"J.F" <j...@p...onet.pl> writes:

> On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
>> "J.F" <j...@p...onet.pl> writes:
>>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>>> "J.F" <j...@p...onet.pl> writes:
>>>> [...]
>>>>>
>>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>>> karcie. Więc żadne zabezpieczenie.
>>>>
>>>> A jakieś źródło tej rewelacji?
>>>
>>> np
>>>
>>> https://www.chargebackgurus.com/blog/cvv2
>>> https://docs.aws.amazon.com/payment-cryptography/lat
est/userguide/use-cases-issuers.generalfunctions.cvv
2.html
>>
>> Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
>> pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
>> to nie jest tak, że zalezy tylko od innych cyferek na karcie.
>
> I myśliśz, że bank za każdą kartą zmienia?
> Czy raczej raz na parę lat, albo wcale?

Ja myślę, że spokojnie może być inny klucz per transakcja.


>
> No ale jeżeli to pisze Amazon, w kontekscie weryfikacji kart,
> to ten algorytm i klucz jest chyba jakos bardziej powszechnie znany ?
>
> Dobra - to jest chyba dla developerów współpracującyh z Amazon i tyczy
> się nie bardzo wiadomo czego.
> Czyli wracamy do pierwszego linka, i innych, i np AI
>
>
> https://developer.visa.com/capabilities/pav/docs-how
-to
> "The Card Verification Value 2 (CVV2) is the three-digit security code
> that is printed on the signature panel of every Visa card. The CVV2
> value is calculated using a secure cryptographic process and a key
> that is known only to the issuer and to Visa.
> You can use the CVV2 Validation service to determine if the issuer of
> the account recognizes the CVV2 value given to you by the user of your
> project. This will help you to verify that the cardholder has the
> physical card in their possession. CVV2 Validation is primarily used
> in the e-commerce or other card-not-present environments, but can also
> be used in a card-present environment if you are unable to obtain a
> magnetic stripe or chip read. CVV2 validation is one of the options
> you can select when you use the Payment Account Validation API. "
>
> Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
> dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe,

Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
ze są "known to issuer and Visa" czyli klucz generowany co minutę i
wysyłany do Visy - spełnia to.
KJ


--
http://wolnelektury.pl/wesprzyj/teraz/
"Roman Polanski makes his own blood. He's smart -- that's why his movies work."
-- A brilliant director at "Frank's Place"