[新聞] 信用卡被盜刷 「保密不周」敗訴

[WaterDragonI (水龍)]

※ 引述《ryanodine (ryanodine)》之銘言：
:        大家好, 我是原PO
:        關於當初我所申請的密碼
:        是一固定密碼
:        不是所謂的動態認證密碼
:        所以大家一直在懷疑是我周遭的人
:        可是事實不是這樣的
:        我昨天已經請警察處理了
:        後續我會再跟大家報告, 謝謝
: ※ 引述《maniaque (maniaque)》之銘言：
: :   俗話說...家賊難防.
: :   看來,還是得講的讓您知道大概事情的大概輪廓...


   之前那篇文章過期被刪了，再轉一次！


   信用卡被盜刷 「保密不周」敗訴【聯合報╱記者劉峻谷／台北報導】
                                                   轉貼自2007.08.28聯合新聞網


http://udn.com/NEWS/NATIONAL/NAT2/3989145.shtml

銀行女行員羅向容人在台灣，卻有人在南韓上網以她的信用卡購物，發卡銀行要她給付六
千餘元消費款。法院審理認為羅向容未妥善保管網路交易密碼，就算真的被人盜用也算她
的帳，判決她敗訴。

羅向容昨天無奈地表示，不會上訴，遇上了算她倒楣；但要敬告所有消費者，如果可以不
用網路交易，儘量不要使用，風險太高了。

她說，她曾在新光銀行任職，因此辦了新光銀行的信用卡和上網註冊網路交易使用的「網
路驗證服務」，目前她在日盛銀行當行員。

去年四月廿六日，有人在南韓上網，使用羅向容的信用卡完成六筆網路購物，其中三筆輸
入她的網路交易驗證密碼，順利完成交易，另三筆沒有輸入密碼，交易未完成。新光銀行
事後向羅向容要求付清三筆交易的六千兩百五十元。

羅向容向法官表示，她根本沒出國，且案發當天她一接獲刷卡消費簡訊，立即告知新光銀
行被盜刷並報警，因此拒付該款項。

銀行指出，密碼是採極不易破解的「SHA-1加密法」，且電腦系統沒有記憶功能，只有聯
合信用卡處理中心有密碼；羅女是唯一知道密碼的人，須負保管密碼不周之責。銀行並解
釋，輸入密碼的網址可以更改，這幾筆網購不一定是在南韓刷卡。

新光銀行並拿出申請信用卡「網路驗證服務」契約指出，「凡使用密碼完成之信用卡交易
，本行均視為已經本人同意之交易。亦即，若您未善盡保管『密碼』的義務而致他人使用
『密碼』，因此產生的款項仍由您負擔。」請求判決羅女負清償責任。

聯合信用卡處理中心函覆法院指出，「SHA-1」是目前廣泛被採用在商業交易的密碼加密
方式，極難破解，且上述三筆交易輸入密碼都是一次完成，不是重試多次才猜對密碼。

法院據此認定，銀行已就驗證密碼的安全性，採取相當的防護措施，以確保羅向容是唯一
知道密碼的人，信用卡遭冒用盜刷的責任要由羅向容承擔；縱然不是她親自交易，也要負
保管密碼不周之責。

==============================================================================

   不要說在東部，在韓國都要妳負責了說～

   基本上這種狀況應該是銀行仍視為本人交易，如果持卡人要求償，應向盜刷者另提起
   民事訴訟.....

   Anyway, goodluck....煩請原po持續回報喔～
   總之，Visa驗證跟MasterCard SecureCode請小心使用，
   當然，最好都不要用也不要申請！


