bezpieczenstwo paypass'ow

[sote]

witajcie

wczoraj przypadkiem trafilem w tv4 na program "Dragon's Den - jak zostac milionerem"
Program w ktorym jest 5 osobowe "jury" z kasa i przychodza ludzie z pomyslami ale bez kasy.
Jesli pomysl spodoba sie dla kogos z "jury" to moze wspomoc pomyslodawce swoja kasa.

Jeden z uczestnikow przedstawil produkt w postaci etui na karty paypass i opowiadal,
jak latwo mozna odczytac i skopiowac karty paypass ludzi w promieniu kilkunastu metrow, bez ich wiedzy.
To jego etui ma uniemozliwiac taki nieautoryzowany odczyt karty np. w autobusie czy na ulicy.

Teraz moje pytanie - czy naprawde tak latwo odczytac informacje z tych kart?
Informacje nie sa w zaden sposob szyfrowane?

Jesli faktycznie by tak bylo to chyba zaden bank by nie wprowadzal tych kart, a pojawia sie ich coraz wiecej
i to nie tylko w bankach... podobno nowe dowody osobiste tez maja dzialac jak paypass'y.

[eagis]

http://forum.nikoniarze.pl/showthread.php?t=164159

[freefly]

Przy każdej płatności karta PayPass wysyła inny sygnał, więc nie ma możliwości drugi raz zapłacić tym samym (skopiowanym sygnałem).

[sote]

http://forum.nikoniarze.pl/showthread.php?t=164159

nic ciekawego tam nie ma ze ludzie tego uzywaja i tyle, ale to wiedzialem...

Przy każdej płatności karta PayPass wysyła inny sygnał, więc nie ma możliwości drugi raz zapłacić tym samym (skopiowanym sygnałem).

ok, zaplacic sie nie da... ale jesli taki dowod osobisty bedzie na zasadzie paypass,
to czy da sie zczytac z niego dane bez wiedzy posiadacza?
Albo jesli zginie mi taka karta i ktos dokona 100 operacji za kwote <50zl, to tez nie bedzie zbyt fajnie

Zeby bylo jasne - nie oceniam paypassa jako zlo, ani jako super wynalazek,
zastanowilo mnie poprostu to co koles (wynalazca ) opowiadal,
jak latwo ukrasc dane z takiej karty.

[eagis]

Ale to nie jest tak, że ktoś sobie zlutuje skaner wg schematu ściągniętego z netu i już może śmigać po autobusach i okradać kogo się tylko da.
Żeby faktycznie pozyskać pieniądze musi mieć przecież umowę z bankiem, która będzie mu te żądania obsługiwać i myślę, że tu jest główne zabezpieczenie.

[sote]

Ale to nie jest tak, że ktoś sobie zlutuje skaner wg schematu ściągniętego z netu i już może śmigać po autobusach i okradać kogo się tylko da.
Żeby faktycznie pozyskać pieniądze musi mieć przecież umowę z bankiem, która będzie mu te żądania obsługiwać i myślę, że tu jest główne zabezpieczenie.

eagis, kwestia kasy swoja droga, ale mi bardziej chodzi o mozliwosc skopiowania danych (pominmy kwestie bankow i kasy). Koles z tego smiesznego programu twierdzil ze skanery (czy jakkolwiek to nazwac),
za pomoca ktorych mozna wykrasc dane z takiej karty, mozna bez wiekszego problemu kupic w necie.

Jesli da sie skopiowac dane z takiej karty i ktos bedzie mial "klona" Twojej karty to dopoki transakcja nie przekroczy tych 50zl bedzie mogl bez problemu (teoretycznie) robic zakupy na Twoj koszt i nie bedzie potrzebowal umow z bankiem

[Art Erie]

[...]Jesli da sie skopiowac dane z takiej karty i ktos bedzie mial "klona" Twojej karty to dopoki transakcja nie przekroczy tych 50zl bedzie mogl bez problemu (teoretycznie) robic zakupy na Twoj koszt i nie bedzie potrzebowal umow z bankiem

Chyba nie tak, bo limit transakcji jest na karcie mocno ograniczony. Ale "spacer" w zatłoczonym miejscu ze skanerem i terminalem GSM wydaje się bardziej prawdopodobny. W ten sposób możliwe są (chyba) transakcje z wielu kart na maksymalną kwotę 50zł, dodatkowo mniejsze prawdopodobieństwo, że ktoś zauważy na wyciągu z konta brak 50zł.

[eagis]

Szczerze mówiąc wątpię, żeby twórcy protokołu i algorytmu paypassa nie zabezpieczyli go np kluczem asymetrycznym. Mało prawdopodobne jest, żeby zwykła kopia ramek przychodzących od paypasa wystarczyła do zestawienia nowej, poprawnej sesji.
Jeśli tak jednak jest to chyba oddam tą kartę
Ktoś wie więcej na ten temat?

[Majek]

Khyhy, dobrze, że powstał ten wątek, to się w końcu dowiedziałem, że istnieje coś takiego, jak karta paypass.
Może trochę OT, ale przypomniał mi się jakiś artykuł o tym, jak się szpenie nauczyli otwierać samochody z systemami keyless. Metoda jest banalnie prosta i odporna na asymetryczne szyfrowania, kody błądzące itd...
Samochód wysyła co jakiś czas pinga. Jak tego pinga usłyszy kluczyk (musi być w zasięgu), to na niego w określony sposób odpowiada. Jak odpowie prawidłowo i w określonym czasie i samochód to usłyszy (będzie w zasięgu), to się otwiera. Złodzieje robią tak, że podsłu****ą takiego pinga z większej odległości (antena kierunkowa, czy jakieś takie coś). Następnie wysyłają go dalej w niezmienionej postaci w stronę kieszeni właściciela pojazdu, w której znajduje się kluczyk (też jakąś anteną kierunkową). Kluczyk myśli, że usłyszał ping od samochodu (bo i skąd ma wiedzieć, że to nie samochód usłyszał, tylko jakiś obcy nadajnik?), więc na niego odpowiada. Ta odpowiedź też jest podsłuchiwana i znowu wysyłana do samochodu. Ten myśli, że usłyszał odpowiedź od kluczyka i pyk, otwiera się. Nie trzeba niczego łamać, rozszyfrowywać, zgadywać, po prostu przedłuża się zasięg działania jednego i drugiego radyjka na odległość, po przejściu której właściciel przestaje patrzeć na swój samochód...
Od razu mówię, że nie wiem, ile w tym prawdy i na ile sposób jest sprawdzony i skuteczny, ale na zasadzie analogii, podobna metoda może być zastosowana w przypadku karty paypass.

[sote]

kurcze... cos mi sie nie che wierzyc, ze nie mamy speca od tych gadzetow na naszym forum
sa spece z kazdej dziedziny, od lotnictwa, przez gotowanie po elektrownie atomowe, a od paypasow nikogo?