Re: PIN-Codes bei Kartenzahlung sind abfangbar

Michael Holzt schrieb:
Du bist wirklich vollständig merkbefreit.
Zumindest solche Kommentare könntest Du lassen, darauf hab ich echt keinen Bock... ~> Filter.

Die HSM können das Konglomerat
aus PIN und anderen Daten von dem einen in das andere Format wandeln durch Aufruf einer API. Wie ich beschrieben habe, kann man z.B. das vom
GAA erhaltene Format PIN+Zufallsdaten wandeln lassen in PIN+Kontonummer,

Dazu müsste dem HSM eine Relation zwischen Zufallsdaten und Kontonummer bekannt sein - man kann nicht aus "Schlodder" "Flugzeug" werden lassen, ohne dass man entweder eine Tabelle oder eine Funktion dafür benutzt. Sobald eines von beiden existiert, hat man allerdings keine Zufallsdaten mehr... Ausser natürlich, man benutzt einen allwissenden Trinärrechner...


Daten zur Verschlüsselung: Hash des PINS + x (variiert nach Automat)
1. Verschlüsselung: Public Key des Bank-Hosts
2. Verschlüsselung: Private Key des Automaten
3. Verschlüsselung: Public Key des des nächsten HSM-Moduls
Damit wird die PIN selbst nie bekannt, und alle sind glücklich.

Ich bin froh, daß Du das System nicht entworfen hast, denn wenn es so
wäre, wie Du es beschreibst (und es anscheinend auch noch für gut hältst),
wäre es _noch_ unsicherer. Bei dem von Dir beschriebenen Ablauf würde nämlich eine gegebene PIN x immer zum selben Chiffretext y führen. Das es
dann trivial ist, eine Umrechnungstabele y->x aufzustellen, sollte selbst
Dir einleuchten.

Das würde mir einleuchten, wenn es so wäre. Aber je nachdem wie das "x" aussieht (Ich geh davon aus, dass die Namensgebung "Hash" und "Pinblock" das gleiche meint... Der in The Unbearable Lightness dafür vorgestellte Algorithmus kommt mir recht bekannt vor), kommt eben jedesmal was anderes raus. Würde man zum Beispiel als "x" zufällige Lottozahlen verwenden, dann wäre die Wahrscheinlich keit, dass zweimal der selbe Chiffretext auftritt ca. 1:14Mio.


Deine ganzen Ausführungen über die verwendeten Kryptoverfahren und die
mehrfache Verschlüsselung sind völlig irrelevant, wie ich bereis einmal
schrieb. Denn auch eine mehrfache Verschlüsselung hilft nicht weiter, wenn die Schlüsseltexte in ein Format transformierbar sind, bei denen
eine Übersetzungstabelle praktisch erstellbar ist. Und eine Tabelle die

Was sie nicht mehr ist, wenn der Schlüssel von mehreren Faktoren abhängig ist, und der Plaintext zufällig variiert. Aber falls ich irgendwann mal die Zeit dazu habe, werd ich das gern simulieren und ausprobieren. Vielleicht trifft mich ja dann die Erleuchtung...


Willst Du das nicht kapieren, oder kannst Du das nur nicht kapieren? Ich
tippe ja auf letzteres.

Momentan noch Ersteres. Wobei... das mit dem 100mal PIN eingeben mit der gleichen Kontonummer am gleichen Automaten... das *kann* ich scheinbar nicht verstehen. Es sei denn natürlich, unsere Übeltäter sind Bankangestellte, die den GAA dazu bringen, trotz gesperrtem Konto bzw. dank frisch entsperrtem Konto mehr als drei PINs zu senden...

--
Christian Hofmann
.

Relevant Pages

  • Re: audio in TestCap DDK sample
    ... Try the scenario that works and see what format you receive. ... let suppose that you say that the pin supports ... sampling rates in the range from 8 KHz to 48 KHz. ... When you do direct pin connection get-data-range mechanism is not employed ...
    (microsoft.public.development.device.drivers)
  • RE: Testcap & MPEG2-TS
    ... // KSDATARANGE ... capture pin can be connected with MPEG2 demultiplexer. ... Please help me to check out my format definition. ... 160, 120, // MinOutputSize, smallest bitmap stream can produce ...
    (microsoft.public.win32.programmer.directx.video)
  • Re: AVStream : failed to connect two pins by GraphEdit manually
    ... Data range describes all possible format that your pin can support. ... for analog video that would be - UYVY video with frame rate ... Intersection comes into play when pins provide the list of data ranges they ...
    (microsoft.public.development.device.drivers)
  • Re: How to enumerate audio devices?
    ... if an audio stream (pin) is attached to a mixer and this pin ... But this is exactly I'd like to - to know the format. ...
    (microsoft.public.win32.programmer.mmedia)
  • Re: PIN-Codes bei Kartenzahlung sind abfangbar
    ... "Paper" spricht, ist auch vollkommen irrelevant, da der PIN nie ... GAA erhaltene Format PIN+Zufallsdaten wandeln lassen in PIN+Kontonummer, ... an eine Kontonummer - beliebig die in die Rechnung einfliessende Nummer ...
    (de.org.ccc)