Newsgroup: it.hobby.elettronica.digitale
Titolo: OT-Bancomat,altro che sicuro...

Ne avevamo gi� parlato su questo ng
ogni volta che parlo di persona con qualcuno a cui sia stato fregato il
bancomat avviene regolarmente che in 15 minuti-mezz'ora gli prelevino soldi
Non mi si dica che avranno avuto il codice scritto sopra per ch� non � mai
stato cos�.Allora o i ladri hanno per riferimento un matematico informatico
che gli d� istruzioni,oppure vi � una banca dati che contiene tutti i dati
dei pos modificati,o qualcuno vende database con dentro i codici ....oppure
avete altre spiegazioni??
Inviolabile un paio di p....e

 oppure avete altre spiegazioni??
Prima si procurano il codice poi gli rubano il bancomat.



Scusa ma non mi convince neanche un p�.
Come lo spieghi nel caso di un bancomat fregato in ospedale a una persona
appena ricoverata d'urgenza per complicazioni post-parto,a 20 Km da casa tra
l'altro?
Altro caso persona che dimentica la borsetta in macchina,sempre stessa
distanza da casa,spostamento occasionale?Possibile che l'abbiano seguita
sapendo che avrebbe dimenticato la borsetta?
Ti ringrazio ma mi sembra pi� spiegabile con la lettura del pensiero.

 Ti ringrazio ma mi sembra più spiegabile con la lettura del pensiero.
E' una opzione sempre valida.

 Ti ringrazio ma mi sembra piï¿œ spiegabile con la lettura del pensiero.
ma sai in quanti hanno il pin del bancomati scritto su qualche 
foglietto, magari mascherato da numero di telefono?
Adriano

stato cos�.
eccone un altro.....Adriano,no!non ce n'erano di numeri scritti....piuttosto
che credere che sia possibile violare un bancomat pensate sempre alla
stupidit� estrema del prossimo,nonostante abbia detto nel post iniziale che
non vi era alcun numero scritto,pu� darsi che alcune persone abbiano
problemi a ricordare 5 cifre,ma in questi casi non avevano bisogno di
foglietti

 > Ti ringrazio ma mi sembra pi� spiegabile con la lettura del pensiero.


 foglietti
il pin non e' certo memorizzato sulla tessera (tanto che tessera e pin 
sono consegnati separatamente al cliente), ma viene comunicato ad un 
server durante le operazioni bancomat. Quindi o ti vedono digitare il 
pin o lo trovano scritto da qualche parte o intercettano la 
comunicazione fra terminale e server (come hanno fatto in diversi 
supermercati installando fisicamente un'elettronica negli apparecchi 
alle casse, ma in questo caso non gli serve nemmeno rubarti la tessera) 
o non saprei proprio dirti come fanno
Adriano

 il pin non e' certo memorizzato sulla tessera
su questo ho fortissimi dubbi. Possiamo dire che il pin non ï¿œ 
memorizzato IN CHIARO sulla tessera, questo si, ma ï¿œ certamente 
memorizzato CRIPTATO, con algoritmo e chiave che si spera siano segreti, 
ma a tal proposito mi vede perplesso come Blisca.
Perchï¿œ dico questo?
Perchï¿œ le poste hanno fornito di recente, per le transazioni on-line una 
macchinetta entro la quale si inserisce la carta postamat (il bancomat 
targato Poste). Quella macchinetta richiede la digitazione del PIN ed ï¿œ 
in grado di verificarla al volo, senza alcun tipo di collegamento con 
server o altro.
Speriamo poi che alle Poste conoscano il principio di kerckhoffs 
(
http://it.wikipedia.org/wiki/Principio_di_Kerckhoffs
), ed abbiano 
progettato bene il sistema, altrimenti prima o poi qualcuno fa il colpaccio.
Saluti
Marco
-- 
Attenzione: indirizzo e-mail non valido
(per rispondere togliere gli alcolici e il suffiso invalid)
Invalid e-mail address.
(Remove alcohol reference and "invalid" suffix for responding)


