On Sat, 6 Jul 2013 23:17:07 +0200, "J.F."
<jfox_xnospamx@poczta.onet.pl> wrote:

czemu nam wciskaja ?
A moze temu
http://wyborcza.biz/biznes/1,101562,14197672,Tajemnice_kart_platniczych__bankomatow_i_terminali.html

Zalety? Karty zużywa się trzykrotnie wolniej od paskowej, możemy nie
wypuszczać jej z ręki, drobne transakcje są błyskawiczne.

i pare ciekawych informacji

"Forbes" sugeruje, że jednak tak, i opisuje publiczny pokaz skimmingu
karty zbliżeniowej w wykonaniu Kristin Paged (specjalistki ds.
bezpieczeństwa danych wspomagającej Apple'a i Microsoft). Posługując
się sprzętem kupionym na eBayu (czytnik Vivotech RFID za 50 dol. i
magnetyzer do kart za 300 dol.)    

Wszystko prawda. Tu gdzie mieszkam, sprzedaja gustowne etui do kart i
paszportow majace te cenna wlasnosc ze ekranuja karte i nei da sie jej
chipa RFID odczytac. Jezeli w Polsce takich nei ma, to jest nisza na
rynku dla obrotnego pzredsiebiorcy :)

A.L.

P.S. Co patrwda kart z RFID jest tyle co an lekarstwo, ale kazdy
paszport ma RFID

A.L. wrote:

Wszystko prawda. Tu gdzie mieszkam, sprzedaja gustowne etui do kart i
paszportow majace te cenna wlasnosc ze ekranuja karte i nei da sie jej
chipa RFID odczytac. Jezeli w Polsce takich nei ma, to jest nisza na
rynku dla obrotnego pzredsiebiorcy :)

A.L.

P.S. Co patrwda kart z RFID jest tyle co an lekarstwo, ale kazdy
paszport ma RFID

tam gdzie mieszkasz to i gowno owiniete w papierek by sprzedali jesli tylko znalazl by sie frajer, ktory by uwierzyl, ze to dziala i chial kupic.

On Sun, 07 Jul 2013 00:41:38 -0500, witek
<witek7205@gazeta.pl.invalid> wrote:

A.L. wrote:

Wszystko prawda. Tu gdzie mieszkam, sprzedaja gustowne etui do kart i
paszportow majace te cenna wlasnosc ze ekranuja karte i nei da sie jej
chipa RFID odczytac. Jezeli w Polsce takich nei ma, to jest nisza na
rynku dla obrotnego pzredsiebiorcy :)

A.L.

P.S. Co patrwda kart z RFID jest tyle co an lekarstwo, ale kazdy
paszport ma RFID

tam gdzie mieszkasz to i gowno owiniete w papierek by sprzedali jesli tylko znalazl by sie frajer, ktory by uwierzyl, ze to dziala i chial kupic.

Dla mnei - rewelacja

A.L.

On Sat, 06 Jul 2013 20:42:20 -0500, A.L. <alewando@aol.com> wrote:

chipa RFID odczytac. Jezeli w Polsce takich nei ma, to jest nisza na
rynku dla obrotnego pzredsiebiorcy :)

Owszem są, paranoiczne obawy do kart zbliżeniowych są powszechne, co często można zauważyć nawet na tej grupie.

--
Marek

W dniu 2013-07-07 11:36, Marek pisze:

Owszem są, paranoiczne obawy do kart zbliżeniowych są powszechne, co
często można zauważyć nawet na tej grupie.

Paranoiczne? System umożliwia kradzież pieniędzy, których nawet
nie ma na rachunku, a banki nie chcą brać odpowiedzialności za
nie potwierdzone pinem transakcje. Jeśli ktoś rozumie działanie
usługi oraz jej regulamin to jego obawy są uzasadnione.

On 2013-07-07, MarcinF <marfi@interia.pl> wrote:

[...]

Owszem są, paranoiczne obawy do kart zbliżeniowych są powszechne, co
często można zauważyć nawet na tej grupie.

Paranoiczne?

Tak.

--
Wojciech Bańcer
proteus@post.pl

W dniu 2013-07-07 16:38, Wojciech Bancer pisze:

Paranoiczne?

Tak.

Unikanie tracenia karty z oczu, sprawdzanie czy bankomat nie ma nakładki
do skimmingu i zaklejanie kodu CVV też uważasz za paranoję ?

W dniu niedziela, 7 lipca 2013 21:28:26 UTC+2 użytkownik MarcinF napisał:

Unikanie tracenia karty z oczu, sprawdzanie czy bankomat nie ma nak�adki

do skimmingu i zaklejanie kodu CVV te� uwa�asz za paranoj� ?

Ja tak.

Dnia Sun, 7 Jul 2013 12:35:28 -0700 (PDT), Kris napisał(a):

W dniu niedziela, 7 lipca 2013 21:28:26 UTC+2 użytkownik MarcinF napisał:

Unikanie tracenia karty z oczu, sprawdzanie czy bankomat nie ma nak�adki

do skimmingu i zaklejanie kodu CVV te� uwa�asz za paranoj� ?

Ja tak.

No patrz Pan!
A (pomijając zaklejanie kodu CVV) banki oraz policja właśnie takie kroki
zalecały po każdym nagłośnionym przez media przypadku skimmingu!
Czyżby banki i policja zostały opanowane przez paranoików?

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-07, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

No patrz Pan!
A (pomijając zaklejanie kodu CVV) banki oraz policja właśnie takie kroki
zalecały po każdym nagłośnionym przez media przypadku skimmingu!
Czyżby banki i policja zostały opanowane przez paranoików?

W tym wypadku oczywiście że wykazują pewną nazwijmy to - zawodową - paranoję.

--
Wojciech Bańcer
proteus@post.pl

W dniu 2013-07-07 21:28, MarcinF pisze:

W dniu 2013-07-07 16:38, Wojciech Bancer pisze:

Paranoiczne?

Tak.

Unikanie tracenia karty z oczu, sprawdzanie czy bankomat nie ma nakładki
do skimmingu i zaklejanie kodu CVV też uważasz za paranoję ?

Ja zdrapuję (zapisawszy sobie przedtem zaszyfrowane). Jestem paranoikiem?




--

Dziękuję. Pozdrawiam.   sqlwiel.

On 2013-07-07, MarcinF <marfi@interia.pl> wrote:

[...]

Paranoiczne?

Tak.

Unikanie tracenia karty z oczu, sprawdzanie czy bankomat nie ma nakładki
do skimmingu i zaklejanie kodu CVV też uważasz za paranoję ?

Mhm.

--
Wojciech Bańcer
proteus@post.pl

On 07.07.2013 16:38, Wojciech Bancer wrote:

On 2013-07-07, MarcinF <marfi@interia.pl> wrote:

[...]

Owszem są, paranoiczne obawy do kart zbliżeniowych są powszechne, co
często można zauważyć nawet na tej grupie.

Paranoiczne?

Tak.

A jednak przykłady obronienia karty zupełnie offline się zdarzały i limit 3 transakcji bez PINu okazał się być nie zasadą działania systemu a "zasadniczo tak być powinno ale nie zawsze".

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset złotych. KK zbliżeniowej nie chcę.

p. m.

W dniu 2013-07-08 18:20, m pisze:

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset
złotych. KK zbliżeniowej nie chcę.

Się zastanawiam, czy lepiej wklepywać PIN dając sporą szansę na jego podglądnięcie (zwłaszcza w jakimś Lidlu blisko domu, gdzie bywam 3x/tydz), czy raczej płacić zbliżeniowo-bezpinowo.

.... w Lidlu akurat PINpady są osłonięte.




--

Dziękuję. Pozdrawiam.   sqlwiel.

W dniu 2013-07-08 18:20, m pisze:

A jednak przykłady obronienia karty zupełnie offline się zdarzały i
limit 3 transakcji bez PINu okazał się być nie zasadą działania systemu
a "zasadniczo tak być powinno ale nie zawsze".

Mieli zapisać limity ale miejsca na karcie brakło, bo musieli zarezerwować na listę ostatnich transakcji ;) Fakt, że na karcie jest też lista ostatnich X transakcji to takie moje wczorajsze odkrycie przy zabawie z kartami EMV. Trochę dziwi, że karty chętnie dzielą się z każdym zainteresowanym różnymi danymi dot. użytkownika - oczywiście dane te są jawne i można je odczytać każdym czytnikiem kart chipowych. Wszak zapisanie szczegółów ostatnich 10 (i więcej) transakcji czemuś służy (ktoś wie czemu?). A co do limitów ilościowych to bywa że są ustawione 3 szt. dla terminali online, ale jak terminal jest offline to 5 sztuk karta chętnie obsłuży bez marudzenia.

Zgłębiam jeszcze tajniki negocjacji sposobu autoryzacji transakcji i wnioski też nie są zbyt optymistyczne: mimo, że można wymusić aby PIN między terminalem i kartą był szyfrowany to banki z jakiegoś powodu 'proponują' terminalowi przesłanie go w sposób jawny, nawet jeśli obsługuję on metodę szyfrowaną. A fakt, że taką transmisję można stosunkowo łatwo podsłuchać... no ale przecież to użytkownik odpowiada za transakcje z użyciem PINu.

No ale to na razie początek mojej analizy danych z kart emv więc na razie nie będę siał (większej) paniki ;)

Dnia Mon, 08 Jul 2013 19:54:16 +0200, osa napisał(a):

Mieli zapisać limity ale miejsca na karcie brakło, bo musieli zarezerwować na listę ostatnich transakcji ;) Fakt, że na karcie jest też lista ostatnich X transakcji to takie moje wczorajsze odkrycie przy zabawie z kartami EMV. Trochę dziwi, że karty chętnie dzielą się z każdym zainteresowanym różnymi danymi dot. użytkownika - oczywiście dane te są jawne i można je odczytać każdym czytnikiem kart chipowych. Wszak zapisanie szczegółów ostatnich 10 (i więcej) transakcji czemuś służy (ktoś wie czemu?). A co do limitów ilościowych to bywa że są ustawione 3 szt. dla terminali online, ale jak terminal jest offline to 5 sztuk karta chętnie obsłuży bez marudzenia.

Zgłębiam jeszcze tajniki negocjacji sposobu autoryzacji transakcji i wnioski też nie są zbyt optymistyczne: mimo, że można wymusić aby PIN między terminalem i kartą był szyfrowany to banki z jakiegoś powodu 'proponują' terminalowi przesłanie go w sposób jawny, nawet jeśli obsługuję on metodę szyfrowaną. A fakt, że taką transmisję można stosunkowo łatwo podsłuchać... no ale przecież to użytkownik odpowiada za transakcje z użyciem PINu.

No ale to na razie początek mojej analizy danych z kart emv więc na razie nie będę siał (większej) paniki ;)

Niecierpliwie czekamy na dalsze ustalenia :)

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

osa <woytek18@poczta.fm> writes:

Mieli zapisać limity ale miejsca na karcie brakło, bo musieli
zarezerwować na listę ostatnich transakcji ;) Fakt, że na karcie jest
teĹź lista ostatnich X transakcji to takie moje wczorajsze odkrycie
przy zabawie z kartami EMV. Trochę dziwi, że karty chętnie dzielą się
z każdym zainteresowanym różnymi danymi dot. użytkownika - oczywiście
dane te są jawne i można je odczytać każdym czytnikiem kart chipowych.

Co teoretycznie powinno powodować nielegalność tych kart w Polsce.
Rzecznik coś tam raz na jakiś czas powie/napisze, ale jakoś niezbyt
głośno.

Wszak zapisanie szczegółów ostatnich 10 (i więcej) transakcji czemuś
służy (ktoś wie czemu?).

Żeby można było stwierdzić, że daną kartą (a nie np. jej klonem)
dokonano (lub nie) danej transakcji (fraudu).

Zgłębiam jeszcze tajniki negocjacji sposobu autoryzacji transakcji i
wnioski też nie są zbyt optymistyczne: mimo, że można wymusić aby PIN
między terminalem i kartą był szyfrowany to banki z jakiegoś powodu
proponują' terminalowi przesłanie go w sposób jawny, nawet jeśli
obsługuję on metodę szyfrowaną. A fakt, że taką transmisję można
stosunkowo łatwo podsłuchać... no ale przecież to użytkownik odpowiada
za transakcje z uĹźyciem PINu.

Teoretycznie, to niby nie.
A praktycznie, to i bez PINu często odpowiada.

No ale to na razie początek mojej analizy danych z kart emv więc na
razie nie będę siał (większej) paniki ;)

Prawda jest taka, że nie należy takich kart "tracić". Tyle że
w kontekście NFC "utrata karty" zaczyna oznaczać coś innego.
--
Krzysztof Hałasa

Użytkownik "m" <mvoicem@gmail.com> napisał w wiadomości news:51dae6c2$0$1214$65785112news.neostrada.pl...

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset złotych.

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu kilkunastu minut potrafią zrobić ci kilka tysięcy debetu ?
P.G.

W dniu 2013-07-09 10:03, Piotr Gałka pisze:

Użytkownik "m" <mvoicem@gmail.com> napisał w wiadomości
news:51dae6c2$0$1214$65785112news.neostrada.pl...

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset
złotych.

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu
kilkunastu minut potrafią zrobić ci kilka tysięcy debetu ?
P.G.

Dodać koniecznie:
Który to debet zapłacisz, bo "bank nie ma możliwości odrzucenia transakcji off-line".


--

Dziękuję. Pozdrawiam.   sqlwiel.

sqlwiel <"nick"@googlepoczta.com> writes:

Który to debet zapłacisz, bo "bank nie ma możliwości odrzucenia
transakcji off-line".

Oczywiście że ma. Ale decyzję musi wcześniej zapisać na karcie.
--
Krzysztof Hałasa

On 09.07.2013 10:03, Piotr Gałka wrote:

Użytkownik "m" <mvoicem@gmail.com> napisał w wiadomości
news:51dae6c2$0$1214$65785112news.neostrada.pl...

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset
złotych.

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu
kilkunastu minut potrafią zrobić ci kilka tysięcy debetu ?

Mam. Trochę mi to psuje dobry nastrój, ale generalnie dobrze śpię :).

Za to z limitem kilkanaście tysięcy + paypas - nie spałbym juz tak dobrze.

p. m.

On 2013-07-09, Piotr Gałka <piotr.galka@cutthismicromade.pl> wrote:

[...]

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset złotych.

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu kilkunastu minut potrafią zrobić ci kilka tysięcy debetu ?

I nie pokryje tego ubezpieczenie?

--
Wojciech Bańcer
proteus@post.pl

W dniu 2013-07-09 12:49, Wojciech Bancer pisze:

On 2013-07-09, Piotr Gałka<piotr.galka@cutthismicromade.pl>  wrote:

[...]

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset
złotych.

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu kilkunastu
minut potrafią zrobić ci kilka tysięcy debetu ?

I nie pokryje tego ubezpieczenie?

A czytałeś warunki?
A płacisz za to ubezpieczenie?


--

Dziękuję. Pozdrawiam.   Ten Maruda

On 2013-07-09, Maruda <maruda@null.com> wrote:

W dniu 2013-07-09 12:49, Wojciech Bancer pisze:

On 2013-07-09, Piotr Gałka<piotr.galka@cutthismicromade.pl>  wrote:

[...]

Ja PayPassa używam na debetówce, chwalę go sobie, ale tam mam kilkaset
złotych.

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu kilkunastu
minut potrafią zrobić ci kilka tysięcy debetu ?

I nie pokryje tego ubezpieczenie?

A czytałeś warunki?
A płacisz za to ubezpieczenie?

Akceptuję ryzyko "do 150EUR". Powyżej klient nie odpowiada.
A za transakcje po zastrzeżeniu karty nie odpowiada w ogóle, czyż nie?

--
Wojciech Bańcer
proteus@post.pl

Użytkownik "Wojciech Bancer" <proteus@post.pl> napisał w wiadomości news:slrnktnt0u.2qm.proteuspl-test.org...

Ale jesteś świadom, że taką kartą skradzioną offlajnowo w ciągu kilkunastu
minut potrafią zrobić ci kilka tysięcy debetu ?

I nie pokryje tego ubezpieczenie?

A czytałeś warunki?
A płacisz za to ubezpieczenie?

Akceptuję ryzyko "do 150EUR". Powyżej klient nie odpowiada.
A za transakcje po zastrzeżeniu karty nie odpowiada w ogóle, czyż nie?

Teoretycznie tak, ale problem się pojawia gdyż (jak to wynika z różnych wskazywanych tu kiedyś publikacji) nasze banki oczekują od klienta, aby to on udowodnił, że nie wykonał tych transakcji. Nie ma podpisu, nie ma PINu, karta była obecna = transakcje wykonał klient.
P.G.

Dnia Tue, 9 Jul 2013 13:29:34 +0200, Wojciech Bancer napisał(a):

Akceptuję ryzyko "do 150EUR". Powyżej klient nie odpowiada.

Ale jak można przeczytać z zeznań ludzi, którzy takiego fraudu
doświadczyli, wcale to nie działa tak, że bank zabiera tylko nadwyżkę
ponad 150 EUR.
Bank zabiera cała kwotę transakcji, a potem dopiero trzeba się kopać z
koniem, żeby oddał tę nadwyżkę powyżej 150 EUR.

A za transakcje po zastrzeżeniu karty nie odpowiada w ogóle, czyż nie?

Mnie mBank obciążył jakby nigdy nic transakcją zbliżeniową, która
została dokonana w 2 tygodnie po zastrzeżeniu karty.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-09, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

Akceptuję ryzyko "do 150EUR". Powyżej klient nie odpowiada.

Ale jak można przeczytać z zeznań ludzi, którzy takiego fraudu
doświadczyli, wcale to nie działa tak, że bank zabiera tylko nadwyżkę
ponad 150 EUR. Bank zabiera cała kwotę transakcji, a potem dopiero trzeba się kopać z koniem, żeby oddał tę nadwyżkę powyżej 150 EUR.

No oczywiście. Ale to jest ogólna niedogodność kart debetowych jako takich.

--
Wojciech Bańcer
proteus@post.pl

Dnia Tue, 9 Jul 2013 16:04:52 +0200, Wojciech Bancer napisał(a):

On 2013-07-09, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

Akceptuję ryzyko "do 150EUR". Powyżej klient nie odpowiada.

Ale jak można przeczytać z zeznań ludzi, którzy takiego fraudu
doświadczyli, wcale to nie działa tak, że bank zabiera tylko nadwyżkę
ponad 150 EUR. Bank zabiera cała kwotę transakcji, a potem dopiero trzeba się kopać z koniem, żeby oddał tę nadwyżkę powyżej 150 EUR.

No oczywiście. Ale to jest ogólna niedogodność kart debetowych jako takich.

Ale w przypadku używania karty zbliżeniowej, prawdopodobieństwo
wystąpienia tej "niedogodności" gwałtownie rośnie i tego właśnie dotyczy
nasza dyskusja.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-09, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

No oczywiście. Ale to jest ogólna niedogodność kart debetowych jako takich.

Ale w przypadku używania karty zbliżeniowej, prawdopodobieństwo
wystąpienia tej "niedogodności" gwałtownie rośnie i tego właśnie dotyczy
nasza dyskusja.

Jak gwałtownie? Konkretnie ktoś już oszacował ryzyko? Dużo wyższe niż wysoka
wygrana w totka?

--
Wojciech Bańcer
proteus@post.pl

Dnia Tue, 9 Jul 2013 16:29:16 +0200, Wojciech Bancer napisał(a):

No oczywiście. Ale to jest ogólna niedogodność kart debetowych jako takich.

Ale w przypadku używania karty zbliżeniowej, prawdopodobieństwo
wystąpienia tej "niedogodności" gwałtownie rośnie i tego właśnie dotyczy
nasza dyskusja.

