prostu o fakt, że mając
> odpowiedni sprzęt i kartę bankomatową można bez najmniejszego problemu
> sprawdzić, jaki pin ma karta: przecież to tylko cztery cyfry - sprawdzenie
> wszystkich kombinacji to ułamek sekundy...
>

- i gdzie indziej - :

>
> >Na karcie z paskiem magnetycznym NIE MA ZAPISANEGO WPROST PIN'u. Po wpisaniu
> >PIN'u na klawiaturze bankomatu jest on poddany szyfrowaniu z uzyciem tzw
> >funkcji jednokierunkowej.
>
> Nie zmienia to faktu, że z użyciem karty i ze znajomością tego algorytmu PIN
> można wygenerować praktycznie natychmiast.
>

Upraszczajac wyglada to tak:

--------------
A ----> | X | -----> PIN block ---> + offset = PIN
B ----> | |
--------------

A = validation data (np. zczytane z karty)
B = KLUCZ !!!
X = algorytm szyfrowania

Znajomosc A i X nie zalatwia sprawy. Trzeba znac jeszcze B (klucz).
Po dalsze szczegoly (procedury wymiany klucza, itp, itd) odsylam do
odp. lektur, badz do niezastapionego Sebastiana Malarza.


pozdrowienia
pj

Hansen On Dk

unread,
Sep 15, 1999, 3:00:00 AM9/15/99
to
Hadrian Lutogniewski <had...@alf.cc.uni.torun.pl> wrote in message
news:7r64k8$lni$1...@flis.man.torun.pl...

> W kwestii wydania reprintu PIN'u. Natychmiast zamknalbym konto w banku,
> ktory oferuje reprint, bo to oznacza, ze przechowuje takze jego kopie w
> swoim systemie. Nie jestem na tyle ufny, aby wierzyc pracownikowi banku,
> ktory dzieki dostepowi do takiego kodu jest w stanie w sposob anonimowy
> wyciagnac z naszego konta pieniadze.

Stalo sie. Zapomnialem Pinu do EC/. PMC PKOSAo zlozeniu stosownego
oswiadczenia Pin przyszedl w tradycyjnej przesylce do domu. Doznalem
olsnienia i stwierdzilem, ze jest taki sam. Wiec chyba jest on gdzies w
bazie.

Hansen


0 new messages