Puoi spiegare meglio? Dove la usano sta macchinetta?
Se ï¿œ ad uso personale cioï¿œ ï¿œ associata ad una persona, non ï¿œ che magari il 
pin (l'unico) in questo caso ï¿œ nella macchinetta?
Cioï¿œ 1 carta postamat - 1 macchinetta.

 collegamento con server o altro.
La carta postamat non � un bancomat, e l'autenticazione sul circuito 
delle poste non credo proprio venga fatta dagli host del circuito 
interbancario ma dalle poste stesse, che con le loro carte possono fare 
quello che vogliono, compreso stampare il codice in chiaro sulla carta.
 

 altro.
se e' cosi', staro' alla larga dal postamat, ma non ti e' mai capitato 
di usare un bancomat senza collegamento al server?
cerca di collegarsi alla tua banca, non ci riesce e ti risponde picche 
prima di chiederti il pin.
Adriano

 viene verificato dalla tua banca
Ti ripeto che con i Postamat (che comunque sono letti da ogni sportello 
ATM del mondo), il lettore portatile per le operazioni on.line da casa, 
verifica il PIN senza collegamenti alcuno.
Il lettore ï¿œ visibile qua:
http://www.poste.it/azienda/posterisponde/lettorebancoposta.shtml
Se poi qualcuno lo vuole leggere
http://www.dia.uniroma3.it/~dispense/merola/critto/tesine/bancomat.pdf
troverï¿œ alcune info su come funzionano i bancomat Vedrï¿œ quindi che il 
PIN ï¿œ memorizzato sulla carta stessa, ovviamente NON IN CHIARO ma 
cripttato tramite DES o  triplo DES utilizzando una chiave di cifratura 
diversa per ogni banca e, si spera, segreta.
Nel caso del lettore delle POste, essendo solo per le poste, ha la 
chiave DES all'interno. I bancomat che accedono agli ATM, la ricevono da 
appositi database.
Ora cerco qualche altra info e la posto (se la trovo).


 di usare un bancomat senza collegamento al server?
Una volta, anni fa, ho usato il bancomat per pagare l'autostrada e 
NON MI HA CHIESTO il codice. E' bastato strisciare...
-- 
IBM: Indigestion Bothers Me
News 2002 [v 2.4] - [ StopDialers/PopDuster/SMTP Proxy - 
http://www.socket2000.com
 ]

 cifratura diversa per ogni banca e, si spera, segreta.
Pagina tre del TUO file... c'� scritto esattamente il contrario di quello 
che stai affermando. 

 NON MI HA CHIESTO il codice. E' bastato strisciare...
E' un circuito specifico (non mi ricordo il nome) che, a fronte di un 
determinato tipo di addebito, non richiede PIN (esattamente come i lettori 
dei parcheggi torinesi, quando funzionavano) 

 NON MI HA CHIESTO il codice. E' bastato strisciare...
Non serve chinarsi così bassi per passare furtivi sotto la sbarra.
Per l'auto come hai fatto?
:)
Piccio.

 quello che stai affermando. 
... in effetti pi� avanti in questo documento, viene affermato che il PIN 
viene derivato dal numero di carta (io nutro ancora seri dubbi a riguardo, 
per come � fatto il sistema di generazione PIN che conosco), ma comunque 
anche secondo non � quello che � effettivamente valido, dato che c'� 
comunque l'offset, che � lato host. Se ci riesci in tre tentativi... 
Se poi parliamo le truffe ai bancomant tramite complici interni sono tutta 
un'altra storia (e storia antica... credo di aver visto la mia prima verso 
il 1995)

 
vero, lo uso sempre quando c'ï¿œ coda, ma ï¿œ come dice Axeman.


 
Certo, perchï¿œ alla banca richiede la chiave per decrittare il PIN


 che stai affermando. 
Guarda anche da pag. 8 in poi per�...
-- 
IBM: I've Been Mangled


 Per l'auto come hai fatto?
L'ho lasciata in autostrada. ;-)
-- 
A fault tolerant system must report the faults even as it tolerates them.


