Vlákno názorů k článku Jak se dělá phishing od majca - Zdravim chcela by som som sa opýtat a...
-
majca (neregistrovaný)
Zdravim chcela by som som sa opýtat a poradiť. Par dni dozadu ma okradli v holandsku o všetky doklady a pokial som stihla blokovat kartu urobili výber cez bankomat ING 2000 euro.medzi dokladmi sa nenachádzal moj Pin ale napriek tomu bol pon zadaný na prvy pokus a preto mi banka neni ochotna nic vratit.citala som rozne fora o tom ale vsade sa píše nieco ine.prosim poradte mi alebo napíšte mi názor ci skúseností. Ďakujem
-
Petr (neregistrovaný)Reagoval jsem pouze na dve Vase nepravdiva tvrzeni, ze se jedna o RFID cipy a ze je mozne je velmi snadno zkopirovat. O zpusobu obchazeni jsem nic nerikal (ani u nas jeste vsechny ATM nepouzivaji cipy), takze Vase spekulace o tom, ze o nich nic netusim, je zcela mimo misu. Bezpecnost zajistovana cipem zacne byt ucinna v okamziku, kdy bude penetrace bankomatu a platebnich terminalu pracujicich s cipem dostatecne velka na to, aby banky zacaly vydavat karty bez magnetickeho prouzku.
Zarizeni na klonovani cipu za par set dolaru rozhodne neziskate, udaje typu privatni klic nelze precist pomoci standardniho protokolu pro komunikaci s cipem (lze jej tak pouze zapsat), takze nestaci k jeho kontaktum pripojit nejake elektronicke zarizeni, ale musite fyzicky otevrit jeho pouzdro. -
samozrejme, zle som sa vyjadril v zhluku textu. chip platobnych kariet chip & pin je uz dnes celkom lahko odchytitelny a nasimulovatelny (vid posledne ccc, treba si pozriet prednasku z druheho dna tusim).
http://www.news.com/8301-10789_3-9875961-57.html?part=rss&tag=feed&subj=DefenseinDepth
tu je to z black-hat tohtorocneho. plus, vidno ze netusite ako sa obchadzaju taketo obmedzenia. atm a pos pracujuce s chipom su len v niekolkych krajinach a preto sa zlodeji masivne stahuju do zemi ako thajsko, kde tieto obmedzenia neplatia. to je ta lacnejsia cesta, ako zbytocne predrazovat proces klonovania karty, ktory tu uz niekto spominal. stovky tisic dolarov dnes uz ani nestoja auta, ledva domy ;) treba zit dnes, nie 20 rokov dozadu. staci otvorit ebay a dostatocne zariadenia (pinpady a ine technicke vybavenie) ziskate za par 100 dolarov -
Petr (neregistrovaný)"jediny chip na platobnych kartach je RFID"
To je pekna blbost. Vite vubec, co je to RFID (Radio Frequency Identification)? Videl jsem uz peknou radku cipovych platebnich karet, ale na zadne z nich rozhodne nebyl RFID cip.
"skopirovat chip je prakticky zabavka pre male deti"
To je take pekna blbost. Ten odkazovany clanek pouze rika, ze se jim povedlo odposlechnout cislo karty a jmeno drzitele, ne ze se jim podarilo zkopirovat cip. To je dost velky rozdil. Vyssi mira bezpecnosti cipovych karet je dana tim, ze narozdil od snadno zkopirovatelneho magnetickeho prouzku cip neslouzi pouze pro pasivni uschovani informaci, ale ze se umi aktivne zapojit do procesu autorizace transakce. Kdyz to zjednodusim, tak cip umi transakci elektronicky podepsat pomoci privatniho klice, ktery je ovsem ulozen uvnitr cipu a nelze jej bezne dostupnym zpusobem precist. K tomu byste potreboval opravdu specialni vybaveni minimalne za stovky tisic dolaru a hlavne dostatek casu.