Jak gwałtownie? Konkretnie ktoś już oszacował ryzyko? Dużo wyższe niż wysoka
wygrana w totka?

W przypadku kradzieży karty płatniczej we Wrocławiu, bliskie 100%.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-09, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Jak gwałtownie? Konkretnie ktoś już oszacował ryzyko? Dużo wyższe niż wysoka
wygrana w totka?

W przypadku kradzieży karty płatniczej we Wrocławiu, bliskie 100%.

Znaczy co? Pojawię się we Wrocławiu i na prawie 100% mnie okradną?
Come on.

--
Wojciech Bańcer
proteus@post.pl

Dnia Tue, 9 Jul 2013 17:45:29 +0200, Wojciech Bancer napisał(a):

Jak gwałtownie? Konkretnie ktoś już oszacował ryzyko? Dużo wyższe niż wysoka
wygrana w totka?

W przypadku kradzieży karty płatniczej we Wrocławiu, bliskie 100%.

Znaczy co? Pojawię się we Wrocławiu i na prawie 100% mnie okradną?
Come on.

Proponuję, żebyś spróbował przeczytać ze zrozumieniem to jedno, jedyne
zdanie, które napisałem.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-09, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

W przypadku kradzieży karty płatniczej we Wrocławiu, bliskie 100%.

Znaczy co? Pojawię się we Wrocławiu i na prawie 100% mnie okradną?
Come on.

Proponuję, żebyś spróbował przeczytać ze zrozumieniem to jedno, jedyne
zdanie, które napisałem.

Ale ten problem *nie* dotyczy *tylko* kart bezstykowych. Są terminale działające offline w których do małych płatności nikt sobie dupy nie zawraca PINem. Tak, działające też z paska/chipa.

Akurat we Wrocławiu zrobiło się o tym o tyle głośno, bo tam można w ten
sposób kupić doładowania, które można odsprzedać.

Wciąż i nadal - poproszę o statystyki jak duży procent użytkowników kart
padł ofiarą czegoś takiego i jak duży miał problemy z odzyskaniem pieniędzy.
Bo inaczej to te paranoiczne hasła nie mają żadnego merytorycznego uzasadnienia.

A propos tegoż Wrocławia:
http://samcik.blox.pl/2012/10/Horroe-we-Wroclawiu-Nie-trzeba-znac-PIN-u-do.html

[...]

"Minęło aż 30 dni od czasu zgłoszenia mojej reklamacji. MasterCard i mBank okazały się porządnymi firmami i zwrócili mi całość skradzionej kwoty (1080 zł). Pracownik banku powiedział mi, że w przypadku wystąpienia wielu transakcji pod rząd wydawcy kart są ubezpieczeni od odpowiedzialności, nawet jeśli wina leży po stronie klienta. I że są świadomi ryzyk związanych z nieautoryzowanymi transakcjami zbliżeniowymi". Niewykluczone, że firma ubezpieczeniowa, która pośrednio pokryła straty klienta, wyegzekwuje pieniądze od lekkomyślnego właściciela biletomatów."

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-09, Wojciech Bancer <proteus@post.pl> wrote:

[...]

która pośrednio pokryła straty klienta, wyegzekwuje pieniądze od lekkomyślnego właściciela biletomatów."

I jeszcze (bo teraz doczytałem), odn. automatów we Wrocku, doczytaj
w komentarzu:

http://samcik.blox.pl/2012/10/Horroe-we-Wroclawiu-Nie-trzeba-znac-PIN-u-do.html

"To nie musiały być transakcje zbliżeniowe! We wrocławskich autobusach karty zwykłe nie są proszone o PIN - absurd ale tak jest. dzwoniłem w tej sprawie do AliorBanku - że sobie nie życzę by z mojej karty można było zdjąć pieniądze bez PINu, ale powiedzieli mi, że po prostu jest taki rodziaj transakcji - chipowa bez PINu i nic na to nie poradzą - to jest kwestia akceptanta, a nie moja."

Więc paypass/nie-paypass nie robi absolutnie żadnej różnicy.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Więc paypass/nie-paypass nie robi absolutnie żadnej różnicy.

Jednak trochę robi, bo zmienia się odpowiedzialny. W przypadku paypassa
odpowiada bank, przy transakcji stykowej typowo odpowiada sklep, ktĂłry
nie sprawdził PINu.
--
Krzysztof Hałasa

Dnia Tue, 9 Jul 2013 20:17:33 +0200, Wojciech Bancer napisał(a):

I jeszcze (bo teraz doczytałem), odn. automatów we Wrocku, doczytaj
http://samcik.blox.pl/2012/10/Horroe-we-Wroclawiu-Nie-trzeba-znac-PIN-u-do.html
"To nie musiały być transakcje zbliżeniowe! We wrocławskich autobusach karty zwykłe nie są proszone o PIN - absurd ale tak jest. dzwoniłem w tej sprawie do AliorBanku - że sobie nie życzę by z mojej karty można było zdjąć pieniądze bez PINu, ale powiedzieli mi, że po prostu jest taki rodziaj transakcji - chipowa bez PINu i nic na to nie poradzą - to jest kwestia akceptanta, a nie moja."

To nie bug, to feature :-)
http://www.youtube.com/watch?v=on2mXfzAMXs

Wszystko w celu bezpieczenstwa.

Więc paypass/nie-paypass nie robi absolutnie żadnej różnicy.

Troche robi, karte stykowa trzeba ci zabrac, zblizeniowa mozna przez
ubranie ...

J.

Dnia Tue, 9 Jul 2013 19:10:32 +0200, Wojciech Bancer napisał(a):

W przypadku kradzieży karty płatniczej we Wrocławiu, bliskie 100%.

Znaczy co? Pojawię się we Wrocławiu i na prawie 100% mnie okradną?
Come on.

Proponuję, żebyś spróbował przeczytać ze zrozumieniem to jedno, jedyne
zdanie, które napisałem.

Ale ten problem *nie* dotyczy *tylko* kart bezstykowych. Są terminale działające offline w których do małych płatności nikt sobie dupy nie zawraca PINem. Tak, działające też z paska/chipa.

Ale przed wprowadzeniem kart zbliżeniowych nikt tego typu fraudów nie
zgłaszał, natomiast po ich wprowadzeniu takie fraudy się pojawiły. Czyli
jakiś związek pomiędzy tymi dwoma elementami istnieje i wcale nie musi
to akurat być sama "zbliżeniowość", równie dobrze może to być jakaś luka
w zabezpieczeniach, która została wprowadzona wraz ze "zbliżeniowością".
 

Wciąż i nadal - poproszę o statystyki jak duży procent użytkowników kart
padł ofiarą czegoś takiego i jak duży miał problemy z odzyskaniem pieniędzy.
Bo inaczej to te paranoiczne hasła nie mają żadnego merytorycznego uzasadnienia.

Jeśli tylko podasz mi adres strony, która zawiera statystyki fraudów
dokonanych w Polsce przy użyciu kart płatniczych, to postaram się
wydzielić z nich dane dotyczące kart zbliżeniowych.

A propos tegoż Wrocławia:
http://samcik.blox.pl/2012/10/Horroe-we-Wroclawiu-Nie-trzeba-znac-PIN-u-do.html

[...]

"Minęło aż 30 dni od czasu zgłoszenia mojej reklamacji. MasterCard i mBank okazały się porządnymi firmami i zwrócili mi całość skradzionej kwoty (1080 zł). Pracownik banku powiedział mi, że w przypadku wystąpienia wielu transakcji pod rząd wydawcy kart są ubezpieczeni od odpowiedzialności, nawet jeśli wina leży po stronie klienta. I że są świadomi ryzyk związanych z nieautoryzowanymi transakcjami zbliżeniowymi". Niewykluczone, że firma ubezpieczeniowa, która pośrednio pokryła straty klienta, wyegzekwuje pieniądze od lekkomyślnego właściciela biletomatów."

A w innych przypadkach banki ani myślały zwracać całości zdefraudowanych
środków. Choćby w klasycznym już przypadku opisywanym na tej grupie:

"Po reklamacji telefonicznej a następnie pisemnej oraz odczekaniu 30 dni  mbank zwrócił środki z pominięciem równowartości 150 euro. W reklamacji  było żądanie zwrotu całości skradzionych środków, ponieważ transakcje
nie  były autoryzowane, jednak mbank odmówił zwrotu całości. Tak więc  ostatecznie szwagierkę okradziono na równowartość 150 euro, nie licząc  straconego czasu, nerwów itp." - news:op.wizgjg1qebnp5ja159590

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-09, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Ale przed wprowadzeniem kart zbliżeniowych nikt tego typu fraudów nie
zgłaszał,

Były.

natomiast po ich wprowadzeniu takie fraudy się pojawiły.

Tak. Pojawiło się kilka artykułów w gazetach. Jej.

jakiś związek pomiędzy tymi dwoma elementami istnieje i wcale nie musi
to akurat być sama "zbliżeniowość",

To się nazywa "temat zastępczy".

[...]

"Po reklamacji telefonicznej a następnie pisemnej oraz odczekaniu 30 dni  mbank zwrócił środki z pominięciem równowartości 150 euro. W reklamacji  było żądanie zwrotu całości skradzionych środków, ponieważ transakcje
nie  były autoryzowane, jednak mbank odmówił zwrotu całości. Tak więc  ostatecznie szwagierkę okradziono na równowartość 150 euro, nie licząc  straconego czasu, nerwów itp." - news:op.wizgjg1qebnp5ja159590

Do momentu zastrzeżenia karty użytkownik odpowiada "do wysokości 150 EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

--
Wojciech Bańcer
proteus@post.pl

Użytkownik "Wojciech Bancer" <proteus@post.pl> napisał w wiadomości news:slrnktp8a9.2rc.proteuspl-test.org...

Do momentu zastrzeżenia karty użytkownik odpowiada "do wysokości 150 EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

Czyli mimo braku zgodnego podpisu za transakcje (do 150EUR) odpowiadał klient ?
P.G.

On 2013-07-10, Piotr Gałka <piotr.galka@cutthismicromade.pl> wrote:

Użytkownik "Wojciech Bancer" <proteus@post.pl> napisał w wiadomości news:slrnktp8a9.2rc.proteuspl-test.org...

Do momentu zastrzeżenia karty użytkownik odpowiada "do wysokości 150 EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

Czyli mimo braku zgodnego podpisu za transakcje (do 150EUR) odpowiadał klient ?

Ustawa o Elektronicznych Instrumentach Płatniczych (obowiązująca wtedy).

Art. 28.

[...]

"2. O ile umowa nie przewiduje inaczej, posiadacza obciążają operacje dokonane z
użyciem utraconej karty płatniczej do czasu zgłoszenia wydawcy jej utraty, do
kwoty stanowiącej równowartość w złotych 150 euro."

W przepisie nie widzę warunku "podpis niezgodny", a jedynie "do czasu zgłoszenia
wydawcy jej utraty".

PS. Jakbyś szukał w źródłach, ustawa obowiązywała w tym zakresie od 12/10/2003, przepis został uchylony wprowadzeniem podobnej konstrukcji w nowej ustawie z dn. 19/7/2012 o usługach płatniczych.

--
Wojciech Bańcer
proteus@post.pl

On Wed, 10 Jul 2013 10:09:01 +0200, Wojciech Bancer <proteus@post.pl>  wrote:

On 2013-07-10, Piotr Gałka <piotr.galka@cutthismicromade.pl> wrote:

Użytkownik "Wojciech Bancer" <proteus@post.pl> napisał w wiadomości
news:slrnktp8a9.2rc.proteuspl-test.org...

Do momentu zastrzeĹźenia karty uĹźytkownik odpowiada "do wysokości 150  EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

Czyli mimo braku zgodnego podpisu za transakcje (do 150EUR) odpowiadał
klient ?

Ustawa o Elektronicznych Instrumentach Płatniczych (obowiązująca wtedy).

Art. 28.

[...]

"2. O ile umowa nie przewiduje inaczej, posiadacza obciążają operacje  dokonane z uĹźyciem utraconej karty płatniczej do czasu zgłoszeniawydawcy  jej utraty, do
kwoty stanowiącej równowartość w złotych 150 euro."

W przepisie nie widzę warunku "podpis niezgodny", a jedynie "do czasu  zgłoszenia wydawcy jej utraty".

W ustawie o EIP kwota 150 euro dotyczyła przypadku, gdy wydawca karty i  akceptant naleĹźycie wykonywali swoje obowiązki. Cytat z ustawy o EIP:
"Posiadacza nie obciążają operacje dokonane z uĹźyciem utraconej karty  płatniczej, jeĹźeli ich dokonanie nastąpiło wskutek nienaleĹźytego wykonania  zobowiązania przez wydawcę lub akceptanta."

Wg mnie, albo akceptant nie wykonywał swoich obowiązkĂłw naleĹźycie (brak  autoryzacji), albo wydawca karty nie wykonywał swoich obowiązkĂłw naleĹźycie  (bank pozwolił na obciążenie karty debetowej powyĹźej, znacznie powyĹźej  dostępnych środkĂłw i całkowicie ignorując brak autoryzacji i całkowicie  ignorując limity ustawione w systemie transakcyjnym).

Matt

On 2013-07-10, Matt <matt@ms.ms> wrote:

[...]

Wg mnie, albo akceptant nie wykonywał swoich obowiązków należycie (brak  autoryzacji), albo wydawca karty nie wykonywał swoich obowiązków należycie  (bank pozwolił na obciążenie karty debetowej powyżej, znacznie powyżej  dostępnych środków i całkowicie ignorując brak autoryzacji i całkowicie  ignorując limity ustawione w systemie transakcyjnym).

Ale to już jest Twoje gdybanie czy "powyżej" i czy cokolwiek ignorując.
A obciążenie karty powyżej dostępnych środków jest jak najbardziej możliwe,
nie tylko przy transakcjach offline.

--
Wojciech Bańcer
proteus@post.pl

On Wed, 10 Jul 2013 16:11:54 +0200, Wojciech Bancer <proteus@post.pl>  wrote:

On 2013-07-10, Matt <matt@ms.ms> wrote:

Wg mnie, albo akceptant nie wykonywał swoich obowiązków należycie (brak
autoryzacji), albo wydawca karty nie wykonywał swoich obowiązkĂłw  naleĹźycie
(bank pozwolił na obciążenie karty debetowej powyżej, znacznie powyżej
dostępnych środków i całkowicie ignorując brak autoryzacji i całkowicie
ignorując limity ustawione w systemie transakcyjnym).

Ale to już jest Twoje gdybanie czy "powyżej" i czy cokolwiek ignorując.

Jakie gdybanie? Dostępne środki na rachunku to nie jest Ĺźadne gdybanie.  Czy uwaĹźasz, Ĺźe ilość dostępnych środkĂłw leĹźy w kwestii interpretacji i  opinii?

A obciążenie karty powyĹźej dostępnych środkĂłw jest jak najbardziej  moĹźliwe, nie tylko przy transakcjach offline.

To, co jest technicznie wykonalne, bo tak Visa/MC/Amex wymyśliły sobie  kilkadziesiąt lat temu, niekoniecznie jest zgodne ze współczesnym prawem.
Stara ustawa o EIP:  "Posiadacza nie obciążają operacje dokonane przy  uĹźyciu elektronicznego instrumentu płatniczego, ktĂłrych zlecenia nie  potwierdził, z zastrzeĹźeniem art. 28 ust. 1 i 6 oraz art. 32 ust. 2."
Czyli wg tego zapisu, albo akceptant będzie przeprowadzał autoryzację dla  kaĹźdej transakcji, albo tego nie robi i bierze na siebie koszty  potencjalnych fradĂłw.
Niestety, rzeczywistość pokazała, Ĺźe zapis w ustawie to jedno, a  działalność bankĂłw (z mbankiem na czele) to drugie.

Matt

On 2013-07-10, Matt <matt@ms.ms> wrote:

On Wed, 10 Jul 2013 16:11:54 +0200, Wojciech Bancer <proteus@post.pl>  wrote:

On 2013-07-10, Matt <matt@ms.ms> wrote:

Wg mnie, albo akceptant nie wykonywał swoich obowiązków należycie (brak
autoryzacji), albo wydawca karty nie wykonywał swoich obowiązków  należycie
(bank pozwolił na obciążenie karty debetowej powyżej, znacznie powyżej
dostępnych środków i całkowicie ignorując brak autoryzacji i całkowicie
ignorując limity ustawione w systemie transakcyjnym).

Ale to już jest Twoje gdybanie czy "powyżej" i czy cokolwiek ignorując.

Jakie gdybanie? Dostępne środki na rachunku to nie jest żadne gdybanie.  Czy uważasz, że ilość dostępnych środków leży w kwestii interpretacji i  opinii?

Gdybasz, czy takie działania są dozwolone, czy nie. W szczególności
nie podając zapisów umowy między stronami.

A obciążenie karty powyżej dostępnych środków jest jak najbardziej  możliwe, nie tylko przy transakcjach offline.

To, co jest technicznie wykonalne, bo tak Visa/MC/Amex wymyśliły sobie  kilkadziesiąt lat temu, niekoniecznie jest zgodne ze współczesnym prawem.
Stara ustawa o EIP:  "Posiadacza nie obciążają operacje dokonane przy  użyciu elektronicznego instrumentu płatniczego, których zlecenia nie  potwierdził, z zastrzeżeniem art. 28 ust. 1 i 6 oraz art. 32 ust. 2."
Czyli wg tego zapisu, albo akceptant będzie przeprowadzał autoryzację dla  każdej transakcji, albo tego nie robi i bierze na siebie koszty  potencjalnych fradów.

Cytujesz Art. 5. Tymczasem art. 28 ust. 2 jest przepisem IMHO bardziej szczegółowym i dotyczy właśnie omawianej sytuacji.

--
Wojciech Bańcer
proteus@post.pl

Dnia Wed, 10 Jul 2013 01:48:03 +0200, Wojciech Bancer napisał(a):

Ale przed wprowadzeniem kart zbliżeniowych nikt tego typu fraudów nie
zgłaszał,

Były.

Były przypadki dokonania fraudów poprzez dokonanie kartami płatności bez
autoryzowania transakcji PIN-em, podpisem lub CVV?
Podaj jakieś linki do przykładów.
 

natomiast po ich wprowadzeniu takie fraudy się pojawiły.

Tak. Pojawiło się kilka artykułów w gazetach. Jej.

jakiś związek pomiędzy tymi dwoma elementami istnieje i wcale nie musi
to akurat być sama "zbliżeniowość",

To się nazywa "temat zastępczy".

Zastępczy zamiast czego?
Tutaj masz taki sam "temat zastępczy" z dzisiaj:

"Czytam tą dyskusję i mogę powiedzieć tylko tyle ,że właśnie taki
złodziej skroił mi kartę na 340zł.Może bym się nie z orientował tylko
zakupy na tą kwotę zrobił w sklepie z zabawkami. A dla mnie to ostatni
sklep gdzie można mnie spotkać. Więc macie tu przykład ,że takie
kradzieże są możliwe i to nie na 50 zł" -
http://niebezpiecznik.pl/post/klonowanie-zblizeniowych-kart-kredytowych-rfid/#comment-216997

Jak widać, ten numer już przechodzi nie tylko w środkach komunikacji
miejskiej we Wrocławiu, ale nawet w sklepach z zabawkami!
A ponieważ 340 zł < 150 EUR, więc zapowiada się ciekawa przepychanka z
bankiem.

