 |
|
Sularahaautomaatide side ja PIN bloki turvalisus
postitas mauri PUN-intended osak. 21:50 8. detsember, 2006
Iisraeli turvaspetsid väidavad, et on leidnud tõsise turvaaugu pangavõrkudes, milles liiguvad deebetkaartide PIN koodid. Raport on käivitanud diskussiooni säärase asja võimalikkuse üle, kus paljud panganduseksperdid vähendavad nimetatud vea olulisust ning autsaiderid pole ühel nõul selle võimalike tulemite suhtes. Kuid keegi ei eita tohutut obadust, mille PIN bloki edukas murdmine rahaautomaatide süsteemile annaks.
Et aru saada ründe olemusest vaadelgem korra, kuidas liiguvad andmed ATM'i ja panga vahel. Esiteks sisestab topib klient oma kaardikese pilusse, kust loetakse vajalik info magnetribalt või küpiselt, seejärel sisestatakse PIN kood, need küpteeritakse kokku saades nn. krüptitud PIN blokk (EPB), mis pannaksegi kliendi kodupanga poole teele. Harva aga satub PIN blokk hoobilt otse koju, enamasti peab ta minema läbi paksu ja vedela ehk siis mitmete kolmandate firmade (pankade, kaardikeskuste, jne) võrkude. Siin hakkavadki ilmnema nõrgad kohad, nimelt liikudes erinevate firmade vahel läbib meie salajane bitijada lülitusi, mida nimetatakse HSM (hardware security module), kus PIN blokk lahti krüpteeritakse ning (uute võtmetega?) taas kokku lastakse. Odelia Moshe Ostrovsky ja Omer Berkman'i uurimuse kohaselt ongi seal nõrk lüli, kus saab lihtsa ründega "palja" PIN koodi kätte. Laiatarberaport MSNBC saidist ja dokk The unbearable lightness of PIN cracking(pdf).
< Tasuta tulemüür parem kui tasuline
| Augusto Pinochet surnud >
| |
| | |
|
Sularahaautomaatide side ja PIN bloki turvalisus
|
Logi sisse/tee kasutajakonto
| Top
| 19 kommentaari
| otsi arutelust
|
|
|
|
peenes kirjas:
Järgmised kommentaarid kuuluvad nende autoritele.
Meie ei vastuta nende eest kuidagi.
|
|
Mauri - Sa oleks võinud korraks piiluda ka enda poolt viidatud PDF-i sisse :) Probleem on selles, et pankade poolt ATM sides kasutatavad krüpteerimisalgoritmid on ajale jalgu jäänud. Ennevanasti, kui ATM ja panga vaheline side toimus ainult üle Leased Line, ei olnud nõrk krüptoalgoritm probleemiks. Tänapäeval on olemasolev infrastrukuur edasi arenenud ja (kohati) muutunud osaks Internetist. Sellega koos on ka potensiaalsel pahalasel tekkinud võimalus rünnata ATM-ide ja pankade vahelist sidet ning õngitseda seal liikuvaid pakette.
|
|
|
[ vasta sellele | artikkel
]
|
|
|
Kurat, ei usu mina, et ükski pank selliseid asju üle avaliku Interneti liigutaks. Ilmselt aetakse segamini avalik Internet ning mõned piiratud kasutusega võrgud. Tehnoloogia on sama (TCP/IP), mõni vist arvab, et "kas see on internet" aga tegelikult ega ikka ole küll. Ei saa sinna sisse ega saa sealt välja.
|
|
|
[ vasta sellele | artikkel
]
|
|
Rääkisin ühe tehnikuga kunagi ammu (nii aasta tagasi) tema ütles, et osadel ATMidel (mis uuemad ehk hiljuti asendatud) taga DSL ühendus osadel veel vana telefoni modem. Seega ühendus käib 2 viisil: 1 - otse sisse helistamisega ja 2- läbi neti IP aadressi vahendusel. Järeldused tehke ise.
Ridicule is the tribute that mediocrity pays to genius.
Trolliks modemine - "pisikese" inimese ainuke rõõm
|
|
|
[ vasta sellele | artikkel
]
|
|
|
hui need ATM-id siia puutuvad? jutt on krüptomoodulite API-st, need elavad enamasti kellegi andmekeskuses, mitte telefoniliini otsas.
|
|
|
[ vasta sellele | artikkel
]
|
|
Pealkirjaks on "Sularahaautomaatide side ja PIN bloki turvalisus" - kui sa veel ei tea siis ATM (automaatne telleri masin) ehk sularahaautomaat.
Ridicule is the tribute that mediocrity pays to genius.