 Guarda anche da pag. 8 in poi per�...
Hai ragione, ho letto dopo... resta il mio dubbio legato al fatto che ho 
avuto per molto tempo a che fare con il sistema di generazione dei PIN di 
due grossa banca italiana, e le cose funziona(va)no in maniera un po'  
diversa. 
Comunque, dando per buono il documento, il pin iniziale � derivabile dal 
numero di carta, ma l'offset pu� essere solo lato host (io il pin lo posso 
cambiare senza dover riportare la carta in filiale, quindi i dati sulla 
carta non vengono alterati). Quindi, sempre 3 tentativi sono... 

 Puoi spiegare meglio? Dove la usano sta macchinetta?
E' un lettore che sostituisce l'uso attuale del codice dispositivo che 
autorizza le sole operazioni con Bancoposta Online, cioè il servizio 
online di Bancoposta, non serve per fare acquisti ai POS né per 
prelevare agli ATM, almeno che io ricordi.

 delusissimo devo dire che è già tanto se hanno redatto la denuncia
Be' quello è un obbligo.

 se e' cosi', staro' alla larga dal postamat, ma non ti e' mai capitato 
Mi attacco qua ma il discorso ï¿œ per tutti: Cercando di capirne qualcosa 
di piï¿œ, ho riletto il pdf che avevo linkato prima. A pagina 10 si legge:
"Possibilitï¿œ per gli ATM offline di verificare il PIN di un
cliente senza richiedere la memorizzazione di un DB di
PIN di tutti i clienti."
Ho poi trovato la mappa delle 3 bande magnetiche sui bancomat standard, 
ed eccola qua:
http://www.gae.ucm.es/~padilla/extrawork/tracks.html
Su questa mi sono un po' perso, ma la leggerï¿œ con piï¿œ calma domani.
Spero perï¿œ siate dutti daccordo se dico che la migliore sicurezza per il 
bancomat/postamat/altromat sia... di non perderlo (e di non farselo clonare)
Saluti a tutti.


 cambiare senza dover riportare la carta in filiale, quindi i dati sulla 
http://www.gae.ucm.es/~padilla/extrawork/tracks.html
qua semberebbe che l'offset sia nella banda magnetica.
Ora me la riguardo con calma.



Ma sembra che il lettore sia personale, quindi dovrebbe riconoscere solo la 
postamat a cui è stato consegnato.
Non credo che con lo stesso lettore sia possibile fare operazioni con carte 
postamat di qualsiasi persona.
In questo senso il lettore cripta il pin digitato e lo confronta con il pin 
criptato già presente nel suo firmware.
Credo...

 
http://www.gae.ucm.es/~padilla/extrawork/tracks.html
Uhm credo che l'inghippo sia proprio qua: mi definisci "BANCOMAT STANDARD"?
Perch� i circuiti sono nazionali. Un bancomat italiano pu� funzionare 
all'estero solo se � parte di qualche circuito internazionale come i vari 
Cirrus/Maestro/ecc. o se � anche carta di credito Visa/Mastercard/ecc. 
Per quel che ricordo, le carte bancomat italiane non hanno nemmeno il PAN 
in quel formato, se non sono anche carte di credito... 

"Axeman" <m...@dont.thik.so.invalid> ha scritto nel messaggio
news:Xns9CA1C7616DD3Cte...@194.177.97.96...

� il fastpay?

 casi non avevano bisogno di foglietti
A me hanno clonato il bancomat 2 volte, la mia banca mi ha detto che la 
tecnica in genere � questa: entrano in negozi o supermercati, distributori 
fingendo di effettuare un furto, in realt� sistemano degli apparati 
elettronici all'interno dei lettori di bancomat. Il circuito inserito non 
disturba le normali operazioni ma acquisisce i dati del bancomat e il pin 
digitato dal cliente e spedisce questi dati via internet a qualche sito 
predisposto. A questo punto si costituisce un database che tempo fa serviva 
per ottenere un clone del bancomat e quindi poter prelevare 
fraudolentemente i soldi. Ora che quasi tutti i bancomat hanno il microchip 
� necessario avere in mano il bancomat originale e quindi rubando un 
bancomat di una persona che abita vicino ad un supermercato che � stato 
"visitato" � molto probabile che il pin che serve per prelevare sia in 
qualche database non ancora scoperto.
Nel mio caso i dati del mio bancomat erano stati scoperti in un database in 
Romania durante una perquisizione effettuata dalla locale polizia. La banca 
ha annullato il mio bancomat e me ne ha dato comunicazione.
Saluti
 Fausto

 qualche database non ancora scoperto.
E' una delle tecniche ma non ï¿œ la piï¿œ sicura... ti garantisco che non 
serve neanche rischiare l'arresto per "tentata rapina" (o la malafede 
dell'esercente)
BTW no non sono un clonatore di bancomat, ma sono stato per anni molto 
vicino ai problemi di "sicurezza logica" dei sistemi bancari.

