Názory k článku Postřehy z bezpečnosti: hamburger za všechny vaše peníze

Teda, tolik pravopisných chyb v jednom článku, to se jen tak nevidí. Autor by si měl zopakovat shodu přísudku s podmětem. Ale ať jen nerejpu... I u nás se dají najít platební terminály, které nerespektují PCI a na účtence pro obchodníka je uvedené celé PAN (ačkoliv je v PCI jasně specifikováno, že alespoň šest číslic má být vymaskováno). Zlomyslnému obchodníkovi pak stačí jen letmý pohled na zadní stranu karty a má veškeré údaje potřebné k provedení platby.

No určitě ;-)

Ten magnetický proužek mě štval, tak jsem vzal silný magnet a několikrát proužek přejel. To, že jsem to udělal úspěšně a na všech kartách bylo vzápětí prokázáno nemožností použít karty v bankomatech.. Když se karta strká do bankomatu, tak je tam nějaké ověření, že jde o bankovní kartu - test na správný magnetický proužek. Takže pokud vás snad napadne udělat to co já, tak bacha..

Jj, taky se nemusíte pak dostat k uzavřeným místnostem s bankomaty, kde se otevírají dveře právě čtečkou mag. proužku.. :-D

Párkrát jsem přemýšlel proč se někdo obtěžuje instalací skenovacích technologií na bankomant na ktery i často míří kamera a nezamění spíše to otvírání dveří.

Já bych řekl, že se to dělá. ;-)

před cca dvěma třemi lety to bylo i v ČR a bylo to i v médiích.

Kamarádovi odmítl přepsanou kartu přímo bankomat. Naštěstí na to nešel rovnou destruktivně jako předřečník, ale původní obsah si zazálohoval a pak ho tam vrátil.

Ty dveře obvykle nekontrolují nic jiného, než že jde o magnetický proužek. Ani se to nikam nezaznamenává. Samozřejmě můžou existovat výjimky.

Hm, ja si onehdy ulomil kus karty vcetne casti magnetickeho pruhu a bankomaty ji pak odmitaly; myslel jsem, ze se kontroluje tvar, ale asi teda primarne ten zaznam.

Kontrola podpisu na účtence proti podpisu na kartě je, s prominutím, blbost. Podpis na kartě je souhlas s podmínkami, který však nemá (!) odpovídat podpisovému vzoru pro autorizaci plateb. (Že vám v české bance řeknou podepsat podle vzoru je chyba v informování na jejich straně).
Běžná praxe v US je tři křížky na kartě místo podpisu.
Kontrola proti podpisovému vzoru se provádí pak v bance jen při rozporu účtováné platby mezi kopií účtenky a podpisovým vzorem. A také nemá být podpis na kartě podle podpisového vzoru, aby při ztrátě karty nešlo podpis na katě zneužít.

Co všechno bych mohl a nemohl dělat s kartou, pokud bych magnetem zrušil proužek a fyzicky odstranil CVV a třeba i další údaje? Jsou moje předpoklady správné?

mohl bych:
* zaplatit v obchodech, protože se používá chip
* zaplatit na internetu

nemohl bych:
* dostat se přes zabezpečené dveře k bankomatu
* vybrat z bankomatu (nebo existují bankomaty na chip?)

Může obchodník odmítnout kartu, když uvidí, že je fyzicky upravená?

No tak samozřejmě, že údaje mám poznačené, to jsem myslel, že nemusím psát.

Přijde mi totiž naprosto nepochopitelné, že na kartě jsou všechny údaje potřebné k zaplacení. To tam rovnou mohou tisknout i PIN a nedělat z lidí, kteří si ho někam ke kartě napíší, málem nesvéprávné dementy, když banka dělá úplně to samé a její chybu nejde napravit, protože když kartu upravím, nemusí mí jí pak vzít obchodník.

Bankomat by mel spravne fungovat nasledovne. Snad se to medzitim moc nezmenilo.

- nacist prvni stopu karty a overit ze je "platna", zaroven zisti ze karta ma chip
- zacne komunikovat s chipem na karte (ruzna potvrzeni platnosti, nacteni konfigurace atd.)
- vyzada si pin a castku
- posle pin na overeni do chipu na karte
- posle finalni transakci do banky

- pokud nastane problem pri komunikaci s chipem je moznost ze bankomat zacne transakci po staru a nacte i druhou stopu z mag. prouzku a autorizuje po "staru"

Samozrejmne, ze je tam kopec sifrovani a dalsi komunikace s chipem.

Takže jestli to chápu dobře, bankomat neumí bez mag. proužku vůbec fungovat. Ale taky to vypadá, že kdybych zrušil 2. stopu, tak by mu 1. stačila (+chip) a zároveň bych ochránil kartu před skimmingem, protože zkopírovaná 1. stopa by k provedení transakce (bez druhé nebo chipu) nestačila. Je to tak?

je to tak. Vybrat / Zaplatit, kde se pouze používá čip LZE. Takto jsem karty doužíval až do konce jejich platnosti (nežádal jsem o nové).

Tak p7zip v OpenBSD by asi "spadnul", pac pledge sandboxing zakazuje programu delat exec().

cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_Bundles_SFXCon_SfxCon_cpp:+  if (pledge("stdio rpath wpath cpath fattr tty", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_Bundles_SFXCon_SfxCon_cpp:+  if (pledge("stdio rpath wpath cpath fattr tty", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+  if (pledge("stdio rpath wpath cpath fattr tty ps", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+  if (pledge("stdio rpath wpath cpath fattr tty ps", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+  if (pledge("stdio", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+  if (pledge("stdio ps", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+          if (pledge("stdio rpath tty", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+  if (pledge("stdio rpath tty", NULL) == -1) {
cvs/openbsd-ports/archivers/p7zip/patches/patch-CPP_7zip_UI_Console_Main_cpp:+  if (pledge("stdio rpath", NULL) == -1) {

Nojo, jenomže má povoleno zapisovat do souborů. Takže může ten rootkit zapsat třeba do ~/.bashrc nechat ho spustit při dalším přihlášení uživatele.