Moin,
ich habe gerade so eine neue EC Karte von der Sparda Bank bekommen und in dem Brief steht:
"[…] Erhalten Sie Ihre neue SpardaBANKCARD ec als Erneuerungskarte, so bleibt Ihre bisherige PIN weiterhin gültig. […]"
daraus interpretiere ich, dass irgendein Bankcomputer meine PIN mehr oder weniger Plaintext gespeichert hat.
Was mich dabei stört ist, dass wenn mir jemand meine Karte klaut/kopiert und mit meiner PIN bezahlt, die Bank dafür nicht haftet - soweit ich weiß.
Die Bank geht also aus, dass die PIN von meiner Seite aus geleaked ist.
Wie will die Bank garantieren, dass nicht deren Server gehackt wurde um an meine PIN zu kommen?
Hat da jemand Infos zu dem Thema?… sonst geh ich den Bankleuten auf die Nerven ;)
Viele Grüße,
Tim
Zumindest bei kopierter Karte:
Heise-ArtikelEine grundsätzliche Lösung des Skimming- Problems könnte die bereits 2005 beschlossene Einführung des EMV-Standards bringen, bei dem die Kartendaten nicht auf dem Magnetstreifen gespeichert sind, sondern auf einem Chip. Sowohl ein Geldautomat als auch ein Terminal im Laden kommunizieren dann nur noch verschlüsselt mit der Karte – ein Karten- Kloner hätte keine Chance, mit den mitgelesenen Daten etwas anzufangen. Doch bislang weisen nur knapp 60 Prozent der ausgegebenen Karten einen solchen Chip auf, und nur 40 Prozent der rund 600.000 EC-Kartenterminals können damit auch etwas anfangen. Auch im Ausland ist der Standard noch nicht überall verbreitet, in den USA etwa wird er gar nicht angewandt. Daher sind die Karten immer noch parallel mit einem kopierbaren Magnetstreifen ausgestattet. Hier ist der Kartenbesitzer aber fein raus: Seit 2005 gilt die sogenannte Haftungsumkehr. Demnach muss immer derjenige Partner für Betrugsfälle im Kartensektor haften, der nicht EMV-fähig ist – das kann die Bank oder das Geschäft sein.
Wie kommst du darauf?
Wenn die PIN nur auf der Karte gespeichert wäre, dann könnte sie beim Kartenwechsel nicht vollautomatisch gleich bleiben.
"[…] Erhalten Sie Ihre neue SpardaBANKCARD ec als Erneuerungskarte, so bleibt Ihre bisherige PIN weiterhin gültig. […]"
daraus interpretiere ich, dass irgendein Bankcomputer meine PIN mehr oder weniger Plaintext gespeichert hat.
Wie kommst du darauf, dass sie es als Plaintext gespeichert haben müssen, nur weil deine nächste Karte den gleichen PIN hat? Auf der Karte wird der PIN ja auch nicht als Plaintext gespeichert (ist ja nicht wie bei Stine).
Desweiteren werden PIN (bzw. allgemein Passwörter) ja auch nicht im Plaintext verglichen. Also liegt kein logischer Grund vor, warum man annehmen könnte/sollte, dass die PIN in Plaintext vorliegt.
"[…] Erhalten Sie Ihre neue SpardaBANKCARD ec als Erneuerungskarte, so bleibt Ihre bisherige PIN weiterhin gültig. […]"
daraus interpretiere ich, dass irgendein Bankcomputer meine PIN mehr oder weniger Plaintext gespeichert hat.
Wie kommst du darauf, dass sie es als Plaintext gespeichert haben müssen, nur weil deine nächste Karte den gleichen PIN hat? Auf der Karte wird der PIN ja auch nicht als Plaintext gespeichert (ist ja nicht wie bei Stine).
Desweiteren werden PIN (bzw. allgemein Passwörter) ja auch nicht im Plaintext verglichen. Also liegt kein logischer Grund vor, warum man annehmen könnte/sollte, dass die PIN in Plaintext vorliegt.
ich schrieb "mehr oder weniger als plaintext" … auf jedenfall so, dass es durch irgendeinen (der bank bekannten) algorithmus wieder in plaintext umwandelbar ist!
