On 2013-07-21, Krzysztof Halasa <k...@p...waw.pl> wrote:

>> Myślisz kategoriami teoretyka. Bez sprawdzania "w boju", a przede
>> wszystkim bez efektu psychologicznego jakie temu towarzyszy.
>
> Tzn. co, namawiasz mnie bym moją wiedzę, zarówno teoretyczną jak
> i praktyczną, wykorzystał do prawdziwego fraudu, bo w przeciwnym
> przypadku jestem wciąż takim samym teoretykiem jak Ty? :-)

Namawiam byś poza wiedzą teoretyczną z zakresu "jak zrobić czytnik
na kilometr" oszacował również ryzyko.

Wiesz, ja też znam świetny sposób na zdobycie kasy. Idziesz do
kolektury lotto, skreślasz właściwe numery i zostajesz milionerem.
Dużo prostsze i dużo mniej ryzykowne, czyż nie?

>> na karcie są/zadziałają limity, czy nie to o czym z Tobą dyskutować?
>
> Limit w najgorszym przypadku powoduje, że transakcja się nie uda.

Czyli rozumiem, jesteś również ekspertem i masz wiedzę od tego co ma
zaszyte/nie ma zaszyte w sobie oprogramowanie terminala?

> Poza tym, limit przestaje być problemem jeśli "w zasięgu" jest więcej osób,
> i/lub jeśli jest więcej niż jeden "atakujący".

Powątpiewam. Zwłaszcza jak w tym momencie terminal ładnie poprosi o PIN.

A już to "więcej niż jeden atakujący" to w ogóle ślicznie wygląda
w kontekście synchronizacji, organizacji, użycia gotowego oprogramowania,
przełączania i na koniec - opłacalności tego wszystkiego.

>> Jechałeś Ty kiedyś atobusem?
>
> Zdażało mi się, chociaż przyznaję że ostatnio kilka lat temu. Coś się
> w tej materii pozmieniało? Bo kiedyś taki układ jak właśnie w autobusie
> byłby perfekcyjny do przeprowadzenia takich ataków.

Ależ oczywiście.

>> Jak transmisja będzie trwała dłużej niż wymagana przez czytnik
>> (ten końcowy), to w niczym to wg Ciebie nie przeszkadza?
>
> Jakby babcia miała wąsy. Jest niewielkie prawdopodobieństwo że tak się
> stanie,

No to mamy Twoje zdanie vs. zdanie eksperta z Master Carda.
Sorry, ale jemu wierzę bardziej. Ubezpieczycielom też, skoro
bardzo nisko (kwotowo) wyceniają ryzyko od takich zdarzeń.

A co jak co, to eksperci od ubezpieczeń znają się na szacowaniu
ryzyka, czyż nie?

> a jeśli się stanie, to i tak nic specjalnego się nie wydarzy

A skąd wiesz? Znasz reakcję oprogramowania terminala?

--
Wojciech Bańcer
p...@p...pl