Ke čtení bezkontaktních platebních karet stačí smartphone s Androidem

Thomas Skora, německý bezpečnostní expert, vytvořil a na Google Play zveřejnil aplikaci, která pomocí NFC dokáže přečíst bezkontaktní platební karty. Funkčnost byla dokázána na PayPass Mastercard a populární GeldKarte. Aplikace se v Google Play dlouho neohřála a její zdrojové kódy byly dostupné na GitHubu. Už ale zmizely i odtamtud, nyní jsou na bitbucket.org.

24.6.2012 22:49 | Migi | Zajímavý software

Komentáře

[Jaromír Svoboda]

Bezkontaktní platební karty budou i u nás.

[Matlák]

Už jsou

[Ganimoth]

Tak nejak. Normalne je uz pouzivam pri obcasnych nakupech v bille. Ono je to kupodivu rychlejsi nez lovit drobaky nebo cekat, az rozmeni bankovku.

[Andrej]

Proč ten budoucí čas? Já bezkontaktní kartu mám. (V České republice a od „české“ (lze-li ji tak nazvat) banky.) Tato zpráva mě pochopitelně příliš netěší. Ať už lze přečíst „pouze“ osobní údaje nebo i autorizovat transakce, v obou případech je to nepříjemné.

[Jaromír Svoboda]

Nesleduju to a nevěděl jsem, že již ty karty jsou, tak se omlouvám za ten budoucí čas. Jaké další banky nabízejí bezkontaktní karty?

[kavol]

no, teď to začla nutit Fio ... teda nutit - tím nucením myslím to, že u "lepších" karet nenabízí variantu bez toho bezkontaktního zvěrstva

[Johny007]

Nemůžu pochopit tu ignoranci, aroganci, demenci a škudlení všech bank, které vytváří mizerné zabezpečení a pak se brání tlaku veřejnosti na opravení. Jak jinak než uveřejněním chyb, se jim postavit? Jak jinak si vysvětlit, že lze platit bez pinu a platba se hlasí jako s PINem a další a další bugy. Jen blázen nechá měnit terminály po celém světě s vědomím, že ta technologie není zabezpečená.

[deafboy]

Aj ked som presne toto celej rodine vysvetlil, vsetkym je to jedno... preto to tak dobre funguje ;)
Google Play a GitHub ma ale prekvapili.. to som necakal.
Also... http://www.youtube.com/watch?v=X034R3yzDhw

[pc2005]

To je prej fake.

[Člověk z Horní Dolní]

Když už se někdo dostane k platební kartě, není jednodušší vyfotit ji z obou stran a pak provést online platbu?

[Mrkva]

Je, jenže v tomhle případě se k té kartě není nutné dostat (resp. na ni není nutné vidět) :)

[Matlák]

Přesně tak. Pokud nemáte hliníkovou peněženku, v podstatě útočníkovi stačí mít takovou čtečku v kapse a přiblížit se k vám třeba v tramvaji - čím víc takových karet bude, tím větší je šance že na nějakou narazíte. Výchozí nastavení například u ČS je jednorázový nákup do 500 bez PINu,,,

[Tomáš]

Jak je to s tím stíněním? Pochybuji, že hliník je vhodný materiál. Jakou konstrukci musí mít vhodná "stínící" peněženka, spíš tedy jenom obal? Jak tlustý musí být plech, který dokáže zabránit čtení? To se týká nejenom bezkontaktních plateb, ale taky třeba cestovních pasů, možná i občanek.

[Martin]

Měla by stačit vrstva z alobalu, která obepíná kritické objekty, tedy např. karty.

[rastos]

All of the card readers I've used at various buildings will read my door pass (RFID?) right through the case as long as I hold it a little closer to the reader.

[Jendа]

To má nějakou vohulenou čtečku, nebo možná karty na jiných frekvencích prochází líp. Já zkoušel nějakou za pár šupů ze Sparkfunu a Touchatag a nešlo to.