Ano, pro elektronickou transakci cip nepotrebujete, to je pravda, ale Vase dve vyse zminena tvrzeni jsou naproste nesmysly. -
no nie kluce ale alga. je dost jednoduche ich ziskat, ale to uz je ina tema.
technologicke riesenie vychadza na tusim 300$. cize sa to vrati kolkymi, jednou ci dvoma kartami? socialne inzinierstvo je fajn, ale nie na taketo veci. pre mna je phising az posledna moznost, existuju lepsie sposoby ako ziskat to, co clovek chce.
neviem ci v komentaroch ci v clanku niekto pisal, ze nakupuju vlastne veci cez aukcie. to robia len ti, co sa vsemozne snazia ziskat peniaze z kariet (alebo si posielaju cez paypal). to je proste kravina, pretoze je to 3rd party poskytovatel a uzavretie akehokolvek prevodu trva viac ako 24h ak sa nejedna o AMEX alebo DISCOVERY alebo DINERS, tam to funguje inak -
Majo (neregistrovaný)Pokial viem, tak na vygenerovanie vsetkych tychto veci treba mat kluce, takze to asi nebude take jednoduche. Aj ked samozrejme vsetko sa da vygenerovat nahodne a ist stylom pokus-omyl, ale to je lahko odchytitelne.
Ohladom hacku chipu - ano, pocul som o tom, ale ako som pisal vyssie - je otazne kolko energie a penazi treba vynalozit na to, aby mi niekto "skopiroval" chip, t.j. vyrobil rovnaku kartu a pripadne z nej aj "vytiahol" PIN - tak aby s nou mohol urobit vyber/transakciu. Je to ovela narocnejsie ako potencionalny zisk. Kym existuju menej narocne sposoby (socialne inzinierstvo) - nikto sa tym nebude zaoberat. -
skopirovat chip = jediny chip na platobnych kartach je RFID a tie su uz davno out
http://www.engadget.com/2006/10/23/researchers-hack-rfid-credit-cards-big-surprise/
len maly priklad. samozrejme ze je toho daleko viac, staci otvorit google. vsetko sa sputilo na tohtorocnom cc a black-hat.
ja hovorim, ze nik nepotrebuje data z magistripe a chipu uz vobec nie. vsetko je dogenerovatelne, len staci vediet ako. netvrdim ze je to bezna znalost, ale da sa kupim za par 100$. -
Majo (neregistrovaný)"skopirovat chip je prakticky zabavka pre male deti" - to myslite vazne? Fakt ma to zaujima :) Co myslite pod "skopirovanim"? Ake typy chipov mate na mysli - SDA, DDA alebo nebodaj CDA?
Ale ved ja nehovorim ze sa nedaju robit platby na internete aj bez magstripe (alebo chipu), viem ake udaje treba na e-commerce, len som reagoval na text ze PAN a PIN staci utocnikovi aby "vyuzil kartu, ako keby ju mal" - chapem fyzicky, napr. na vybery z bankomatu. Tie sa bez magstripe a chipu (ak ide o EMV kartu) robit nedaju. -
nechcel som reagovat, fakt ze nie, ale nedalo mi to
skopirovat chip je prakticky zabavka pre male deti
ziadne udaje z magnetickeho pruzku netreba. staci cislo karty, exp doba.
potom velmi zalezi na tom, aku ochranu karta v tej ktorej krajine pouziva
existuju tri
track 1, track 2 a track 2 +
prvy je v tvare CISLOKARTY^PRIEZVYSKO/MENO^EXPALGO
druhy je v tvare CISLOKARTY=ALGO
vobec nie je potrebne mat PIN a CVV2 (CVN). staci posledne 4 cisla karty (najlepsie mat celu kartu, ale stacia aj posledne ak vie utocnik o aku ide banku) a EXP dobu, ktoru sam nedokaze zistit (bez pristupov k PCI DB).
vidim ze ani pan docekal sa nevyhol zavadzajucim informaciam. tie ceny co uvadzate v clanku su odkial? phising toolkit stoji 5$+ a na mieru sa vyrabaju za 25$+. je velmi jednoduche ziskat presne smerovane toolkity a emaily profesionalnych phisherov vyzeraju mierne inak a aj ich cielenie (vid ebay, o ktorom sa nikdy nikde nehovorilo) bol krasnym dokazom uspesnosti osobneho phisingu. tato problematika je daleko komplexnejsia a zlozitejsia a nemyslim si, ze ju moze pokryt osoba, ktora o nej cita na weboch inych spolocnosti -
Majo (neregistrovaný)Diki za reakciu, nechcel som ist do detailov, iba som chcel poukazat na nezrovnalosti.
