From: migas@jupiter.informatik.uni-dortmund.de (Elmar Migas)
Newsgroups: de.etc.finanz
Subject: Re: EC-Geheimzahl wird DOCH gespeichert ?!?
Date: 30 Dec 1992 11:59:36 GMT
Organization: CS Department, Dortmund University, Germany
Distribution: world
NNTP-Posting-Host: jupiter.informatik.uni-dortmund.de

Ich habe nun doch noch den Artikel gefunden, der sich mit EC-Karten oder
besser gesagt PINs und Verifizierung in POS-Kassen befasst:
    iX 10/91, Seiten 80-83
Ausserdem kann auf einen News-Artikel in de.etc.misc, 17.Okt.92, verweisen, wo
der Autor ihzimpel@techfak.uni-bielefeld.de bzw. h.zimpel@bionic.zer.de einen
Teil der Informationen des iX-Artikels ueber den Aufbau einer EC-Karte
auflistet.

1. Auf der Karte stehen BLZ, Kontonr. und Kartenfolgenummer. Die letzten 5
Ziffern der BLZ und die anderen beiden Zahlen werden hintereinandergeschrieben
und nach dem DES-Verfahren verschluesselt. Dazu wird ein Schluessel benutzt,
der bei der eigenen Bank der Instituts-Schluessel, bei fremden Banken der
Pool-Schluessel ist. Ein Teil der resultierenden 8-Hexbyte-Zeichenkette
(dritte bis sechste Stelle) wird noch in eine Dezimalzahl umgewandelt, indem
stellenweise modulo 10 gerechnet wird. Dies ist bei dem Institutsschluessel
die PIN (Geheimzahl), bei dem Pool-Schluessel wird noch (stellenweise mod 10)
ein Offset addiert, der entsprechend einem Pool-Schluessel von 1 den Wert 1 (?)
hat. Der vierstellige Offset steht auf der Karte.

2. Jeder Geldautomat und jede POS-Kasse ist mit einer Zentrale verbunden, die
diese Berechnung durchfuehrt. Der Automat uebertraegt die Zahlen auf der Karte
und die eingegebene und danach verschluesselte PIN zum Zentralrechner, der das
Verfahren anwendet und dabei seinen Instituts-Schluessel oder ggf. den
Pool-Schluessel benutzt. Das Ergebnis des Vergleichs eingegebener und
berechneter PIN wird zurueckgemeldet.

3. Das Datum ist nur fuer den Geldautomaten wichtig. Damit wird getestet, ob
der Kunde innerhalb eines vorgegebenen Zeitraums sein Abhebungslimit
ueberschritten hat. Nach der Abhebung werden Datum und Restbetrag auf der Karte
vermerkt.

> Das mit der Pool-Nummer macht doch auch keinen Sinn, ich will doch
> grade ganz verschiedene GNr. fuer meine Karten. Wenn jetzt die Pool-
> Nummern gleich waeren, wuerde ich zwei Karten mit der GLEICHEN GNr.
> haben. Ausserdem geht die Leute bei der Herstellung meiner Service-Karte
> die GNr. meiner EC-Karte GARNICHTS an.

Ich vermute, dass die Leute, die die Service-Karte herstellen, auch die
EC-Karte herstellen, da beide ja vom gleichen Institut ausgegeben werden.
Beide Karten koennen sich daher nur in der Kartenfolgenummer und im Offset
unterscheiden, wobei sich der Unterschied in den jeweiligen PINs
wahrscheinlich eher im Offset (lineare Wirkung auf die PIN) wiederfindet.
Beide Karten werden ja wahrscheinliche das gleiche Konto betreuen.
Wundern wuerde ich mich, wenn ich von verschiedenen Banken EC-Karten mit
denselben PINn haette.

> Ausserdem hast du voellig uebersehen, dass die GNr. meiner neuen EC-Karte
> die gleiche wie bei der alten ist. Irgendeiner MUSS da speichern !!!

Richtig. Aber es genuegt, wenn die Bank ihre eigene BLZ, die Kontonummer und
die Kartenfolgenummer sowie ihren eigenen Offset speichert, weil ihr
Autorisierungsrechner daraus die PIN berechnen kann. Das einzige Problem ist
die Geheimhaltung der Schluessel: "Ein Schluessel, der nur einem erlesenen
Kreis erwaehlter Banker bekannt ist, und eine Konvertierungstabelle verhindern
den Gipfelsturm." (iX)

> Gruesse ... Phade
Gruesse zurueck
    E. Migas