"you don't need your smile when I cut
your throat"

1. No właśnie , ligand17 12/02/10 14:48
   Update:
   http://www.cl.cam.ac.uk/...security/banking/nopin/
   Tutaj jest trochę więcej informacji.
   
   Ad 1. Wyglądają OK - mają akredytację zespołu zabezpieczeń Uniwersytetu Cambridge: http://www.cl.cam.ac.uk/research/security/
   
   Ad 2. Nad tym się właśnie zastanawiam
   
   Ad 3. Tak, to jest kwestia regulacji - bo zgodnie ze wszystkimi regulaminami bank nie uzna reklamacji za transakcję kiedy złodziej wpisał PIN i został on zaakceptowany.
   
   Poszukam filmu na YT.
   1. ad 2 , kicior 12/02/10 15:03
      tam nigdzie nie jest napisane, że wyciąga pin, tylko że przy dowolnym pinie generuje informację zwrotną dla terminala, że pin był poprawny.
      1. No właśnie - chodzi tylko o to, jak mając skradzioną kartę można ją wykorzystać... , Rhobaak 12/02/10 15:14
         ...bez znajomości PIN. Jakaś nakładka na chip w karcie przechwytuje zapytanie weryfikacji PINu i podmienia odpowiedź na potwierdzającą niezależnie od podanego PINu.

         Kor2dual3,2hZ overkloc,4Gbit Ram
         G-forc 460 gietex,barakudy
         Children of Neostrada Association MVP

   2. Przejrzałem , bwana 12/02/10 15:21
      Ad 2). Jeśli działanie karty zabezpieczonej PIN-em polega na tym, że pinpad wysyła do karty informację 'użytkownik wprowadził pin ABCD' a karta odpowiada 'Ok, taki właśnie PIN jest poprawny' albo 'Sorry, PIN jest niepoprawny' to faktycznie, zawsze trzeba się liczyć z możliwością takiego nadużycia. Wcześniej właściwie nie zastanawiałem się nad szczegółami zabezpieczania i autoryzowania transakcji PIN-em.
      
      Pewnie wygląda to tak, że chip wysyła informację 'Ok, dobry PIN' zaszyfrowaną kluczem prywatnym, który jest gdzieś na karcie/w chipie zapisany i kluczem publicznym otrzymanym od pinpada - i nadużycie polega na spreparowaniu tej informacji. Nadal pytanie - jak?
      
      Ad 3). Oszustwo nie jest możliwe dzięki regulacji, tylko dzięki technologii. Za to straty klientów banków są możliwe z powodu istnienia tej regulacji. Słowem - w artykule zastosowany został skrót myślowy. Niezależnie od regulacji oszust zapłaciłby cudzą kartą, prawda? Regulacja sprawia, że osobą oszukaną jest klient a nie bank, ale nie to, że do oszustwa dojdzie lub nie.
      
      Tak czy siak fajnie czasem oderwać się od roboty;-)

      "you don't need your smile when I cut
      your throat"

      1. no tak, moje dociekania na temat pracy pinpadów są bez sensu , bwana 12/02/10 15:26
         przemyślałem to i... uważam, że to co "wykoncypowałem" jest głupie:-D

         "you don't need your smile when I cut
         your throat"

         1. No, trochę tak , ligand17 12/02/10 15:31
            bo AFAIK to pinpad bierze PIN, hashuje pewnie z numerem karty, szyfruje kluczem zapisanym w chipie i wysyła do banku, który potwierdza (lub nie) poprawność wysłanej liczby kontrolnej/paczki/whatever. Dlatego pytanie - jak oni to zrobili???

www.skocz.pl/uptime :D

1. wlaśnie czytam , ligand17 12/02/10 15:36
   i nie bardzo rozumiem fragment:
   "Warto wspomnieć, że atak nie działa w bankomatach, bo tam nie da się wymusić autoryzacji transakcji przez podpis. " - co ma piernik do wiatraka? Przecież atak wymusza akceptację PINu, więc po co jeszcze podpis?
   1. To chyba wynika ze sposobu, w jaki działa ten hack. , Rhobaak 12/02/10 15:44
      "oprogramowanie na laptopie zmienia sposób uwierzytelnienia z PIN-u na podpis" - chip na karcie "myśli", że PIN nie musi być weryfikowany, a terminal dostaje fałszywy sygnał OK generowany przez nakładkę. W przypadku transakcji w bankomacie nie ma innej metody autoryzacji niż PIN, więc chipa nie da sie w ten sposób oszukać.

      Kor2dual3,2hZ overkloc,4Gbit Ram
      G-forc 460 gietex,barakudy
      Children of Neostrada Association MVP

      1. a, faktycznie , ligand17 12/02/10 15:54
         teraz dopiero doczytałem. Ale z kolei jeżeli zmieni się sposób autoryzacji, to powinno to być odzwierciedlone w danych transakcji w banku i w ten sposób znowu powracamy do reklamacji, którą bank uznaje.
         1. Hmm... Wtedy gdyby bank uznał reklamację, to żądałby zwrotu kasy od sprzedawcy... , Rhobaak 12/02/10 16:08
            ...bo ten nie mógłby mu pokazać kwitka z podpisem. Ale sprzedawca powiedziałby, że kwitka nie musi mieć, bo ma kwitek, że transakcja była autoryzowana PINem. Ciekawa sytuacja:)

            Kor2dual3,2hZ overkloc,4Gbit Ram
            G-forc 460 gietex,barakudy
            Children of Neostrada Association MVP

            1. moze wtedy , soczek3000 12/02/10 21:27
               szukają klienta który robił zakupy? sklep jest kryty, ale bankowi się nie zgadzają "papiery". tam gdzie płatności kartą zazwyczaj są i kamery... ale to już gdybanie...

         2. Bank niczego się nie dowie. , Tig3r 13/02/10 17:08
            Terminal jest przekonany że autoryzowano PIN i że się udało.
            Karta zaś dowiaduje się że autoryzacja następuje przez podpis więc ma siedzieć cicho.
            Polecam przeczytać PDFa z opisem ataku:
            http://www.cl.cam.ac.uk/...oakland10chipbroken.pdf