Do momentu zastrzeżenia karty użytkownik odpowiada "do wysokości 150 EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

Ale gdy wprowadzano karty chipowe i autoryzację podpisem zamieniano na
autoryzację PIN-em, uzasadniano to zwiększeniem bezpieczeństwa poprzez
wprowadzenie nowego sposobu autoryzacji.
W przypadku bezstykowych kart mBanku stało się wręcz przeciwnie, gdyż
tymi kartami złodziej może płacić ani nie autoryzując transakcji
podpisem, ani PIN-em, co w starych kartach nie było możliwe.
W sytuacji gdy bank chce obciążać klienta kosztami 150 EUR za wykonane
przez złodzieja operacje, które były możliwe dlatego, że bank nie
stworzył właściwych zabezpieczeń karty, to poza kastracją karty jedynym
wyjściem pozostaje rezygnacja z niej.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-10, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Były.

Były przypadki dokonania fraudów poprzez dokonanie kartami płatności bez
autoryzowania transakcji PIN-em, podpisem lub CVV?

Były. Automaty działające offline bez podpisu/pin to nie jest jakaś
specjalna nowość.

Podaj jakieś linki do przykładów.

Nie zbieram.

jakiś związek pomiędzy tymi dwoma elementami istnieje i wcale nie musi
to akurat być sama "zbliżeniowość",

To się nazywa "temat zastępczy".

Zastępczy zamiast czego?

Realnych problemów.

sklep gdzie można mnie spotkać. Więc macie tu przykład ,że takie
kradzieże są możliwe i to nie na 50 zł" -
http://niebezpiecznik.pl/post/klonowanie-zblizeniowych-kart-kredytowych-rfid/#comment-216997

Po pierwsze - nie wiadomo czym i jak się posłużył złodziej, bo autor
komentarza jest technicznym laikiem w tym temacie. Po drugie, wg. Ciebie klonowania kart z paskiem nie było. Nic a nic?

Po trzecie niebezpiecznik to taki trochę plotek.pl.
Ma być przede wszystkim sensacyjnie, niekoniecznie merytorycznie.

Jak widać, ten numer już przechodzi nie tylko w środkach komunikacji
miejskiej we Wrocławiu, ale nawet w sklepach z zabawkami!

To straszne! Jako żywo przypomina mi dyskusje sprzed kilku lat, gdzie paranoicy udowadniali że "podpisy najlepsze", bo banki uznają reklamacje
a od transakcji PINowych - nie. I że PIN + chip to jest obniżenie bezpieczeństwa, bo PIN podejrzeć to bułka z masłem. A jak się tak strachasz i ryzyko jest dla Ciebie nieakceptowalne, to sobie
znajdź dobre ubezpieczenie od nieautoryzowanych transakcji w kwocie <0-150EUR>
i już.

--
Wojciech Bańcer
proteus@post.pl

Dnia Wed, 10 Jul 2013 23:32:10 +0200, Wojciech Bancer napisał(a):

Były przypadki dokonania fraudów poprzez dokonanie kartami płatności bez
autoryzowania transakcji PIN-em, podpisem lub CVV?

Były. Automaty działające offline bez podpisu/pin to nie jest jakaś
specjalna nowość.

Ale wcześniej jakoś skarg nie było na fraudy dokonane przy użyciu tych
automatów. Pojawiły się po wprowadzeniu kart bezstykowych.
 

Podaj jakieś linki do przykładów.

Nie zbieram.

Więc szkoda, że nie masz żadnych argumentów na potwierdzenie głoszonych
przez siebie teorii.

To się nazywa "temat zastępczy".

Zastępczy zamiast czego?

Realnych problemów.

Jeśli dla Ciebie zniknięcie kilkuset złotych z konta jest "tematem
zastępczym", to nie pozostaje mi nic innego, jak tylko życzyć Ci, żeby
zamiast realnych problemów dotyczyły Cię tylko "tematy zastępcze".
 

A jak się tak strachasz i ryzyko jest dla Ciebie nieakceptowalne, to sobie
znajdź dobre ubezpieczenie od nieautoryzowanych transakcji w kwocie <0-150EUR>
i już.

A dlaczego to ja mam ponosić koszty ubezpieczenia, jeśli to bank nie
potrafił właściwie zabezpieczyć wydawanych przez siebie kart
płatniczych? Jedynym sensownym wyjściem z tej sytuacji jest rezygnacja z użytkowania
takiej niebezpiecznej karty, co właśnie mam zamiar uczynić.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-10, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Były przypadki dokonania fraudów poprzez dokonanie kartami płatności bez
autoryzowania transakcji PIN-em, podpisem lub CVV?

Były. Automaty działające offline bez podpisu/pin to nie jest jakaś
specjalna nowość.

Ale wcześniej jakoś skarg nie było na fraudy dokonane przy użyciu tych
automatów. Pojawiły się po wprowadzeniu kart bezstykowych.

Ale dociera do Ciebie, że ten automat przyjmie też kartę bez funkcji
bezstykowej? I też *NIE BĘDZIE CHCIAŁ PINU*? W jaki sposób to, że swoją
karte pozbawisz antenki pomoże w takiej sytuacji? Co do tematu dyskusji
wnosi fakt, że zostały zaimplementowane niedawno i jest o nich głośno,
bo pozwalają na fraudy? To jest luka na którą pozwolił właściciel automatu, a nie wada bezstykówek jako takich.

Podaj jakieś linki do przykładów.

Nie zbieram.

Więc szkoda, że nie masz żadnych argumentów na potwierdzenie głoszonych
przez siebie teorii.

Ja nie głoszę żadnych teorii. Wyśmiewam te istniejące paranoiczne zachowania.

Realnych problemów.

Jeśli dla Ciebie zniknięcie kilkuset złotych z konta jest "tematem
zastępczym", to nie pozostaje mi nic innego, jak tylko życzyć Ci, żeby
zamiast realnych problemów dotyczyły Cię tylko "tematy zastępcze".

Nie troluj. W skali kraju i omawianego bezpieczeństwa, pojedynczy przypadek, czy nawet 3 przypadki, z których omawiany wyżej jest słabo opisany i w sumie nie wiadomo *jak i dlaczego* ktoś stracił kasę,
to jak najbardziej temat zastępczy. Już nie mówiąc o tym, że przeczytałeś
komentarz i nie znasz dalszego ciągu historii, tylko sobie domniemywasz.

A jak się tak strachasz i ryzyko jest dla Ciebie nieakceptowalne, to sobie
znajdź dobre ubezpieczenie od nieautoryzowanych transakcji w kwocie <0-150EUR>
i już.

A dlaczego to ja mam ponosić koszty ubezpieczenia, jeśli to bank nie
potrafił właściwie zabezpieczyć wydawanych przez siebie kart
płatniczych?

Duh. Bo nie akceptujesz minimalnego ryzyka utraty środków, związanego z przedziałem 0-150EUR, w czasie od utraty karty do zgłoszenia zastrzeżenia?

Jedynym sensownym wyjściem z tej sytuacji jest rezygnacja z użytkowania
takiej niebezpiecznej karty, co właśnie mam zamiar uczynić.

A rób co chcesz, to wolny kraj. Tylko nie udawaj, że taka decyzja ma podłoże merytoryczne i oparte na jakiejś wiedzy. Postraszyli Cię
kilkoma sensacyjnymi artykułami, temat zastępczy podziałał.

--
Wojciech Bańcer
proteus@post.pl

Użytkownik "Wojciech Bancer" <proteus@post.pl> napisał w wiadomości news:slrnktsmnu.2te.proteuspl-test.org...

A dlaczego to ja mam ponosić koszty ubezpieczenia, jeśli to bank nie
potrafił właściwie zabezpieczyć wydawanych przez siebie kart
płatniczych?

Duh. Bo nie akceptujesz minimalnego ryzyka utraty środków, związanego
z przedziałem 0-150EUR, w czasie od utraty karty do zgłoszenia
zastrzeżenia?

Nikomu by nic nie przeszkadzało jakby miał wybór między:
1. karta super wygodna i mało bezpieczna + ewentualne płatne ubezpieczenie dla chętnych,
2. karta niewygodna (nie zbliżeniowa i nie offlajnowa) ale bezpieczna i bez konieczności ubezpieczania.
Źródłem dyskusji jest brak tego wyboru.
P.G.

On 2013-07-11, Piotr Gałka <piotr.galka@cutthismicromade.pl> wrote:

[...]

Duh. Bo nie akceptujesz minimalnego ryzyka utraty środków, związanego
z przedziałem 0-150EUR, w czasie od utraty karty do zgłoszenia
zastrzeżenia?

Nikomu by nic nie przeszkadzało jakby miał wybór między:
1. karta super wygodna i mało bezpieczna + ewentualne płatne ubezpieczenie dla chętnych,
2. karta niewygodna (nie zbliżeniowa i nie offlajnowa) ale bezpieczna i bez konieczności ubezpieczania.
Źródłem dyskusji jest brak tego wyboru.

Źródłem zagrożenia są transakcje offline, a nie fakt zbliżeniowości karty.
I obawiam się, że fraudów i malkontentów (Ci są zawsze) jest na tyle mało,
że właściwym osobom władnym za takie decyzje zwyczajnie to powiewa.
I ja im się nie dziwię.

Weź też pod uwagę też inny aspekt:

łatwiej zamontować skaner do klonownaia kart + kamerę do podpatrzenia PIN
niż popindalać ludziom po kieszachiach z czytnikiem. Jest to i łatwiejsze
dla złodzieja, i bezpieczniejsze (może sobie dane wciągnąć zdalnie)
i mniej problematyczne (od razu podpatrzy PIN, a nie ma kontaktu z użytkownikiem karty, i podpierdolić może jednorazowo "ile fabryka dała").

Więc jak chcesz bezpiecznie, to używaj gotówki, albo zaakceptuj ryzyko jakie
się wiąże z używaniem karty. Jakiejkolwiek.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Źródłem zagrożenia są transakcje offline, a nie fakt zbliżeniowości
karty.

Nie, jedno i drugie jest zagrożeniem. Tyle że transakcje off-line mają
swoje pozytywne strony, natomiast transakcje bezstykowe - tak średnio.

łatwiej zamontować skaner do klonownaia kart + kamerę do podpatrzenia PIN
niż popindalać ludziom po kieszachiach z czytnikiem.

To chyba Ĺźart?
To pierwsze wcale nie jest łatwe, za to łatwo to wykryć i np. zastawić
pułapkę na złodzieja.
To drugie jest praktycznie niewykrywalne, a jeśli komuś wystarczy
"zwykły" zasięg, to telefony mają wbudowane scalaki NFC. Domyślam się,
że nie wystarczy, trzeba będzie kupić jakiegoś scalaka np. NXP, ze dwa
tranzystory, kilka kondensatorów i oporników, i to wszystko zmontować
i uruchomić. Zwłaszcza scalaka może być trudno przylutować, mała obudowa
z wyprowadzeniami pod spodem (SOT617).
--
Krzysztof Hałasa

On 2013-07-11, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Źródłem zagrożenia są transakcje offline, a nie fakt zbliżeniowości
karty.

Nie, jedno i drugie jest zagrożeniem. Tyle że transakcje off-line mają
swoje pozytywne strony, natomiast transakcje bezstykowe - tak średnio.

Jedno i drugie ma dokładnie tą samą zaletę. Jest wygodne.
I o to chodzi. Większa wygoda za cenę niewielkiego ryzyka, które ponoszą
obie strony (klient do czasu zastrzeżenia + ew. niedogodności związane
z przepychaniem się z bankiem).

To drugie jest praktycznie niewykrywalne, a jeśli komuś wystarczy
"zwykły" zasięg,

To jaki wg Ciebie to jest zasięg? Bo wg mnie taki, żeby conajmniej pokracznie
wyglądać i zwracać na siebie uwagę "szurając" po ludziach. To wcale nie jest
podejrzane. Nic a nic.

tranzystory, kilka kondensatorów i oporników, i to wszystko zmontować
i uruchomić. Zwłaszcza scalaka może być trudno przylutować, mała obudowa
z wyprowadzeniami pod spodem (SOT617).

I czy na pewno dane uzyskane przez taki odczyt wystarczą do wykonania transakcji
bezstykowej? Masz gdzieś opis faktycznego sklonowania i wykorzystania takiego klona, czy tylko się jarają wszyscy tym że można sobie jakieś dane z karty odczytać bezstykowo? Co zrobisz z tym swoim scalakiem skoro terminal działa
na zasadzie challenge-response?

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 00:12, Wojciech Bancer wrote:

[...]
I czy na pewno dane uzyskane przez taki odczyt wystarczą do wykonania transakcji
bezstykowej? Masz gdzieś opis faktycznego sklonowania i wykorzystania takiego
klona, czy tylko się jarają wszyscy tym że można sobie jakieś dane z karty
odczytać bezstykowo? Co zrobisz z tym swoim scalakiem skoro terminal działa
na zasadzie challenge-response?

Tu masz opis ataku nawet groźniejszego niż klonowanie (gdzie sklonowaną kartą można zrobić nie więcej niż jedną transakcję do wysokości limitu):
<http://niebezpiecznik.pl/post/uniwersalny-atak-na-karty-zblizeniowe/>

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

On 2013-07-12 00:12, Wojciech Bancer wrote:

[...]
I czy na pewno dane uzyskane przez taki odczyt wystarczą do wykonania transakcji
bezstykowej? Masz gdzieś opis faktycznego sklonowania i wykorzystania takiego
klona, czy tylko się jarają wszyscy tym że można sobie jakieś dane z karty
odczytać bezstykowo? Co zrobisz z tym swoim scalakiem skoro terminal działa
na zasadzie challenge-response?

Tu masz opis ataku nawet groźniejszego niż klonowanie (gdzie sklonowaną kartą można zrobić nie więcej niż jedną transakcję do wysokości limitu):
<http://niebezpiecznik.pl/post/uniwersalny-atak-na-karty-zblizeniowe/>

Niezłe SF. Uśmiałem się. Autor ma wyobraźnię. :)
A coś z realnego świata?

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 10:28, Wojciech Bancer wrote:

Niezłe SF. Uśmiałem się. Autor ma wyobraźnię. :)
A coś z realnego świata?

Czego konkretnie nie zrozumiałeś?

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

On 2013-07-12 10:28, Wojciech Bancer wrote:

Niezłe SF. Uśmiałem się. Autor ma wyobraźnię. :)
A coś z realnego świata?

Czego konkretnie nie zrozumiałeś?

Takiego drobiazgu jak synchronizacja i radzenie sobie z opóźnieniami
transmisji na odległość vs wymaganiami co do transmisji jakie mają
terminale.

Zabawnie byłoby oglądać "nie wzbudzającą podejrzeń" parkę, w której
jeden się lepi do ludzi "w autobusie", a drugi idealnie wymierza moment
na piknięcie w kasie.

Normalnie jak film szpiegowski klasy B. :)

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 11:21, Wojciech Bancer wrote:

Takiego drobiazgu jak synchronizacja i radzenie sobie z opóźnieniami
transmisji na odległość vs wymaganiami co do transmisji jakie mają
terminale.

Odpowiedź masz w filmie z mojego poprzedniego postu.

Przy dobrze zaplanowanym ataku prawdopodobieństwo, że od zeskanowania karty do fraudowej transakcji ofiara zrobi transakcję kartą jest praktycznie zerowe.

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

On 2013-07-12 11:21, Wojciech Bancer wrote:

Takiego drobiazgu jak synchronizacja i radzenie sobie z opóźnieniami
transmisji na odległość vs wymaganiami co do transmisji jakie mają
terminale.

Odpowiedź masz w filmie z mojego poprzedniego postu.

Przy dobrze zaplanowanym ataku prawdopodobieństwo, że od zeskanowania karty do fraudowej transakcji ofiara zrobi transakcję kartą jest praktycznie zerowe.

W Polsce masz challenge-response tokeny, więc takie zapisane transakcje
nie wystarczą.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 10:28, Wojciech Bancer wrote:

Niezłe SF. Uśmiałem się. Autor ma wyobraźnię. :)
A coś z realnego świata?

Tu masz pierwszą lepszą wizualizację do tego SF:
Click -> <http://www.youtube.com/watch?v=w_vYuLyfw3E>

Software leży tu:
Click -> <http://sourceforge.net/projects/nfcproxy/>

Jedyny "problem" polega na zbudowaniu sprzętu posiadającego nieco lepszą czułość niż to co standardowo jest w telefonie.

Ale ponieważ protokół (NFC) nie ma wbudowanych zabezpieczeń przed maksymalną odległością z jakiej można się komunikować z urządzeniem to jest to "problem" a nie problem.

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

Niezłe SF. Uśmiałem się. Autor ma wyobraźnię. :)
A coś z realnego świata?

Tu masz pierwszą lepszą wizualizację do tego SF:
Click -> <http://www.youtube.com/watch?v=w_vYuLyfw3E>

Absolutnie nie. I nawet ładnie w komentarzu naposali, że na nie US
kartach raczej nie zadziała. A jednak wszystkie obecne informacje
jakie się w sieci znajdują na temat "ściągnęli mi kasę z konta"
dotyczą skradzionych kart.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 11:29, Wojciech Bancer wrote:

[...] na nie US kartach raczej nie zadziała [...]

Być może. Chociaż nie widać powodu dla którego miałby nie zadziałać atak z wykorzystaniem trybu proxy.

Ale nie na tym polega zasadniczy problem. Zasadniczy problem polega na tym, że w większości banku funkcjonalności nie można wyłączyć na żądanie.

I tu (choć nie jesteśmy na pręgierzu) wazelina dla np. Citi gdzie dzwonisz na party-line, mówisz że sobie nie życzysz mieć płatności zbliżeniowych i Ci je po prostu wyłączają.

Proste? Proste!

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

Być może. Chociaż nie widać powodu dla którego miałby nie zadziałać atak z wykorzystaniem trybu proxy.

No ale tutaj mamy do czynienia wtedy z gościem który sobie łazi po ludziach
i wygląda co najmniej dziwnie. Pamiętaj o koniecznej synchronizacji.
Realny świat to nie warunki laboratoryjne i *trochę* zabezpieczeń,
opóźnień i innych trudnych do przewidzenia rzeczy tam jest.

A wpaść niezwykle łatwo, bo musisz to robić f2f. I to za co?
Kwoty w sklepach to raptem 50 zł jednorazowo, bo inaczej karta poprosi o pin. A przy ponownym użyciu trzeba mieć ponownie zbliżoną, bo inny będzie CR. Pomyśl przez chwilę jakie to jest ryzykowne w realnym życiu, a nie w warunkach laboratoryjnych.

I tu (choć nie jesteśmy na pręgierzu) wazelina dla np. Citi gdzie dzwonisz na party-line, mówisz że sobie nie życzysz mieć płatności zbliżeniowych i Ci je po prostu wyłączają.

Proste? Proste!

I karta o tym nie wie do momentu aż nie zostanie odpowiednio poinstruowana
w czasie transakcji online. A i tak istotniejsze jest:
 - wyłączenie transakcji internetowych
 - wyłączenie transakcji offline
co powoduje że karta staje się mało wygodna i mało użyteczna.
Zbliżeniówka to przy powyższym pikuś nie warty szerszej wzmianki.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 11:49, Wojciech Bancer wrote:

No ale tutaj mamy do czynienia wtedy z gościem który sobie łazi po ludziach
i wygląda co najmniej dziwnie. Pamiętaj o koniecznej synchronizacji.
Realny świat to nie warunki laboratoryjne i *trochę* zabezpieczeń,
opóźnień i innych trudnych do przewidzenia rzeczy tam jest.

A wpaść niezwykle łatwo, bo musisz to robić f2f. I to za co?
Kwoty w sklepach to raptem 50 zł jednorazowo, bo inaczej karta poprosi
o pin. A przy ponownym użyciu trzeba mieć ponownie zbliżoną, bo inny
będzie CR. Pomyśl przez chwilę jakie to jest ryzykowne w realnym życiu,
a nie w warunkach laboratoryjnych.

