Newsgroup: it.hobby.fai-da-te
Titolo: Bancomat fai da te..

http://zipp.it/i/J68O2
 
 
secondo voi come hanno fatto in una manciata di minuti a utilizzare un 
bancomat senza sapere il codice?
 
 
-- 
-
Saluti da Drizzt

 bancomat senza sapere il codice?
 
mah... mi sembra strano che un bancomat abbia un massimale di spesa di 
4.000 euro... e soprattutto 4.000 euro prelevabili tutti in un giorno...
 


un professionista mica un comune mortale..comunque sarï¿œ gente che lo conosce

 bancomat senza sapere il codice?
 
O  l'aveva appena usato e l'hanno visto mentre lo digitava oppure il tizio 
mente ...
Se si riuscisse a sapere i codici senza carpirli al titolare non si avrebbe 
neanche bisogno di rubare la carta :) 
 
 


esatto...pienamente d'accordo

 bancomat senza sapere il codice?
 
Il codice � scritto nella banda magnetica, ed � anche semplice estrarlo, 
basta un notebook un lettore di carte  e uno sveglio alla tastiera.
 
Lo so, sono dei gran Coglioni, ma cosa volete farci sono standard sviluppati 
in USA. 
 
 


beh... nella maggior parte delle banche il bancomat non dï¿œ piï¿œ di 
250/500 euro al giorno. il professionista si prende l'american express 
oro...

 dalla carta stessa?
 
Certo e ripeto � banale, il software lo trovi in qualunque applicativo che 
legge le carte per autorizzare un pagamento, il chip � stato introdotto per 
questo motivo, ma siamo in un periodo di transizione quindi la banda 
conviver� ancora per anni.
 
Il codice non � in chiaro ma � crittografato, ma � molto debole la 
protezione, inoltre la maggior parte dei sistemi che autorizzano pagamenti 
senza lettura chip confermano l'esattezza del pin prima di connettersi alla 
rete di gestione (benzinai ad esempio in tantissimi casi) e la cosa la dice 
lunga. 
 
 

 Lo so, sono dei gran Coglioni, ma cosa volete farci sono standard
 > sviluppati in USA.
 
[Quanto segue ï¿œ AFAIK]
 
Il PIN ï¿œ calcolato, criptato, sul sistema centrale, a
partire dal numero di conto corrente e da un PIN Generation
key (una specie di chiave privata, specifica per ogni
banca), non ï¿œ salvato mai sulla carta, nï¿œ in chiaro nï¿œ
criptato, e non "viaggia" mai: viene creata una conversione
in DES tramite un Hardware Security Module, che viene poi
inviata e verificata contro lo stesso valore calcolato dal
sistema centrale, ma NON con il PIN stesso.
 
Per fare quello che dici tu (ripeto: AFAIK) non basta un
qualunque notebook, ma devi avere accesso ad un Hardware
Security Module.
(sempre se non sono stati tanto coglioni da crearne un
emulatore software, magari per risparmiare sui costi.
Non mi stupirebbe, in effetti.)
(...mmm... poi, sï¿œ, ci sono delle facilitazioni: non ï¿œ
che uno deve craccare il DES, in effetti :-/)
 
A parte che card e lettori con la sola banda magnetica
stanno scomparendo: tutte le tessere nuove, da svariati
anni ormai, sono emesse solo in formato con microchip,
e la banda esiste ancora solo per retrocompatibilitï¿œ
con bancomat e POS piï¿œ vecchi.
 
E prima scomparirï¿œ meglio sarï¿œ.
 
Bye, G.

 Non mi stupirebbe, in effetti.)
 
Bravo, questo � cio' che mi son risparmiato di dire, perch� tanto � come far 
annusare la figa ai culattoni! 
 
 


 
capirai, n'e' che ci vuole molto il codice e' scritto nella banda 
magnetica della carta con una crittografia del cazzo
 
in giro si trovano programmi che crackano le american express che una 
bellezza...
 
inoltre il manigoldo gli ha fregato sicuramente una gold od una platinum
 
ora non ricordo quale di quelle ha un tetto di 5k euri di prelievo...

> 
http://zipp.it/i/J68O2
 
 
L'articolo dice che gli hanno rubato sia bancomat
che carta di credito... Se hanno usato quest'ultima
potrebbero avere sfruttato la tecnica Rfid
 
http://punto-informatico.it/1715575/PI/News/carte-credito-rfid-alla-sbarra.aspx
 
http://it.emcelettronica.com/rfid-e-carte-di-credito-binomio-che-fa-felicit%C3%A0-degli-hacker
 
 
 



 la dice lunga.
 