OK, opravim sa - skopirovanie chipu je takmer nemozne, resp. treba na to vynalozit prostriedky ktore neumerne prevazuju potencionalny zisk utocnika, takze sa mu to neoplati. Hovorim, nechcel som ist do detailov, beriem to viac-menej ako laicku diskusiu.
Embossku (bez magnetickeho pruzku a/alebo chipu) nepouzijes na vyber z bankomatu, preto som napisal ze spominane udaje (PAN a PIN) nestacia na zneuzitie karty "ako keby ju mali". -
rony (neregistrovaný)Pre upresnenie: kazdy hovorite o inom type platobnej karty.
Ty hovoris o tzv. embossovanych kartach, kde skutocne na uskutocnenie (napr. internetom) platby postaci par udajov uvedenych na karte. A potom su tu udaje ulozene na magnetickom pruzku alebo chipe. Je obvykle, ze jedna "plastova" karta obsahuje naraz VIAC sposobov ulozenia udajov - od embossovania az po chip.
Cize pravdu ma aj majo, ked tvrdi napr. ze skopirovanie chipu je (ja tvrdim obtiazne) nemozne. A pravdu ma Jarda, ktory tvrdi, ze postaci vediet z embossovanej karty potrebne udaje. Akurat, ze obaja hovorite o niecom inom aj ked spadajucom pod jedno oznacenie "platobna karta".
Pre Jarda: mozes kludne vlastnit virtualnu "embossku" urcenu len pre platenie cez internet - prave kvoli tomu, ze ti staci poznat tieto udaje.
Rovnako mozes vlastnit neembossovanu kartu urcenu vyhradne na platenie cez POS terminaly a vyberanie z ATM, ktoru ale nemozno vyuzit na platby cez internet.
Nepracujem ako odbornik v kartovom biznise :-) -
> samotny PIN netreba hovorit NIKOMU - nemoze vas on poziadat ani len pracovnik banky.
vážně nemůže? už docela dlouho si o něj říkají dokonce na webu u citibank :-(
http://www.citibank.cz/czech/homepage/index.htm
odkaz "citibank online vstup", ještě jednou stejný odkaz (tentokrát vede jinam), dole "zaregistrovat se"
Nemáte ještě své uživatelské jméno a heslo?
Abyste mohl(a) využívat služeb Citibank Online, musíte se zaregistrovat a vytvořit si uživatelské jméno a heslo. Mějte při ruce svou kartu, budete potřebovat její číslo a Váš A-PIN (4-místný číselný kód pro výběry hotovosti z bankomatu). Bez těchto informací nelze přístup vytvořit.
Registrace k užívání služby Citibank Online
Vyberte, do jaké služby se chcete přihlašovat:
Prosím, zvolte svůj profil:
Číslo karty:
A-PIN 4-místný kód pro výběr z bankomatu:
no neposílejte pak phishingové maily, když jsou lidi zvyklí psát PIN ke kartě na webu :-| -
Jarda (neregistrovaný)Měl by sis opravit svoje znalosti, odborníku na bezpečnost v kartovém businesu. Při platbě přes internet ti je magnetický proužek akorát tak pro potěchu oka. Stačí přece znát jen pár údajů jako je jméno na kartě, číslo karty, doba platnosti a ověřovací kód. Copak jsi nikdy neplatil kartou přes internet?...
-
Majo (neregistrovaný)V clanku je par nepresnosti - PIN kod a cislo karty este samo osebe neumozni utocnikom "vyuzit kartu, ako keby ju mali" - na to potrebuju cely obsah magnetickeho pruzku, ktory uzivatelovi bezne nie je znamy, utocnik by sa musel fyzicky dostat ku karte (skimming). Taktiez sa v clanku nespravne pouziva vyraz "CCV" - v skutocnosti sa jedna o Card Security Code (CSC) a jeho varianty CVV2/CVC2 (v zavislosti od kartovej spolocnosti) - viac info na http://en.wikipedia.org/wiki/CVV2
Dalsim citlivym udajom (ktory sa v clanku nespomina) je datum expiracie karty, preto treba davat tieto udaje (cislo karty, expiracia, CVV2/CVC2) len overenym tretim stranam (obchodnikom), samotny PIN netreba hovorit NIKOMU - nemoze vas on poziadat ani len pracovnik banky.
Pre doplnenie - zaoberam sa bezpecnostou v kartovom biznise.
ČLÁNKY DO MAILU