[Nereknu]

vohulena ctecka. Mozna clovek citi jak se mu zacina neprijemne potit noha, kdyz ho tim projizdej :))

[lertimir]

Asi proto, že má blbou krabičku. není podstatná ocelová krabička, ale kvalitní vodivost. pokud třeba výrobce pro "zlepšení ochrany" potáhl okraj dvířek gumou, aby dvířka těsnila, tak na el-mag pole má smůlu a projde dovnitř. Obal musí být dobře vodivý s otvory významně menšími, než je vlnová délka pole, proti kterému má obal chránit.

[pc2005]

Už se těším až budou tohle vyrábět sériově .

[Jendа]

Kryl jsem Mifare (13,56MHz) kartu, testoval jsem Touchatagem.

Alobal stačil, ale po deseti vyndáních a zandáních se rozpadl.

Pak jsem někde vykšeftoval železnou krabičku od doutníčků a nosím to v ní.

[Vykook]

Problém je to, že ji stejně nakonec u pokladny budeš muset odstínit, takže bude stačit, když si s tím dekodovacím sw, vlezu do sámošky, koupim rohlík a stoupnu si za tebe u pokladny.

[marek¨_hb]

na jakou vzdálenost to tak může fungovat?

u pokladny se musí kartou přejet po display čtečky, jinak ji to nevezme

[Mti.]

Na odkazovane wiki (ohledne NFC) pisou mj. toto: "...vzdálenost, dle standardu do 20 cm, spíše však 2-6 cm..."

[j]

Technicky hodne zalezi na antene prijimace, priklad - na horach sem si koupil permici na vlek, bylo to v papiru, a vpohode to sejmul prulez na metr.

Takze pokud si nekdo vyrobi dost velkou antenu (trebas si ji zasije do bundy, coz neni zadnej problem), tak ten metr podle me da. Takze ....

[Ravensun]

A co ta anténa v kartě? Ta by musela být také silnější aby dokázala "vyzářit" signál k vám, ne?

Jinak nejde ta možnost platit bezkontaktně zrušit v internetovém bankovnictví?

[j]

Rikam, byla to papirova permice +-velikosti kreditky, antena byla po obvodu (po dojezdeni sem to rozebral), vevnitr byl zaroven zalepenej nejakej ten rfid, snimac byl resenej jako detektory v krame proti kradezi pred turniketem. Mel sem to navic strceny v bunde, ke snimaci se stacilo lehce natocit. Takze metr to podle me spolehlive da.

Podobne sem videl otevirani dveri kartou v kapse "naprdeli". Stacilo k tem dverim prijit a lehce se natocit smerem k zavetri, kde byl umistenej snimac - dobryho 1/2 metru urcite. Nebylo treba nic vytahovat ...

Samo mam taky chip na otvirani dveri, tam to funguje jen nablizko - zaprvy ta antena musi bejt ciste z rozmerovych duvodu mensi, zadruhy snimac je taky jen krabka 10x10 cm. Takze v tomhle pripade to funguje prakticky az na "dotek".

Ostatne, mel sem tu cest i s resenim pro distribuci/skladovani ... nefunguje to teda nic moc, pokud je paleta plna ruznejch veci (reklamni zvasty o spolehlivosti ...), ale 1 rfid na palete to zvladne i hodne pres metr precist naprosto vpohode. A to prakticky bez ohledu na umisteni. (financne se to ovsem hrube nevyplati, protoze uplne stejnou spolehlivost ma radove levnejsi snimani carovyho kodu z papiru)

[Roman Došek]

Ale to o čem vy mluvíte jsou karty fungující na jiné frekvenci, než ty bezkontaktní vydávané bankami.

Ty od bank jsou 13.56MHz, zatímco ty průmyslové nebo zabezpečovací jsou na frekvencích 134kHz. Od toho se taky radikálně liší vzdálenost, na kterou lze s nimi komunikovat.

[Jendа]

V rámci zachování technologické přesnosti bych doporučoval psát zabezpečovací karty na 134 kHz jako „zabezpečovací“, v uvozovkách.

