Пластиковые карточки...

[LeXXiK]

Если мои пластиковые банковские карты (зарплатные) попадут в "нехорошие" руки - теоретически, что эти руки могут с ними сделать, не зная кодов???

[1nterSE]

LeXXiK, Ничего совсем ничего)
А чё они могут сделать сам подумай если они не знают твоих кодов?
Так что не волнуйся)

[Deementor]

darknes_@lex, ты не прав, глубоко не прав, если карта пропала, надо блокировать, программатор махом вытащит из нее pin.
Зарплатная карта - не кредитная, поэтому смогут только обнулить баланс в каком нить банкомате. Но если поддерживается кредитная линия, то и в кредит набрать. Но не зная pin а всего лишь научившись подделывать вашу подпись, можно в магазине отоварится, просто проведя картой через риддер и расписавшись на чеке.
LeXXiK, Так что срочно блокируйте карту.

[1nterSE]

А я где то читал что при потере карточки ничего не будет- абсолютнаю безопасность)
Извините был не прав.

[Deementor]

darknes_@lex, почему был не прав, прав конечно, не ты путаешь виды пластиковых карт и возможно ты как раз читал о них или какой нить рекламный проспект. Есть именные /именная именной рознь/, например первого национального банка (USA), по которой ты не можешь делать покупки, эти карты существуют только для биржевых и межбанковских операций. Но и с них научились делать слепки и пускать в оборот. Программатор делает копию, идентичную той, что хранится на ленте- носителе, после чего чистая лента прошивается этой информацией и вуаля, у тебя чужая пластиковая карта.
Так же поступают и с симкартами мобильных телефонов. Две симки могут свободно находится в одной и той же сети. Сделав копию, будут свободно разговаривать за ваш счет или при подключенном GPRS сидеть в интернете, а вы даже об этом и не догодаетесь, до тех пор, пока не запросите подробный отчет об операциях с вашим номером.

Все остальное - рекламный ход с обещанием полной конфиденциальности.

[Ragimovich]

Цитата: Сообщение от Evangard darknes_@lex, ты не прав, глубоко не прав, если карта пропала, надо блокировать, программатор махом вытащит из нее pin.

Может я, конечно, не прав и отстал от жизни, но, на сколько мне известно, пинкод на карте не хранится...

Цитата: Сообщение от Evangard Сделав копию, будут свободно разговаривать за ваш счет или при подключенном GPRS сидеть в интернете, а вы даже об этом и не догодаетесь, до тех пор, пока не запросите подробный отчет об операциях с вашим номером.

Хочу только отметить, что сделать копию с симкарты - дело не 2-3 минут. Причем еще не известно удастся ли...

[Veliar_s]

Цитата: Сообщение от Evangard Так же поступают и с симкартами мобильных телефонов. Две симки могут свободно находится в одной и той же сети. Сделав копию, будут свободно разговаривать за ваш счет или при подключенном GPRS сидеть в интернете, а вы даже об этом и не догодаетесь, до тех пор, пока не запросите подробный отчет об операциях с вашим номером.

Начсчет сим карт вопрос спорный особенно Мегафон.

[олегин]

В однй сети две одинаковых сим в одно время находится тоже не могут.

[1nterSE]

Вопрос не по теме, но за сколько примерно будет делаться копия симки?

[олегин]

Мегафон сделать не получится, только если старую симку найти.
А так за полчаса сделать можно. Впринципе в поисковике набери мултисим.

[Deementor]

Ragimovich,

Цитата: Может я, конечно, не прав и отстал от жизни, но, на сколько мне известно, пинкод на карте не хранится...

Увы, но хранится, ты хоть раз банкоматом пользовался? Думаю что да, вот и обрати внимание на то, как он работает, вставляешь карту и вводишь pin, правельно? потом сумму и только тогда отправляется запрос.
Едем дальше. Покупал что нить в магазине расплачиваясь кредиткой? Думаю что да. У тебя вообще спрашивали там pin? Если да, то вали из этого магазина по добру поздорову. Не в одном маркете не спрашивают pin, а просят лишь расписаться на чеке. Откуда по твоему доступ к операции со счетом?

Veliar_s,

Цитата: Насчет сим карт вопрос спорный особенно Мегафон.

Эта тема не о вопросах взлома сим карт. Но полностью согласен, мегафон использует другой алгоритм шифрования, пока что не доступный общим массам.

олегин,

Цитата: В однй сети две одинаковых сим в одно время находится тоже не могут.

Попробуйте и узнаете на 100%. МТС работает, но есть косяк один, если болтать, то входящий звонок принимает тот, кто последним сделал исходящий. С gprs проще, на момент разговора он замораживает соединение, после того, как жертва положит трубку, соединение восстанавливается.