 ï¿œ il fastpay?
Si, lui, esatto. :-)

avete altre spiegazioni??
Probabilmente hanno usato un Skimmer e poi hanno rubato il bancomat.
Nei badge a microcircuito la clonazione � (virtualmente) impossibile, per cui
occorre rubarlo.
http://it.wikipedia.org/wiki/Skimmer
Tra l'altro nei circuiti ATM il codice non � direttamente sulla carta ma in un
database centrale.
http://it.wikipedia.org/wiki/Bancomat
--
ciao
  Stefano

 avete altre spiegazioni??
Confermo che il PIN � registrato (criptato!) sulla banda magnetica. Come 
ha gi� detto qualcuno esistono delle macchinette tascabili che 
assomigliano molto ad una calcolatrice (tipo il convertitore per l'Euro) 
con una fessura per infilare la carta. All'accensione la macchinetta 
chiede il PIN e fornisce codici di autenticazione per l'accesso a certe 
operazioni su internet (bisogna digitare sulla macchinetta un codice 
fornito prima dell'operazione e rispondere sul PC col codice restituito 
dalla macchinetta).
Ovviamente la macchinetta non pu� sapere il PIN perch� � universale 
(tempo fa ho perso la mia carta e quella nuova funziona sulla stessa 
macchinetta)
Tra l'altro ho sentito una leggenda metropolitana secondo la quale i 
"malfattori" sono in possesso un algoritmo in grado di decriptare il 
PIN, restituendo una 20na di possibili PIN.
Ciao
Pasu

 macchinetta)
Pu� funzionare senza particolari problemi: basta che la macchinetta 
utilizzi il pin che tu hai digitato (senza convalidarlo) come parte 
della funzione che genera il codice di autorizzazione. Il sistema di 
pagamento lo verificher� online e la verifica avr� successo solo se il 
pin che tu hai digitato e quello in archivio sono uguali. Il tutto senza 
la necessit� che il PIN sia scritto da nessuna parte se non (al limite) 
negli archivi centrali.

Ripensandoci, per verificare un pin non serve conoscerlo, ma basta 
sapere la chiave pubblica.
La chiave pubblica serve a criptare un messaggio ma non pu� decriptarlo. 
Per� � sempre possibile confrontare due messaggi criptati (che sono 
univoci).
Quindi il PIN � sulla carta, criptato, e nessuno � interessato a 
saperlo: n� la famosa macchinetta, n� le banche.
Tra l'altro sarebbe molto pi� rischioso far viaggiare il PIN su una 
linea dati per mandarlo alla banca di appartenenza per verifica, oltre 
che terribilmente lento (magari non oggi, ma venti anni fa...)
Ciao
Pasu

 negli archivi centrali.
Non fa una piega quello che dici, ma ti posso assicurare che la 
macchinetta ti mostra un bel ditone sul display se digiti un pin errato :-)
Ciao
Pasu

 macchinetta ti mostra un bel ditone sul display se digiti un pin errato :-)
Se la carta � di quelle col microchip, ci potrebbe anche stare che una 
funzione stile "challenge-response" possa validare il pin in locale. Ma 
sul fatto di poterlo estrarre direttamente con sistemi che non siano 
bruteforce nutro qualche dubbio...

 che terribilmente lento (magari non oggi, ma venti anni fa...)
Ti garantisto che ha sempre funzionato cos�... soprattutto 20 anni fa :-)
Rischioso, no, il pin digitato veniva inviato codificato dall'hardware 
DEM, e inoltre (soprattutto 20 anni fa :-) ) le connessioni tra 
sportelli e host erano dedicate (i bei tempi delle linee BSC :D) e gli 
attacchi "man in the middle" non erano certo cosa diffusa.
L'unico posto "a rischio" erano proprio le matrici BSC nei CED. Ma la 
complicit� di qualcuno "in centrale" rende vana qualunque altra protezione.

