w...@p...waw.pl (Wojtek Piecek) writes:

> > moga byc powtorzone bez PVV. Teoretycznie bank nie powinien znac PINu do
> > chipa i nie powinien miec mozliwosci jakiejkolwiek jego weryfikacji. Z
>
> To akurat dotyczy chyba kazdego przypadku PINa - ciekawia mnie wtedy
> pozycje w niektorych TOiP pewnych bankow - 'odzyskanie pinu' ;-)

Bez jaj. Przeciez PINy kart magnetycznych sa "normalnie" zapisane w banku.

W ogole nie ma innej mozliwosci, bo 4-cyfrowa przestrzen PINow jest
stanowczo za mala by wygenerowac dobra funkcje jednokierunkowa.

> I chcialbym troche popolimeryzowac z tym 'niemoznoscia weryfikacji
> pinu przez bank' - nie pamietam a sprawdzic nie moge, ale mam wrazenie
> ze karta moze zazadac online i wtedy do banku idzie
> m.in. pinblok. Sugerujesz ze nie jest on sprawdzany?

Na logike wydawaloby sie to bez sensu, jesli PIN (chipa) mozna zmienic
offline.

> > A stary dobry DES - na karcie jest kilka DESowych kluczy issuera,
> > zdywersyfikowanych numerem seryjnym karty. Jakos trzeba obsluzyc secure
> > messaging i generacje wzmiankowanych juz kryptogramow:)
>
> To ma byc kryptografia? ;-)
>
> Mam nadzieje ze szykuje sie dluzsza dyskusja.

Jesli uzywa sie tylko zwyklego, pojedynczego DES to dziwnie to wyglada.
--
Krzysztof Halasa
Network Administrator