Ale zgaduję, że w realnym życiu nie używa się do fraudów urządzeń ogólnodostępnych tylko profesjonalnych (które potrafią się komunikować na odległości nieco większe niż te 10-15 cm). A samą fraudową płatność robisz jak wiesz, że masz w zasięgu kartę, która odpowie.

Tak więc ryzyko niewielkie, natomiast zyski to tylko kwestia skali i umiejętności dystrybucji pozyskanych w wyniku fraudu towarów.

I karta o tym nie wie do momentu aż nie zostanie odpowiednio poinstruowana

Oczywiście.

w czasie transakcji online. A i tak istotniejsze jest:
  - wyłączenie transakcji internetowych

Czy odpowiadasz za fraudy przy transakcjach MOTO/internetowych?

  - wyłączenie transakcji offline
co powoduje że karta staje się mało wygodna i mało użyteczna.

Ale dla kogo? Dla użytkownika? A jaki to problem *dla użytkownika* poczekać x sekund na autoryzację on-line?

Oczywiście problem jest dla akceptanta/banku. Ponieważ wymaga zaangażowania konkretnych zasobów *w chwili* dokonywania transakcji.

No ale przecież to "nie mój cyrk, nie moje małpy".

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

A wpaść niezwykle łatwo, bo musisz to robić f2f. I to za co?
Kwoty w sklepach to raptem 50 zł jednorazowo, bo inaczej karta poprosi
o pin. A przy ponownym użyciu trzeba mieć ponownie zbliżoną, bo inny
będzie CR. Pomyśl przez chwilę jakie to jest ryzykowne w realnym życiu,
a nie w warunkach laboratoryjnych.

Ale zgaduję, że w realnym życiu nie używa się do fraudów urządzeń ogólnodostępnych tylko profesjonalnych (które potrafią się komunikować na odległości nieco większe niż te 10-15 cm). A samą fraudową płatność robisz jak wiesz, że masz w zasięgu kartę, która odpowie.

Ale co to znaczy "masz w zasięgu"? Musisz przez dobrą chwilę popindalać za kimś.
Nawet jak zasię jest większy niż 20 cm, to *i tak* ludzie się ruszają, obracają
rozmawiają, poruszają. A profesjonaliści się za drobnymi nie uganiają, właśnie
o to chodzi w całej idei. Za duże ryzyko do potencjalnego potencjalnego zysku
IMHO.

Tak więc ryzyko niewielkie, natomiast zyski to tylko kwestia skali i umiejętności dystrybucji pozyskanych w wyniku fraudu towarów.

Kwestia oceny. Jak dla mnie jest bardzo duże. I właśnie o to chodzi.

w czasie transakcji online. A i tak istotniejsze jest:
  - wyłączenie transakcji internetowych

Czy odpowiadasz za fraudy przy transakcjach MOTO/internetowych?

Zależy od banku. Podpadasz pod dokładnie ten sam przepis co transakcje
offline/zbliżeniowe. W jednym banku uznają reklamację, w innym nie.

  - wyłączenie transakcji offline
co powoduje że karta staje się mało wygodna i mało użyteczna.

Ale dla kogo? Dla użytkownika? A jaki to problem *dla użytkownika* poczekać x sekund na autoryzację on-line?

Gdzie x jest w okolicach 30, zamiast w okolicach 4.
To nie jest problem. To jest po prostu mniej wygodne.
Ja jak mam do wyboru: karta online, karta offline, gotówka,
to zawsze wolę offline.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 12:30, Wojciech Bancer wrote:

Gdzie x jest w okolicach 30, zamiast w okolicach 4.
To nie jest problem. To jest po prostu mniej wygodne.
Ja jak mam do wyboru: karta online, karta offline, gotówka,
to zawsze wolę offline.

Za szybko żyjesz ;-)

A i tak stanie przed Tobą "babcia", która przez dwie minuty będzie szukała gotówki i ...
click -> <https://www.youtube.com/watch?v=KdhwopvTf18>

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

A i tak stanie przed Tobą "babcia", która przez dwie minuty będzie szukała gotówki i ...
click -> <https://www.youtube.com/watch?v=KdhwopvTf18>

Nie fantazjuj. :) Za duże ryzyko, za mały zysk.

--
Wojciech Bańcer
proteus@post.pl

W dniu 12.07.2013 12:30, Wojciech Bancer pisze:

On 2013-07-12, Piotrek<piotrek@pisz.na.berdyczow.info>  wrote:

[...]

>>A wpaść niezwykle łatwo, bo musisz to robić f2f. I to za co?
>>Kwoty w sklepach to raptem 50 zł jednorazowo, bo inaczej karta poprosi
>>o pin. A przy ponownym użyciu trzeba mieć ponownie zbliżoną, bo inny
>>będzie CR. Pomyśl przez chwilę jakie to jest ryzykowne w realnym życiu,
>>a nie w warunkach laboratoryjnych.

>
>Ale zgaduję, że w realnym życiu nie używa się do fraudów urządzeń
>ogólnodostępnych tylko profesjonalnych (które potrafią się komunikować
>na odległości nieco większe niż te 10-15 cm). A samą fraudową płatność
>robisz jak wiesz, że masz w zasięgu kartę, która odpowie.

Ale co to znaczy "masz w zasięgu"? Musisz przez dobrą chwilę popindalać za kimś.
Nawet jak zasię jest większy niż 20 cm, to*i tak*  ludzie się ruszają, obracają
rozmawiają, poruszają.

Zwłaszcza w pociągu, autobusie, tramwaju, poczekalni.

p. m.

On 2013-07-12, m <mvoicem@gmail.com> wrote:

[...]

Ale co to znaczy "masz w zasięgu"? Musisz przez dobrą chwilę popindalać za kimś.
Nawet jak zasię jest większy niż 20 cm, to*i tak*  ludzie się ruszają, obracają
rozmawiają, poruszają.

Zwłaszcza w pociągu, autobusie, tramwaju, poczekalni.

W pociągu, autobusie, tramwaju to taka zabawka nie zadziała z przyczyn
technicznych - opóźnienia transmisji i gubienia sygnału. A i wtedy trzeba znaleźć dobre warunki, czyli mocno zatłoczony pojazd,
inaczej taki przyklejony do ludzi będzie wygladać dziwnie i jeszcze
w pysk zarobi.

A w poczekalni to się siedzi, a nie klei do ludzi. To nie jest tak, że taki czytnik będzie się mieścić na dłoni i jeszcze obejmie cały budynek.

Czekam teraz na informację, że jakiś MFC-PRISM2 wykorzysta
satelity i nikt się przed tym nie ukryje. Jak SF to na całego.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 13:29, Wojciech Bancer wrote:

[...] Jak SF to na całego.

SF (a raczej zwykłe dym@nie klienta) to jest IMHO raczej w tym, że banki/VISA/MC twierdzą że technologia jest super-bezpieczna i jednocześnie nie biorą by default "na klatę" fraudów możliwych do przeprowadzenia przy użyciu tej super-bezpiecznej technologii. Ani (w sporej części) nie umożliwiają wyłączenie transakcji wykorzystujących tę super-bezpieczną technologię.

Bo jak rozumiem nie negujesz możliwości przeprowadzenia fraudu przy użyciu (w zasadzie) ogólnodostępnych rekwizytów, a jedynie jego prawdopodobieństwo/opłacalność.

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

SF (a raczej zwykłe dym@nie klienta) to jest IMHO raczej w tym, że banki/VISA/MC twierdzą że technologia jest super-bezpieczna i jednocześnie nie biorą by default "na klatę" fraudów możliwych do przeprowadzenia przy użyciu tej super-bezpiecznej technologii. Ani (w sporej części) nie umożliwiają wyłączenie transakcji wykorzystujących tę super-bezpieczną technologię.

Nie ma czegoś takiego. Jedyne co można zrobić, to sprawić by to było
nieopłacalne. I tak właśnie jest.

Bo jak rozumiem nie negujesz możliwości przeprowadzenia fraudu przy użyciu (w zasadzie) ogólnodostępnych rekwizytów, a jedynie jego prawdopodobieństwo/opłacalność.

Oczywiście. Wszystko się da, nie wszystko się opłaca. :)

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 13:59, Wojciech Bancer wrote:

super-bezpieczną technologię.

Nie ma czegoś takiego. [...]

Nopaczpan. A Ci twierdzą, że się zabezpieczyli:

<http://www.visa.pl/visa_w_polsce/karty_dla_ciebie/p%C5%82atno%C5%9Bci_zbli%C5%BCeniowe/bezpiecze%C5%84stwo.aspx>

Lamerzy jacyś? Czy co? ;-)

piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

On 2013-07-12 13:59, Wojciech Bancer wrote:

super-bezpieczną technologię.

Nie ma czegoś takiego. [...]

Nopaczpan. A Ci twierdzą, że się zabezpieczyli:

<http://www.visa.pl/visa_w_polsce/karty_dla_ciebie/p%C5%82atno%C5%9Bci_zbli%C5%BCeniowe/bezpiecze%C5%84stwo.aspx>

A możesz konkretnie zacytować w którym miejscu?

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 14:23, Wojciech Bancer wrote:

A możesz konkretnie zacytować w którym miejscu?

Zaraz po tytule :-)

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

A możesz konkretnie zacytować w którym miejscu?

Zaraz po tytule :-)

No przecież zastosowano. A że nie w każdych warunkach są skuteczne?
No to o tym mówiłem. :)

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-12 15:22, Wojciech Bancer wrote:

No przecież zastosowano. A że nie w każdych warunkach są skuteczne?
No to o tym mówiłem. :)

Tia, jajeczko częściowi nieświeże ...

Warunki w których zastosowane zabezpieczenia *nie* działają nie są jakoś szczególnie kosmiczne. I możesz stracić kasę nie wypuszczając karty z ręki/portfela.

Być może na razie nie opłaca się na masową skalę robić fraudów na płatnościach zbliżeniowych. Ale to nie oznacza, że za chwilę kwota nie zostanie zwiększona, albo środki techniczne niezbędne do bezstresowego fraudowania nie stanieją. I wtedy zacznie się opłacać.

Dlatego uczciwe byłoby umożliwienie rezygnacji z tej super-bezpiecznej technologii dla tych bardziej świadomych/strachliwych. Albo wzięcie na klatę konsekwencji stosowania technologii, której zabezpieczania - jak byłeś łaskaw napisać - nie w każdych warunkach są skuteczne.

I tyle :-) EOT

Piotrek

On 2013-07-12, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

Warunki w których zastosowane zabezpieczenia *nie* działają nie są jakoś szczególnie kosmiczne. I możesz stracić kasę nie wypuszczając karty z ręki/portfela.

Być może na razie nie opłaca się na masową skalę robić fraudów na płatnościach zbliżeniowych. Ale to nie oznacza, że za chwilę kwota nie zostanie zwiększona, albo środki techniczne niezbędne do bezstresowego fraudowania nie stanieją. I wtedy zacznie się opłacać.

Na żadną skalę się to nie opłaca. :)

Dlatego uczciwe byłoby umożliwienie rezygnacji z tej super-bezpiecznej technologii dla tych bardziej świadomych/strachliwych.

Jest. Nazywa się gotówka. :)

--
Wojciech Bańcer
proteus@post.pl

Piotrek <piotrek@pisz.na.berdyczow.info> writes:

Być może na razie nie opłaca się na masową skalę robić fraudów na
płatnościach zbliżeniowych.

Wątpię. To po prostu względnie nowa technologia, a ludzie, którzy się
znają na takich rzeczach, typowo mają lepsze zajęcia. Ale to nie znaczy,
że to się nie opłaca, i na pewno nie świadczy o żadnym bezpieczeństwie.

Ale to nie oznacza, że za chwilę kwota nie
zostanie zwiększona, albo środki techniczne niezbędne do bezstresowego
fraudowania nie stanieją. I wtedy zacznie się opłacać.

Środki techniczne są ekstremalnie tanie. Typowy hobbista elektronik,
interesujący się radiem i cyfrówką, zapewne ma potrzebne rzeczy w domu.
Jeśli nie chciałby zbyt dużo czytać, tylko zrobić to jak najprościej się
da, to lepiej zrobić układ w oparciu o specjalizowanego scalaka, tego
pewnie musiałby kupić. Koszt typu 50 zł z dostawą.
Można oczywiście pokombinować inaczej, np. zrobić to "na piechotę", to
nic trudnego. Wtedy wymagane większe doświadczenie.

Dlatego uczciwe byłoby umożliwienie rezygnacji z tej super-bezpiecznej
technologii dla tych bardziej świadomych/strachliwych. Albo wzięcie na
klatę konsekwencji stosowania technologii, której zabezpieczania - jak
byłeś łaskaw napisać - nie w każdych warunkach są skuteczne.

To trochę tak jakby pisać o zabezpieczeniach kart magnetycznych. "Nie
w każdych warunkach skuteczne". Niestety tu są inne warunki,
w szczególności karta może być cały czas w portfelu pod kontrolą
klienta.
--
Krzysztof Hałasa

On 2013-07-12 13:29, Wojciech Bancer wrote:

On 2013-07-12, m <mvoicem@gmail.com> wrote:
A i wtedy trzeba znaleźć dobre warunki, czyli mocno zatłoczony pojazd,
inaczej taki przyklejony do ludzi będzie wygladać dziwnie i jeszcze
w pysk zarobi.

A w poczekalni to się siedzi, a nie klei do ludzi. To nie jest tak,
że taki czytnik będzie się mieścić na dłoni i jeszcze obejmie cały
budynek.

Ale jakie klejenie do ludzi? Czytniki komunikujące się do 1.5 metra oferuje/oferował Feig Electronic.

Fakt, że antena nie jest mała ale wejdzie do teczki, plecaka, etc.

Tak więc możliwości techniczne są większe niż się większości optymistów wydaje ;-)

Ja rozumiem, że no risk no fun ale wolałbym sobie sam wybierać risk po którym mam fan. A nie, żeby to robił za mnie bank ;-)

Piotrek

Wojciech Bancer <proteus@post.pl> writes:

Nie, jedno i drugie jest zagrożeniem. Tyle że transakcje off-line mają
swoje pozytywne strony, natomiast transakcje bezstykowe - tak średnio.

Jedno i drugie ma dokładnie tą samą zaletę. Jest wygodne.

Transakcje stykowe także są wygodne. Dodatkowo, są (podobno) minimalnie
szybsze. No chyba Ĺźe piszesz o potrzebie lub braku potrzeby podawania
PINu - ale to nie jest różnica wynikająca z warunków technicznych.

To jaki wg Ciebie to jest zasięg? Bo wg mnie taki, żeby conajmniej pokracznie
wyglądać i zwracać na siebie uwagę "szurając" po ludziach. To wcale nie jest
podejrzane. Nic a nic.

Jasne że nie. Bez najmniejszego problemu można mieć czytnik, który
przeczyta kartę w promieniu 50 cm. Wiem, bo takiego rutynowo używam
(nie, to nie jest czytnik EMV). To oczywiście nie oznacza, że nie można
mieć większego zasięgu, jasne że można (aczkolwiek trzeba pojechać
z mocą dość brutalnie).

I czy na pewno dane uzyskane przez taki odczyt wystarczą do wykonania transakcji
bezstykowej?

Jasne. Dodatkowo, praktycznie nie ma możliwości obrony przed takim
atakiem. Największe zagrożenie dla atakującego to monitoring - możesz
chyba ocenić skalę tego zagrożenia i ochrony przed nim.

Masz gdzieś opis faktycznego sklonowania i wykorzystania takiego
klona, czy tylko się jarają wszyscy tym że można sobie jakieś dane z karty
odczytać bezstykowo? Co zrobisz z tym swoim scalakiem skoro terminal działa
na zasadzie challenge-response?

Najgroźniejszym atakiem jest przetunelowanie całego ruchu. Wtedy nawet
reklamacja w banku nic nie da, ofiara będzie mieć na karcie ślad po tej
transakcji :-( Coś takiego IMHO podpada pod definicję "narzędzia
niebezpiecznego dla uĹźytkownika".

Jeśli chodzi o klonowanie, to możliwe że sklonowanie karty Paywave może
być problemem, ze względu na podpisywanie danych kluczem asymetrycznym
(przez kartę). Paypass tego nie robi (stąd m.in. brak możliwości podania
PINu przy wyższej kwocie - bo mógłby zostać przechwycony).
--
Krzysztof Hałasa

Krzysztof Halasa <khc@pm.waw.pl> writes:

[...]>

Jeśli chodzi o klonowanie, to możliwe że sklonowanie karty Paywave może
być problemem, ze względu na podpisywanie danych kluczem asymetrycznym
(przez kartę). Paypass tego nie robi (stąd m.in. brak możliwości podania
PINu przy wyższej kwocie - bo mógłby zostać przechwycony).

Czegoś nie rozumiem. Płaciłem wielokrotnie PayPassem (nie PayWave) >50 i
potwierdzałem pinem.
KJ

--
http://blogdebart.pl/2009/12/22/mamy-chorych-dzieci/
I want a WESSON OIL lease!!

kjonca@poczta.onet.pl (Kamil Jońca) writes:

Jeśli chodzi o klonowanie, to możliwe że sklonowanie karty Paywave może
być problemem, ze względu na podpisywanie danych kluczem asymetrycznym
(przez kartę). Paypass tego nie robi (stąd m.in. brak możliwości podania
PINu przy wyższej kwocie - bo mógłby zostać przechwycony).

Czegoś nie rozumiem. Płaciłem wielokrotnie PayPassem (nie PayWave) >50 i
potwierdzałem pinem.

Ale ten pin trafiał do banku, nie do karty, wymaga to autoryzacji online
i w wielu miejscach (np. krajach) w ogóle nie działa. To nie zabezpiecza
przed próbą sklonowania karty, bank nie odróżni klona od oryginału,
przynajmniej do momentu dokonania oryginałem jakiejś kolejnej transakcji
z autoryzacją online.

Karcie nie można podać PINu niezaszyfrowanego zbliżeniowo (tak jakoś
wyszło), a PayPassowi nie można go zaszyfrować. Z tym że myślę że to się
zmieni.
--
Krzysztof Hałasa

On 2013-07-12, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Masz gdzieś opis faktycznego sklonowania i wykorzystania takiego
klona, czy tylko się jarają wszyscy tym że można sobie jakieś dane z karty
odczytać bezstykowo? Co zrobisz z tym swoim scalakiem skoro terminal działa
na zasadzie challenge-response?

Najgroźniejszym atakiem jest przetunelowanie całego ruchu. Wtedy nawet
reklamacja w banku nic nie da, ofiara będzie mieć na karcie ślad po tej
transakcji :-( Coś takiego IMHO podpada pod definicję "narzędzia
niebezpiecznego dla użytkownika".

No ale na jaką odległość chcesz te tunelowanie przeprowadzić? Właśnie o to chodzi, że przecież tu trzeba zsynchronizować w tym momencie kupującego
i skanującego. Od początku piszę, że największym "wyzwaniem" nie jest
technologia, ale konieczność synchronizacji i operacji f2f. A zasięg
czytnika 50 cm, czy nawet 1m to nadal zasięg przy którym trzeba dziwnie
się do ludzi kleić. Pal tam sześć jakby to było "na chwilkę", ale biorąc
pod uwagę, że druga osoba musi mieć czas dokonać tego zakupu i zakładając
czystość punktu sprzedaży, to taka operacja robi się wybitnie ryzykowna.

