Newsgroup: it.hobby.elettronica.digitale
Titolo: semi [OT]fregano bancomat e in 10 min prelevano??????

questa mi viene detta direttamente da chi l'ha subita,e non è uno impreciso
o che racconta balle,o una leggenda urbana tramandata chissa come
gli aprono la macchina chiusa con antifurto elettronico e la
richiudono,nessuno sente suonare......boh
gli fregano il bancomat,nessun pin scritto su bigliettini,cosa che comunque
non è rara e mi allibisce(e ricostruendo i movimenti si scopre che 10 minuti
dopo stavano già prelevando
dopo altri 8 min,mi pare,vengono fatti dei pieni da 90 euro,e gia le
macchine di tale capacità fanno pensare ad una certa categoria itinerante di
cui, dai tempi del re buonanima ,nessun governo di dx o sx ha mai osato
toccarne i privilegi
lasciamo perdere l'interesse delle forze dell'ordine ad indagare in un
difficile caso in cui targhe e facce sono state sempre filmate.......
ma mi chiedo...........
i nostri bei patinati e lucidi tesserini bancomat,sinonimo di tecnologia e
telematicità com'è che sono cosi facili da usare????a parte i pos
manomessi,i finti terminali ecc,ma vuoi dire che questa gente si porta un
informatico appresso o è molto + facile??

 telematicità com'è che sono cosi facili da usare?
Se gli hanno aperto l'auto via radio vuol dire che hanno sniffato il suo
telecomando, quindi lo stavano curando, quindi hanno anche guardato quando
ha inserito il PIN.
Ovvero... mi apposto davanti ad un bancomat, arriva uno in auto, scende, la
chiude (sniffo il codice), preleva (guardo il pin), rientra in auto e se ne
va. Lo seguo, apro l'auto e prendo quello che c'è, se c'è il bancomat, ho
fatto tombola.
Ciao,
-- 
 Daniele Orlandi                                                        つづく

 wrote in message
e6tt88$7en$1...@scotty.uli.it...

Ah,ecco...........solo che la tua spiegazione non mi convince molto
va beh potrebbero avergli "sniffato" il codice dell'auto ,anche se mi sembra
strano che gente che parla da 3a elementare e che spendono + in catenine
d'oro che in libri,si aggirino con un affare per radio-decodificare o come
si dice,però non ho altra spiegazione per ora per cui dico che potrebbe
anche essere
ma il suddetto amico (che non è ipotetico ripeto)arrivava da un altra
città,per una cerimonia a cui era invitato ,e non aveva usato il bancomat
poco prima,mi sembra quindi improbabile che lo seguissero per decine di km e
lo curassero da  circa una settimana
altro caso di mia amica,ricoverata d'urgenza,gli fregano la borsa,e stavolta
in mezz'ora circa prelevano,lei aveva si il numero scritto,ma in una
agendina telefonica,mascherato da numero di tel,
continuo ad avere l'impressione che se il delinquente attrezzato ha in mano
il bancomat che abbia sbirciato o no il codice ci possa fare quello che
vuole,anche se mi piacerebbe che mi spiegaste come(non per farlo
anch'io,beninteso!)

 anch'io,beninteso!)
secondo me non è possibile, cmq cosa hanno detto i carabinieri? Io 
chiederei spiegazioni anche alla banca!

chiederei spiegazioni anche alla banca!
A quello che so, il codice PIN non è memorizzato sulla banda magnetica della
carta bamcomat ma è nel database della banca, che lo confronta con quello
digitato, difatti occorre sempre una linea telefonica collegata al pos o
sportello bancomat che tra l'altro al terzo errore si tiene la carta.
Quindi credo che il derubato sia stato spiato, esiste una casistica di trucchi
con telecamere nascoste negli sportelli bancomat o di lettori modificati
nottetempo nei supermercati proprio allo scopo di carpire il PIN e copiare la
carta.
--
ciao
  Stefano

 chiederei spiegazioni anche alla banca!
allorala Forze dell'Ordine hanno detto che in quel momento non essendo un
fatto violento non era prioritarioe che se avessero ottenuto la
videoregistrazione dal distributore e da questa le targhe e i
colpevoli,avrebbero temuto ripercussioni contro il distributore.....incendi
ecc........
no-comment
PS non sto inventando una storia per fare polemica,o razzismo conservatore a
buon mercato,è andata così


