PhysOrg.com - Ena izmed enostavnih metod za zaščito pred zlorabo na bančnem avtomatu je pazljiv vnos številke PIN. Kadar nepridipravi bančne avtomate opremijo z bralniki zapisa, namestijo tudi kamero, ki snema številčnico, od koder dobijo PIN. Doslej je bilo dovolj, če smo med vpisom PIN-a številčnico prekrili z roko. Raziskovalci s sandiegovske Univerze v Kaliforniji so na avgustovskem USENIX Security Symposiumu prikazali napad, ki stre tudi ta oreh.
Predstavljena zamisel je zelo preprosta. Bančni avtomat lahko opremimo z infrardečo kamero, ki beleži temperaturo posameznih tipk. Pritisnjene tipke ob vnosu PIN-a so toplejše od neuporabljenih, tako da lahko na ta način 'preberemo' kodo tudi, če uporabnik številčnico zakrije z roko.
Če posnetek preberejo takoj po vnosu številke, lahko z 80-odstotno natančnostjo povedo, katere tipke so bile pritisnjene, nato pa odstotek pada. Po minuti pade na polovico, po poldrugi minuti pa na 20 odstotkov, ker tipke oddajo toploto. Pri tem je podatke laže prebrati s plastičnih, saj toploto odvajajo počasneje od kovinskih.
K sreči nam v prid za zdaj še delujejo trije dejavniki, zaradi katerih ni pričakovati takojšnjega razmaha teh napadov. Prvič, težko je ugotoviti vrstni red pritiska tip (brez njega pa je v splošnem 24 štirimestnih kombinacij). Drugič, težavo predstavljajo kovinske tipke, s katerih toplota uide tako hitro, da je posnetek neuporaben, in tretjič, IR-kamere so za zdaj še predrage, da bi se uporaba splačala. Zaščita pa tudi ni pretežka - bodisi tipke pritiskamo s plastičnim predmetom bodisi, kar je še enostavneje, po vnosu pritisnemo še dodatno številko ali dve.
Ne razumem. Kako ni mogoče ugotoviti vrstnega reda, če gre za posnetek. Recimo, ce prvo tipko pritisnes ob 0:05, drugo ob 0:08, itd. Mar potem ne vidiš katera tipka se je svetila ob 0:05, če posnetek zavrtiš nazaj?
Ne razumem. Kako ni mogoče ugotoviti vrstnega reda, če gre za posnetek. Recimo, ce prvo tipko pritisnes ob 0:05, drugo ob 0:08, itd. Mar potem ne vidiš katera tipka se je svetila ob 0:05, če posnetek zavrtiš nazaj?
gre se za to, da maš pokrite tipke med pisanjem pina
Ne razumem. Kako ni mogoče ugotoviti vrstnega reda, če gre za posnetek. Recimo, ce prvo tipko pritisnes ob 0:05, drugo ob 0:08, itd. Mar potem ne vidiš katera tipka se je svetila ob 0:05, če posnetek zavrtiš nazaj?
gre se za to, da maš pokrite tipke med pisanjem pina
avč, iz glave mi je ušlo, da kamera posname tipkovnico šele na koncu, my bad :D
(on side note: tipke, ki so bile pritisnjene prej so manj tople, kot tiste, ki so bile na koncu. To bi kamera lahko zaznala)
A tisto res deluje, da po pravem pinu lahko vtipkaš še nekaj številk in bankomat avtomatsko odreže "presežne"? Nikoli sprobal press (in vrnitev "požrte" kartice lahko traja nekaj časa press)
Ne razumem. Kako ni mogoče ugotoviti vrstnega reda, če gre za posnetek. Recimo, ce prvo tipko pritisnes ob 0:05, drugo ob 0:08, itd. Mar potem ne vidiš katera tipka se je svetila ob 0:05, če posnetek zavrtiš nazaj?
gre se za to, da maš pokrite tipke med pisanjem pina
avč, iz glave mi je ušlo, da kamera posname tipkovnico šele na koncu, my bad :D
(on side note: tipke, ki so bile pritisnjene prej so manj tople, kot tiste, ki so bile na koncu. To bi kamera lahko zaznala)
vtipkas z nohtom.problem resen. ampk zdej bo sel nekdo izumljat ogrevane tipkovnice, da se ne bo vidl razlike....kot je ze od nekdaj v cloveski navadi.