Mi permetto di dubitarne, per il semplice fatto che gli skimmer piazzati 
sugli sportelli dai soliti furbi, per copiarsi i dati della carta, sono 
sempre accompagnati da un sistema per catturare il PIN (telecamera/tastiera 
sovrapposta).
E per inciso � molto piu' ingombrante e scomodo da installare il dispositivo 
deputato ad appropriarsi del PIN che non quello preposto a leggere la banda 
magnetica.
Quelli la carta la sanno leggere (e scrivere), ma si industriano assai per 
procurarsi anche il PIN.
Se dai dati della carta potessero estrarre il PIN, lo farebbero. Presumo che 
sulla carta vi sia forse un qualche hash del PIN, ma da qui a risalire al 
PIN, ritengo che vi sia di mezzo semplicemnte un... baratro, anzi un 
veggente.
Tornando all'accaduto, la soluzione e' a mio avviso molto semplice: il tizio 
che gli ha rubato il bancomat, disponeva gia' del PIN che gli avra' 
sottratto con astuzia (osservandolo al distributore oppure quando ha usato 
il bancomat precedentemente).
Poi puo' anche darsi il caso che l'associazione carta/PIN non sia piu' 
essenziale per usare la carta, ma se cosi' fosse a mio parere alla cosa 
sarebbe gia' stata data ampia risonanza almeno nelle sedi investite da una 
tale vulnerabilita'.
Ciao.
Mirko.
 
 

 veggente.
 
...dicevo, ma se le hai:
http://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-560.pdf
 
 
Bye, G.

 Bye, G.
 
 
Si vabbe' ma e' vecchio, e' di 10 anni fa, le cose sono cambiate, 
addirittura parla ancora dei codici pin a 4 cifre che ormai non esistono 
neanche piu'.


 neanche piu'.
 
Perchï¿œ per la verifica vengono usate solo 4 delle cifre.
Triste da dire ma ï¿œ cosï¿œ. E per motivi di compatibilitï¿œ
le cose stanno ancora cosï¿œ, anche dopo dieci anni :-(.
 
Bye, G.

 Se dai dati della carta potessero estrarre il PIN, lo farebbero.
 
Parlo per esperienza quasi personale, nel senso che successe ai miei genitori.
Anni fa, era il '92, vennero derubati delle loro borse, con lo stratagemma della ruota bucata, che ora conosciamo tutti, ma che all'epoca era ancora poco noto.
Era sabato ed i ladri, nel giro di tre giorni, fecero 6 prelievi da 500 mila lire ciascuno, il plafond giornalioero prelevabile con cisacuna carta. Il primo prelievo lo fecero, circa mezz'ora dopo, ad uno sportello poco distante dal punto in cui avvenne il furto. Gli altri prelievi vennero fatti due la domenica e due il lunedi' mattina presto, prima che mio padre riuscisse a bloccare i bancomat. La banca non risarci' nulla, ergo perdita secca di 3 milioni di lire.
 
--
<)<)
L'Infante di Spagna

 
 
"El_Ciula"  wrote in message news:512a9f1c$0$6824$5fc...@news.tiscali.it...

LOL!
http://www.di-mgt.com.au/rsa_alg.html
 
 

 
http://www.di-mgt.com.au/rsa_alg.html
 
 
Che non c'entra niente, perchï¿œ il PIN dei bancomat
viene gestito con DES.
 
Bye, G.

 Bye, G.
 
 
 
Ho fatto leggere ad un amico che gestisce queste cose per una banca (a 
livello tecnico) e mi ha dato una risposta complessa ma la parte che ci 
interessa e' questa:
"Intanto nego assolutamente quanto affermato da El_Ciula e da ISHKA che 
il PIN sia memorizzato nella banda: ha ragione invece Paperino: il PIN ï¿œ 
calcolato partendo dal PAN che ï¿œ memorizzato sulla banda."
 
Approfondiremo il discorso, per ora questo e' quanto.


 euro al giorno.
 
Il massimo per giorno � 1.500 
 
 

 Il codice � scritto nella banda magnetica, ed � anche semplice estrarlo,
 
No. :P 
 
 

 protezione,
 
Rotlf Sulla banda magnetica ci sono gli identificativi della carta e qualche 
altro dato ma non il pin. 
 
 


 
Dipende innanzitutto se e' bancomat o carta multifunzione poi dipende 
anche da quanto concordato con la banca.


basta un notebook un lettore di carte  e uno sveglio alla tastiera.
 
Questa te la sei sognata stanotte.

legge le carte per autorizzare un pagamento
 
Non è vero.
 
Fra l'altro, se fosse vero vorrebbe dire che tutti i trucchi usati per
leggere il PIN con una videocamera mentre lo si batte (che non sono per
nulla banali) sarebbero inutili.

 dipende  anche da quanto concordato con la banca.
 
S�, intendevo il massimo attuale giornaliero che praticano alcune banche.
Chiaramente occorre fare pi� di una operazione posto che i singoli atm pi� 
diffusi  possono erogare 1.000 euro alla volta. 
 
 

 Questa te la sei sognata stanotte.
 
