Slo-Tech - Zlorabe plačilnih kartic za končne uporabnike niso velika nevšečnost, saj škodo in stroške banke načeloma vračajo, a vseeno predstavljajo težavo, ki letno stane več milijard evrov. Ponudniki plačilnih storitev zato iščejo načine za njihovo zajezitev, kamor sodijo tudi čipi in enkratne kode za izvajanje transakcij. Toda vse to bolj malo pomaga pri spletnih zlorabah, kjer se vpisuje zgolj številka kartice in koda CVV na zadnji strani kartic. V ZDA začenjajo preizkus kartic, ki bodo imele spreminjajočo kodo CVV.
Koda CVV je zapisana na zadnji strani kartice, zato bodo nove kartice imele v tem polju e-črnilo (e-ink), ki bo redno spreminjal napis. Statični CVV namreč ne nudi zadostne stopnje zaščite, saj ga je v končni fazi mogoče tudi uganiti. Dinamični CVV so del projekta, ki sega v leto 2016. Že tedaj je podjetje Idemia pokazalo kartice, ki omogočajo dinamično generacijo CVV. Visa je tudi izdala specifikacijo dCVV2, ki omogoča točno to. V novem projektu, ki se je začel novembra, so za 90 dni manjšemu številu uporabnikov razdelili kartice, kjer se bo CVV spreminjal. V preizkusu bodo ugotavljali zlasti, kako pogosto je treba spreminjati CVV za zadostno zaščito. Kartice z e-inkom imajo majhno litij-ionsko baterijo, ki omejuje število možnih sprememb zapisa. Če bi ga variirali enkrat na uro, bi kartice zdržale štiri leta. Takšna kartica stane okrog 15 dolarjev, medtem ko običajne kartice dobimo že za 2-4 dolarjev (proizvodna cena).
A ni point da se CVV počasi ukine, ko imamo sedaj Visa 3D in podobne konkurenčne dvofaktorske avtentikacije.
Tole je potem že ene vrste 3-faktorska avtentikacija, razni amazon in podobni pa itak kakršnokoli več-faktorsko avtentikacijo ignorirajo, ker nočejo da uporabniki vsakič ob nakupu vpisujejo.
Sam imam ločeno kartico za to, tako da kolko je gor tolko lahko poberejo, ampak dajem sproti gor denar ko rabim. Tako da načeloma imajo čas 10 minut da mi spraznijo tistih nekaj 10€ iz kartice kolkr rabim od banke do doma.
Je pa slika ob clanku noro smesna. Leto 2019, banke pa si predstavljajo, da bomo kupovali preko spleta tako, da bomo pretipkavali vecmestne stevilke. In to firme, ki so vredne milijarde.
"V ZDA začenjajo preizkus kartic, ki bodo imele spreminjajočo kodo CVV."
Novica bi bila, če bi v ZDA nehali uporabljati kreditne kartice z magnetnimi trakovi, njihove poštne ZIP kode in papirnate slipe, ki jih je potrebno podpisovati. In bi povsod preklopili na čip kartice z PIN kodo, ali bog ne daj celo na kartice z NFC tehnologijo.
Naceloma se posiljanje preko smsov primarno uporablja kot nateg, da razni ponudniki storitev dobijo tvojo telefonsko.
Oh, lej. Conspiracy theory again.
Ne, dejstvo. Pa nehaj ze ves cas obkladat, a ni dovolj, da ste izpadli cisti kreteni, ko je Snowden razjasnil nekaj pojmov ravno takim? Bi radi se enkrat? (Verjetno si bil takrat se v vrtcu, pa se ne spomnis)
In regione caecorum rex est luscus.
Ker me je nekaj slotechovcev sprasevalo:
https://github.com/cullum/dank-selfhosted
Saj 2-factor je lahko tudi push notification na telefon, kot imajo urejene nekatere mobilne banke.
Seveda ali pa cisto navadni TOTP, ki ga je dalec najbolj preprosto implementirati. Ni razloga, da bi dodaten podatek prenasal preko telefonske stevilke, manj varno je, nerodno, pa se strosek je za ponudnika. Edino prednost, ki jo ima je pridobitev identifikatorja, ki ga je nerodno zamenjat (ce noces, da ga imajo), pa se telemarketing se lahko gres (oz. prodas dostop do stevilk - glearing at facebook).
In regione caecorum rex est luscus.