Jeśli chodzi o klonowanie, to możliwe że sklonowanie karty Paywave może
być problemem, ze względu na podpisywanie danych kluczem asymetrycznym
(przez kartę). Paypass tego nie robi (stąd m.in. brak możliwości podania
PINu przy wyższej kwocie - bo mógłby zostać przechwycony).

Już bardziej uwierzę, że największym problemem jest odczytanie numeru
karty. Bo to potem można spróbować wykorzystać w internecie. No ale
przed tym w PL akurat dużo banków pozwala się zabezpieczyć.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-13 10:27, Wojciech Bancer wrote:

No ale na jaką odległość chcesz te tunelowanie przeprowadzić? Właśnie
o to chodzi, że przecież tu trzeba zsynchronizować w tym momencie kupującego
i skanującego. Od początku piszę, że największym "wyzwaniem" nie jest
technologia, ale konieczność synchronizacji i operacji f2f. A zasięg
czytnika 50 cm, czy nawet 1m to nadal zasięg przy którym trzeba dziwnie
się do ludzi kleić. Pal tam sześć jakby to było "na chwilkę", ale biorąc
pod uwagę, że druga osoba musi mieć czas dokonać tego zakupu i zakładając
czystość punktu sprzedaży, to taka operacja robi się wybitnie ryzykowna.

IMHO doszukujesz się problemów tam, gdzie ich po prostu nie ma.

Zgaduję, że w pierwszym lepszym autobusie/tramwaju/SKM-ce znajdzie się bez problemu nie jedną potencjalną ofiarę. W zajęciu miejsca obok takiej ofiary nie ma niczego podejrzanego. Tak więc IMHO można założyć, że przez kilka-kilkanaście minut w zasięgu będzie co najmniej jedna kartę do której można przetunelować transakcję.

I teraz mając przygotowane zakupy (pewnie jakąś flaszkę albo wyroby tytoniowe, bo łatwo zbywalne) płacisz za nie kartą ofiary.

Widzisz jeszcze jakieś inne problemy?

Piotrek

On 2013-07-13, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

No ale na jaką odległość chcesz te tunelowanie przeprowadzić? Właśnie
o to chodzi, że przecież tu trzeba zsynchronizować w tym momencie kupującego
i skanującego. Od początku piszę, że największym "wyzwaniem" nie jest
technologia, ale konieczność synchronizacji i operacji f2f. A zasięg
czytnika 50 cm, czy nawet 1m to nadal zasięg przy którym trzeba dziwnie
się do ludzi kleić. Pal tam sześć jakby to było "na chwilkę", ale biorąc
pod uwagę, że druga osoba musi mieć czas dokonać tego zakupu i zakładając
czystość punktu sprzedaży, to taka operacja robi się wybitnie ryzykowna.

IMHO doszukujesz się problemów tam, gdzie ich po prostu nie ma.

Zgaduję, że w pierwszym lepszym autobusie/tramwaju/SKM-ce znajdzie się bez problemu nie jedną potencjalną ofiarę. W zajęciu miejsca obok takiej ofiary nie ma niczego podejrzanego. Tak więc IMHO można założyć, że przez kilka-kilkanaście minut w zasięgu będzie co najmniej jedna kartę do której można przetunelować transakcję.

I teraz mając przygotowane zakupy (pewnie jakąś flaszkę albo wyroby tytoniowe, bo łatwo zbywalne) płacisz za nie kartą ofiary.

Widzisz jeszcze jakieś inne problemy?

Próbowałeś Ty kiedyś 3G w autobusie używać? o.O

Jak juĹź lecimy po pudelkach blogowych:
http://samcik.blox.pl/2013/02/Dwa-smartfony-internet-i-juz-mozna-zdalnie.html

W MasterCardzie mają i inne wątpliwości. "W opisywanym przypadku od strony technicznej wszystko jest teoretycznie wykonalne. Ale tylko teoretycznie i w warunkach laboratoryjnych. Gdy pierwszy oszust w sklepie płaci w kasie, to drugi ma mało czasu, by "rozganizować" transmisję z jakąś inną kartą. Dozwolony czas transakcji to na ogół pół sekundy, choć moĹźe to trwać dłuĹźej – terminal moĹźe czekać na odpowiedĹş karty nawet kilka sekund, więc teoretycznie jest czas na połączenie z urządzeniem drugiego oszusta (w autobusie, metrze czy innym zatłoczonym miejscu - jak w przykładzie). Drugi oszust nie tylko ma mało czasu - musi być teĹź w odległości maksymalnie 30 cm od posiadaczy kart zbliĹźeniowych. I – aby sczytać dane kart w czasie rzeczywistym, co jest niezbędne do realizacji transakcji - musi utrzymywać urządzenie, za pomocą ktĂłrego chce się  połączyć z kartą, w pozycji stabilnej – co w warunkach panujących w autobusie czy innym zatłoczonym miejscu moĹźe być trudne" - piszą mi ludzie z MasterCarda. A więc ich zdaniem operacja musi się zmieścić w kilku sekundach, bo inaczej się nie uda - terminal nie przyjmie płatności.. "Terminal zakłada, Ĺźe karta odpowiada w konkretnym czasie - jeĹźeli komunikacja jest zbyt wolna, terminal przerwie transakcję".

W MasterCardzie twierdzą teĹź, Ĺźe przeszkodą do fraudu typu relay attack moĹźe teĹź być kwestia jakości połączenia internetowego między smartfonem znajdującym się w sklepie i tym, ktĂłry ma być blisko tłumu posiadaczy kart zbliĹźeniowych. "Na czas transakcji wpływa transmisja danych między smartfonami. W laboratorium, przy małym obciążeniu sieci i telefonu teoretycznie moĹźe udałoby się zdążyć, ale praktycznie, jeĹźeli jeden oszust jest w sklepie, drugi w tłumie, to najczęściej nie jest to idealny zasięg i sieć jest obciążona, więc opóźnienia będą spore - i w dodatku zmienne (są widoczne nawet jeĹźeli telefon łączy się z serwerem, a co dopiero z drugim telefonem)". No i kolejny problem: kwestia moĹźliwości czytania karty, ktĂłra jest w portfelu lub kieszeni. "Sczytanie karty w autobusie czy metrze moĹźe i jest moĹźliwe w warunkach laboratoryjnych, ale trzeba mieć dobrą antenę, solidny wzmacniacz oraz mocne zasilanie, do tego brak zakłóceń. Nie wystarczy zatem sam telefon, tylko trzeba     juĹź podróşować z większym sprzętem"

W MasterCardzie przedstawiają sprawę w kategoriach zabawy dla hobbystów, a nie zajęcia dla poważnych ludzi od dużych fraudów. [...]

--
Wojciech Bańcer
proteus@post.pl

Dnia Sat, 13 Jul 2013 11:23:57 +0200, Wojciech Bancer napisał(a):

Próbowałeś Ty kiedyś 3G w autobusie używać? o.O

Gdy jeździłem autobusami, było tylko EDGE, ale w samochodzie 3G działa, w
czym problem?

AK

On 2013-07-13, Andrzej Kubiak <none@inv.invalid> wrote:

[...]

Próbowałeś Ty kiedyś 3G w autobusie używać? o.O

Gdy jeździłem autobusami, było tylko EDGE, ale w samochodzie 3G działa, w
czym problem?

Z opóźnieniami jakie towarzyszą połączeniom mobilnym.

--
Wojciech Bańcer
proteus@post.pl

Dnia Sat, 13 Jul 2013 17:25:48 +0200, Wojciech Bancer napisał(a):

On 2013-07-13, Andrzej Kubiak <none@inv.invalid> wrote:

[...]

Próbowałeś Ty kiedyś 3G w autobusie używać? o.O

Gdy jeździłem autobusami, było tylko EDGE, ale w samochodzie 3G działa, w
czym problem?

Z opóźnieniami jakie towarzyszą połączeniom mobilnym.

Sugerujesz, że opóźnienia rzędu 60 ms uniemożliwią transakcje?
Bo właśnie takie opóźnienia występują w przypadku połączenia HSPA.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-14, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Z opóźnieniami jakie towarzyszą połączeniom mobilnym.

Sugerujesz, że opóźnienia rzędu 60 ms uniemożliwią transakcje?
Bo właśnie takie opóźnienia występują w przypadku połączenia HSPA.

Dla porządku, mówisz o opóźnieniach:

 - pomiędzy 2 urządzeniami mobilnymi (a nie urządzeniem a stacją bazową)
 - z których jedno jest w ruchu, w pojeżdzie (co też nie pozostaje bez wpływu na zakłócenia)
 - a drugie w budynku, zazwyczaj dość ładnie ekranowanym
? Bo z moich obserwacji czasów np. w czasie jazdy autobusem, czy pociągiem, na ipadzie/laptopie wynika, że jednak tak pięknie jak opisujesz, to jednak nie jest.

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-14, Wojciech Bancer <proteus@post.pl> wrote:

[...]

Bo z moich obserwacji czasów np. w czasie jazdy autobusem, czy pociągiem, na ipadzie/laptopie wynika, że jednak tak pięknie jak opisujesz, to jednak nie jest.

I dla porządku, krótki test w warunkach "przejdę się po okolicy":
http://share.pho.to/2xliU/original
warunki nie były złe, serwer też niezgorszy, myślę że w autobusie
i do innego urządzenia mobilnego, byłyby dużo gorsze.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

I dla porządku, krótki test w warunkach "przejdę się po okolicy":
http://share.pho.to/2xliU/original
warunki nie były złe, serwer też niezgorszy, myślę że w autobusie
i do innego urządzenia mobilnego, byłyby dużo gorsze.

Fajne zabezpieczenie, "bo może będą gorsze warunki i może fraud się nie
uda". Obawiam się, że takie warunki jednak nie byłyby przeszkodą :-(
--
Krzysztof Hałasa

On 2013-07-17, Krzysztof Halasa <khc@pm.waw.pl> wrote:

Wojciech Bancer <proteus@post.pl> writes:

I dla porządku, krótki test w warunkach "przejdę się po okolicy":
http://share.pho.to/2xliU/original
warunki nie były złe, serwer też niezgorszy, myślę że w autobusie
i do innego urządzenia mobilnego, byłyby dużo gorsze.

Fajne zabezpieczenie, "bo może będą gorsze warunki i może fraud się nie
uda".

Największe zabezpieczenie to "nie opłaca się".

--
Wojciech Bańcer
proteus@post.pl

On 2013-07-17 23:39, Wojciech Bancer wrote:

Największe zabezpieczenie to "nie opłaca się".

Idąc Twoim tokiem rozumowania można byłoby dojść do wniosku, że produkcja gwoździ jest kompletnie nieopłacalna.

No bo ile kosztuje jeden gwóźdź w porównaniu do kosztów jakie trzeba ponieść ażeby zakupić maszynę do ich produkcji.

Ale jak się nietrudno domyśleć, tego typu myślenie łatwo może prowadzić na manowce. A już zwłaszcza wtedy, kiedy tematem jest security a nie produkcja gwoździ.

Oczywiście jak się zrobi rzetelną analizę, to może się okazać, że taniej jest "brać na klatę" fraudy zgłaszane przez klientów niż porządnie zabezpieczyć produkt.

Jednakowoż IMHO nasze banki w większości poszły jakby o krok dalej. Biorą fraudy na klatę ... klienta. A jako alternatywę dla karty z płatnościami zbliżeniowymi proponują "niemanie" karty.

I tu jest sedno problemu.

Piotrek

On 2013-07-17, Piotrek <piotrek@pisz.na.berdyczow.info> wrote:

[...]

Największe zabezpieczenie to "nie opłaca się".

Idąc Twoim tokiem rozumowania można byłoby dojść do wniosku, że produkcja gwoździ jest kompletnie nieopłacalna.

To absolutnie nie jest mój tok myślenia, tylko Twój.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

W MasterCardzie mają i inne wątpliwości. "W opisywanym przypadku od strony technicznej wszystko jest teoretycznie wykonalne. Ale tylko teoretycznie i w warunkach laboratoryjnych.

A dają gwarancję na to "tylko"?

Gdy pierwszy oszust w sklepie płaci w kasie, to drugi ma mało czasu, by "rozganizować" transmisję z jakąś inną kartą.

To może niech to "organizuje" np. minutę wcześniej. To nie jest chyba
tak, że oszuści muszą robić to, co jest dla nich najmniej korzystne?

Dozwolony czas transakcji to na ogół pół sekundy, choć może to trwać dłużej – terminal może czekać na odpowiedź karty nawet kilka sekund, więc teoretycznie jest czas na połączenie z urządzeniem drugiego oszusta (w autobusie, metrze czy innym zatłoczonym miejscu - jak w
przykładzie).

Przy czym to jest zarĂłwno teoretycznie jak i praktycznie, a dodatkowo
jest duĹźo zapasu czasu.

Drugi oszust nie tylko ma mało czasu - musi być też w odległości maksymalnie 30 cm od posiadaczy kart zbliżeniowych.

Nawet gdyby, chociaż pisałem już że używam seryjnego czytnika o nieco
większym zasięgu, i jestem przekonany że potrafiłbym zmontować jeszcze
duĹźo lepszy (przy czym opieram swoje zdanie na moim wieloletnim
doświadczeniu w elektronice oraz m.in. na tym, że moja praca,
w niewielkiej części, dotyczy właśnie konstrukcji czytników NFC).

Nawet gdyby to było tylko 30 cm, to wciąż nie jest to wielkim problemem
w np. komunikacji zbiorowej.

I – aby sczytać dane kart w czasie rzeczywistym, co jest niezbędne do realizacji transakcji - musi utrzymywać urządzenie, za pomocą ktĂłrego chce się  połączyć z kartą, w pozycji stabilnej – co w warunkach panujących w autobusie czy innym zatłoczonym miejscu moĹźe być trudne" - piszą mi ludzie z MasterCarda.

.... tzn. nie należy kręcić zbyt szybko anteną, tak? Kto by pomyślał.

A więc ich zdaniem operacja musi się zmieścić w kilku sekundach,

AĹź tyle czasu nawet nie potrzeba

W MasterCardzie twierdzą też, że przeszkodą do fraudu typu relay attack może też być kwestia jakości połączenia internetowego między smartfonem znajdującym się w sklepie i tym, który ma być blisko tłumu posiadaczy kart zbliżeniowych.

Taaak, problemem może być także rozładowanie się baterii, albo nagła
utrata przytomności przez jednego z oszustów. Impuls elektromagnetyczny,
i przerwa w działaniu telefonów też przychodzą mi do głowy.

W laboratorium, przy małym obciążeniu sieci i telefonu

A no tak, za duże obciążenie telefonu. Może ktoś ogląda na nim film
podczas ataku.

teoretycznie może udałoby się zdążyć, ale praktycznie, jeżeli jeden oszust jest w sklepie, drugi w tłumie, to najczęściej nie jest to idealny zasięg i sieć jest obciążona, więc opóźnienia będą spore - i w dodatku zmienne (są widoczne nawet jeżeli telefon łączy się z serwerem, a co dopiero z drugim telefonem)".

Tak czy owak ten atak jest zarĂłwno teoretycznie jak i praktycznie
możliwy, i prawdopodobieństwo, że dana próba się powiedzie jest znacznie
większe niż 90%. Dodatkowo, niepowodzenie nie niesie ze sobą żadnych
negatywnych dla oszustĂłw skutkĂłw, np. prĂłba oszustwa nie wychodzi na
jaw.

No i kolejny problem: kwestia moĹźliwości czytania karty, ktĂłra jest w portfelu lub kieszeni. "Sczytanie karty w autobusie czy metrze moĹźe i jest moĹźliwe w warunkach laboratoryjnych, ale trzeba mieć dobrą antenę, solidny wzmacniacz oraz mocne zasilanie, do tego brak zakłóceń. Nie wystarczy zatem sam telefon, tylko trzeba     juĹź podróşować z większym sprzętem"

To akurat prawda, najlepiej mieć większą antenę (jeśli chodzi
o wymiary). Nie jest to jednak Ĺźadnym praktycznym problemem.

W MasterCardzie przedstawiają sprawę w kategoriach zabawy dla hobbystów, a nie zajęcia dla poważnych ludzi od dużych fraudów.

Trudno się spodziewać by powiedzieli "daliśmy ciała, to wszystko jest do
d*, w sumie wiedzieliśmy o tym od zawsze, ale dla nas liczy się nasza
kasa, nie bezpieczeństwo jakichś tam klientów".
--
Krzysztof Hałasa

On 2013-07-13, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Gdy pierwszy oszust w sklepie płaci w kasie, to drugi ma mało czasu, by "rozganizować" transmisję z jakąś inną kartą.

To może niech to "organizuje" np. minutę wcześniej. To nie jest chyba
tak, że oszuści muszą robić to, co jest dla nich najmniej korzystne?

Ale co ma zorganizować wcześniej? Jak zsynchronizujesz gościa jadącego
w autobusie i siedzącego z czytnikiem koło "klienta" i jednocześnie
oddalonego o nieznaną odległość kupującego?

Dozwolony czas transakcji to na ogół pół sekundy, choć może to trwać dłużej – terminal może czekać na odpowiedź karty nawet kilka sekund, więc teoretycznie jest czas na połączenie z urządzeniem drugiego oszusta (w autobusie, metrze czy innym zatłoczonym miejscu - jak w
przykładzie).

Przy czym to jest zarĂłwno teoretycznie jak i praktycznie, a dodatkowo
jest duĹźo zapasu czasu.

No ja akurat bardziej jestem skłonny uwierzyć w to, że nie ma tego czasu
aĹź tak duĹźo.

Drugi oszust nie tylko ma mało czasu - musi być też w odległości maksymalnie 30 cm od posiadaczy kart zbliżeniowych.

Nawet gdyby, chociaż pisałem już że używam seryjnego czytnika o nieco
większym zasięgu, i jestem przekonany że potrafiłbym zmontować jeszcze
duĹźo lepszy (przy czym opieram swoje zdanie na moim wieloletnim
doświadczeniu w elektronice oraz m.in. na tym, że moja praca,
w niewielkiej części, dotyczy właśnie konstrukcji czytników NFC).

Nawet gdyby to było tylko 30 cm, to wciąż nie jest to wielkim problemem
w np. komunikacji zbiorowej.

Jak nie? Komunikacja zbiorowa to ciągły ruch przecież. Jak chcesz długotrwale
uzyskać dobry namiar (zauważ jak na tych wszystkich filmikach się ludzie muszą
nastarać i wycelować) i w dodatku zagwarantować stałość i szybkość połączenia
internetowego pomiędzy urządzeniami?

I – aby sczytać dane kart w czasie rzeczywistym, co jest niezbędne do realizacji transakcji - musi utrzymywać urządzenie, za pomocą ktĂłrego chce się  połączyć z kartą, w pozycji stabilnej – co w warunkach panujących w autobusie czy innym zatłoczonym miejscu moĹźe być trudne" - piszą mi ludzie z MasterCarda.

... tzn. nie należy kręcić zbyt szybko anteną, tak? Kto by pomyślał.

Rozumiem że jesteś typem człowieka któremu ręka nie drgnie niezależnie od
drgań, kierunku i szybkości poruszania się pojazdu? Respekt.

A więc ich zdaniem operacja musi się zmieścić w kilku sekundach,

AĹź tyle czasu nawet nie potrzeba

To zobacz ile zajmuje odczyt strony internetowej w autobusie.
Bo ja na jednej trasie mam różnice między 100ms a timeout.
Z przewagą czasu > 1s. Na EDGE jest jeszcze gorzej.

teoretycznie może udałoby się zdążyć, ale praktycznie, jeżeli jeden oszust jest w sklepie, drugi w tłumie, to najczęściej nie jest to idealny zasięg i sieć jest obciążona, więc opóźnienia będą spore - i w dodatku zmienne (są widoczne nawet jeżeli telefon łączy się z serwerem, a co dopiero z drugim telefonem)".