nei casi in questione ,soprattutto quello dell'amica ricoverata d'urgenza
per un problema pre-parto  e derubata in ospedale mi sembra improbabile
che sia stata spiata,boh

non conosco i contenuti della banda magnetica di
un bancomat ma "se per caso" dovesse contenere un
codice... un CRC legato al numero del pin, allora
conoscendo l'algoritmo, un semplice attacco
brute-force e si risale alle 5 cifre del pin.
sono solo 5 cifre... non e' mica un codice a 512
bit! Un PC lo risolve in pochi minuti.
inoltre queste specifiche sono da anni insicure,
e' il sistema economico che valuta se risarcire o
aggiornare, cosa conviene di piu'?

 aggiornare, cosa conviene di piu'?
occorre anche valutare che se il sistema è insicuro la gente non lo usa 
più...
c'è molta gente che usa da anni il bancomat e non ha mai avuto 
spiacevoli sorprese.

spiacevoli sorprese.
Io non lo uso mai, tanto che non conosco nemmeno il PIN a memoria e l'ho scritto
sul telefonino per usarlo in una eventuale emergenza.
Come diceva anche una canzone di qualche tempo fa, "cash is the best".
--
ciao
  Stefano

 Come diceva anche una canzone di qualche tempo fa, "cash is the best".
beh anche utilizzare i contanti ha il suo svantaggio. Io non amo girare 
con troppi contanti nel portafogli o anche solo tenerli in casa.
C'è sempre il rischio di subire furti e smarrire il portafogli.
Trovo molto comodo poter prelevare frequqntemente con il bancomat e 
utilizzare la carta di credito per i pagamenti (molto più sicura del  
bancomat).

 aggiornare, cosa conviene di piu'?
Credo che dopo tre tentativi, il bancomat ti 'mangia' la tesserina e blocca 
il conto da altri prelievi.
E allora come fai ?
Ciao
RobertoA

 E allora come fai ?
Questa cosa non aumenta di molto la sicurezza del sistema. Il sistema
bancomat o, peggio ancora, il sistema carta di credito è grandemente
insicuro.
Sono *decine* di anni che la crittografia a chiave pubblica è usabile e
ancora andiamo in giro con una tessera MAGNETICA che può essere clonata da
un momento all'altro con un POS tarocco.


 insicuro.
per l'utente la carta di credito è molto più sicura del bancomat perchè 
si può rifiutare il pagamento (entro i termini prescritti). Semmai il 
problema è di quello che ha accettato il pagamento con una carta 
rubata/clonata.

 rubata/clonata.
Il sistema di carta di credito RIMANE insicuro, perché qualcuno può essere
truffato per una vulnerabilità di design, non è l'utente, è il merchant, ma
il risultato non cambia.


Io lavoro nel campo dell'identificazione automatica, conosco il
contenuto delle tracce magnetiche, sulla traccia 2, quella del bancomat
c'è un'informazione numerica che viene attribuita dal bancomat tutte
le volte che vado a fare un'operazione.
Faccio un esempio, prendo il mio bancomat e lo leggo con un comune
lettore, mettiamo che in traccia 2 ci sia scritto 123456, lo clono su
una tessera magnetica qualsiasi, vado a fare un'operazione con la nuova
tessera magnetica, inserisco pin e prelevo contante, se vado a leggere
la tessera magnetica clonata trovo ad esempio 124455, ora spiego il
perchè.
Nel la carta magnetica, ne il bancomat sanno il PIN, solo il sistema
informativo della banca lo sa, quello che viene fatto durante un
prelievo è molto semplice:
- il bancomat legge il numero di serie sulla tessera
- trasmette il pin inserito dall'utente
- il sistema informativo della banca titolare della tessera risponde
semplicemente SI/NO, codice valido/codice non valido
- viene comunicato il nuovo numero di serie che il bancomat decide di
attribuire alla banca
- viene scritto il nuovo numero di serie sul bancomat (queste due
operazioni non so con quale ordine vengono fatte, se prima una e poi
l'altra)
- poi viene fatta la transazione monetaria, ecc.. ecc..
Cosa vuol dire questo ?
Che se dopo questa operazione di prelievo ipotetico non riscrivete il
"nuovo" seriale sulla vostra tessera bancomat quando la inserirete
dentro il primo sportello che vi capita a tiro non appena inserita vi
viene bloccata (con msg Carta ritirata, rivolgersi al proprio istituto,
ecc ecc)
Il sistema per come è costruito è semplice e sicuro, proprio per il
fatto che nessuno ha le informazioni necessarie ad esclusione
dell'istituto di credito che possiede l'ultima coppia vostro pin/numero
seriale attuale
La sicurezza viene aggirata quindi agendo sul lato vulnerabile, quello
umano, quindi o leggendo il pin tramite un POS opportunamente
modificato o tramite altri fattori che non hanno direttamente a che
vedere con il sistema informativo; il social engineering è l'arma più
potente, da sempre
Spero di non avervi annoiato con questo kilometrico post
Ben