[Roman Došek]

Měl jsem na mysli zapezpečovací ve významu ochrana proti krádeži, jinak jsou pochopitelně naprosto nepoužitelné. Dokonce u nás na VŠ (UTB) se používají ty 134kHz všude jako přístupové karty, do menzy a podobně, dost smutné...

Dělal jsem na tohle téma bakalářku a dost mě to v té době překvapilo, ale už se nedivím ničemu.

[maddoxik]

Rad bych si o tom neco precet, mas ji nekde k dispozici? Diky.

[Roman Došek]

Dá se najít zde, nicméně z retrospektivy je ten text dost pochybné kvality. Měl jsem zaměření víc na praktickou část..

[pc2005]

Tak se použije citlivější přijímač. Na rozdíl normální čtečky nemusí dodržovat specifikace.

[pjoter]

Akorat ze HF(13.56MHz) komunikuje modulaci magnetickeho pole(elektromagneticka indukce), takze ta karta musi byt v poli te ctecky/anteny aby to fungovalo. Takze vetsi cteci vzdalenost = vetsi antena. U UHF(~860MHz ISM) to je princip radaru, ctecka posle signal a tag ho namodulovany "vrati" zpet, takze tam ti citilivejsi/vykonejsi vysilac/prijmac hodne pomuze:

http://www.youtube.com/watch?v=BR-JXDdzCko

http://www.tombom.co.uk/blog/?p=249

[pc2005]

Akorat ze HF(13.56MHz) komunikuje modulaci magnetickeho pole(elektromagneticka indukce), takze ta karta musi byt v poli te ctecky/anteny aby to fungovalo. Takze vetsi cteci vzdalenost = vetsi antena.

Karta bude v magnetickém poli vysílače i když bude dva metry daleko, magnetické siločáry jsou nekonečné. Jen bude problém s intenzitou.

[A]

Spravim si na dodavke pojazdny skener na dlhu vzdialenost, postavim sa pred obchodak a skenujem rad-radom

[Kvakor]

... tedy až do doby, kdy by se v poli čtečky najednou ocitlo takové množství karet, že by to čtečka nepobrala - i když jednotlivou kartu jde s vhodou anténou číst na metrové vzdálenosti, na zvládnutí velkého množství rozdílných karet by se nejspíš musela nejspíš postavit speciální čtečka s ještě speciálnější anténou, resp. anténami (co by využívaly vychytávky jako aperturní syntéza nebo formování paprsku fázovým posunem), protože běžně prodávané čtečky a čtecí moduly přečtou najednou jen několik karet (třeba čtyři nebo osm).

[Matlák]

Online platby bývají disabled by default, bezkontaktní platby bez PINu jsou enabled by default (mluvím o ČS)

[Jan Grmela]

U ČS možná, jinak mám tu zkušenost že většina nových karet už má platby na webu povolené aby nebyli zákazníci zmatení.

To však nic nemění na tom, že pokud jsou bezkontaktní platby bez PINu, tak je to průser podobný pasům s čipem.

[vojtech]

Online platby jsou taky by default, aspoň já když jsem si zařizoval účet, tak jsem nic povolovat nemusel a bylo to automaticky do 5000 Kč.

[vojtech]

Tim myslim u ČS

[astray]

Proto mám na všech svých kartách důkladně seškrábaný CVC kód.

[Bystroushaak]

Pěkná práce.

[AsciiWolf]

Nicméně ten přístup GitHubu je docela hnusný...

Pokud se nepletu, nejedná se navíc o první aplikaci, kterou GitHub z podobných "důvodů" smazal. :-/

[trekker.dk]

http://www.suvenyry.com/img/imi/2190012PB2.jpg

Akorát mi v ní už nějak dochází místo...

[NN]

+1

[OS]

Presne tak, tohle uz taky par let pouzivam na vsechny mozne karty (opencard, kreditky), uz jich dokonce nosim vic. Pro neznale je to ocelove pouzdro na vizitky, v papirnictvi proslo na cca 80kc.