Gente � la stessa cosa, se puoi ottenerlo che sia in chiaro o legato ai bit 
scritti cambia sega! 
 
 


hrt
 
 
Paolo


 
Non e' la stessa cosa, il codice memorizzato nella banda magnetica 
(ricordo che gia' da diversi anni emettono le carte con il chip quindi 
un pos o un atm non accetta piu' la lettura della banda magnetica)
e' il risultato di un'operazione che fa il server, di quel numero se non 
hai il pin, non te ne fai nulla.
Qui e' spiegato molto bene:
http://www.cartedipagamento.com/banda_magnetica_carta_di_credito.htm
 



 
250 euro. Almeno il mio
 

 
http://www.cartedipagamento.com/banda_magnetica_carta_di_credito.htm
 
 
E perï¿œ qui dice che c'ï¿œ scritto il PIN, crittografato.
Io continuo a non capire.
 
Ad esempio: ho il bancoposta. Per le operazioni online mi hanno dato una 
specie di calcolatrice.
Inserisco il codice generato dal sito (relativo a quella operazione che vado 
a fare), metto il PIN, mi dice pin OK: il codice viene quindi verificato 
dalla calcolatricina.
Probabilmente in associazione al codice del sito, tipo chiave a 
controchiave, resta il dubbio che il sistema sia aggirabile. 
 


 
 
Ma quando mai!!!
Se digiti il pin sbagliato te lo dice dopo essersi collegato, mai prima. 
Ma... tu ce l'hai un bancomat?
 
Si, va beh, a cagare ci vado piï¿œ tardi.
 

scritti cambia sega! 
 
Se volevi dire addirittura che era scritto in chiaro avrei risposto che
era una boiata pazzesca e che il cervello ti stava andando in fumo.
 
Supponevo che volessi dire che era scritto sulla banda in maniera
cifrata e decifrabile.  Non è così.  Fosse così, i bancomat sarebbero
in pratica inutilizzabili ormai da anni.

E però qui dice che c'è scritto il PIN, crittografato.
 
Non puoi risalire al PIN da quel numero.  A quanto ho capito, col PIN e
un codice della banca emittente (che il POS ottiene dal circuito
Bancomat) il POS genera un numero e lo confronta con quello scritto
sulla carta.

Appunto il tuo :)
250 euro � il massimo minimo giornaliero :)
In circuito si arriva a 500
Fuori circuito a 1500 
 
 

 
http://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-560.pdf
 
 
Appunto, chiedi ed in base ad una serie di risposte "si/no" puoi arrivare 
meglio che con la forza bruta al PIN. Ma devi chiedere ripetutamente. E piu' 
di 2 volte.
E devi sapere "a chi" chiedere. Insomma... non c'e' scritto nessun PIN sulla 
carta.
Questo e' precisamente il senso di cio' che ipotizzavo/asserivo.
Comunque che non fosse invulnerabile lo si poteva arguire dal fatto che 
stanno lentamente migrando a sistemi che non dovrebbero soffrire dei 
problemi indicati nel pdf. Me lo leggero' con calma.
Grazie.
Ciao.
Mirko.
 
 

milioni di lire.
 
Ripeto che dal bancomat non puoi risalire al PIN. Puoi anche radiografarlo 
ma il PIN te lo devi procurare con un altro metodo.
Poi che metodo usi... e' un altro discorso.
Per assurdo potresti in linea del tutto teorica anche non leggere niente 
dalla banda magnetica, sapere a chi rivolgerti e farti dire il PIN citando 
il proprietario della carta, il suo numero etc. Ma questo non significa che 
il PIN sia memorizzato nella carta. Devi sapere a chi rivolgerti...
Che non equivale a dire che sulla carta e' memorizzato il PIN.
Faccio un esempio per chiarire.
Io ti clono la carta ma non conosco il tuo PIN.
Allora posto che abbia pazienza da vendere, ti seguo ed ogni volta che fai 
un acquisto, subito dopo provo a prelevare con la carta clonata, ed ogni 
volta scelgo il PIN a caso.
Se ho pazienza e se tu usi frequentemente il bancomat... prima o poi scovo 
il PIN.
Posso anche arrischiarmi a fare due prove ogni volta che tu fai un acquisto 
(dato che ci vogliono 3 tentativi falliti consecutivi per comportarne la 
disabilitazione).
Bene. Ora se questi tentativi li faccio verso un altro sistema non 
"convenzionale", e magari con la compiacenza di qualcuno, non sto 
decriptando il PIN da informazioni presenti sulla carta. Sto semplicemente 
attingendo ad informazioni che sulla carta non ci sono, e che sono 
essenziali pero' per ricavare il PIN.
L'evento citato testimonia che dai dati presenti sulla carta, avendo accesso 
ad informazioni ulteriori, e' possibile ottenere il PIN. Ma non che sulla 
carta vi sia il PIN criptato.
Ciao.
Mirko.