 seriale attuale
Insisto, non è sicuro, non quanto lo sarebbe una card RSA certificata FIPS
140-2 perché puoi estrarre (molto facilmente, tra l'altro) il contenuto del
token.


 wrote in message
1150963072....@c74g2000cwc.googlegroups.com...
Io lavoro nel campo dell'identificazione automatica, conosco il
contenuto delle tracce magnetiche, sulla traccia 2, quella del bancomat
c'č un'informazione numerica che viene attribuita dal bancomat tutte
le volte che vado a fare un'operazione.
Faccio un esempio, prendo il mio bancomat e lo leggo con un comune
lettore, mettiamo che in traccia 2 ci sia scritto 123456, lo clono su
una tessera magnetica qualsiasi, vado a fare un'operazione con la nuova
tessera magnetica, inserisco pin e prelevo contante, se vado a leggere
la tessera magnetica clonata trovo ad esempio 124455, ora spiego il
perchč.
Nel la carta magnetica, ne il bancomat sanno il PIN, solo il sistema
informativo della banca lo sa, quello che viene fatto durante un
prelievo č molto semplice:
- il bancomat legge il numero di serie sulla tessera
- trasmette il pin inserito dall'utente
- il sistema informativo della banca titolare della tessera risponde
semplicemente SI/NO, codice valido/codice non valido
- viene comunicato il nuovo numero di serie che il bancomat decide di
attribuire alla banca
- viene scritto il nuovo numero di serie sul bancomat (queste due
operazioni non so con quale ordine vengono fatte, se prima una e poi
l'altra)
- poi viene fatta la transazione monetaria, ecc.. ecc..
Cosa vuol dire questo ?
Che se dopo questa operazione di prelievo ipotetico non riscrivete il
"nuovo" seriale sulla vostra tessera bancomat quando la inserirete
dentro il primo sportello che vi capita a tiro non appena inserita vi
viene bloccata (con msg Carta ritirata, rivolgersi al proprio istituto,
ecc ecc)
Il sistema per come č costruito č semplice e sicuro, proprio per il
fatto che nessuno ha le informazioni necessarie ad esclusione
dell'istituto di credito che possiede l'ultima coppia vostro pin/numero
seriale attuale
La sicurezza viene aggirata quindi agendo sul lato vulnerabile, quello
umano, quindi o leggendo il pin tramite un POS opportunamente
modificato o tramite altri fattori che non hanno direttamente a che
vedere con il sistema informativo; il social engineering č l'arma piů


Concordo con te sulla sicurezza, considera però che per applicare un
attacco devi avere a disposizione lo sportello bancomat intero, agendo
dall'esterno, come fanno credere i media, non vai da nessuna parte,
considera i tre tentativi ed il resto delle semplici ma pur efficaci
protezioni


 attacco devi avere a disposizione lo sportello bancomat intero
No, basta un POS :^)
(ah, a proposito di POS, visto che non scrivono sulla card, il meccanismo
del seriale va a farsi friggere)


 il risultato non cambia.
beh, di sicuro al 100% a sto mondo c'è ben poco... anche girare con i 
contanti non è sicuro... possono essere falsi, possono rubarteli, puoi 
perderli, possono andare distrutti, ecc.