Trolliks modemine - "pisikese" inimese ainuke rõõm
|
|
|
[ vasta sellele | artikkel
]
|
|
|
Ei ole küll spetsialist ATM-i teemal, aga mis ajast DSL ühendus automaatselt Internetti tähendab?
|
|
|
[ vasta sellele | artikkel
]
|
|
DSL modem,kyll, aga ...
1) Side k2ib yle privaatkanali, DSL kasutatakse transpordiks l2hima ATM (siinkohal: asynchronous transfer mode) s6lmeni mis reeglina on sealsamas ISP kapis kus DSL kontsentraator.
2) Side on kryptitud. Ka k6ige lihtsamate ATM ide puhul on kasutusel v2hemalt SSH tasemel turvalisus. Tehnik v6ib krossis panna otsad ATM mineva paari kylge aga kulub miljon aastat enne kui ta side lahti saab kryptitud.
Pole ei internet ega ka mitte pealt kuulatav.
|
|
|
[ vasta sellele | artikkel
]
|
|
|
ei ole imestunud, et kpt kõmiseja jällegi suutis viia jutu nii kaugele, et koidab jällegi üks vandenõu ;)
|
|
|
[ vasta sellele | artikkel
]
|
|
|
Njah, ta on lihtsalt elamiseks valinud selle teise maatriksi, mis koosneb vandenõuteooriatest.
|
|
|
[ vasta sellele | artikkel
]
|
|
|
Appikene, mis siis minust saab - ma pole lasteaias käinudki?!?! Tõde kord otsin, kord mitte. Raha ei kummarda, religiooni ka mitte. Kas selline elu on ka totaalse vandenõu ja ajupesu tulemus? Kas peaksin pingutama, et kaptentrummide ja fleimartrollide mustvalgesse maailma sobituda? Kui jah, siis kummale poole, kumba maatriksisse?
|
|
|
[ vasta sellele | artikkel
]
|
|
Teistest saab vanglatoit, nunuh.
Üldiselt jagunevad _täiskasvanud_ kaheks, ühed, kes näevad maailma sellisena, nagu see on, ja teised, kes näevad iga asja taga vandenõu. Tavaliselt selleks, et vähemalt enda jaoks leida vabandusi oma saamatusele eluga (nii sotsiaalses kui majanduslikus osas) toime tulla. Vanasti istusid sellised külalollid kõrtsi nurgas ja ei seganud kedagi.. interneti arengul on kahjuks mõned halvad küljed.
|
|
|
[ vasta sellele | artikkel
]
|
|
> ... iga asja taga vandenõu ... - kust sa selle
> välja lugesid? Kas me oleme kõigest juba
> rääkinud? Ahtake see silmaring?
ei, aga igast asjas, millest r22gitud on, on vanden6u leitud .. j2reldused on kerged tulema ;)
|
|
|
[ vasta sellele | artikkel
]
|
|
- 1 vastus allpool su määratud taset.
Ehjah.. paar kuud tagasi sai teatatud ühele panagle probleemist e-arvete vastuvõtmisel... Kahjuks pole keegi suvatsenud siiamaani sellele kirjale vastata ja viga on siiamaani parandatud.
Probleem siis selles, et firma kelle kaudu e-arved liikuma peaksid ei ole osanud oma meiliserverit korralikult ära seadistada...
|
|
|
[ vasta sellele | artikkel
]
|
|
Praegune pangasüsteem on üks suur vandenõu mis põhineb liigkasuvõtmisel ja väärtusetute paberilipakate (aka Fiat raha) nimetamisel millekski väärtuslikuks. Seega pole vaja minul kuhugi jõuda - kõik on seal juba olemas, tuleb ainult silmad lahti teha ja vaadata. Aga nagu öeldud - TÕDE on valus kuulata (ka vaadata) ning kergem on lasta illusoorsel maatriksil oma elu üle valitseda.
Ridicule is the tribute that mediocrity pays to genius.
Trolliks modemine - "pisikese" inimese ainuke rõõm
|
|
|
[ vasta sellele | artikkel
]
|
|
|
Kõik teavad, kus õnn ei ole, aga Trumm teab, kus ta on. Õnn on konspiratsioonis.
|
|
|
[ vasta sellele | artikkel
]
|
|
- 1 vastus allpool su määratud taset.
|
Loeb kokkuvõtet ja kommentaare Schneieri saidist [schneier.com]:
"... you're only as secure as the most untrusted bank on the network. Instead of just having to trust your own issuer bank that they have good security against insider fraud, you have to trust every other financial institution on the network as well."
Diskussioon on ka huvitav. Michael McKay (industry insider) selgitab väga veenvalt, miks selliste probleemide vältimine ja lahendamine raske on. Artikli autorid parandavad teda ja ennast, jne.
|
|
|
[ vasta sellele | artikkel
]
|
|
|
|
|
|