[Ragimovich]

Так, уважаемый модератор, опускаю "наезд" в виде

Цитата: ты хоть раз банкоматом пользовался?

Для справки

Цитата: Сообщение от http://bankomat.org.ua/help.php PIN-код - аналог пароля. Предусматривается для кредитных и подобных карт (например сим-карт), с помощью которого производится подтверждение владельца карты. PIN-код должен знать только владелец карты. Обычно предусмотрено ограничение попыток правильного ввода (в основном не больше 3-х), после чего карта блокируется для использования. ПИН-код генерируется случайным образом специальным оборудованием, отпечатывается в защищенном конверте и выдается держателю карты при получении им пластиковой карты. ПИН-код нигде не хранится, при проведении операции он вычисляется на основании специального алгоритма.

На счет магазина смотрите там же (POS-терминал).

З.Ы. Не говоря о том, что я до сих пор не знаю как обойти EFS шифрование;-)

[Deementor]

Цитата: ПИН-код нигде не хранится, при проведении операции он вычисляется на основании специального алгоритма

Как ты думаешь, тебе выложат на офсайтах инфу как вскрывать пин-код?
Или ту информацию, которая в открытой форме раскажет что банковские карты не защищены?
Как по твоему мнению "кардеры" опустошают банковские карточки?
Pin-code это своеобразный ключь к зашифрованному алгоритму, который авторизирует тебя в банковской системе и дает доступ к операции со счетом.

Цитата: З.Ы. Не говоря о том, что я до сих пор не знаю как обойти EFS шифрование;-)

Что такое узкий круг людей знаешь? По крайней мере ты в него не входишь. И нечего мне напоминать про то, что я помню.
З.Ы. сори за офтоп.

[Ragimovich]

прочитать

Итак, сударь, не будем утаивать то, что уже давно является достоянием общественности;-)
EFS расшифровывается с помощью Elcomsoft Advanced EFS Data Recovery.
Видимо этот секрет и предназначен для узкого круга лиц;-) Что ж, я думаю никто не обидится, если я его расширю;-) Как говорилось в манифесте хакеров:
"Информация должна быть доступна". (The Mentor).
Кстати, а под копированием фалов подразумевался экспорт сертификатов и ключей? Или я не прав?

Далее по программе у нас карты:

Цитата: Сообщение от Computerra №482 Как известно, плохо продуманный протокол становится причиной очень серьезных неприятностей. В прошлые времена многие банки, столкнувшись со сбоями в работе компьютерных сетей, решили облегчить себе жизнь и, дабы не отпугивать клиентов, стали зашифрованный PIN-код доступа записывать в кредитную карточку клиента. Проверочный криптоключ хранился в банкомате, так что тот даже при отсутствии связи с банком мог исправно выдавать наличность. Но тут один нехороший человек обнаружил, что номер банковского счета и PIN к карточке не связаны друг с другом, а значит, можно изготовить карточку с чужим банковским счетом и собственным PIN-кодом, к которому известна зашифрованная проверочная комбинация. Этот нехороший человек успел украсть очень много денег, пока, наконец, не попался. В тюрьме он написал подробнейшее руководство, как осуществить данный трюк, так что банкам пришлось потратить многие миллионы на исправление всей этой изначально ненадежной системы. По некоторым подсчетам, нынешнее поколение банкоматов уже седьмое, и многие годы стандартом отрасли является генерация четырехзначных PIN-кодов путем шифрования номера банковского счета клиента особым криптоключом (надежно хранящимся в банке), отбрасыванием лишних цифр в результате шифрования и переводом шестнадцатеричной комбинации в лучше запоминаемую десятеричную форму с помощью специальной таблицы усечения. Вот эта-то таблица и оказалась серьезной прорехой в безопасности нынешней системы, как обнаружили в Кембридже ученики Андерсона Майк Бонд и Петр Зилински (Mike Bond, Piotr Zielinski). Последние лет десять в криптографической среде большую популярность обрел новый аналитический метод, получивший название «дифференциальный анализ». Суть его в тщательном изучении различий (дифференций) на выходе «черного ящика» при внесении небольших продуманных изменений на входе. Первоначально с помощью дифференциального анализа успешно стали вскрывать блочные шифры, затем появились разнообразные модификации, такие как метод дифференциального анализа питания, когда содержимое смарт-карт извлекается в результате некоторых манипуляций с напряжением. И наконец, кембриджские криптографы продемонстрировали дифференциальный анализ криптопротоколов, на примере генерации PIN’ов показав, что не имея доступа к секретному ключу преобразования, а просто подавая в защищенный криптопроцессор вместе с банковским счетом и тщательно подобранную таблицу усечения, можно определить истинный PIN всего за пятнадцать попыток. То есть за полчаса обеденного перерыва в банке внедрившийся туда сообщник мошенников может подобрать до семи тысяч PIN’ов клиентов. В условиях 500-долларового лимита на изъятие наличности в банкомате по одной карточке получится до 3,5 млн. долларов всего «за один сеанс». Понятно, что воспользоваться этим способом может лишь сотрудник с достаточно высоким уровнем доступа к компьютерным системам банка. Однако, по результатам недавнего исследования компании Ernst and Young, около 82% выявляемых ныне мошеннических финансовых операций приходится на таких инсайдеров.