 Spero di non avervi annoiato con questo kilometrico post
annoiato? no tutt'altro... finalmente qualcuno che ci ha illustrato 
come funziona il bancomat.
Visto che te ne intendi, puoi dirci se il codice pin è contenuto in 
qualche maniera (criptato o altro) sulla tessera bancomat?
Blisca (che ha aperto questa discussione) sostiene da un bancomat 
rubato senza essere in possesso del pin sono riusciti a prelevare dei 
soldi...


ribadisco che nella zona hanno spazzato a tappeto auto e borsette e il mio
amico che ha subito il furto del bancomat abitava a 30 km da lě,e quel
giorno non hanno prelevato,possibile che ti curino da giorni e ti seguano
per usarti il bancomat?direi quantomeno improbabile

 per usarti il bancomat?direi quantomeno improbabile
ecco, appunto. Quindi secondo te hanno prelevato con il bancomat rubato 
senza essere in possesso del pin, giusto?
Vediamo se Ben ci conferma o meno che nella tessera bancomat è in 
qualche modo memorizzato il pin...

 possono rubarteli, puoi perderli, possono andare distrutti, ecc.
Qui si parla di sicurezza di un sistema. Un sistema che, senza che l'utente
se ne accorga, permetta ad un terzo di rubare dei soldi non è sicuro, c'è
poco da fare. È una vulnerabilità grave (e infatti viene sfruttata
parecchio).
Un token RSA certificato FIPS non può essere copiato[1], quindi, fintanto
che io so che nessun altro lo possiede, ho anche la certezza che nessun
altro potrà usarlo.
[1] Uno che si permetta un laboratorio in grado di copiarlo non ha certo
bisogno di rubare i soldi da una carta di credito e in più la copia è
distruttiva.


 qualche modo memorizzato il pin...
Non lo è, né in chiaro, né offuscato, né è memorizzato un suo hash.


 altro potrà usarlo.
non si di cosa parli...
cmq se questo sistema più sicuro non viene adottato si vede che è 
troppo costoso implementarlo.

 troppo costoso implementarlo.
È più costoso che non fare nulla, tanto chi ci rimette sono utenti e
merchant, le banche mai :)
Comunque non è nulla di fantascientifico, le card rsa sono molto diffuse.


 Comunque non è nulla di fantascientifico, le card rsa sono molto diffuse.
Mi daresti qualche riferimento? Non avevo sentito parlare di
sistemi RSA su card e la cosa mi interessa.

 sistemi RSA su card e la cosa mi interessa.
Io uso estensivamente gli eToken della Aladdin, sono dei token RSA su USB,
concettualmente identici a delle SC RSA.
Ti posso dare questo come punto di partenza, è uno stack di protocolli e
driver per *nix e Windoze, ci sono riferimenti a lettori e produttori di
schede:
http://www.opensc-project.org/


Rieccomi,
il seriale e la gestione in scrittura della carta è relegata ai soli
sportelli bancomat, solo loro hanno la facoltà di fornire soldi in
cambio di nessun servizio, solo loro possono riscrivere il seriale e di
conseguenza modificarlo all'istituto di credito.
Il sistema basato su pos, ma in generale qualsiasi altra cosa che non
eroga contante, non modifica i dati della carta.
Per prelevare i contanti dalla bancomat di qualcun altro (attenzione,
parliamo di prelevare contanti non di scroccare un servizio come
benzina, ristorante, ...) ho unicamente tre sistemi:
- Spiare il codice pin dal legittimo proprietario mentre lo va ad
inserire su uno sportello (microcamera, sportello modificato, ...)
- Essere un esercente che con un pos modificato spia il pin inserito da
un utente, duplico poi tale informazione, la transazione o quello che
credo. Se uso questo sistema ho tra l'altro la gradevole facoltà di
utilizzare la carta clonata in contemporanea con altri (o con il
proprietario) fino a quando non viene bloccata, o fino a quando non fa
un prelievo su uno sportello legittimo
- Avere un ponte all'istututo di credito che faccia uscire alcune
informazioni
Tra queste la seconda è quella più in voga, anche perchè più
"semplice" (se mi passate il termine) da realizzare, la prima è quella
più tecnologicamente ingegnosa, l'ultima è quella più sporca (e
succede anche questa, solo che gli istituti di credito non fanno fare
troppa pubblicità... per ovvi motivi)
La crittografia asimmetrica risolverebbe molti problemi, come già
citato da altri, c'è questo piccolo problema che il circuito delle
carte di credito andrebbe rivisto, dato il fatto che chi lo gestisce
non perde soldi è brutto da dire ma a molti va bene così; fino a
quando qualcuno non si incazza.
Siamo molto OT ma ho seguito comunque il thread
Ciao
Ben