Tak czy owak ten atak jest zarĂłwno teoretycznie jak i praktycznie
możliwy, i prawdopodobieństwo, że dana próba się powiedzie jest znacznie
większe niż 90%. Dodatkowo, niepowodzenie nie niesie ze sobą żadnych
negatywnych dla oszustĂłw skutkĂłw, np. prĂłba oszustwa nie wychodzi na
jaw.

No to jest Twoja ocena sytuacji. Ja uważam inaczej. I jak widać
nie tylko ja.

W MasterCardzie przedstawiają sprawę w kategoriach zabawy dla hobbystów, a nie zajęcia dla poważnych ludzi od dużych fraudów.

Trudno się spodziewać by powiedzieli "daliśmy ciała, to wszystko jest do
d*, w sumie wiedzieliśmy o tym od zawsze, ale dla nas liczy się nasza
kasa, nie bezpieczeństwo jakichś tam klientów".

A z drugiej strony, skoro te fraudy są takie banalne i proste, to czemu jeszcze nikt tego na większą skalę nie zrobił?

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Ale co ma zorganizować wcześniej? Jak zsynchronizujesz gościa jadącego
w autobusie i siedzącego z czytnikiem koło "klienta" i jednocześnie
oddalonego o nieznaną odległość kupującego?

A co jest nieznanego w tej odległości (i np. kierunku) i dlaczego?
Może to po prostu robota dla kogoś, kto wie, jak działa radio.

Jak nie? Komunikacja zbiorowa to ciągły ruch przecież. Jak chcesz długotrwale
uzyskać dobry namiar (zauważ jak na tych wszystkich filmikach się ludzie muszą
nastarać i wycelować) i w dodatku zagwarantować stałość i szybkość połączenia
internetowego pomiędzy urządzeniami?

Niczego nie muszę gwarantować przede wszystkim. Ale oczywiście mogę -
wystarczy, że jednocześnie kilka osób będzie "polowało" (dodatkowo też
więcej "klientów" może kupować).

Rozumiem że jesteś typem człowieka któremu ręka nie drgnie niezależnie od
drgań, kierunku i szybkości poruszania się pojazdu? Respekt.

No wiesz, myślałem raczej o rotacjach / minutę. Karta bardzo nie lubi
gadać z czytnikiem, jeśli kąt między antenami jest zbliżony do 90
stopni. Zwykłe drgania anteny w niczym nie przeszkadzają, jeśli nie
jesteśmy na granicy zasięgu.

To zobacz ile zajmuje odczyt strony internetowej w autobusie.
Bo ja na jednej trasie mam różnice między 100ms a timeout.
Z przewagą czasu > 1s. Na EDGE jest jeszcze gorzej.

To zobacz ile trwa odpowiedź na pinga o długości np. 512 bajtów, to
będzie mieć jakiś związek ze sprawą (w odróżnieniu od "strony
internetowej").
Takie coś można bez problemu zrobić nawet na połączeniu komutowanym.

No to jest Twoja ocena sytuacji. Ja uważam inaczej. I jak widać
nie tylko ja.

Owszem. Ale racja nie opiera się na demokracji, tylko na stanie
faktycznym, a ten można ustalić korzystając np. z wiedzy, doświadczenia
itd.

A z drugiej strony, skoro te fraudy są takie banalne i proste, to czemu jeszcze nikt tego na większą skalę nie zrobił?

A skąd informacja że nie zrobił?

Natomiast wiem, dlaczego wiele osĂłb tego nie robi, mimo Ĺźe byliby
w stanie: bo a) nie chcą czynić zła, b) jest to nielegalne i boją się
ew. kary (możliwej np. po popełnieniu błędów), i dopiero c) bo to jednak
może być dość trudne, zwłaszcza jeśli ktoś się takimi rzeczami nie
zajmuje normalnie.
--
Krzysztof Hałasa

On 2013-07-14, Krzysztof Halasa <khc@pm.waw.pl> wrote:

Wojciech Bancer <proteus@post.pl> writes:

Ale co ma zorganizować wcześniej? Jak zsynchronizujesz gościa jadącego
w autobusie i siedzącego z czytnikiem koło "klienta" i jednocześnie
oddalonego o nieznaną odległość kupującego?

A co jest nieznanego w tej odległości (i np. kierunku) i dlaczego?

Ok. To podaj mi odległość między mną, a autobusem linii dajmy na to T1. Poproszę. :)

Może to po prostu robota dla kogoś, kto wie, jak działa radio.

O, czyli kolejny sprzęcik potrzebny do akcji. I rozumiem gościu z koszyczkiem,
robiący nasłuch w sklepie, nic a nic nie jest podejrzany. :)

Niczego nie muszę gwarantować przede wszystkim. Ale oczywiście mogę -
wystarczy, że jednocześnie kilka osób będzie "polowało" (dodatkowo też
więcej "klientów" może kupować).

Czyli transakcję "do 50 zł/operację" masz już do podziału nie między 2 os,
a dajmy na to 4. Jeszcze lepiej.

Rozumiem że jesteś typem człowieka któremu ręka nie drgnie niezależnie od
drgań, kierunku i szybkości poruszania się pojazdu? Respekt.

No wiesz, myślałem raczej o rotacjach / minutę. Karta bardzo nie lubi
gadać z czytnikiem, jeśli kąt między antenami jest zbliżony do 90
stopni. Zwykłe drgania anteny w niczym nie przeszkadzają, jeśli nie
jesteśmy na granicy zasięgu.

No nie wiem czy w pojeżdzie mechanicznym masz do czynienia ze zwykłymi
drganiami. Dobrze wiedzieć. :) Aż zazdroszczę tego miasta w którym żyjesz, bo musi być nieźle wyremontowane, a kierowcy kulturalni,
nikt nagle nie hamuje, nie ma ostrych skrętów. Ideał. :)

To zobacz ile zajmuje odczyt strony internetowej w autobusie.
Bo ja na jednej trasie mam różnice między 100ms a timeout.
Z przewagą czasu > 1s. Na EDGE jest jeszcze gorzej.

To zobacz ile trwa odpowiedź na pinga o długości np. 512 bajtów, to
będzie mieć jakiś związek ze sprawą (w odróżnieniu od "strony
internetowej").

Ale ping jest jak wyżej. W dodatku szalenie zmienny.

Owszem. Ale racja nie opiera się na demokracji, tylko na stanie
faktycznym, a ten można ustalić korzystając np. z wiedzy, doświadczenia
itd.

No to moja wiedza i doświadczenie w zakresie jakości połączenia "z autubusu"
pozwalają mi spać spokojnie.

A z drugiej strony, skoro te fraudy są takie banalne i proste, to czemu jeszcze nikt tego na większą skalę nie zrobił?

A skąd informacja że nie zrobił?

Oh, media by takiego tematu nie odpuściły, skoro pochylają się nad losem
pojedynczego Kowalskiego który zgubił kartę.

Natomiast wiem, dlaczego wiele osób tego nie robi, mimo że byliby
w stanie: bo a) nie chcą czynić zła, b) jest to nielegalne i boją się
ew. kary (możliwej np. po popełnieniu błędów), i dopiero c) bo to jednak
może być dość trudne, zwłaszcza jeśli ktoś się takimi rzeczami nie
zajmuje normalnie.

d) połączenie b), c) oraz tego, że ludzie którzy są w stanie to zrobić
zarabiają na godzinę więcej niż zarobią na takiej akcji powoduje że
to jest zwyczajnie nieopłacalne.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Ok. To podaj mi odległość między mną, a autobusem linii dajmy na to T1. Poproszę. :)

Jesteś PRem bankowym? Komu innemu zależałoby na wymyślaniu absurdów?

O, czyli kolejny sprzęcik potrzebny do akcji. I rozumiem gościu z koszyczkiem,
robiący nasłuch w sklepie, nic a nic nie jest podejrzany. :)

Nie Ĺźaden kolejny, tylko potrzebny jest np. telefon, albo inna
radiostacja itp, oraz czytnik. M.in. ten ostatni to także urządzenie
radiowe, mimo że (zwykle) małej mocy i o kiepskiej czułości.

Niczego nie muszę gwarantować przede wszystkim. Ale oczywiście mogę -
wystarczy, że jednocześnie kilka osób będzie "polowało" (dodatkowo też
więcej "klientów" może kupować).

Czyli transakcję "do 50 zł/operację" masz już do podziału nie między 2 os,
a dajmy na to 4. Jeszcze lepiej.

Nie "transakcję". Transakcje. Nie możesz myśleć kategoriami PR, tu nie
chodzi o zaklinanie rzeczywistości. Żeby ustalić stan faktyczny, musisz
myśleć tak, jak druga strona, musisz pokonać takie same realne
przeszkody. Nie chodzi o wymyślenie przeszkód, które nie istnieją.
W przeciwnym przypadku to nie prowadzi do niczego.

Ale ping jest jak wyĹźej. W dodatku szalenie zmienny.

Zmienność w niczym nie przeszkadza (można było zrobić tego pinga
częściej niż raz na sekundę). Sam widzisz że to nie jest problemem.
--
Krzysztof Hałasa

On 2013-07-17, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Ok. To podaj mi odległość między mną, a autobusem linii dajmy na to T1. Poproszę. :)

Jesteś PRem bankowym? Komu innemu zależałoby na wymyślaniu absurdów?

Brakuje argumentów? Nie jestem.

O, czyli kolejny sprzęcik potrzebny do akcji. I rozumiem gościu z koszyczkiem,
robiący nasłuch w sklepie, nic a nic nie jest podejrzany. :)

Nie żaden kolejny, tylko potrzebny jest np. telefon, albo inna
radiostacja itp, oraz czytnik. M.in. ten ostatni to także urządzenie
radiowe, mimo że (zwykle) małej mocy i o kiepskiej czułości.

Potrzebne są przynajmniej dwa urządzenia. Jedno by zapewnić komunikację
zespołu, drugie by zapewnić komunikację kart.

Czyli transakcję "do 50 zł/operację" masz już do podziału nie między 2 os,
a dajmy na to 4. Jeszcze lepiej.

Nie "transakcję". Transakcje.

Nie. TransakcjĘ. Sztuk jeden. Zanim nazbierasz drugi koszyczek, to trochę potrwa.
I jeszcze musisz zapewnić ponownie warunki na odczyt karty.

Nie możesz myśleć kategoriami PR

A Ty kategoriami fizyka z warunkami idealnymi.

chodzi o zaklinanie rzeczywistości. Żeby ustalić stan faktyczny,

W stanie faktycznym masz do czynienia z ludźmi, a nie wzorami matematycznymi.

przeszkody. Nie chodzi o wymyślenie przeszkód, które nie istnieją.
W przeciwnym przypadku to nie prowadzi do niczego.

Właśnie druga strona musi kalkulować i przewidywać przeszkody by ocenić
ryzyko. A nie dziarsko przyjmować warunki idealne.

Ale ping jest jak wyżej. W dodatku szalenie zmienny.

Zmienność w niczym nie przeszkadza

Oczywiście że przeszkadza, zwłaszcza kiedy masz ograniczony czas na dokonanie transmisji (nie na zbliżenie karty, tylko
na dokonanie transmisji w obie strony).

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Jesteś PRem bankowym? Komu innemu zależałoby na wymyślaniu absurdów?

Brakuje argumentĂłw? Nie jestem.

Ignorujesz argumenty. Tak robią PRowcy.

Nie Ĺźaden kolejny, tylko potrzebny jest np. telefon, albo inna
radiostacja itp, oraz czytnik. M.in. ten ostatni to także urządzenie
radiowe, mimo że (zwykle) małej mocy i o kiepskiej czułości.

Potrzebne są przynajmniej dwa urządzenia. Jedno by zapewnić komunikację
zespołu, drugie by zapewnić komunikację kart.

Jeśli to drugie to czytnik zapewniający komunikację "z kartami", to
owszem.

Nie. TransakcjĘ. Sztuk jeden. Zanim nazbierasz drugi koszyczek, to trochę potrwa.
I jeszcze musisz zapewnić ponownie warunki na odczyt karty.

Nie muszę, bo niepowodzenie niczym nie grozi. Natomiast uparcie wydajesz
się nie zauważać tego, że te "koszyczki" można zbierać jednocześnie.

Zrozum, ew. fraudster nie stara się zrobić sobie jak najgorzej. On nie
chce, by to było nieopłacalne. Jeśli nie potrafisz podążyć tym tropem,
to nie możesz dojść do prawidłowych wniosków.

Nie możesz myśleć kategoriami PR

A Ty kategoriami fizyka z warunkami idealnymi.

Nie robię tego, przeciwnie - myślę kategoriami elektronika i
programisty, który często dokładnie takimi rzeczami się zajmuje
(włącznie z np. programowaniem scalaków siedzących w czytnikach,
uruchamianiem prototypowych czytnikĂłw itp).
Takie życie. Na temat produkcji makaronu się nie wypowiadam.

Właśnie druga strona musi kalkulować i przewidywać przeszkody by ocenić
ryzyko. A nie dziarsko przyjmować warunki idealne.

Ryzyko - tak. Ale Twoje "przeszkody" nie powodują ryzyka. One mają
rzekomo uniemożliwiać atak, albo czynić go nieopłacalnym.

Zmienność w niczym nie przeszkadza

Oczywiście że przeszkadza, zwłaszcza kiedy masz ograniczony czas na dokonanie transmisji (nie na zbliżenie karty, tylko
na dokonanie transmisji w obie strony).

A w czym przeszkadza?

Przeszkadzać mogą długie pingi, ale to duża długość jest problemem
(zwłaszcza, jeśli masz tylko takie), a nie zmienność.
Problemem byłyby także straty pakietów. Tyle że oczywiście nie napiszę,
że wtedy by się "nie dało" - bo tak nie jest, wystarczyłoby wysyłać
pakiety z redundancją.

Jeszcze raz napiszę, że nawet wcale nie trzeba do tego używać UMTS.
Wystarczy połączenie CS w GSM, takie jakiego kiedyś dawno się używało.
--
Krzysztof Hałasa

On 2013-07-17, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Nie. TransakcjĘ. Sztuk jeden. Zanim nazbierasz drugi koszyczek, to trochę potrwa.
I jeszcze musisz zapewnić ponownie warunki na odczyt karty.

Nie muszę, bo niepowodzenie niczym nie grozi. Natomiast uparcie wydajesz
się nie zauważać tego, że te "koszyczki" można zbierać jednocześnie.

Przy 2 osobach i bez wzbudzania podejrzeń? Nie.

Zrozum, ew. fraudster nie stara się zrobić sobie jak najgorzej. On nie
chce, by to było nieopłacalne. Jeśli nie potrafisz podążyć tym tropem,
to nie możesz dojść do prawidłowych wniosków.

Zrozum, że to po prostu *jest* nieopłacalne. Stwarzanie dziwnych,
idealnych warunków po to by próbować udowodnić, że to jest opłacalne
daje nieprawidłowe wnioski.

Nie możesz myśleć kategoriami PR

A Ty kategoriami fizyka z warunkami idealnymi.

Nie robię tego, przeciwnie - myślę kategoriami elektronika i
programisty, który często dokładnie takimi rzeczami się zajmuje
(włącznie z np. programowaniem scalaków siedzących w czytnikach,
uruchamianiem prototypowych czytników itp).
Takie życie. Na temat produkcji makaronu się nie wypowiadam.

Myślisz kategoriami teoretyka. Bez sprawdzania "w boju", a przede
wszystkim bez efektu psychologicznego jakie temu towarzyszy.

Zakładasz, że:
 - zasięg zawsze będzie idealny
 - zawsze znajdzie się ofiara która stoi jak ciołek całą trasę
 - z tejże ofiary można ściągnąć bóg wie ile, nieistotne czy
   na karcie są/zadziałają limity, czy nie
to o czym z Tobą dyskutować? Jechałeś Ty kiedyś atobusem?

Właśnie druga strona musi kalkulować i przewidywać przeszkody by ocenić
ryzyko. A nie dziarsko przyjmować warunki idealne.

Ryzyko - tak. Ale Twoje "przeszkody" nie powodują ryzyka. One mają
rzekomo uniemożliwiać atak, albo czynić go nieopłacalnym.

Ściślej: Czynią go nieopłacalnym.

A w czym przeszkadza?

Jak transmisja będzie trwała dłużej niż wymagana przez czytnik (ten końcowy), to w niczym to wg Ciebie nie przeszkadza?

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Myślisz kategoriami teoretyka. Bez sprawdzania "w boju", a przede
wszystkim bez efektu psychologicznego jakie temu towarzyszy.

Tzn. co, namawiasz mnie bym moją wiedzę, zarówno teoretyczną jak
i praktyczną, wykorzystał do prawdziwego fraudu, bo w przeciwnym
przypadku jestem wciąż takim samym teoretykiem jak Ty? :-)

No wybacz. Mi wystarczy "studium wykonalności" żeby wiedzieć, od czego
mam trzymać się z daleka.

Zakładasz, że:
 - zasięg zawsze będzie idealny

Nie, ale teĹź taki nie jest potrzebny.

 - zawsze znajdzie się ofiara ktĂłra stoi jak ciołek całą trasę

Zakładam, że nie opuszcza autobusu w trakcie jazdy. Chociaż oczywiście
gdyby tak się stało, to atakujący nie są zagrożeni.

 - z tejĹźe ofiary moĹźna ściągnąć bĂłg wie ile, nieistotne czy
   na karcie są/zadziałają limity, czy nie
to o czym z Tobą dyskutować?

Limit w najgorszym przypadku powoduje, że transakcja się nie uda. Poza
tym, limit przestaje być problemem jeśli "w zasięgu" jest więcej osób,
i/lub jeśli jest więcej niż jeden "atakujący".

Myślisz, że tamte opisywane fraudy były nieopłacalne dlatego, że
istniała możliwość wystąpienia limitów (nie było ich ale mogły być)?
No pomyśl chwilę.

Jechałeś Ty kiedyś atobusem?

Zdażało mi się, chociaż przyznaję że ostatnio kilka lat temu. Coś się
w tej materii pozmieniało? Bo kiedyś taki układ jak właśnie w autobusie
byłby perfekcyjny do przeprowadzenia takich ataków.

Jak transmisja będzie trwała dłużej niż wymagana przez czytnik (ten końcowy), to w niczym to wg Ciebie nie przeszkadza?

Jakby babcia miała wąsy. Jest niewielkie prawdopodobieństwo że tak się
stanie, a jeśli się stanie, to i tak nic specjalnego się nie wydarzy -
więc o czym tu dyskutować?

To jest bardzo proste: bezpieczeństwo kart bankowych nie może opierać
się na tym, że mało ludzi będzie w autobusie, że połączenie będzie się
rwać, albo czasy transmisji będą wyjątkowo długie. Coś takiego może
przypadkowo uratować kogoś przed fraudem, ale to nie ma nic wspólnego
z bezpieczeństwem.
--
Krzysztof Hałasa

On 2013-07-21, Krzysztof Halasa <khc@pm.waw.pl> wrote:

Myślisz kategoriami teoretyka. Bez sprawdzania "w boju", a przede
wszystkim bez efektu psychologicznego jakie temu towarzyszy.

Tzn. co, namawiasz mnie bym moją wiedzę, zarówno teoretyczną jak
i praktyczną, wykorzystał do prawdziwego fraudu, bo w przeciwnym
przypadku jestem wciąż takim samym teoretykiem jak Ty? :-)

Namawiam byś poza wiedzą teoretyczną z zakresu "jak zrobić czytnik
na kilometr" oszacował również ryzyko.

