Комментарии 78
интересно, а почему с нуля — если черному по белому написанно: «при условии неправльного конфигурирования железки...» — а сконфигурировать «правильно» и более жестко следить за «правильным» конфигурированием так проблемно?
Я об этом не писал, но в оригинальной статье подробно рассказывается. Изначально все железки сконфигурированы правильно. Но всегда найдётся админ, который что-то упростит. Кроме того, это иногда требуется, насколько я понял, для обратной совместимости (legacy applications).
Вот точная цитата.
«Out of the box, the HSMs come configured in a very secure fashion if customers just deploy them as is. But for many operational reasons, customers choose to alter those default security configurations — supporting legacy applications may be one example — which creates vulnerabilities. Redesigning the global payment system to eliminate legacy vulnerabilities »would require a mammoth overhaul of virtually every point-of-sale system in the world," he says.
Вот точная цитата.
«Out of the box, the HSMs come configured in a very secure fashion if customers just deploy them as is. But for many operational reasons, customers choose to alter those default security configurations — supporting legacy applications may be one example — which creates vulnerabilities. Redesigning the global payment system to eliminate legacy vulnerabilities »would require a mammoth overhaul of virtually every point-of-sale system in the world," he says.
что-конфигурировать… почему это все изначально, и одназначно не сконфигурурировано так, чтобы проблем не было. Сами добавляют во всякие железки человеческий фактор.
НЛО прилетело и опубликовало эту надпись здесь
>>Фактически, новую систему нужно создавать с нуля.
Вот и кризис кстати пришелся.
Вот и кризис кстати пришелся.
Поправочка небольшая. Там не PCI-интерфейс, а PCI-Express
храните деньги в сберегательной кассе
Храните деньги в сберегательной банке
че умный дофига?
Храните деньги в виде приобретенных товаров и услуг… Они все равно мусор)
а что это за график? что на нем за цифры?
страшно, имхо это подтолкнет развитие квантовыхшифраторов или как там их. который по оптики передают все данные, и расшифровать невозможно, из-за смены ключа каждую 1/60 секунды
НЛО прилетело и опубликовало эту надпись здесь
ну система теоритически взламываемая, но требует затрат таких, что на сегодня просто тупо нет возможности такой. это как RSA только запас на много лет вперед
Что-то новое или модифицируют старое со словами «но требует затрат таких, что на сегодня просто тупо нет возможности такой» довольно часто, но как показывает практика рано или позно мы читает такие вот как эта сообщения ;)
Танк может быть супер защищеным, но в сложной машине всегдай найдется слабый винтик который и приведет к его поломке.
Танк может быть супер защищеным, но в сложной машине всегдай найдется слабый винтик который и приведет к его поломке.
человек (читай персонал) всегда самое слабое звено
В этом мире уже давно нет ничего невозможного.
Ну всё идёт по плану. Каждое действие влечёт противодействие…
Так что делать-то нам смертным? Не снимать с банкомата, не оплачивать через инет?
Э… я конечно далек от торжества ынтырпрайза и венца Банковских Технологий, но идея перешифровывать трафик на каждом транзитном узле выглядит так-же идиотично, как идея перешифвровывать https трафик на каждом транзитном прокси-сервере.
Или я что-то не понимаю?
Или я что-то не понимаю?
Гм. Всё просто.
Вы вводите на пин-паде банкомата пин-код. Пин-пад (да, сама клавиатура) этот код шифрует. В банкомат (компьютер) он уже попадает в виде зашифрованого пин-блока. Затем этот пин-блок отправляется на сервер банкомата. Он знает ключ пин-блока, поэтому может расшифровать пин-код. Затем он шифрует его своим ключем и отправляет на процессинг. Если карточка зарегистрирована в этом процессинге — то тут его путь заканчивается.
А если карточка чужая? Правильно, процессинг перешифровует пин-блок на ключах родного банка и отправляет туда. При чем не факт что напрямую. Может быть ещё через n серверов. И каждый сервер перешифровует пин-блок на других ключах для другого сервера.
Вы вводите на пин-паде банкомата пин-код. Пин-пад (да, сама клавиатура) этот код шифрует. В банкомат (компьютер) он уже попадает в виде зашифрованого пин-блока. Затем этот пин-блок отправляется на сервер банкомата. Он знает ключ пин-блока, поэтому может расшифровать пин-код. Затем он шифрует его своим ключем и отправляет на процессинг. Если карточка зарегистрирована в этом процессинге — то тут его путь заканчивается.
А если карточка чужая? Правильно, процессинг перешифровует пин-блок на ключах родного банка и отправляет туда. При чем не факт что напрямую. Может быть ещё через n серверов. И каждый сервер перешифровует пин-блок на других ключах для другого сервера.
Упс. Опечатка: «Он знает ключ пин-блока» -> «Он знает ключ пин-пада»
В классической схеме сравниваются зашифрованные блоки — HSM процессинга знает ключи всех банкоматов.
