W dniu poniedziałek, 9 listopada 2020 00:28:51 UTC+1 użytkownik Krzysztof Halasa
napisał:
> Dawid Rutkowski writes:
>
> > Kiedyś czytałem gdzieś, że CVV generowane jest na podstawie numeru
> > karty i daty ważności. W sumie byłaby to oczywista głupota, taki
> > algorytm byłby złamany, jeśliby wcześniej nie wyciekł.
>
> Ktoś to wyssał z palca. Wystarczyłoby przecież wydobyć to z byle
> terminala. Ale niczego takiego nie ma.

Na końcu piszesz, że terminal nie analizuje CVV2.
Nic z terminala nie wyciągniesz.
Z CVV2 tylko on-line.

> > A może to właśnie spowodowało rezygnację z CVV i przejście na CVV2,
> > które jest losowe?
>
> Nie było żadnej rezygnacji, zarówno CVV (na pasku magnetycznym) jak CVV2
> cały czas są losowe.

Wiki twierdzi, że generowane DES na podstawie numeru karty i daty ważności, klucze
oczywiście zna tylko bank (klucze oczywiście różne dla CVV1 i CVV2).
Więc w sumie póki klucze nie wyciekną, to można uznać za losowe.
Bo nie wiem, ile trzeba by mieć przykładów, żeby odtworzyć klucz.

> > Potrzebne jest zawsze gdy trzeba jakiś długi numer przepisać.
>
> To już ideologia.

To po co w numerach kont czy kart czy PESELach, ISBNach czy numerach dowodów
osobistych (tu jest śmiesznie, numery zwiększają się tak, jakby były pisane z prawej
do lewej) wprowadzono liczby (czasem 1-cyfrowe, ale czasem np. w systemie 11-stkowym,
jak w ISBN) kontrolne, jeśli nie po to, żeby się ludzie nie mylili, przepisując je?
Komputery się nie mylą (jedynie te z "Misia")?

> > Numer konta znaleźliśmy pewnie w jakimś internecie, ale kazałem
> > zadzwonić i powiedzieć pani, że opowiada głupoty, bo teraz numery kont
> > mają liczby kontrolne i jak się ktoś nawet pomyli przy zapisywaniu, to
> > od razu to wyjdzie - czy to przy przelewie przez net, czy nawet przy
> > wpłacie na poczcie.
>
> Wyjdzie - z prawdopodobieństwem 99% (czy jakoś tak, zależnie od tego,
> w jaki sposób ktoś ma się pomylić).

Lepszym, algorytm eliminuje najbardziej prawdopodobne błędy, np. wszystkie pomyłki
jednej cyfry.
No chyba że przyjmiemy, że prawdopodobieństwo zawsze wynosi 50% - coś się wydarzy
albo nie ;)

> W przypadku kart cyfra kontrolna jest jedna, szansa na "przejście" jest
> nieco większa.

Ale też sporo niższa niż 10%.