Dnia Thu, 16 Jun 2005 06:44:35 +0000 (UTC),
osoba podpisana: Jacek Osiecki <j...@c...pl>
napisała:
> Dnia Wed, 15 Jun 2005 23:08:37 +0200, Kamil Jońca napisał(a):
[...]
> Ale to że token ma wszyty DES i "tajny klucz" - już trochę mówi.
>
No tak ale nie wiemy jak jest weryfikowana odpowiedź tokena.
[...]
>
> Otóż mówi tyle, że generalnie to żaden pracownik banku nie musi mieć
> możliwości dostępu do kodu przypisanego klientowi - wszystko odbywa się
A gdzie to wyczytałeś ? Moze tak jest ale wcale nie musi.
Jeszcze raz: Jeśli bank u siebie "symuluje" token i sprawdza porównuje
wynik swojej symulacji z tym co dostał od klienta, to mamy dziurę.
Jeżeli "tylko" weryfikuje (trochę tak jak z kluczem publiczbny-prywatny)
to nawet tu dziury nie ma i mamy rozwiązanie idealne :-)


[...]
> Większe bezpieczeństwo by było, gdybyśmy w takim tokenie mieli algorytm
O to,to. I
> niesymetryczny i bank by posiadał tylko klucz publiczny. Tylko że... i tak
> przecież bank będzie generował tę parę kluczy :)
W tokenie ? Wątpię.
KJ

--
Rowery treningowe, sprzęt sportowy, siłownie
http://strony.aster.pl/kjonca/aster.xhtml#f4y
People who make no mistakes do not usually make anything.