Статья 2003 года, кажется. Неужели за прошедшие с тех пор 4 года банки настролько отупели, что стали возвращаться к хранению ПИНА на самой карте? Или мы берем отдельно взятый банк? Или, может быть, у нас есть свой человек в банке пластиковая карта которого попала к нам в руки? Кстати, банкоматы фотографируют, обычно, тех кто приходит к ним снимать деньги. Так что, господа "кардеры", будте осторожны. Кстати, я думал, что кардинг - не похищение ПИНкодов, а похищение номеров кредиток и личной инфы пользователей банка напрямую с серваков банка или других, на которых они хранятся (многие магазины держат их в своих базах, только вот я думаю вряд ли они там лежат в расшифрованном виде:-() ПинКОДЫ же вообще хранятся только в банке, причем недоступны, наверное, даже самими сисадминам;-)

А теперь, предлагаю МЕГАспособ, наверное ниразу не опробованный на Российских прострах;-)

Цитата: Сообщение от Computerra №523 Оказывается, мошенники освоили еще один способ обчищать карманы граждан с помощью банкоматов. Теперь данные с магнитной полоски кредитных карточек и PIN -комбинация доступа к счету похищаются не только всякими хитроумными приспособлениями-считывателями, накладными панелями к банкоматам, скрытыми телекамерами и пр. Есть гораздо более эффективный путь: бандиты приобретают собственные банкоматы (благо купить их проще простого, были б деньги), заряжают наличными и выставляют в людных местах. Ни о чем не подозревающая публика сует туда свои карточки, снимает деньги, а в самую малость переделанном банкомате все нужные данные фиксируются. На их основе жулики моментально в больших количествах изготовляют карточки-клоны и опустошают банковские счета жертв через официально установленные банкоматы.

Идея гениальна в своей простоте. По гениальности она даже превосходит вынос банкомата из здания под видом службы тех.поддержки. Так что, зарабатываем децл денешкав и впирет ставить "левые банкоматы". Чур мой будет стоять на перекрестке Тверской и Охотного ряда. Рядом с бывшим интуристом. Я думаю надо даже не один поставить, а штук 10, как в игорном клубе. Причем, сделать так, чтобы в случайном порядке на одном из банкоматов можно бы было снять в 10 раз больше чем заказывал;-) Народу бы набежало...

Теперь касаемо симкарт.

Цитата: Сообщение от Computerra №450 AuC (Authentication Centre), или система аутентификации в GSM Процедура аутентификации определяет подлинность SIM-карты абонента, на основании чего принимается решение, стоит ли предоставлять мобильной станции доступ в сеть. Для этого используется метод «запрос-ответ». Вначале AuC пересылает станции случайное 128-битовое число. Оно попадает в SIM-карту телефона, где преобразуется с помощью алгоритма А3 и ключа идентификации Кi. Результат алгоритмических вычислений - ответ SRES - мобильный телефон передает в AuC. AuC сравнивает это значение со своим значением SRES, полученным тем же способом. Если они совпадают, аутентификация завершается, и абонент допускается в сеть.

Во время клонирования карты, на сколько я знаю, спецсофт пытается найти Ki для записи на новую карту. Единственное граничение в этом процессе - СИМкарта может зарегистрироваться в сети оператора не более ~65000 раз, после чего она будет заблокирована. Во время клонирования происходит активная (в зависимости от частоты ридера) регистрация-отключение от провайдера сотовой связи. В этом и заключается проблема с некоторыми картами. Иногджа 65000 попыток не хватает для подбора Ki, а последующие попытки приведут к "похериванию" основной симки без гарантии, что Ki таки будет подобран. Поэтому клонеры обычно оставляют около 6000 попыток (все зависит от клонера) для того, чтобы клиент мог продолжать пользоваться картой не обращая внимание на количество оставшихся включений-выключений.
Данная инфа не проверена никак, т.к. исследователей очень мало, по причине того, что тсследователями давно уже в Сибири МЕДВЕДОВ кормят. Для оператора, отследить GSM телефон, видите ли, не большая проблема. А с учетом СОРМ, я думаю вообще дело пары часов.