Пин-код никогда не расшифровывается. Он нигде не хранится, кроме памяти человека. И никакой сервер банкомата его расшифроваит не может. Он перенапрявляет только пин-блок, в формирование которого участвуют различные компоненты, такие как Expire Date, PAN, CVK, PVK, PVKi и тд. И все это бывает захешировано. Именно захешировано, а не зашифровано. И уже процессинг сравнивет хеши пин-блока и своей функции с помощью HSM.
Примерно так это работает.
Примерно так это работает.
странно почему их не расшифровывают простым перебором всего то 10к вариантов если уж удалось получить зашифрованный вариант и алгоритм шифрования то перебор не дожен представлять проблем.
А там не только пин-код. Данные передаются в виде пин-блока. А там кроме пин-кода ещё может лежать много всякого: время, соль, идентификатор пинпада, и т.д.
Расшифровать нужно не пин-код, а весь пакет, а тут уже не 10к вариантов.
все проще, ввел пинкод 3 раза неправильный и карта заблокировалась!!!
Блокируется в банке.
Блокируется в банке.
Представьте себе, что у вас есть 16 байт. Вы точно знаете, что там зашифровано либо слово «сосиска», либо слово «колбаса».
Вы знаете алгоритм шифрования — 3DES.
У вас всего два варианта, но какой вам от этого толк?
Вы знаете алгоритм шифрования — 3DES.
У вас всего два варианта, но какой вам от этого толк?
Нууу… как говорится за всякое разгильдяйство надо платить, платить не нам с вами, а кредитным учреждениями (банкам). Расшифрование, перехват шифрованного трафика, перехват открытого трафика, который секунду назад был шифрованным — это косяк банка, причем стандарт PCI DSS действует давно и такие банки надо наказывать, очень серьезно. Поэтому метод совсем не новый, а очень даже старый — безалаберность и разгильдяйство.
очень понравилась фраза "… до этого они заметили интерес к теме на русских хакерских форумах, но не могли понять, с чем это связано..."
Пользователям-кардхолдерам — обычные рекомендации: снимайте наличку в нормальных банкоматах — не тех, что в метро и торговых центрах стоят, а тех, что в отделениях банков, под охраной. Не держите все деньги на карте. Мониторьте остаток хотя бы раз в неделю: чуть что — звоните в банк и разбирайтесь. Ну и надейтесь на удачу: шанс, что у вас вытащат кошелёк в метро, думаю, повыше будет, чем то, что уведут деньги с карты. Хотя «всё возможно» и «были случаи».
Думаю есть смысл хранить основную сумму своих сбережений на банковских счетах без доступа к ним с дебиток…
а карточку и отдельный счет привязанный к ней использовать для карманных расходов… ну или незначительных покупок…
а карточку и отдельный счет привязанный к ней использовать для карманных расходов… ну или незначительных покупок…
Нужно иметь хотя бы три карточки:
1. для крупных покупок в «надежных» местах.
2. для мелких покупок где угодно
3. для оплаты в Интернете
На последних двух не стоит держать значительные суммы денег, лучше пополнять их по мере необходимости.
Все карточки должны быть отвязаны от основного банковского счета
1. для крупных покупок в «надежных» местах.
2. для мелких покупок где угодно
3. для оплаты в Интернете
На последних двух не стоит держать значительные суммы денег, лучше пополнять их по мере необходимости.
Все карточки должны быть отвязаны от основного банковского счета
И не забывайте подключать мобайл-банкинг, если он не подключен по-дефолту. Всегда будете знать о движениях средств на картах.
По моему Медведев поднимал еще летом вопрос о переходе России и заинтересованных стран на независимую банковскую систему по обслуживанию кредитных карточек.
Может быть эта утечка эту идею и продвигает.
Зы. Это безумная идея, но тоже имеет право если не на жизнь, то на обсуждение.
Может быть эта утечка эту идею и продвигает.
Зы. Это безумная идея, но тоже имеет право если не на жизнь, то на обсуждение.
А pin код после ввода сверяется с карточкой или с банком?
Интересно насколько большой процент в кардинге занимает этот метод.
НЛО прилетело и опубликовало эту надпись здесь
— Затем этот пин-блок отправляется на сервер банкомата. Он знает ключ пин-блока, поэтому может расшифровать пин-код — Пин код с системах банка не хранится. На основе некторых данных карты, таких как трек, CVV и тд, HSM с помощью различных алгоритмов формирует функцию. И вот выход этой функции сравнивается с пин-блоком. Если они совпадают, то принимается решение, что введен правильный пин.
Обычно в банках стоят вот такие HSM.
То есть большие, аппаратные и с хорошей производительностью…
То есть большие, аппаратные и с хорошей производительностью…
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Хакеры научились расшифровывать PIN-коды