Wiesz, ja też znam świetny sposób na zdobycie kasy. Idziesz do
kolektury lotto, skreślasz właściwe numery i zostajesz milionerem.
Dużo prostsze i dużo mniej ryzykowne, czyż nie?

na karcie są/zadziałają limity, czy nie to o czym z Tobą dyskutować?

Limit w najgorszym przypadku powoduje, że transakcja się nie uda.

Czyli rozumiem, jesteś również ekspertem i masz wiedzę od tego co ma zaszyte/nie ma zaszyte w sobie oprogramowanie terminala?

Poza tym, limit przestaje być problemem jeśli "w zasięgu" jest więcej osób,
i/lub jeśli jest więcej niż jeden "atakujący".

Powątpiewam. Zwłaszcza jak w tym momencie terminal ładnie poprosi o PIN.

A już to "więcej niż jeden atakujący" to w ogóle ślicznie wygląda
w kontekście synchronizacji, organizacji, użycia gotowego oprogramowania,
przełączania i na koniec - opłacalności tego  wszystkiego.

Jechałeś Ty kiedyś atobusem?

Zdażało mi się, chociaż przyznaję że ostatnio kilka lat temu. Coś się
w tej materii pozmieniało? Bo kiedyś taki układ jak właśnie w autobusie
byłby perfekcyjny do przeprowadzenia takich ataków.

Ależ oczywiście.

Jak transmisja będzie trwała dłużej niż wymagana przez czytnik (ten końcowy), to w niczym to wg Ciebie nie przeszkadza?

Jakby babcia miała wąsy. Jest niewielkie prawdopodobieństwo że tak się
stanie,

No to mamy Twoje zdanie vs. zdanie eksperta z Master Carda.
Sorry, ale jemu wierzę bardziej. Ubezpieczycielom też, skoro
bardzo nisko (kwotowo) wyceniają ryzyko od takich zdarzeń.

A co jak co, to eksperci od ubezpieczeń znają się na szacowaniu
ryzyka, czyż nie?

a jeśli się stanie, to i tak nic specjalnego się nie wydarzy

A skąd wiesz? Znasz reakcję oprogramowania terminala?

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Namawiam byś poza wiedzą teoretyczną z zakresu "jak zrobić czytnik
na kilometr" oszacował również ryzyko.

Ryzyko czego?

Wiesz, ja też znam świetny sposób na zdobycie kasy. Idziesz do
kolektury lotto, skreślasz właściwe numery i zostajesz milionerem.
DuĹźo prostsze i duĹźo mniej ryzykowne, czyĹź nie?

Trudno porównać ryzyko nie wiedząc czego dotyczy.
Natomiast prawdopodobieństwo sukcesu masz "nieco" gorsze.

Limit w najgorszym przypadku powoduje, że transakcja się nie uda.

Czyli rozumiem, jesteś również ekspertem i masz wiedzę od tego co ma zaszyte/nie ma zaszyte w sobie oprogramowanie terminala?

A coś konkretniej? Czego spodziewasz się po terminalu, że Cię aresztuje,
czy wybuchnie? Czy trzeba być wielkim ekspertem by wiedzieć, że jeśli
transakcja się nie uda, to będzie nieudana? Nic się tu więcej nie
stanie, z niezwykle prostej przyczyny - transakcje NFC nie są z natury
rzeczy 100% pewne i niepowodzenie (na niskim poziomie) jest normalne.

Poza tym, limit przestaje być problemem jeśli "w zasięgu" jest więcej osób,
i/lub jeśli jest więcej niż jeden "atakujący".

Powątpiewam. Zwłaszcza jak w tym momencie terminal ładnie poprosi o
PIN.

Można tak zrobić by nie mógł (dokładne szczegóły są publicznie
dostępne). Ale nawet jeśli poprosi, to co z tego? W najgorszym przypadku
transakcja nie dojdzie do skutku.

A już to "więcej niż jeden atakujący" to w ogóle ślicznie wygląda
w kontekście synchronizacji, organizacji, użycia gotowego oprogramowania,
przełączania i na koniec - opłacalności tego  wszystkiego.

Tak tak, to już wiemy. I to jest ta gwarancja bezpieczeństwa.

No to mamy Twoje zdanie vs. zdanie eksperta z Master Carda.
Sorry, ale jemu wierzę bardziej.

To nie jest kwestia wiary, ale prostej analizy publicznie dostępnych
obiektywnych informacji. Jedyną sprawą, którą być może musisz brać "na
wiarę", jest kwestia zasięgu większego niż standardowy (ale też
niewielki dodatek wiedzy z zakresu RF wystarczy byś nie musiał nikomu
wierzyć).

Ubezpieczycielom teĹź, skoro
bardzo nisko (kwotowo) wyceniają ryzyko od takich zdarzeń.

Ubezpieczyłeś się, czy może wykupiłeś "ubezpieczenie" w banku wydawcy
karty? Bo to jest drobna róşnica :-)

A co jak co, to eksperci od ubezpieczeń znają się na szacowaniu
ryzyka, czyĹź nie?

Jasne. Podaj jakieś szczegóły tego ubezpieczenia.

A skąd wiesz? Znasz reakcję oprogramowania terminala?

Reakcję na niedostępność karty? Jasne, sam możesz przecież łatwo
sprawdzić. Naprawdę nie musisz tu nikomu wierzyć.
--
Krzysztof Hałasa

On 2013-07-22 20:19, Krzysztof Halasa wrote:

To nie jest kwestia wiary, [...]

Głęboko się z Tobą nie zgodzę.

To *jest* właśnie kwestia wiary, że jak "duży" coś zrobi to będzie dobrze, bezpiecznie, funkcjonalnie i tanio. ;-)

A przewaĹźnie wychodzi jak zwykle.

Pewnie z tego powodu, że coraz częściej:
- produkty projektują księgowi
- implementują je studenci/"hindusi"
- nad wszystkim czuwa PM, dla którego najważniejsze jest ażeby zdążyć z przed konkurencją (a później się "zapaczuje").

Piotrek

W dniu 2013-07-13 10:59, Piotrek pisze:

On 2013-07-13 10:27, Wojciech Bancer wrote:

Nie wydaje się Wam, że bijecie pianę? Może poszlibyście se pogadać na priv?



--

Dziękuję. Pozdrawiam.   sqlwiel.

Dnia Sat, 13 Jul 2013 14:05:42 +0200, sqlwiel napisał(a):

Nie wydaje się Wam, że bijecie pianę? Może poszlibyście se pogadać na priv?

Gadają na temat i z sensem. Sam se idź pomarudzić na priv.

AK

Dnia Sat, 13 Jul 2013 10:59:03 +0200, Piotrek napisał(a):

Zgaduję, że w pierwszym lepszym autobusie/tramwaju/SKM-ce znajdzie się bez problemu nie jedną potencjalną ofiarę. W zajęciu miejsca obok takiej ofiary nie ma niczego podejrzanego.

A przeciez sa jeszcze inne miejsca z tlokiem.
Albo np szafki w szatni na basenie.

Tak więc IMHO można założyć, że przez kilka-kilkanaście minut w zasięgu będzie co najmniej jedna kartę do której można przetunelować transakcję.
I teraz mając przygotowane zakupy (pewnie jakąś flaszkę albo wyroby tytoniowe, bo łatwo zbywalne) płacisz za nie kartą ofiary.
Widzisz jeszcze jakieś inne problemy?

I moze wlasnie o to chodzi. Ile mozna ukrasc - 200 zl dziennie ? Przy wiekszym obrocie moze sie wydac podejrzane - delikwent ktory
codziennie dwie flaszki kupuje ?

J.

On 2013-07-13, J.F. <jfox_xnospamx@poczta.onet.pl> wrote:

[...]

Tak więc IMHO można założyć, że przez kilka-kilkanaście minut w zasięgu będzie co najmniej jedna kartę do której można przetunelować transakcję.
I teraz mając przygotowane zakupy (pewnie jakąś flaszkę albo wyroby tytoniowe, bo łatwo zbywalne) płacisz za nie kartą ofiary.
Widzisz jeszcze jakieś inne problemy?

I moze wlasnie o to chodzi. Ile mozna ukrasc - 200 zl dziennie ? Przy wiekszym obrocie moze sie wydac podejrzane - delikwent ktory
codziennie dwie flaszki kupuje ?

Ale to się po prostu totalnie nie opłaca. Czas/sprzęt/ilość ludzi potrzebna,
a i tak, ile da się takich ataków w ciągu godziny przeprowadzić? Jeszcze
się okaże, że fachowiec potrzebny do tego by to dobrze zestroić zarabia
w godzinę jakieś 2x-3x więcej, i to bez ryzyka. A towar zdobyty jeszcze
trzeba upłynnić (czas), też nie za 100% wartości.

--
Wojciech Bańcer
proteus@post.pl

Użytkownik "Krzysztof Halasa" <khc@pm.waw.pl> napisał w wiadomości news:m3zjtsygfm.fsfintrepid.localdomain...

To chyba Ĺźart?
To pierwsze wcale nie jest łatwe, za to łatwo to wykryć i np. zastawić
pułapkę na złodzieja.
To drugie jest praktycznie niewykrywalne, a jeśli komuś wystarczy
"zwykły" zasięg, to telefony mają wbudowane scalaki NFC. Domyślam się,
że nie wystarczy, trzeba będzie kupić jakiegoś scalaka np. NXP, ze dwa
tranzystory, kilka kondensatorów i oporników, i to wszystko zmontować
i uruchomić. Zwłaszcza scalaka może być trudno przylutować, mała obudowa
z wyprowadzeniami pod spodem (SOT617).

Nie jest tak źle. To jest 32 pin raster 0,5mm. Solder maska wchodzi między piny ułatwiając lutowanie.
Gorzej jest z rastrem 0,4mm - solder maska nie wchodzi między piny (ze względu na wymagania technologiczne).
P.G.

Piotr Gałka <piotr.galka@cutthismicromade.pl> writes:

Nie jest tak Ĺşle. To jest 32 pin raster 0,5mm. Solder maska wchodzi
między piny ułatwiając lutowanie.

Ja nie twierdzę że to jest trudne, zwłaszcza jeśli ktoś ma płytkę pod
taką obudowę (aczkolwiek z tym wchodzeniem solder maski między piny, czy
w każdym razie kontakty, to nie do końca rozumiem - na moich płytkach
solder maska raczej się nie porusza).

Natomiast jeśli ktoś np. ma płytkę uniwersalną "srebrzoną", nie ma
miejsca pod taką obudowę, tylko musi zrobić "pająka", i jeszcze używa
jakiejś lutownicy z czasów kamienia łupanego albo do innych rynien, to
jest to trudniejsze.
--
Krzysztof Hałasa

Użytkownik "Krzysztof Halasa" <khc@pm.waw.pl> napisał w wiadomości news:m3sizjjylg.fsfintrepid.localdomain...

Nie jest tak Ĺşle. To jest 32 pin raster 0,5mm. Solder maska wchodzi
między piny ułatwiając lutowanie.

Ja nie twierdzę że to jest trudne, zwłaszcza jeśli ktoś ma płytkę pod
taką obudowę (aczkolwiek z tym wchodzeniem solder maski między piny, czy
w każdym razie kontakty, to nie do końca rozumiem - na moich płytkach
solder maska raczej się nie porusza).

Wyjaśnię pojęcie "wchodzi" między piny.
Raster 0.4mm = 15.7mils - pady 8 mils, odstępy czasem 8 czasem 7.
Ja "od zawsze" stosuję powiększenie solder maski (względem padów) o 3 mils z każdej strony (choć niedawno się dowiedziałem, że standardem jest podobno 4 mils).
To powiększenie to ze względu na skończoną precyzję nanoszenia solder maski.
Gdy odstęp 7 mils i powiększenie 3 to na solder maskę między padami zostaje 1 mils. Kiedyś tak zaprojektowałem płytkę i się zdziwiłem, że tej solder maski nie ma. Wtdy się od techonolów dowiedziałem, że minimalna realizowalna szerokość paska solder maski to 3mils.
Przy 0.5 mm jest miejsce na solder maską = wchodzi między pady, przy 0.4 nie ma.
P.G.

Piotr Gałka <piotr.galka@cutthismicromade.pl> writes:

Gdy odstęp 7 mils i powiększenie 3 to na solder maskę między padami
zostaje 1 mils. Kiedyś tak zaprojektowałem płytkę i się zdziwiłem, że
tej solder maski nie ma. Wtdy się od techonolów dowiedziałem, że
minimalna realizowalna szerokość paska solder maski to 3mils.
Przy 0.5 mm jest miejsce na solder maską = wchodzi między pady, przy
0.4 nie ma.

Ok, teraz rozumiem. Myślałem że to ma być w drugą stronę, że jakoś
solder maska ma częściowo przykrywać pady czy coś takiego :-)
--
Krzysztof Hałasa

Użytkownik "Krzysztof Halasa" <khc@pm.waw.pl> napisał w wiadomości news:m361w28nch.fsfintrepid.localdomain...

Ok, teraz rozumiem. Myślałem że to ma być w drugą stronę, że jakoś
solder maska ma częściowo przykrywać pady czy coś takiego :-)

W tamtym projekcie scalak miał wiele sąsiednich pinów połączonych do GND. Połączyłem je między sobą (środek pada do środka pada) ścieżką 8 mils. Gdyby solder maska "weszła" między pady wszystko wyglądało by normalnie, ale nie weszła i przez te połączenia cyna zalała przerwy między sąsiednimi pinami. Elektrycznie OK, ale wyglądało tragicznie - naokoło scalaka wiele grup pozlewanych pinów.
Przy rastrze 0.4mm należy całe rzędy padów umieszczać w jednym wspólnym otworze w solder masce i nie łączyć sąsiednich bezpośrednio, tylko na zewnątrz lub wewnątrz.
P.G.

Piotr Gałka <piotr.galka@cutthismicromade.pl> writes:

Przy rastrze 0.4mm należy całe rzędy padów umieszczać w jednym
wspólnym otworze w solder masce i nie łączyć sąsiednich bezpośrednio,
tylko na zewnątrz lub wewnątrz.

Jasne. Dodatkowo dobrze też zastosować odpowiednią ilość pasty oraz
wybrać odpowiedni proces w piecu.
Na szczęście osobiście akurat tym raczej się nie zajmuję.
--
Krzysztof Hałasa

Dnia Thu, 11 Jul 2013 09:12:40 +0200, Wojciech Bancer napisał(a):

Były. Automaty działające offline bez podpisu/pin to nie jest jakaś
specjalna nowość.

Ale wcześniej jakoś skarg nie było na fraudy dokonane przy użyciu tych
automatów. Pojawiły się po wprowadzeniu kart bezstykowych.

Ale dociera do Ciebie, że ten automat przyjmie też kartę bez funkcji
bezstykowej? I też *NIE BĘDZIE CHCIAŁ PINU*?

Jedynymi automatami z jakimi się spotkałem, które nie żądały PIN-u od
karty stykowej, to były bramki na zagranicznych autostradach. Ale na
autostradowej bramce fraudu na większą kwotę nie zrobisz. Natomiast
zbliżeniowo - jak wykazuje doświadczenie - można płacić do upojenia,
jeśli tylko nie przekracza się kwoty 50 zł.
Opisywałem tu kiedyś eksperyment jaki przeprowadziłem, gdy na koncie
ustawiłem wszystkie limity płatności kartą na zero (lub jakąś zbliżoną
kwotę), a pomimo tego bez problemu mogłem zbliżeniowo płacić rachunki do
50 zł bez żadnej autoryzacji.
I właśnie dlatego, pieprzę taką kartę!

W jaki sposób to, że swoją
karte pozbawisz antenki pomoże w takiej sytuacji?

Nie wiem na jakiej zasadzie pomoże, ale w moim przypadku przecięcie
antenki pomogło!
Poprzednio wszystkie moje transakcje bezstykowe na kwoty do 50 zł były
akceptowane bez autoryzacji, a po przecięciu antenki wszystkie operacje
odbywają się on-line i są autoryzowane PIN-em.

Co do tematu dyskusji
wnosi fakt, że zostały zaimplementowane niedawno i jest o nich głośno,
bo pozwalają na fraudy? To jest luka na którą pozwolił właściciel automatu, a nie wada bezstykówek jako takich.

Jeśli w dowolnym sklepie mogę bez użycia PIN-u płacić bezstykowo kartą,
która ma ustawione na zero wszystkie limity płatności, to chyba to nie
jest wina "właściciela automatu".

Nie troluj. W skali kraju i omawianego bezpieczeństwa, pojedynczy przypadek, czy nawet 3 przypadki, z których omawiany wyżej jest słabo opisany i w sumie nie wiadomo *jak i dlaczego* ktoś stracił kasę,
to jak najbardziej temat zastępczy.

To są przypadki nagłośnione, ale jeszcze mogło być wiele takich, gdzie
poszkodowani nie wiedzieli o istnieniu Samcika ani tej grupy i potulnie
zapłacili to, co im bank kazał.
I wyjaśnij wreszcie, jakie to są te "prawdziwe problemy", o których ma
pisać Samcik, Niebezpiecznik oraz my na p.b.b., zamiast zajmować się
"tematem zastępczym" jakim jest brak działających zabezpieczeń w kartach
zbliżeniowych?

Już nie mówiąc o tym, że przeczytałeś
komentarz i nie znasz dalszego ciągu historii, tylko sobie domniemywasz.

A jaki ma być "dalszy ciąg historii"?
Facetowi buchnęli kasę z konta, a my mamy aż za dużo przypadków
potwierdzających praktykę banku, że w takiej sytuacji standardowo
obciąża się klienta kosztami fraudu do wysokości 150 EUR. Poza tym, dlaczego mam kwestionować to, co ktoś poszkodowany napisał?
Jeśli sam, na swojej karcie mogłem sprawdzić, że te "zabezpieczenia" są
guzik warte i nie działają, to dlaczego mam mu nie wierzyć?

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

Chris94 wrote:

Jedynymi automatami z jakimi się spotkałem, które nie żądały PIN-u od
karty stykowej, to były bramki na zagranicznych autostradach.

Kiedy ostatni raz byles w McDonaldzie?

Dnia Thu, 11 Jul 2013 19:44:07 -0500, witek napisał(a):

Jedynymi automatami z jakimi się spotkałem, które nie żądały PIN-u od
karty stykowej, to były bramki na zagranicznych autostradach.

Kiedy ostatni raz byles w McDonaldzie?

Dawno. Chyba będę musiał się przejść :)
Masz na myśli McDonaldy polskie, czy zagraniczne?

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-12, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Kiedy ostatni raz byles w McDonaldzie?

Dawno. Chyba będę musiał się przejść :)
Masz na myśli McDonaldy polskie, czy zagraniczne?

Polskie też mają transakcje offline.

--
Wojciech Bańcer
proteus@post.pl

Dnia Sat, 13 Jul 2013 00:18:00 +0200, Wojciech Bancer napisał(a):

Kiedy ostatni raz byles w McDonaldzie?

Dawno. Chyba będę musiał się przejść :)
Masz na myśli McDonaldy polskie, czy zagraniczne?

Polskie też mają transakcje offline.

I akceptują płatności wykonywane stykowo bez autoryzacji PIN-em?

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

Chris94 wrote:

Dnia Sat, 13 Jul 2013 00:18:00 +0200, Wojciech Bancer napisał(a):

Kiedy ostatni raz byles w McDonaldzie?

Dawno. Chyba będę musiał się przejść :)
Masz na myśli McDonaldy polskie, czy zagraniczne?

Polskie też mają transakcje offline.

I akceptują płatności wykonywane stykowo bez autoryzacji PIN-em?

tak,
do zadnej karty po za debetowa do bankomatu nie mam pinu. Po prostu nigdy nie byl ustalony.
Robienie zakupow czy ty w mcdonald czy tez w carrefour sprowadza sie do przylozenia karty w okolicach czytnika.