 bruteforce nutro qualche dubbio...
Ti dir�... Anche io.
P.

 attacchi "man in the middle" non erano certo cosa diffusa.
S�, in effetti stavo pensando ad una linea telefonica, dove il tempo di 
connessione non � trascurabile. Fino a qualche anno fa quando facevo 
rifornimento ad una stazione di servizio vicino a casa dei miei dovevo 
aspettare almeno un paio di minuti per "verifica in corso"... Ma in un 
distributore una cosa del genere � ancora ancora accettabile 
(evidentemente volevano conferma dalla banca prima di procedere), in un 
bancomat non credo.
Ciao
Pasu

 utilizzi il pin che tu hai digitato (senza convalidarlo) come parte 
la macchinetta mi dice subito che il pin � sbagliato


 
quancuno ha obiettato che il postamat non ï¿œ un bancomat, da li ho 
inventato questa dizione, per riferirmi a quelli NON delle poste.
Stami ho letto qualcosa anche delle carte di credito.
Confermo il PIN ï¿œ memorizzato, criptato, sulla track 1.


 carte postamat di qualsiasi persona.
ahimè non è così. In casa ne abbiamo 2 e sono interscambiabili. Tra 
l'altro ricordo che quando sono stato alle POste a ritirarlo, lo hanno 
preso a caso da un contenitore che ne conteneva alcuni.


Per tutti:
la discussione ï¿œ interessante; vediamo di trarne un approfondimento per 
tutti noi (se siete daccordo, ovviamente):
concentriamoci su tessere magnetiche, per gli ATM, essendoci per queste 
maggiori informazioni in rete, e vediamo di trovare il dettaglio dei 
dati contenuti nelle 3 tracce.
Qualcosa avevo giï¿œ trovato, ma credo sarebbe meglio un documento "serio".
Comunque in casa, su un paio di libri, viene scritto che il PIN ï¿œ 
memorizzato, criptato, sulle track 1 e 2. Se qualcuno vuole mando la 
scansione di qualche pagina di libro.
Saluti, grazie a tutti per il bello scambio di idee.


 Confermo il PIN ï¿œ memorizzato, criptato, sulla track 1.
Manda pure le scansioni dei libri, che son curioso... ma nel frattempo 
prova a rispondere a questa domanda: quando ti fai mandare un nuovo pin 
dalla banca (e ti arriva per posta senza che tu debba andare in filiale 
con la carta) secondo te come fanno a modificarsi i dati sulla traccia 1?

Axeman ha scritto:

Bella domanda. Non lo so. Mi sembra perï¿œ di aver letto ieri che proprio 
per questo si ricorre ad un ulteriore numero (un offset o qualcosa di 
simile) che puï¿œ essere modificato e serve proprio a risolvere il tuo 
problema.
Ad ogni modo dai una occhiata qua:
http://en.wikipedia.org/wiki/ISO/IEC_7813
in particolare track 1 linea 7
Ti mando 2 o 3 pagine di "segreti spie codici cifrati" Apogeo, ma in serata.
Ciao


 Qualcosa avevo giï¿œ trovato, ma credo sarebbe meglio un documento "serio".
http://en.wikipedia.org/wiki/ISO/IEC_7813
track 1 riga 7
Che ne pensate?


 in particolare track 1 linea 7
Sono informazioni opzionali. Se fai il dump della T1 di una carta 
bancomat italiana non multifunzione ci sono buone possibilitï¿œ che non ci 
trovi neanche la data di scadenza, perchï¿œ non scadono... cosï¿œ come non 
c'ï¿œ il nome del titolare, perchï¿œ non sono nominative (a differenza delle 
carte di credito o delle multifunzione)...