[vain]

No jo, ale tak nějak to ztrácí význam toho slova "bezkontaktní", když to musíš potom někde u pokladny z krabičky vytahovat.

[Sten]

Ani ne, ta technologie má tak malý dosah, takže se vyndavat musí stejně. Tuhle akorát navíc musí otevřít.

[alblaho]

Nejlepší je, že ty zdrojáky mají doslova pár kilo. Prostě nijak zvlášť náročné hackování.

[Petr]

Vsak je tam jen naprogramovane cteni z toho NFC modulu.

[Rezza]

Asi si nejakou objednam, at si muzu hrat. Jinak je to klasika - dobry napad, spatna implementace. A to tu jeste nejsou platby pres NFC z telefonu.

[Rezza]

Druha vec ta platba do petikila bez PINu neni spatna vec, je to dost malo, asi jako kdyz clovek ztrati petikilo, ale muze to opravdu ulehcit na pokladnach (jestli to tedy prodavacky budou umet pouzivat, terminaly budou stat za neco vic nez h* atd.)

[SPM]

Nj, ale jestli to bude fungovat stylem "nainstaluju si tuhle aplikace a přiložim mobil k první kartě co uvidim", tak je pětikilo poměrně dost, když mě pokaždý někdo v MHD ošulí.

[Člověk z Horní Dolní]

Mě čtení NFC funguje jenom když je karta max 1 cm od telefonu...

[SPM]

Což pokud někdo má peněženku v zadní kapse u kalhot nebo v taštičce přes rameno, tak to může bohatě stačit.

[Člověk z Horní Dolní]

Pravda, ale riziko to snižuje na skoro zanedbatelnou úroveň. Pravděpodobnější je, že mi někdo tu peněženku ukradne, což je o hodně horší

[SPM]

Naproti tomu když ti ukradne peněženku s normální kartou, tak mu min. ta karta je defakto k ničemu. Pokud u téhle je jenom limit na jednu platbu xy, tak ještě stačí oběhat všechny krámy a po malých částkách vysaje i účet :)

[Člověk z Horní Dolní]

Kartu (alespoň tu mojí) může použít k online nákupu. Ten limit jsem predpokladal, ze je na den...

[lertimir]

Těch 500Kč je podle mne limit jedné transakce bez pinu. Celkové transakční limity na operace za den nebo týden jsou samozřejmě nastaveny jinde.

[j]

Ty se bezne nechas okrast o peto a mavnes nad tim rukou? A vazne nevim jakek rozdil mas v protazeni akrty ctecou vs sejmuti karty na dalku ... pricemz to prvni je o rad bezpecnejsi. Nikdo prece bankam nebrani aby umoznily nastavit platebni limit neautorizovany pinem i na kontaktnich kartach.

[rastos]

Mám rozbehnutú e-mailovú debatu so svojou bankou o takejto karte. V prvom maile od banky stálo:

- nakolko ide o vysoko bezpecnu cipovu technologiu, pravdepodobnost zneuzitia je velmi nizka.

Inými slovami: je to bezpečné lebo je to bezpečné.
To je z rovnakej kategórie ako: vypísal to počítač, tak to musí byť dobre.
Ako programátora ma to totálne upokojilo

V pripade straty/kradeze karty, ak ju klient nahlasi do 24 hodin, banka aj spatne berie zodpovednost za transakcie, ktore klient neuskutocnil a teda klient neutrpi ziadnu financnu skodu (netyka sa napr. transakcii uskutocnenych s pouzitim spravneho PIN kodu).

To znie už lepšie. Ale počkám si na prvé medializované reklamácie z tohto súdka a som zvedavý, koľko oštary bude mať klient s tým, aby preukázal, že transakcie neuskutočnil.

[Jendа]

To znie už lepšie.

Ne, nezní. Víš proč? Protože ty peníze, které odtečou na fraudu (a že jich je), musí banka nakrást vzít někde jinde. Tak se nedivte, proč jsou takové poplatky.