Mam nawet klopot, zeby zaplacic w carrefur za pomoca paska magnetycznego, bo zanim zdaze przeciagnac karte przez ta szczeline, to czytnik wypisuje, dziekuje, zaplacone.

Dnia Sat, 13 Jul 2013 10:42:07 -0500, witek napisał(a):

Dnia Sat, 13 Jul 2013 00:18:00 +0200, Wojciech Bancer napisał(a):

Kiedy ostatni raz byles w McDonaldzie?

Polskie też mają transakcje offline.

I akceptują płatności wykonywane stykowo bez autoryzacji PIN-em?

tak,
do zadnej karty po za debetowa do bankomatu nie mam pinu. Po prostu nigdy nie byl ustalony.

Hm, i karta jest wtedy bez PIN, czy on tam jest, ale nie wiesz jaki ?

Robienie zakupow czy ty w mcdonald czy tez w carrefour sprowadza sie do przylozenia karty w okolicach czytnika.

I jaka najwieksza kwote autoryzowal ?

Mam nawet klopot, zeby zaplacic w carrefur za pomoca paska magnetycznego, bo zanim zdaze przeciagnac karte przez ta szczeline, to czytnik wypisuje, dziekuje, zaplacone.

I nie boisz sie ? A jak bankomaty zaczna wyplacac pieniadze po
zblizeniu ? :-)

J.

J.F. wrote:

Dnia Sat, 13 Jul 2013 10:42:07 -0500, witek napisał(a):

Dnia Sat, 13 Jul 2013 00:18:00 +0200, Wojciech Bancer napisał(a):

Kiedy ostatni raz byles w McDonaldzie?

Polskie też mają transakcje offline.

I akceptują płatności wykonywane stykowo bez autoryzacji PIN-em?

tak,
do zadnej karty po za debetowa do bankomatu nie mam pinu. Po prostu
nigdy nie byl ustalony.

Hm, i karta jest wtedy bez PIN, czy on tam jest, ale nie wiesz jaki ?

Nie ma pinu. Musialbym dzwonic do banku zeby ustawic pin.
Nie ma zadnego pinu poczatkowego.

Robienie zakupow czy ty w mcdonald czy tez w carrefour sprowadza sie do
przylozenia karty w okolicach czytnika.

I jaka najwieksza kwote autoryzowal ?

Nie zwracalem uwagi. Raczej male i sadze, ze bylo to ponizej 50 zl.

Mam nawet klopot, zeby zaplacic w carrefur za pomoca paska
magnetycznego, bo zanim zdaze przeciagnac karte przez ta szczeline, to
czytnik wypisuje, dziekuje, zaplacone.

I nie boisz sie ? A jak bankomaty zaczna wyplacac pieniadze po
zblizeniu ? :-)

J.

tymi kartami gotowki nie wyplacisz.
Po za tym akurat bank nie jest z Polski i mnie 150 euro nie obowiazuje.
Moja umowa z bankiem jest na zero zlotych niezaleznie od tego czy przed   czy po zgloszeniu utraty karty.

W dniu 2013-07-12 01:56, Chris94 pisze:

W jaki sposób to, że swoją
karte pozbawisz antenki pomoże w takiej sytuacji?

Nie wiem na jakiej zasadzie pomoże, ale w moim przypadku przecięcie
antenki pomogło!
Poprzednio wszystkie moje transakcje bezstykowe na kwoty do 50 zł były
akceptowane bez autoryzacji, a po przecięciu antenki wszystkie operacje
odbywają się on-line i są autoryzowane PIN-em.

Powtórzę pytanie:
Czy na pewno wolisz płacić zawsze z PINem narażając się na tegoż pinu podglądnięcie, po czym wydolinowanie karty i wypucowanie konta w tym samym Lidlu (np. na alkoholem - nie zmarnuje się u złodzieja), czy może jednak płacić paypassem i pinu nie narażać?
Bo ja mam dylemat... Większość kart już mam przedziurkowane, ale kredytówkę jeszcze nie.


--

Dziękuję. Pozdrawiam.   sqlwiel.

Dnia Fri, 12 Jul 2013 06:55:17 +0200, sqlwiel napisał(a):

Powtórzę pytanie:
Czy na pewno wolisz płacić zawsze z PINem narażając się na tegoż pinu podglądnięcie, po czym wydolinowanie karty i wypucowanie konta w tym samym Lidlu (np. na alkoholem - nie zmarnuje się u złodzieja), czy może jednak płacić paypassem i pinu nie narażać?

Kartą płacę w zasadzie tylko przy grubszych płatnościach, a więc raczej
w warunkach dość komfortowych i nie stwarzających zagrożenia. Drobne płatności płacę gotówką, a środkami komunikacji miejskiej prawie
w ogóle nie jeżdżę.

Bo ja mam dylemat... Większość kart już mam przedziurkowane, ale kredytówkę jeszcze nie.

Na razie testuję kartę debetową Meritum (bez funkcji zbliżeniowej).
Jeśli będzie bezproblemowa, to z karty mBanku przestanę korzystać.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

On 2013-07-11, Chris94 <chris94@WYTNIJ_TO.poczta.fm> wrote:

[...]

Jedynymi automatami z jakimi się spotkałem, które nie żądały PIN-u od
karty stykowej, to były bramki na zagranicznych autostradach.

No tak. Nie widziałem = nie istnieje. Ale w internecie napisali, że
bezstykowe są niebezpieczne, więc im trzeba wierzyć. :)

W jaki sposób to, że swoją
karte pozbawisz antenki pomoże w takiej sytuacji?

Nie wiem na jakiej zasadzie pomoże, ale w moim przypadku przecięcie
antenki pomogło!

Ok. To zrób eksperyment i doładuj sobie komórkę w automacie we Wrocku.

bo pozwalają na fraudy? To jest luka na którą pozwolił właściciel automatu, a nie wada bezstykówek jako takich.

Jeśli w dowolnym sklepie mogę bez użycia PIN-u płacić bezstykowo kartą,
która ma ustawione na zero wszystkie limity płatności, to chyba to nie
jest wina "właściciela automatu".

Czyli nadal masz pretensje do tego że coś działa offline.

I wyjaśnij wreszcie, jakie to są te "prawdziwe problemy", o których ma
pisać Samcik, Niebezpiecznik oraz my na p.b.b., zamiast zajmować się
"tematem zastępczym" jakim jest brak działających zabezpieczeń w kartach
zbliżeniowych?

Już pędzę. :)

[... ciach gdybalizmy pospolite ...]

--
Wojciech Bańcer
proteus@post.pl

Dnia Fri, 12 Jul 2013 10:37:56 +0200, Wojciech Bancer napisał(a):

Jedynymi automatami z jakimi się spotkałem, które nie żądały PIN-u od
karty stykowej, to były bramki na zagranicznych autostradach.

No tak. Nie widziałem = nie istnieje. Ale w internecie napisali, że
bezstykowe są niebezpieczne, więc im trzeba wierzyć. :)

Ponownie proszę, żebyś postarał się czytać to co napisałem, ze
zrozumieniem.
A napisałem wyraźnie, że moje przekonanie o tym, że bezstykowa karta
mBanku jest niebezpieczna nie bierze się wyłącznie z tego, co
przeczytałem w internecie, ale przede wszystkim z eksperymentów, które
przeprowadziłem na swojej karcie!
 

Jeśli w dowolnym sklepie mogę bez użycia PIN-u płacić bezstykowo kartą,
która ma ustawione na zero wszystkie limity płatności, to chyba to nie
jest wina "właściciela automatu".

Czyli nadal masz pretensje do tego że coś działa offline.

Tak, mam pretensje o to, że ustawione przeze mnie limity transakcyjne
nie działają i są zwykłą fikcją.
Ten stan mógłbym akceptować, gdyby bank brał na siebie ewentualne fraudy
wynikłe z tej luki w systemie bezpieczeństwa, ale bank ani myśli tego
robić, całą odpowiedzialność zrzuca na klienta.
 

I wyjaśnij wreszcie, jakie to są te "prawdziwe problemy", o których ma
pisać Samcik, Niebezpiecznik oraz my na p.b.b., zamiast zajmować się
"tematem zastępczym" jakim jest brak działających zabezpieczeń w kartach
zbliżeniowych?

Już pędzę. :)

Tutaj powstrzymam się od komentarza.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

Chris94 <chris94@WYTNIJ_TO.poczta.fm> writes:

Nie wiem na jakiej zasadzie pomoże, ale w moim przypadku przecięcie
antenki pomogło!

Tylko pamiętaj, że ją można (być może łatwo) naprawić.

Poprzednio wszystkie moje transakcje bezstykowe na kwoty do 50 zł były
akceptowane bez autoryzacji, a po przecięciu antenki wszystkie operacje
odbywają się on-line i są autoryzowane PIN-em.

Szczerze mówiąc nie rozumiem jaka idea przyświeca twórcom tej
"technologii". Transakcje bezstykowe, przy których nie mamy pewności,
czy nie jest to fraud (atak z tunelem jest praktycznie nie do obrony,
jest oczywisty i wynika z podstawowych założeń), nie są autoryzowane.
Dokładnie takie same transakcje stykowe, w przypadku których wiemy, że
oryginalna karta jest fizycznie podpięta do czytnika (nie wiemy czy do
naszego, ale w wersji minimum musi być fizycznie ukradziona) - są
PINowane i autoryzowane. Nie żeby oczywiście ta autoryzacja robiła
aż tak wielką różnicę.

Facetowi buchnęli kasę z konta, a my mamy aż za dużo przypadków
potwierdzających praktykę banku, że w takiej sytuacji standardowo
obciąża się klienta kosztami fraudu do wysokości 150 EUR.

Tak jest jeśli chodzi o transakcje utraconą kartą.
Natomiast co się dzieje, jeśli okaże się, że transakcje zostały
przeprowadzone tą kartą (z proxy)? Coś słabo widzę taką reklamację.
--
Krzysztof Hałasa

Dnia Fri, 12 Jul 2013 22:38:15 +0200, Krzysztof Halasa napisał(a):

Szczerze mówiąc nie rozumiem jaka idea przyświeca twórcom tej
"technologii". Transakcje bezstykowe, przy których nie mamy pewności,
czy nie jest to fraud (atak z tunelem jest praktycznie nie do obrony,
jest oczywisty i wynika z podstawowych założeń), nie są autoryzowane.
Dokładnie takie same transakcje stykowe, w przypadku których wiemy, że
oryginalna karta jest fizycznie podpięta do czytnika (nie wiemy czy do
naszego, ale w wersji minimum musi być fizycznie ukradziona) - są
PINowane i autoryzowane. Nie żeby oczywiście ta autoryzacja robiła
aż tak wielką różnicę.

No coz, moze i styki na chipie sie wycieraja zbyt szybko.

A moze przekonali supermarkety ze wydajnosc kasjerow wzrosnie o 20%, a
to jest warte 1% prowizji, a fraudow jest znacznie mniej :-)

Bo cos rosna nagrody za platnosc kartami i to dziwne ze wlasnie z
supermarketow i stacji paliwowych ...

Facetowi buchnęli kasę z konta, a my mamy aż za dużo przypadków
potwierdzających praktykę banku, że w takiej sytuacji standardowo
obciąża się klienta kosztami fraudu do wysokości 150 EUR.

Tak jest jeśli chodzi o transakcje utraconą kartą.
Natomiast co się dzieje, jeśli okaże się, że transakcje zostały
przeprowadzone tą kartą (z proxy)? Coś słabo widzę taką reklamację.

Szczegolnie jak na bliska odleglosc ..

J.

Chris94 <chris94@WYTNIJ_TO.poczta.fm> writes:

Były. Automaty działające offline bez podpisu/pin to nie jest jakaś
specjalna nowość.

Ale wcześniej jakoś skarg nie było na fraudy dokonane przy użyciu tych
automatów. Pojawiły się po wprowadzeniu kart bezstykowych.

Kwestia odpowiedzialności - w przypadku karty bezstykowej odpowiada
(w praktyce) klient.
--
Krzysztof Hałasa

Wojciech Bancer <proteus@post.pl> writes:

Do momentu zastrzeżenia karty użytkownik odpowiada "do wysokości 150 EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

Wtedy banki raczej zastrzegały wszystkie karty, które pozwalały na
dokonywanie operacji off-line (chyba że odzyskiwały je od klienta).
--
Krzysztof Hałasa

On 2013-07-11, Krzysztof Halasa <khc@pm.waw.pl> wrote:

Wojciech Bancer <proteus@post.pl> writes:

Do momentu zastrzeżenia karty użytkownik odpowiada "do wysokości 150 EUR.
Więc kiedy nastąpiło zastrzeżenie karty, a kiedy dokonano transakcji?
Identyczna sytuacja wystąpiłaby dajmy na to 5 lat temu przy kartach z
podpisem. Jej.

Wtedy banki raczej zastrzegały wszystkie karty, które pozwalały na
dokonywanie operacji off-line (chyba że odzyskiwały je od klienta).

Teraz też zastrzegają.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Wtedy banki raczej zastrzegały wszystkie karty, które pozwalały na
dokonywanie operacji off-line (chyba że odzyskiwały je od klienta).

Teraz też zastrzegają.

Niektóre, na pewno, ale - jak widać po transakcjach 2 tygodnie po
rzekomym zastrzeşeniu - róşnie to jest.
--
Krzysztof Hałasa

On 2013-07-11, Krzysztof Halasa <khc@pm.waw.pl> wrote:

[...]

Teraz też zastrzegają.

Niektóre, na pewno, ale - jak widać po transakcjach 2 tygodnie po
rzekomym zastrzeżeniu - różnie to jest.

Krótka piłka. PO zastrzeżeniu taka transakcja to problem banku.
Nawet jak się pojawi. Cały dramat i darcie szat tutaj dotyczy
okresu pomiędzy zgubieniem, a zastrzeżeniem.

--
Wojciech Bańcer
proteus@post.pl

Wojciech Bancer <proteus@post.pl> writes:

Krótka piłka. PO zastrzeżeniu taka transakcja to problem banku.
Nawet jak się pojawi. Cały dramat i darcie szat tutaj dotyczy
okresu pomiędzy zgubieniem, a zastrzeżeniem.

Problem w tym rozumowaniu jest taki, Ĺźe po zastrzeĹźeniu karty Ĺźadna
dodatkowa transakcja już się nie pojawi. Jeśli się pojawiła, to znaczy,
że bank karty nie zastrzegł. Tzn. oczywiście z punktu widzenia układów
z klientem może zastrzegł.
--
Krzysztof Hałasa

W dniu 2013-07-10 00:44, Chris94 pisze:

Ale przed wprowadzeniem kart zbliżeniowych nikt tego typu fraudów nie
zgłaszał, natomiast po ich wprowadzeniu takie fraudy się pojawiły. Czyli
jakiś związek pomiędzy tymi dwoma elementami istnieje i wcale nie musi
to akurat być sama "zbliżeniowość", równie dobrze może to być jakaś luka
w zabezpieczeniach, która została wprowadzona wraz ze "zbliżeniowością".

.... albo większa masowość kart, mająca niewiele wspólnego ze zbliżeniowością. Wszak masy, wiadomo, ciemne są i przez to mniej ostrożne, niż p.b.b-owcy mający świadomość posługiwania się niebezpiecznym narzędziem :)


--

Dziękuję. Pozdrawiam.   sqlwiel.

MasterCard i mBank okazały się porządnymi firmami i zwrócili
mi całość skradzionej kwoty (1080 zł). Pracownik banku powiedział mi,
że w przypadku wystąpienia wielu transakcji pod rząd wydawcy kart są
ubezpieczeni od odpowiedzialności,

Powątpiewam.

nawet jeśli wina leży po stronie
klienta. I że są świadomi ryzyk związanych z nieautoryzowanymi
transakcjami zbliĹźeniowymi". Niewykluczone, Ĺźe firma ubezpieczeniowa,
która pośrednio pokryła straty klienta, wyegzekwuje pieniądze
od lekkomyślnego właściciela biletomatów."

Jeszcze bardziej wątpię.
Natomiast może bank odzyska pieniądze od sprzedawcy.
--
Krzysztof Hałasa

On 2013-07-09, Krzysztof Halasa <khc@pm.waw.pl> wrote:

MasterCard i mBank okazały się porządnymi firmami i zwrócili
mi całość skradzionej kwoty (1080 zł). Pracownik banku powiedział mi,
że w przypadku wystąpienia wielu transakcji pod rząd wydawcy kart są
ubezpieczeni od odpowiedzialności,

Powątpiewam.

nawet jeśli wina leży po stronie
klienta. I że są świadomi ryzyk związanych z nieautoryzowanymi
transakcjami zbliżeniowymi". Niewykluczone, że firma ubezpieczeniowa,
która pośrednio pokryła straty klienta, wyegzekwuje pieniądze
od lekkomyślnego właściciela biletomatów."

Jeszcze bardziej wątpię.
Natomiast może bank odzyska pieniądze od sprzedawcy.

Polemizujesz z cytatem. :)

--
Wojciech Bańcer
proteus@post.pl

Chris94 <chris94@WYTNIJ_TO.poczta.fm> writes:

Mnie mBank obciążył jakby nigdy nic transakcją zbliżeniową, która
została dokonana w 2 tygodnie po zastrzeżeniu karty.

Bo jej nie zastrzegł.
--
Krzysztof Hałasa

Dnia Tue, 09 Jul 2013 23:10:44 +0200, Krzysztof Halasa napisał(a):

Chris94 <chris94@WYTNIJ_TO.poczta.fm> writes:

Mnie mBank obciążył jakby nigdy nic transakcją zbliżeniową, która
została dokonana w 2 tygodnie po zastrzeżeniu karty.

Bo jej nie zastrzegł.

W systemie transakcyjnym mBanku karta natychmiast po jej zastrzeżeniu
przeze mnie stała się widoczna jako zastrzeżona, więc byłoby to dziwne.

--
Pozdrowienia,
Krzysztof
(dawniej używający nicka 'Chris')

Chris94 <chris94@WYTNIJ_TO.poczta.fm> writes:

W systemie transakcyjnym mBanku karta natychmiast po jej zastrzeĹźeniu
przeze mnie stała się widoczna jako zastrzeżona, więc byłoby to dziwne.

To mnie akurat tak bardzo nie dziwi. Czy bank znał powód zastrzeżenia
karty? W przypadku "bo znudziła się klientowi" takich rzeczy można się
spodziewać, choć IMHO prawidłowe to to nijak nie jest. Jeśli karta
została "utracona" i z tego powodu zastrzeżona, to coś takiego jest już
większą zdradą, bo bank nie może podejrzewać, że jego własny klient
jednak odzyskał kartę i np. przypadkiem jej użył.

Jeśli bank nie zastrzega karty, to później ma do wyboru zapłacić sam,
lub obciążyć klienta. Mimo że zapewne potencjalny koszt takich rzeczy
jest wcześniej skalkulowany, to jednak później miło jest bankowi samemu
nie płacić.
--
Krzysztof Hałasa

A.L. <alewando@aol.com> writes:

Wszystko prawda. Tu gdzie mieszkam, sprzedaja gustowne etui do kart i
paszportow majace te cenna wlasnosc ze ekranuja karte i nei da sie jej
chipa RFID odczytac. Jezeli w Polsce takich nei ma, to jest nisza na
rynku dla obrotnego pzredsiebiorcy :)

Pewnie są. Ale czy jak zrobię antenę 50x50 cm i dam w nią 10W mocy, to
też na pewno zadziałają? Odbiornik też zrobię czulszy, wystarczy mi 1 uV
zamiast 30 mV.
--
Krzysztof Hałasa