Ker me je nekaj slotechovcev sprasevalo:
https://github.com/cullum/dank-selfhosted
čist by the way, USA so imela že desetletja nazaj način skeniranja za vstop narejen tako da si položil dlan na skener in je premeril kako dolge imaš kosti v dlani/prstih in se je (se?) uporabljalo za vstope v najbolj top secret inštalacije aka Area 51
čist by the way, USA so imela že desetletja nazaj način skeniranja za vstop narejen tako da si položil dlan na skener in je premeril kako dolge imaš kosti v dlani/prstih in se je (se?) uporabljalo za vstope v najbolj top secret inštalacije aka Area 51
Ja, temu se rece biometrija in so jo opustili pred desetletjem, ker ko ti jo ukradejo ali pohekajo bazo, si v riti.
Ce se gremo 2019, potem bi kreditne kartice brez tezav komunicirale prek NFC, naslonjene na telefon ali z NFC readerjem v tipkovnici. Drugi del avtentikacije je lahko geslo, pin z nakljucno razvrscenimi stevilkami ali TOTP.
Če bi enostavno vsak lastnik kartice imel svoj app s katero jo lahko nadzira, bi bilo dosti manj stroškov in komplikacij. Recimo zamrzovanje, nastavljanje limita, instantno spreminjanje PINa, obvestila, ipd.... Revolut ima super pri virtualni kartici, ko za vsako plačilo dobiš nove številke (v premium naročnini). V fizični pa bi lahko imel opcijo izklopit vse razen čipa (ali samo začasni vklop). Ampak dinozavri pa tlačijo zaslone na kartice.
Če bi enostavno vsak lastnik kartice imel svoj app s katero jo lahko nadzira, bi bilo dosti manj stroškov in komplikacij. Recimo zamrzovanje, nastavljanje limita, instantno spreminjanje PINa, obvestila, ipd.... Revolut ima super pri virtualni kartici, ko za vsako plačilo dobiš nove številke (v premium naročnini). V fizični pa bi lahko imel opcijo izklopit vse razen čipa (ali samo začasni vklop). Ampak dinozavri pa tlačijo zaslone na kartice.
No pri revolutu, me tudi malo zanima poslovni model (in hype, ki se spet zganja okrog njega, vsak moment se najde kdo, ki mu reklamo dela), da ni slucajno tak: https://www.paypal.com/uk/webapps/mpp/u...
In regione caecorum rex est luscus.
Ker me je nekaj slotechovcev sprasevalo:
https://github.com/cullum/dank-selfhosted
Itak usa, kdo pa drug. Nepotrebno in neuporabno spreminjanje cvv. Na 1 uro? Ker lopov čaka več kot 5 minut, da ti kej spi*di.. Če ni tipa push-to-calc, potem ni nič bolj varno, kot statična. pnc destručkoti eni..
No pri revolutu, me tudi malo zanima poslovni model (in hype, ki se spet zganja okrog njega, vsak moment se najde kdo, ki mu reklamo dela), da ni slucajno tak: https://www.paypal.com/uk/webapps/mpp/u...
Če ne drugega, so pokazali kaj vse je možno (kar nam naše banke zatrjujejo, da ni). Poslovni model je pa druga debata.
No ja, vse mobilne banke zahtevajo telefonsko stevilko kot predpogoj da ustvaris racun. Podobno je tudi pri nasih elektronskih bankah, kjer pogosto rabis telefon kot 2-factor avtentikacijo (koliko je to ne-varno se je tudi ze pisalo na tem forumu).
Neverjetno kako naiven je folk, tukile. Varni ste, ker že vrsto let CVV niste nikjer vpisali, ali pa ker uporabljate posrednika. Kej jih vi nikamor ne vpišete, še ne pomeni da ne obstaja (v primeru da ne delate spletnih nakupov), ali da se ne uporablja (v primeru uporabe posrednika). 2FA z SMS? Zlikovci lahko prestrežejo SMS in vam ukradejo avtorizacijsko kodo.
Neverjetno kako naiven je folk, tukile. Varni ste, ker že vrsto let CVV niste nikjer vpisali, ali pa ker uporabljate posrednika. Kej jih vi nikamor ne vpišete, še ne pomeni da ne obstaja (v primeru da ne delate spletnih nakupov), ali da se ne uporablja (v primeru uporabe posrednika). 2FA z SMS? Zlikovci lahko prestrežejo SMS in vam ukradejo avtorizacijsko kodo.
Tudi če... so what? Načeloma je poanta kreditnih da lahko takoj po tranzakciji narediš chargeback in jo pač menjaš.