[R]

No a ked kartu nestratis a ani ti ju nikto neukradne? Ako v tomto pripade - niekto "len" urobi transakciu namiesto teba.

[j]

Nehlede na to, ze chci videt jak si nekdo kontroluje denne vsechny pohyby na ucte, aby si vsimnul, ze tam ma vydaj o kterym nevi ... specilene pri predstave, ze by ze bezhotovnostne melo platit vsechno ...lol.

=> prijde na to za 14 dnu a stim u zho banka posle doprdele => vysledek je naprosto nulova bezpecnost, dokonce o nekolik radu horsi, nez mit papirky po kapsach.

[R]

Nepomoze ani denna kontrola pohybov na ucte, ani SMS notifikacia. Preco? Lebo (aspon u nas) sa bezkontaktne platby nezuctuju okamzite, ale s oneskorenim aj niekolkych dni! To si potom clovek uz nepamata, kde a co platil...

[Člověk z Horní Dolní]

Slo by to resit tak, ze bych mel nastaveny casove neomezeny rozpocet treba 500 Kc. Kdyz bych ho prekrocil, musel bych zadat PIN (u bezkontaktni platby) a u online platby by mi dosla SMSka, na kterou bych musel odpovedet.

[Jendа]

I tak by tě kdokoli mohl okrást o 500, to mi přijde nehezké.

SMS jsou lepší než nic, ale jdou poslouchat. (přednášející nejprve hrubě popíše funkci GSM sítě a pak předvede, jak ji lze za použití hacknutých mobilů a výkonného serveru pro lámání klíčů poslouchat; ty zkrácené popisky se mi začínají líbit :)

[Člověk z Horní Dolní]

Pravda, ale je to cena za pohodlí, kterou jsem ochoten zaplatit :) To riziko je podle mě hodně malé (kdo bude riskovat a namáhat se kvůli blbým 500 Kč...).

[j]

Kvuli petikilu, jehoz kradez nelze nijak odhalit? A o ktery muze potencielne obrat tisice lidi behem dne? Lol, jdu si tu appku napsat. Vis kolik tu bylo v obehu nekonecnych karet do telefonich automatu?

[Bystroushaak]

Vis kolik tu bylo v obehu nekonecnych karet do telefonich automatu?

To bych teda docela rád věděl. Od té doby, co karty nejsou jen epromky imho nula. Docela jsem se tomuhle tématu věnoval a i když je pravda, že v té době jsem neměl zrovna skill ohledně těchto věcí, tak challenge/response protokol pokud vím nikdo neobešel dodnes.

[pc2005]

Tak ono taky na co, když se od ukončení eprom karet masivně rozšířily mobily .

[Člověk z Horní Dolní]

Když skenuju OpenCard, tak musím být sekundu 1.5 cm blízko. Takže pokud nebudu nosit v davu peněženku v zadní kapse, tak mi skoro nic hrozí.

[rastos]

Mimochodom, mám pocit, že pri presvietení karty silným svetlom, je možné vidieť slučku RFID antény a myslím, že dobre mierený rez žiletkou by to mohol vyriešiť.

[Jendа]

Nebo RFID Zapper (pár závitů tlustšího drátu a velký kondenzátor).

[mikirc]

Tak to potom budou lidi chodit s RFID Zapper v kapse a nic karty lidem v okoli :D A potom u pokladny proc mi to sakra nefunguje :D

[Jendа]

…což byl ostatně hlavní důvod, proč nosím (přístupovou) RFID kartu do místního hackerspace v kovovém pouzdře. Nebojím se ani tak vyčtení (kdo dokáže provést tento útok, je vítán), jako spíš zničení.

[Jendа]

Btw. zajímalo by mě, co by dělala mafie se zničenou anonymní openkrad v případě kontroly jízdenek.

[SPM]

Nic, zaplatíš pokutu :) stejně jako u neanonymní openkrad bez zpracování osobních údajů nebo jak tomu nadávají...

[SPM]

Řekl bych, že lidí s RFID zapperem bude ještě méně než těch, které ty karty budou číst :) nic kovového v peněžence nemám a všechny moje RFID karty fungují.