 problema.
Si, ma ti ripeto:
1) io chiedo un nuovo pin di una carta che ho io
2) il nuovo pin mi arriva per posta (quindi ï¿œ stato modificato il record 
relativo alla mia carta nel db centrale)
3) uso la carta con il nuovo pin e funziona.
Se il pin ï¿œ memorizzato sulla carta, come fa a "modificarsi" da solo per 
permettere alla carta di funzionare? Nota bene che l'hardware dei card 
writer presenti negli sportelli bancomat scrive sempre e solo sulla T3.

 writer presenti negli sportelli bancomat scrive sempre e solo sulla T3.
a pagina 10 di quel pdf di ieri 
(
http://www.dia.uniroma3.it/~dispense/merola/critto/tesine/bancomat.pdf
) 
viene accennato qualcosa. Bisogna capire bene cosa sia questo offset.
Pare comunque che serva proprio al caso da te citato.
Ora porto la bimba in palestra. Stasera provo a capirne qualcosa di piï¿œ 
(sui PIN, non sulla palestra) ;-)


 BTW no non sono un clonatore di bancomat,
E meno male :-)
Ne è venuta fuori una discussione molto interessante.


Mi inserisco qui per una riflessione fatta tra me e me tempo fa.
Noi conosciamo le carte di "debito" come "bancomat", che da quando
esiste ha sempre usato un codice.
Ma in tutte le carte "bancomat" che io conosco, vi è anche una bella
scritta "MAESTRO", un circuito di carte di debito... e qui viene il
bello...
Almeno sino ad un po' di tempo fa, ed anche attualmente in qualche
paese, la carta è utilizzabile con una semplice firma!! (chi ha mai
fatto caso al retro dei bancomat, dove vi è lo spazio per la firma...
Quanti hanno mai "firmato" il bancomat?).
In pratica, ogni bancomat fa parte del circuito Maestro, e come tale
poteva (e può ancora in qualche paese) essere usato senza usare il
pin, semplicemente firmando uno scontrino. In pratica, tutta la
sicurezza del pin... va a malora per una firma che nessuno può
verificare.
Potete leggere qualcosa del genere su questo post
http://www.nntp.it/economia-carte-di-credito/201406-carta-cirrus-maestro-occhio-caso-di-furto.html
Simone

 Ne è venuta fuori una discussione molto interessante.
E' un ramo divertente dell'informatica, si gioca a guardie e ladri, e 
ancora più divertente è che spesso la guardia deve fare il ladro. Come 
si dice: conosci il tuo nemico. :-)

 modificarsi i dati sulla traccia 1?
Sbaglio o ti cambiano anche la carta e la vecchia la distruggono?

 Sbaglio o ti cambiano anche la carta e la vecchia la distruggono?
Se lo fanno è una scelta interna della banca, ma non è necessario... 
almeno per le tessere magnetiche, sul microchip non saprei dirtelo.

 preso a caso da un contenitore che ne conteneva alcuni.
Si vanno a lotti, ma questo � un particolare perch� si abbina in modo 
inequivocabile al primo uso. 

 
e comunque, al primo uso, trova quel che gli serve all'interno della 
carta stessa
ma, ti domando, si puï¿œ abbinare a piï¿œ carte? perchï¿œ con mia moglie ne 
condividiamo solo uno e funziona per tutti e due
Hai idea di dove si possano trovare indicazioni dettagliate sul 
funzionamento? (O meglio, hai idea di quali parole potrei usare su 
google...)
Grazie


 stupidit� estrema del prossimo
A mio parere con la stupidit� ci copri statisticamente almeno 9 casi su 10;
conosco gente che il PIN lo ha scritto sul bancomat, altro che agendina. :)
Sul fatto che il PIN sia scritto direttamente dalla scheda sono un po'
scettico, ma proprio l'altro giorno ho notato una cosa alla quale non avevo
mai fatto caso: pagando un benzinaio con il bancomat (attraverso il comune
POS che hanno tutti i benzinai), un secondo dopo aver digitato il codice �
comparsa la scritta "PIN OK", e soltanto dopo il messaggio di connessione
in corso alla banca. D'accordo che un messaggio non vuol dire niente, ma la
prossima volta per curiosit� sbaglio il PIN apposta. :)
-- 
emboliaschizoide.splinder.com

  Fausto
questa spiegazione fa tornare i conti in molti casi,ti ringrazio