Ne razumem zakaj bi bilo težko določiti vrstni red tipkanja. Prva tipka je tista, ki je najhladnejša od pritisnjenih. To bi se moralo videti že iz ene fotografije. Ne rabiš niti filma. Tipkanja bi se danes počasi že lahko znebili z uporabo tehnologije.
Never trust a computer you can't throw out a window
lahko bi tak rešil da še druge tipke malo počohaš, drugo je to da počakaš z roko še malo gor. tretja pa bi bila to da tipke ki so ob zaslonu prestavijo na tisto tipkovnico s številkami.
V Singapurju imamo sestmestne pine...good luck, Chuck.
Pri nas lahko spremeniš PIN. A je omejitev na 4 znake? Nisem nikoli probal...
PS: A še komu gre na živce, da slika na ekranu ni alignana s tipkami ob njej? Torej želena opcija je ravno vmes med dvema tipkama. Pri 4-ih opcijah še pogruntaš kaj je kaj, kaj pa pri dveh, ko sta nekje na sredini?
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
ja, s takšno ir fotografijo bi 99% lahko pravilno zadel številke in njihov vrstni red...
"Namreč, da gre ta družba počasi v norost in da je vse, kar mi gledamo,
visoko organizirana bebavost, do podrobnosti izdelana idiotija."
Psiholog HUBERT POŽARNIK, v Oni, o smiselnosti moderne družbe...
Nekdo je Splinter Cell preveč špilal :) V enem delu si uporabil to tehniko za vdiranje... Drugače pa me še ne skrbi, preveč nezanesljivo z prevelikim vložkom.
"I am not an animal! I am a human being! I... am... a man!" - John Merrick
LOL To z IR slikami in ugotavljanje kode smo že probali leta nazaj. In se vedno super vidi... vse dokler ne pustiš odtisov še na drugih tipkah :P Poleg tega pa.. kam ti bo koda, če nimaš kartice :D Ukradeš kartico ? Ja in čez 2 min je preklicana... Evo zdej pa probej kodo. Kamera na bankomatu te posname in modre lučke so že za tabo ;)
Do kode se da prit. Naprej pa.. kolker je sreče oz kolker dolgo traja :)
Sami nakladači, najcenejša kamera je par evrov, snameš IR zaščito stran in snemaš/slikaš IR.
Ha, ha. Dober poskus. To, kar najdeš v takšnih kamercah so samo CMOS-i in CCD-ji, ki so občutljivi samo za NIR (bližnje infrardeče sevanje), ki ni tisto, ki "greje".
Kakorkoli obrneš je investicija v termično kamero ranga tisočev evrov, ločljivosti pa so... "srednjeveške". Vendar pa upoštevaj, da z eno kamero ne izvedeš samo enega napada, tarča napada pa niso nujno samo bankomati. Tako, da je uporaba tega pristopa samo stvar razmerja med ceno in učinkom. Če je razmerje ugodno in če je izkoristek boljši od alternativ, se to pač uporabi. Če ne, pa pač ne.
Sami nakladači, najcenejša kamera je par evrov, snameš IR zaščito stran in snemaš/slikaš IR.
Ha, ha. Dober poskus. To, kar najdeš v takšnih kamercah so samo CMOS-i in CCD-ji, ki so občutljivi samo za NIR (bližnje infrardeče sevanje), ki ni tisto, ki "greje".
Kakorkoli obrneš je investicija v termično kamero ranga tisočev evrov, ločljivosti pa so... "srednjeveške". Vendar pa upoštevaj, da z eno kamero ne izvedeš samo enega napada, tarča napada pa niso nujno samo bankomati. Tako, da je uporaba tega pristopa samo stvar razmerja med ceno in učinkom. Če je razmerje ugodno in če je izkoristek boljši od alternativ, se to pač uporabi. Če ne, pa pač ne.
8M pikslov kamera stane 40 evrov. Če ji odstraniš IR zaščito, snema IR brez problemov, kako pa je s snemanjem toplote pa ne vem - sem se igral samo z NIR, pa še to samo za par nalog na faksu.