[j]

Na zniceni casto staci vejlet MHDckem ... mam v zivy pameti jak to vypadalo s datama na disketach, kdyz si to vzal clovek do krtka ... a parkrat to stejne dopadlo i s diskem.

[SPM]

a parkrat to stejne dopadlo i s diskem.

Možná by pomohlo strčit si do toho batohu předtím funkční disk :)

[Sten]

To jste ten disk strkal pod (odstíněnou) podlahu nebo co?

[SPM]

Spíš na kolej pod kola :)

[Filip Jirsák]

Nebo si bezkontaktní platební kartu vůbec nepořizovat, když jí nechcete. To je ještě jednodušší řešení.

[rastos]

V mojom prípade je karta súčasťou balíka (nepoužiť balík služieb vyjde draho) a pôvodná karta expirovala, takže mi banka automaticky poslala novú - už bezkontaktnú. Normálnu už nevydávajú. Mať platobnú kartu je asi tak 70% dôvodov prečo mať účet v banke. Tak som už na pol ceste do inej.

[Balu]

Ako napísal kolega, to by Ti najprv musela dať banka možnosť voľby. Slovenská Tatrabanka (patrí do reiffeisengroup) už dáva výhradne bezkontaktné karty, našťastie tento účet už využívam takmer výhradne iba na e-banking.

[mrtwosh]

Neviem, aké máš zostatky na účte, ale nie je 5 € mesačne za internetové platby zbytočný luxus? Hlavne ak to ide minimálne v dvoch iných bankách za 0 € (jedna je dokonca z tej istej skupiny).

[Balu]

Je to síce off-topic, ale nemám problém odpovedať.

Na likvidácii tohto účtu sa intenzívne pracuje, ale momentálne by to bolo ešte nevýhodné, a zadávať príkazy na pobočke by sa predražilo ešte viac. Krok s bezkontaktnými kartami bol už len ďalším, aj keď nie zanedbateľným impulzom k urýchleniu odchodu ku konkurencii.

Myslím že nemá zmysel rozoberať to ďalej v tomto vlákne, ak chceš, môžeme to prebrať v súkromnej komunikácii.

Hlavne dúfam, že v budúcnosti bude aspoň niekto ponúkať skutočne na výber medzi normálnou a bezkontaktnou kartou.

[j]

Ja mam doma trebas kartu hozenou na polici, protoze sem si ji musel porit prave kvuli tomu, abych neplatil debilni poplatek. Tak mam kartu kterou nanic nepotrebuju (neb pouzivak kartu k jinymu uctu). A kdyz mi tuhle zacli v marketu nejaky spameri verejnyho prostoru vnucovat dalsi ... tak sem tem pipinam rek, ze jestli chtej, pozvu je na kafe, ale o karte at uz nekvaknou ani slovo(ze prej mi budou za jeji pouzivani platit - nj, kdo by nechtel vedet co kde nakupuju, proto platim az na vyjimky vetsich obnosu zasadne hotove) ... zjevne je tam nekdo hlidal, takze na kafe nesly.

[Člověk z Horní Dolní]

Budoucnost je spíš v mobilech s NFC. Mohlo by to fungovat nějak takhle:

U pokladny vytáhnu mobil, odemknu, přiložím ke čtečce a auomaticky se otevře platební aplikace. Čtečka se šifrovaně spojí s mobilem a pošle účet, který se zobrazí na displeji telefonu. Jedním kliknutím potvrdím a mobil pošle povolení k provedení této platby. To povolení může vypadat jako "kdo + kolik + komu + náhodné číslo", celé zašifrované privátním klíčem. Pro bezheslové platby by byl nějaký denní limit, po překročení by bylo třeba zadat PIN.

Online platby (nákup u Amazonu atd.) by fungovaly skoro stejně. Jenom místo přiložení ke čtečce by se v online obchodě zadalo něco jako číslo karty. Pak by to probíhalo stejně, jenom ne přes NFC, ale přes internet - na mobil by mi došel účet, který bych potvrdil.