[Deementor]

прочитать

Цитата: Кстати, а под копированием фалов подразумевался экспорт сертификатов и ключей? Или я не прав?

а я про что говорил? http://www.nowa.cc/showpost.php?p=762586&postcount=12

Цитата: Статья 2003 года, кажется. Неужели за прошедшие с тех пор 4 года банки настролько отупели, что стали возвращаться к хранению ПИНА на самой карте? Или мы берем отдельно взятый банк? Или, может быть, у нас есть свой человек в банке пластиковая карта которого попала к нам в руки? Кстати, банкоматы фотографируют, обычно, тех кто приходит к ним снимать деньги. Так что, господа "кардеры", будте осторожны. Кстати, я думал, что кардинг - не похищение ПИНкодов, а похищение номеров кредиток и личной инфы пользователей банка напрямую с серваков банка или других, на которых они хранятся (многие магазины держат их в своих базах, только вот я думаю вряд ли они там лежат в расшифрованном виде:-() ПинКОДЫ же вообще хранятся только в банке, причем недоступны, наверное, даже самими сисадминам;-)

Вы даже себе представить не можете, сколько банков принебрегают самыми элементарными правилами безопасности, оставляя открытые залипухи на своих офсайтах. Не говоря уже про то, что операторы в открытую передают код на управление трансфером при переводе денежных средств. Это выглядит так:
"Мань, какой следующий?"
"2456-6891" это она прочитала на листе бумаги, который лежит рядом с ней и в открытую, громким голосом, на весь операционный зал объявила.
Далее. Все мониторы в зале расположенны таким образом, что можно увидеть что на них, тем самым давая возможность к сбору информации, а что естественно является решающим фактом. А необразованность девушек в плане противостояния социальному взлому оставляет желать лучшего.

Цитата: Кстати, банкоматы фотографируют, обычно, тех кто приходит к ним снимать деньги

Я не думаю что кардер будет сам снимать деньги в банкомате, когда существует другой способ - бомж валяющийся в любом дворе, и за 500 рублей или меньше он душу продаст, не говоря про то, чтобы просто подойти, вставить, нажать взять и уйти. И не надо говорить, что все бомжы тупые алкаши, с реди них часто встречаются очень даже образованные люди.

Цитата: Идея гениальна в своей простоте. По гениальности она даже превосходит вынос банкомата из здания под видом службы тех.поддержки. Так что, зарабатываем децл денешкав и впирет ставить "левые банкоматы". Чур мой будет стоять на перекрестке Тверской и Охотного ряда. Рядом с бывшим интуристом. Я думаю надо даже не один поставить, а штук 10, как в игорном клубе. Причем, сделать так, чтобы в случайном порядке на одном из банкоматов можно бы было снять в 10 раз больше чем заказывал;-) Народу бы набежало...

Балин, забил такое место......
Чур мои будут возле храма христа, еще бы хотелось специально для алигархов поставить будку спецсвязи, чтобы все свои мольбы и просьбы напрямую. )))))))))))

Цитата: Во время клонирования карты, на сколько я знаю, спецсофт пытается найти Ki для записи на новую карту. Единственное граничение в этом процессе - СИМкарта может зарегистрироваться в сети оператора не более ~65000 раз, после чего она будет заблокирована. Во время клонирования происходит активная (в зависимости от частоты ридера) регистрация-отключение от провайдера сотовой связи. В этом и заключается проблема с некоторыми картами. Иногджа 65000 попыток не хватает для подбора Ki, а последующие попытки приведут к "похериванию" основной симки без гарантии, что Ki таки будет подобран. Поэтому клонеры обычно оставляют около 6000 попыток (все зависит от клонера) для того, чтобы клиент мог продолжать пользоваться картой не обращая внимание на количество оставшихся включений-выключений. Данная инфа не проверена никак, т.к. исследователей очень мало, по причине того, что тсследователями давно уже в Сибири МЕДВЕДОВ кормят. Для оператора, отследить GSM телефон, видите ли, не большая проблема. А с учетом СОРМ, я думаю вообще дело пары часов.

Все правельно. Только не все исследователи в сибири, у нас в каждой рем точке сотовых после 20 минут милой беседы тебе предоставят такую услугу и при чем не дорого. Что косается клонирования, то только долбанный мегафон не поддается.