Passwörter werden i.d.R. durch einen Hash (oneway verschlüsselung) verglichen…. aber damit kann man den PIN nicht wieder auf eine neue Karte bringen - got it?
Wie auch immer man es dreht und wendet - es kommt dabei raus, dass die Bank meinen PIN wissen muss um ihn auf einer neuen Karte zu übernehmen.
Und das ist auch schon alles was ich zu meckern habe.
[offtopic]
ich finds total verwirrend, dass die diskussion hier und auf mafia läuft; vielleicht könnte man das ja mal unifizieren [22]
[/offtopic]
Passwörter werden i.d.R. durch einen Hash (oneway verschlüsselung) verglichen…. aber damit kann man den PIN nicht wieder auf eine neue Karte bringen - got it?
Wie auch immer man es dreht und wendet - es kommt dabei raus, dass die Bank meinen PIN wissen muss um ihn auf einer neuen Karte zu übernehmen.
Und das ist auch schon alles was ich zu meckern habe.
Mir ist grad nicht klar, warum man den verschluesselten PIN nicht wieder auf eine Karte bringen soll.
Ist die PIN wirklich (irgendwie) auf der Karte gespeichert?
Das glaube Ich nicht, das macht für mich keinen Sinn, das währe viel zu unsicher.
Ich dachte immer die Automaten senden den errechneten Hash an die gesicherte Bankdatenbank, welche dann nur Ja oder Nein antwortet, oder so in der Art…
Das Problem bei dem Hash ist die Größe der möglichen Passwortmenge. Bei gerade mal 10000 Möglichkeiten kann ich mir das Hashen auch sparen.
Das Problem bei dem Hash ist die Größe der möglichen Passwortmenge. Bei gerade mal 10000 Möglichkeiten kann ich mir das Hashen auch sparen.
Deshalb hat man ja auch nur 3 Versuche, bis nichts mehr geht…
Deshalb hat man ja auch nur 3 Versuche, bis nichts mehr geht…
Was hat das damit zu tun, dass die Bank die PIN/den Hashwert bei sich speichert?
Deshalb hat man ja auch nur 3 Versuche, bis nichts mehr geht…
Was hat das damit zu tun, dass die Bank die PIN/den Hashwert bei sich speichert?
Das bezieht sich auf die nur 10^4 möglichen Pinkombinationen
Ist die PIN wirklich (irgendwie) auf der Karte gespeichert?
Das glaube Ich nicht, das macht für mich keinen Sinn, das währe viel zu unsicher.
Ich dachte immer die Automaten senden den errechneten Hash an die gesicherte Bankdatenbank, welche dann nur Ja oder Nein antwortet, oder so in der Art…
dafür geht das benutzen der automaten viel zu schnell… ich hab schon automaten an orten gesehen, an denen ich mir nur schwer stromzufuhr vorstellen konnte, geschweige denn eine sichere(!) internetleitung.
Das Problem bei dem Hash ist die Größe der möglichen Passwortmenge. Bei gerade mal 10000 Möglichkeiten kann ich mir das Hashen auch sparen.
Es gibt ja auch noch sowas wie Salz.
Es gibt ja auch noch sowas wie Salz.
Ja. Naja. Nach Annahmen aus obigen Posts müsste das, was als Salt verwendet wird, dann 1. logischerweise pro Kunde bzw. Konto immer gleich und 2. ebenfalls auf der Karte und bei der Bank (weil die ja neue Karten mit gleicher PIN erstellen können) gespeichert sein. Okay, ist ein Sicherheitsgewinn weil man potentiell für jeden Kartenbesitzer 10000 unterschiedliche mögliche Hashwerte hat, statt immer 10000 gleichen. Aber immer noch kann ein Angreifer mit den Daten, die bei der Bank liegen (Salt und Hash) den Wertebereich auf eine Größe von 10000 eingrenzen.