Zaporedje se vidi po intenzivnosti toplote na tipki. Večja kot je, prva številka je bila med pritisnjenimi. Kar ti nakoncu lahko da nekje 2-3 kombinacije če je težje razločiti.
Rešitev? Tipkanje s kulijem oz v rokavicah kjer tipkovnico še vedno zakriješ z drugo roko.
Kar mene bolj čudi je zakaj ne morejo naredit bankomata, ki ima sprednjo masko povsem ravno oz brez 1000000 izboklin in robov. Ne pa trenutni, ki so tolk okrašeni z vsemi robovi in lučkami, da res lahko povsod namontiraš kar te je volja.
rešitev bi bla tud touch screen z naključno postavljenimi št za vnos pina in možnost da si preko interneta nastaviš, lokacije iz katerih je možen dvig, potrditev večijh transakcij preko smsa, ..
8M pikslov kamera stane 40 evrov. Če ji odstraniš IR zaščito, snema IR brez problemov, kako pa je s snemanjem toplote pa ne vem - sem se igral samo z NIR, pa še to samo za par nalog na faksu.
Še enkrat za tiste, ki nebivedli ;)
To, kar najdeš v takšnih kamercah so samo CMOS-i in CCD-ji, ki so občutljivi samo za NIR (bližnje infrardeče sevanje), ki ni tisto, ki "greje".
Če nič drugega, si malo poglej wikipedijo tukaj in tukaj.
Hm jst pa vedno ko dvignem damn taco čez vse in čakam na oknce "vnesi pin" oddtipkam in taca nazaj gor.. izberem informacije, če je kaj, izberem vnesi znesek odtipkam, spet taca gor:D in čakam.
Hm jst pa vedno ko dvignem damn taco čez vse in čakam na oknce "vnesi pin" oddtipkam in taca nazaj gor.. izberem informacije, če je kaj, izberem vnesi znesek odtipkam, spet taca gor:D in čakam.
Jaz pa vedno na bankomatih in v trgovini tko vtipkam pin, da ga lahko vsak, ki nima mocne dioptije, razbere(ne namenoma, samo pazim ne prevec). Parkrat sem celo dal svojo kartico in povedal pin random osebi, ker se mi ni ljubilo sprehoditi do bankomata.
Sej se strinjam, da ni prijetno ostati z nulo na racunu, ampak sem pripravljen placati za to, da mi ni potrebno cele roke polagati na popljuvan bankomat, ali celo hoditi v banko, ker so bankomati prenevarni.
Sem si pa celo nastavil sms opozorila za kreditno in bancno kartico, tako da jih lahko pravocasno preklicem, ce bo kdo dvigoval previsoke zneske.
A denar .. eurote pa prijemješ z roko? :D Če smo že o "higjeni"
Nope, vedno uporabim latex rokavice. Hec :)
Sej vecina bankomatov je verjetno bolj cistih od mojega stanovanja, ampak takoj ko si rekel, da polozis roko gor, sem pomislil na tistega na bavarcu, ki je resno ogaben :)
rešitev bi bla tud touch screen z naključno postavljenimi št za vnos pina in možnost da si preko interneta nastaviš, lokacije iz katerih je možen dvig, potrditev večijh transakcij preko smsa, ..
Touch kjer se številke naključno spreminjajo za vsakega uporabnika (njih postavitev) in katerega zaslon bi imel izredno omejen vidni kot. Vsaj ekrani pri trenutnih bankomatih se mi zdi imajo gor nek filter, da se od strani izjemno slabo vidi in tud nekako utripa, da je na posnetku verjetno zelo težko karkoli razbrati. Nisem pa še dejansko preverjal, da bi to zagotovo vedel. Vsaj ko gledam ekranček imam feeling kot da skoz migeta.
Ideja z spreminjajočimi tipkami je kar dobra ampak ogromno ljudi ima probleme z tem da si zapomni PIN. Jih poznam kar nekaj ko jim je že blokiralo kartico zaradi drugačne postavitve tipkovnice, ker si zapomnijo pozicije ne pa številk.
When you look long into an abyss, the abyss looks into you
Pa tudi slepo tipkanje (skoraj nujno pri zakrivanju roke, ki tipka), je potem težje izvedljivo. Ideja v članku, da se na koncu pritisne (ali vsaj dodatno dotakne še nekaj) naključnih tipk, ni tako za odmet.
