-
Data: 2017-12-23 01:38:33
Temat: Re: Hakerzy zaatakowali mobilne aplikacje największych polskich banków
Od: Krzysztof Halasa <k...@p...waw.pl> szukaj wiadomości tego autora
[ pokaż wszystkie nagłówki ]Piotr Gałka <p...@c...pl> writes:
> Jeżeli klucz publiczny organizacji jest też z karty to według mnie
> terminal może jedynie stwierdzić, że wszystkie klucze i podpisy na
> karcie są spójne ze sobą.
Jasne. Klucz (klucze) organizacji - także w terminalu.
> W krypto jak się cokolwiek pomyli to wychodzi totalna kaszana.
Właśnie.
> Błąd
> był we fragmencie kodu który nie był wykonywany przy żadnym z
> wektorów. Tego jestem pewien. Natomiast nie jestem na 100% pewien czy
> to było w HMac.
Dziwne jest to, że typowo nie ma takiego kodu, który nie byłby
wykonywany przy żadnym z (np. kilku) wektorów.
> Niedawno widziałem gdzieś informację, że jakiś scalak od lat używany
> chyba do RSA generował średnio 50% kluczy słabych (nie wiem na czym
> polegają słabe klucze jak mają z góry narzuconą długość, ale nie znam
> się).
Np. na przewidywalnym rozkładzie, albo mogą być łatwe do faktoryzacji.
Normalnie sprawdza się klucze pod tym kątem.
> Tylko trzeba ufać, że:
> - jest faktycznie niszczony,
> - jak w datasheet IC piszą, że nie ma funkcji do odczytania
> wygenerowanego klucza prywatnego to jej faktycznie nie ma.
Owszem, przy czym ja generalnie bym temu nie ufał, oraz znane są
"wysokoprofilowe" przypadki, w których rzekomo niszczone klucze po
pewnym czasie znalazły się w niewłaściwych rękach (właściwe = m.in.
służb). Ale to wszystko kwestia wartości zabezpieczanych - jeśli
ryzykujemy np. sumami typu setek czy tysięcy zł, to te klucze zapewne
się nie znajdą - informacja o tym, że nie są niszczone jest cenniejsza
(choć w gruncie rzeczy każdy powinien to założyć).
> Tylko, że wszystkie klucze były generowane przez nich i wszystko się
> opierało na "Ale my, jak ktoś wykupuje zestaw kart master, to
> zapominamy o tych kluczach".
W nieco poważniejszych zastosowaniach o takich rzeczach często nie ma
mowy. Aczkolwiek różnie może być.
> Był bardzo zdziwiony, że nie wykazujemy zainteresowania, bo inne firmy
> to wzięły chociaż próbki scalaków i kart.
Próbki zawsze można wziąć. Nawet gdyby miały leżeć na półce przez rok :-)
--
Krzysztof Hałasa
Następne wpisy z tego wątku
- 27.12.17 17:06 Piotr Gałka
- 01.01.18 21:58 Krzysztof Halasa
- 02.01.18 13:58 Piotr Gałka
Najnowsze wątki z tej grupy
- Okresowa weryfikacja klienta w mBanku
- stopa depozytowa
- Masz konto w Alior Bank? Eksperci ostrzegają
- OT Chleba naszego powszedniego...
- Dają gdzieś więcej niż 3,5%?
- Ekspert Zdalnej Obsługi Klienta Zamożnego
- wojna wojno a kredyt trzeba spłacać
- Citi... zmiany warunków umowy o kartę kredytową Citibank?
- Millenium czyli DEBILE bankowości
- Chess
- Vitruvian Man - parts 7-11a
- Re: Prawo móżdżek...
- frankowicze odcinek NNN
- O wisienkach
- zysk NBP
Najnowsze wątki
- 2024-06-11 Okresowa weryfikacja klienta w mBanku
- 2024-06-10 stopa depozytowa
- 2024-06-06 Masz konto w Alior Bank? Eksperci ostrzegają
- 2024-06-05 OT Chleba naszego powszedniego...
- 2024-06-02 Dają gdzieś więcej niż 3,5%?
- 2024-05-27 Ekspert Zdalnej Obsługi Klienta Zamożnego
- 2024-05-18 wojna wojno a kredyt trzeba spłacać
- 2024-05-16 Citi... zmiany warunków umowy o kartę kredytową Citibank?
- 2024-05-15 Millenium czyli DEBILE bankowości
- 2024-05-07 Chess
- 2024-05-07 Vitruvian Man - parts 7-11a
- 2024-05-06 Re: Prawo móżdżek...
- 2024-04-29 frankowicze odcinek NNN
- 2024-04-25 O wisienkach
- 2024-04-25 zysk NBP