[Člověk z Horní Dolní]

Ten krok s potvrzením by u neonline plateb vlastně ani nebyl potřeba.

[petr_p]

To nelze. Jak by k tomu přišly kartové společnosti?!

[Yontalcar]

Pohřeb Velkého bratra

[Člověk z Horní Dolní]

To bude určitě zase jeden z článků, kterej má 10 stránek ale obsah lze vyjádřit ve 3 větách :)

[Jendа]

Pomocí moderní kryptografie (např. RSA Blind Signature) lze udělat lépe spousta věcí, které vidíme kolem - ať už anonymní platby, nezfalšovatelné volby, boj proti spamu nebo vstupní systémy. Autor článku tyto principy vysvětluje formou, která je stravitelná i pro nekryptologa.

[Člověk z Horní Dolní]

Dík za shrnutí, když jsem viděl jak to je dlouhý, hned jsem to zavřel...

[j]

Ono se da spoustu veci, ale kdo by to delal, kdyz mu z toho neplynou prachy, ze ... ;D Proc trebas resit anonymni vymenu digitanich penez (coz lze), kdyz stejne tak dobre lze lidi dotlacit do toho, ze na sebe prasknou kazdy koupeny bombony.

[Jendа]

Nicméně stále mě fascinuje, že to takto banky nedělají. Tento postup přece musí napadnout kohokoli, kdo ví, co je to asymetrická kryptografie, během pěti minut. Aplikace do mobilu se dá napsat přes víkend a provoz je zadarmo (datové připojení si platí uživatel smartphonu). Karty s displejem (vzpomínáte si na kalkulačky z tržnice z 90. let?) a schopností provést netriviální kryptografii jsou už dostupné taky poměrně dlouho a stojí pár korun. Teď je otázka, proč to sakra banky nedělají? Buď jsou tam naprostí idioti, kteří to neumí implementovat (tomu nevěřím, ta kryptografie už je hotová ve volně dostupných knihovnách typu openssl/gnutls - stačí jenom použít), nebo by klient nechtěl kartu, kde musí částku tlačítkem potvrdit (možná, třeba spolužáci na mě koukali jak na zjevení, když jsem namítl, že webový systém pro jídelnu, kde je username ve tvaru příjmeníjméno a čtyřmístný pin se dá na 10000 pokusů, tedy za dvě hodiny, bruteforcnout). No a nebo je tam něco úplně jiného, co mi uniká.

Celé by to ještě šlo rozšířit o anonymizační prvek.

Nu, PayPal krade cizí peníze, kreditky jsou děravé jako řešeto a tak nám nezbývá nic jiného než cash (používám pro všechny transakce, kde je to možné) a Bitcoin, který má zase některé jiné problémy (e.g. počítač Intel Atomem pomalu přestává stačit pro full-chain klienta).

[Lol Phirae]

třeba spolužáci na mě koukali jak na zjevení, když jsem namítl, že webový systém pro jídelnu, kde je username ve tvaru příjmeníjméno a čtyřmístný pin se dá na 10000 pokusů, tedy za dvě hodiny, bruteforcnout

No vidíš, já zase zažil člověka, co chtěl na zamčený kufřík s jedním číselným zámkem volat zámečníka. Prostě, používání mozku bolí.

[Jendа]

To je kolik, 10³? U horších zámků existuje způsob s náročností 3*10+10. Kolečka totiž mají zevnitř z boku zoubek, a když jsou všechny zoubky v jedné pozici, zámek se otevře. Polohu zoubku jde detekovat vsunutím tenkého plíšku mezi číselníky - při otáčení plíšek přes zoubek přeskočí.

[Lol Phirae]

Takovej ten "podnikatelskej" krám módní tak před dvaceti lety, 000-999, pokud to bylo "jeté", tak většinou fungovaly i "sousední" kombinace.

