From: geschild@cs.vu.nl (Schilders GEG)
Subject: beveiliging BEA-net (nog eens...)
Organization: Fac. Wiskunde & Informatica, VU, Amsterdam
Distribution: nlnet
Date: Wed, 14 Oct 1992 11:31:53 GMT

Hallo nlnetters,

sommigen van jullie zullen zich nog levendig de discussie herrinneren
over de veiligheid van betaalautomaten. Er is toen heel wat afgekletst
over beveiligingsmethoden en de veiligheid van het gebruik van je pin-
pas. Bij deze wil ik die discussie weer nieuw leven inblazen. Logische
oorzaak is het feit dat ik de dupe ben geworden van een stomme "fout".
Laat me eerst de omstandigheden even schetsen.`

Ik heb op een niet zo goede donderdag'koop'avond nieuwe contactlenzen
gehaald bij de opticien maar ben met mijn suffe hoofd mijn cheques`
vergeten. Ik vraag aan de winkelier of ik later kan betalen, hij kent
me al een tijdje en dat lijkt mij geen probleem. Toch betrekt zijn
gezicht en hij vraagt mij of ik wel een pasje bij me heb. Dat heb ik.
Dan is alles opgelost is zijn reactie, gewoon even met je pin betalen.
Lijkt me een goede oplossing. De pas gaat door de sleuf, ik controleer
het bedrag en toets mijn pin in. (Totaal ongezien, dat weet ik zeker).
Ik krijg het geprinte bonnetje uit de terminal mee en vertrek in de
overtuiging dat alles in orde is. Een week later. Ik open het wekelijkse
afschrift van mijn bank (VSB). Daarin drie volgblaadjes. Zoals altijd
kijk ik die even vluchtig na voordat ze in de rotzooi op mijn bureau
verdwijnen waarna ze vanzelf een keer in mijn map terechtkomen. Deze
keer echter valt het mij op dat TWEE keer hetzelfde bedrag is afgeschre
ven. Als ik beter kijk zie ik dat dat twee keer de 216 gulden voor mijn
twee lenzen is, beiden overgeschreven naar de opticien. Aangezien ik
maar EEN paar lenzen heb en zeker weet dat ik niet twee keer mijn pin
heb getoetst ben ik verbaasd. Verder kijkend valt het mij op dat de`
eerste transactie klopt met de tijd en de datum, nl. 19:39 op 01-10-92
maar de tweede zogenaamd is gepleegd om 11:55 op 02-10-92. Rara hoe kan
dat. Ik was toen in Utrecht, op school, mijn pin-pas veilig in mijn
portefeuille in mijn zak. Ook valt mij op dat het eerste transactienr.
klopt met die op mijn bon uit de terminal, evenals de tijd, maar dat
het een zescijferig nummer is. Op mijn afschrift staat bij de tweede
transactie een zevencijferig nummer maar beginnend met twee nullen???
Nog meer raadsels, op mijn afschriften staan transacties altijd ge-
sorteerd op datum. Ik had die week meer gedaan, onder andere geld uit
de muur gehaald (nog nooit problemen) en een teruggave van de belasting.
ontvangen. De opeenvolgende data waren 01, 02, 03, 03, 02. Allen in ok-
tober. Ik naar de opticien gebeld. Die wist van niks, had ook maar een
keer het bedrag ontvangen. Zijn administratie klopt volgens eigen zeggen
als een bus. Ik dus naar de bank. Daar werden alleen kopien gemaakt van
mijn afschriften en mijn bonnetje en moest ik een formulier ondertekenen
waarop de toedracht stond. Mij werd verzekerd dat dit de eerste keer
was dat een dergelijke klacht binnenkwam en dat ALS die gegrond ver-
klaart werd dat ik dan mijn geld terugkreeg. Dan wel op dezelfde valuta-
datum, dat wel.
Tot zover de schets, een hele lap tekst.
Nu komen de vragen:
Naar mijn mening is een storing onwaarschijnlijk maar mogelijk, over
blijft dus een kwaadwillende die een foutje heeft gemaakt. Ik sluit de
opticien vooralsnog uit. Bankpersoneel lijkt mij waarschijnlijker.

Wie weet ondertussen de exacte manier van beveiling of kan daar achter
komen zodat we die kunnen beoordelen?
Wie heeft andere opties in gedachte om dit voorval te verklaren?
Wie heeft een dergelijk voorval meegemaakt of heeft er van gehoord?
Wat zijn mijn opties indien de bank in weerwil van het bewijsmateriaal
en de getuigenis van de opticien (reeds toegezegd) weigert de fout te
korrigeren?
Ben ik gerechtvaardigd in mijn wantrouwen tegen het hele BEA-net? (men
ing).
Meningen in het algemeen?

Bij voorbaat dank,
			Gaby Schilders.
-- 
(* Gaby Schilders, Student Computer Science,		*)
(* Vrije Universiteit, Amsterdam			*)
(* The Netherlands					*)
(* E-mail adress: geschild@cs.vu.nl			*)
Newsgroups: nlnet.misc