Piotr Gałka <p...@c...pl> writes:

> Znów czegoś nie rozumiem.
> Jeśli klucz prywatny jest w karcie to znaczy, że klucz publiczny jest
> publicznie dostępny i każdy może sobie z kartą pogadać w trybie
> szyfrowanym ?

A to w ogóle inna bajka, samo szyfrowanie jest nieistotne i nie jest
niezbędne.

> Może użyłem złego słowa. Pisząc o kodowaniu symetrycznym miałem na
> myśli szyfrowanie symetryczne.

Jeden diabeł jak dla mnie.

> Nie wyobrażam sobie szyfrowania symetrycznego bez przechowywania
> klucza (tajemnicy) w karcie.

No ale takie coś jest jednak stosowane i przed czymś tam pewnie
zabezpiecza (np. ktoś zobaczy zaszyfrowany strumień i powie "nic nie
rozumiem").

> W przypadku _szyfrowania_ symetrycznego w karcie jest tajemnica.

Tak by było ładnie, ale wtedy ta tajemnica musiałaby być inna w każdej
karcie (w przeciwnym przypadku co to za tajemnica), i wtedy wszystkie
transakcje musiałyby być on-line (z bankiem - bo terminal nie mógłby
mieć tych kluczy przecież), i - generalnie - to tak może działać, ale
nie w takim zastosowaniu.

>> Generalnie karty bez DDA również mają dane podpisane kluczem
>> asymetrycznym - tyle że tego klucza nie ma na karcie, jest tylko gotowy
>> podpis, który można wykorzystać do kolejnych transakcji.
>
> Znów czegoś tu nie rozumiem.
> Czyli z tego wynika, że dla takich kart można podsłuchać podpis i
> potem już się za nią dowolnie wiele razy podpisywać ?

Tak, bo karta inaczej nie umie. To o czym pisałeś - za słaby procesor
i/lub za mało pamięci.

> To gdzie tu jakieś bezpieczeństwo.

Zależy z czyjego punktu widzenia :-)
Np. z mojego zwykle nie ma 100% bezpieczeństwa. W niektórych krajach
nawet numer konta bankowego musi być tajny, mimo że ma do niego dostęp
multum ludzi.

> Tak ja to (na podstawie Twoich wypowiedzi) na tę chwilę "po łebkach"
> ogarniam to tylko karty DDA muszą radzić sobie z obliczeniami
> związanymi z kluczami asymetrycznymi.

Owszem.

> Ciekawe, czy te z DDA to standard, czy jakieś pojedyncze okazy w
> takiej cenie, że bank wybierający dla siebie kartę wybiera tę bez DDA.

Karty offline muszą umieć DDA (CDA), karty bez DDA chyba nie mogą
umożliwiać transakcji off-line (od kiedy? wydane po którymś roku?).
Natomiast karty tylko z SDA są w dalszym ciągu produkowane. Może są
używane tylko jako "płaskie" albo bank może mieć inną politykę
(np. zależnie od limitów), nie wiem.
--
Krzysztof Halasa