[SPM]

Jen si nejsem jist, o kolik lepší je používat cash, kterou umí vzít každej pitomec, co má funkční alespoň jednu ruku :)

[j]

Kolikrat ti ty prachy nekdo vzal? A kolikrat si resil nejakej problem s kreditkou? Me ejste nikdo real prachy nevzal, zato potize s kreditkou sem byl nucen resit nekolikrat.

[SPM]

Potíže s kreditkou jsem řešil asi jednou v alberu, kde u pokladny byl nějakej vyčvachtanej terminál a kartu ignoroval. Peníze mi sice zatím nikdo nesebral, zato jsem chytnul šmejda v autobusu s rukou v mym baťohu a ač mi nic nevzal, tak jsem měl následně problém věci ubránit, protože se to hovado urazilo, když jsem ho nazval zlodějem a měl neustálé nutkání se se mnou prát. Takže jo, zatímco u karty možná semtam nějaký problém je, ale po odcizení se s ní nedá nicmoc dělat a dá se poměrně rychle zablokovat, tak u hotovosti si ani nejsem jistej, jestli jí vůbec jsem schopnej ubránit ikdyž toho zloděje vidím.

[pc2005]

vzpomínáte si na kalkulačky z tržnice z 90. let?

Jo ty byly hustý. Dokonce snad měly něco jako zvukový generátor, protože si pamatuju, že když jsem to jako dítě rozebíral tak jsem si všiml dvou plošek, na které když se připojilo piezo, tak pípalo.

Jinak ad banky a zabezpečení. Asi se snaží jít cestou nejnižšího odporu. Kdyby zákazníci museli lovit znaky jako #$%^@&, tak by bance asi nepoděkovali . Stačí si vzpomenout na otisky a certifikáty datových schránek... no vlastně i na datové schránky obecně .

[zudet]

No, ztrata 500 Kc timhle zpusobem je mozna ta lepsi varianta problemuuu.

Ale co nove pasy s chipem. Predem uvadim, ze nejsem v NFC problematice znalyyyy. Dokazu si ale predstavit, ze timhle zpusobem se daji precist i urcite informace z pasu. Mozna i vic, nez by se zdalo. A vzhledem k tomu, ze tam jsou ulozeny i otisky prstuuu, tak bych rekl, ze to chce kovove obaly i na pasy. Myslim, ze tady uz jde o kradeni identit nebo podvrzeni otisku prstuu v ramci kriminalni cinnosti.

[Lol Phirae]

http://www.theregister.co.uk/2008/08/06/epassport_alteration_demo/.

Dutch Biometric Passport - Code Cracked

No a takhle bychom mohli pokračovat. Ale ovčani jsou spokojení, beeeeeeee.

[Lol Phirae]

Researcher gives Elvis and bin Laden fake e-passports.

Dutch Biometric Passport - Code Cracked

No a takhle bychom mohli pokračovat. Ale ovčani jsou spokojení, beeeeeeee.

[Filip Jirsák]

Dokazu si ale predstavit, ze timhle zpusobem se daji precist i urcite informace z pasu. Mozna i vic, nez by se zdalo.

Takovýmhle argumentem můžete zpochybnit naprosto cokoli, včetně papírového pasu, bankovek nebo třeba valounků zlata. Když máte takovou představivost, představte si taky to, že předávané informace mohou být zašifrované a heslo je na tom pasu vytištěné. Takže kdo chce informace přečíst, musí ten pas vidět. Celé to pak funguje na stejném principu, jako byste to měl na pasu napsané, akorát se nemusí používat nějaké OCR nebo QR kódy a vejde se tam toho víc.

[Jendа]

Navíc u současných pasů se to tuším řeší tak, že elektronická část pasu funguje jenom když je otevřený (nevím, jestli je to řešeno nějakým spínačem nebo prostě alobalem v deskách). Takže když je v kapse zavřený, nekomunikuje.

[JirkaV]

Bezkontaktní kartu můžete efektivně chránit pomocí ochranného stínícího obalu. Výrobců a prodejců je více. Stačí např. v Google: ochranný obal na bezkontaktni karty