--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 114.25.249.100
推 hamk5202:水龍大說都沒有認真聽(丟筆XD)
→ hamk5202:我比較白癡，像永豐在某家網路商場買東西，要求要認證..
推 tellurian:看起來是完全不要申請比較好
→ hamk5202:認證刷卡完後，打電話給客服，取消認證。(安心上路~誤)
推 TZUYIC:驗證申請成功通常是無法取消的，驗證是跟著卡號走，除非剪
→ TZUYIC:卡、掛失等等。
→ TZUYIC:之前記得有板友想取消永豐卡的驗證，去電客服得到的答案是
→ TZUYIC:無法取消。
→ garrson:之前有人推文,網路交易使用完,故意輸入幾次錯誤密碼
→ garrson:讓3D驗證暫時失效,要用時再打給客服重新設定,這樣可行!?
推 TZUYIC:g大說的還需要更多人測試過我覺得比較準確，不知道是不是每
→ TZUYIC:家有驗證的銀行都可以這樣做？
推 TZUYIC:我有顧慮的所謂的重新設定是指重設密碼（因為本來就是密碼
→ TZUYIC:不正確被鎖住而已）還是整個驗證都被註銷（可能嗎？）必須
→ TZUYIC:重頭開始。
推 raiden31:但是網路購物這麼盛行...現在網路刷卡都要認證才給刷
→ raiden31:那要怎麼樣做才好呢?
推 TZUYIC:驗證其實是看商家，商家有在他們商店申請使用驗證結帳消費
→ TZUYIC:者才會碰到這種問題，像國際最大的Amazon商店到現在都還沒
→ TZUYIC:有申請驗證結帳功能，所以我們在它上面買東西就不用顧慮這
→ TZUYIC:個。
→ TZUYIC:除了商店之外，銀行也是一個因子，就算是商家有驗證，銀行
→ TZUYIC:的卡有驗證功能，但有些銀行允許持卡人在這種商店購物時可
→ TZUYIC:以有幾次有限次數的跳過驗證來結帳，但是超過許可次數之後
→ TZUYIC:，只要還想再有驗證的商店購物就非得註冊驗證才允許結帳了
→ TZUYIC:，另一類的銀行是每有任何跳過的寬限次數，我們家的卡有驗
→ TZUYIC:證功能，你想到有申請驗證的網路商店購物就非得給我註冊驗
→ TZUYIC:證不可，不然你就別想用我家的卡結帳（永豐！？）。
→ TZUYIC:                沒（上三行的每改成沒，我打錯字）
推 TZUYIC:有寬限次數的銀行之一：聯邦。
→ maniaque:若是國內盜刷,且排除關係人的話,個人推foxy 外流第一順位
→ maniaque:可能連當事人當年申請驗證密碼的存檔自己都忘了乾乾淨淨
推 yehmd:看了這則新聞..慶幸沒申請「網路驗證服務」....
推 TZUYIC:我為驗證作一個結論：驗證就是一種保證銀行絕對收得到錢的
→ TZUYIC:一種網路安全機制。
→ maniaque:呵～～～其實VISA組織裡面就有講很白....保證收到款 :P
→ fleetly:永豐可以申請驗證後去電客服告知要取消"驗証密碼"~~
→ fleetly:客服取消後，下次在遇到驗證畫面就跟沒註冊過一樣
→ TZUYIC:f大那這樣算是乾乾淨淨的整個註銷掉已申請的驗證服務嗎？
→ TZUYIC:是結帳的時候連當初自己設定的 提示語 都看不到了？
→ fleetly:對阿 應該下次遇到要再重新註冊才可以~~
→ fleetly:跟第一次遇到驗證的畫面是一樣的
→ fleetly:     因為
推 TZUYIC:水龍大開啟本日最熱烈討論之主題。XD
→ fleetly:我那張過取消密碼的永豐卡  現在到驗證畫面
→ fleetly:http://ppt.cc/JYg7
推 TZUYIC:感謝f大提供的畫面，我忽然升起一股信心。LOL
→ fleetly:記得跟客服要說"取消驗証密碼" 不能說取消驗證@@
→ TZUYIC:所以f大沒有故意輸入三次錯誤密碼被鎖，才Call客服取消囉？
推 garrson:永豐如果可以這樣就太好啦...不用換卡刷了
→ fleetly:有壓 永豐我也試過連續三次輸入錯誤密碼
→ TZUYIC:我的永豐金融信用卡有救了 XDDDDDD
→ fleetly:就跳出要我聯絡發卡銀行通知了~~
→ TZUYIC:所以一定要故意給他鎖住才能取消驗證密碼嗎？
→ fleetly:可以輸入3次錯誤密碼鎖住 或直接告知客服要取消驗証密碼
→ fleetly:不用鎖住也可取消 我剛說有壓是也有被試過所住的情況@@
→ TZUYIC:感恩感恩，改天來Call客服，大感謝親身經驗分享。
→ TZUYIC:話說我聯邦理財白金卡也註冊驗證了，不知道可否以此法取消
→ TZUYIC:驗證密碼，真好奇。
→ fleetly:問問看可否取消驗証密碼吧~~
→ fleetly:如果客服部給取消密碼 就說忘了密碼 要重新註冊就好~~
→ fleetly:對了 說明一下為什麼要說取消"驗證密碼"不是取消驗證服務
→ fleetly:取消驗証服務客服會認為是
→ fleetly:之後網路交易遇到驗證都可以不用驗證而輸入卡號資料就好
→ fleetly:不過若要用驗證取消密碼法 還是要在安全的電腦註冊驗證
→ fleetly:否則註冊資料外流就麻煩了@@
→ WaterDragonI:哇～討論很熱門～
推 rovk:這種不利於持卡人的判決很誇張
推 hamk5202:少寫了密碼真的差很多XD，可以確定永豐可以取消認證密碼
→ hamk5202:因為我申請過很多次了，我上週八通滿15萬就取消認證密碼
推 AdPiG:沒有入出境紀錄這樣不能嗎...
→ hoboks:不能啊 判決書裡面有寫
→ hoboks:法官說是你沒保管好密碼 才被人從國外偷刷
推 hamk5202:從頭看了文章，被T大打了好幾巴掌的感覺真不好，抱怨一下
推 TZUYIC:（驚）我做錯了嗎 ＠＠
→ WaterDragonI:哈哈！彬哥生氣啦～^^   息怒息怒.....
→ WaterDragonI:人家T大沒那個意思啦！～～～
推 hamk5202:T大當然做錯了XD，我也沒生氣，我大概3年沒動過氣了吧XD
推 hamk5202:T大別擔心，我感謝您回答我問題呢，要去麻煩badfoof大XD
> -------------------------------------------------------------------------- <

作者: hoboks (戴爾真嫩) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 14:03:44 2010

看起來真的很糟
我想這邊的網路交易密碼 應該不是信用卡背面的那三碼驗證碼吧
可以請問一下有人可以解釋哪些銀行有提供這種網路交易密碼嗎?

以前我曾在銀行法務工作過
那時候有機會接觸到線上交易這塊
所以法官跟銀行這種說法也不是沒有道理
SHA加密法還蠻安全的 不太可能被破解加密後盜用密碼
可是啊 那時後閒著無聊 又想考國考的資訊組
我就請負責線上交易的組長來教我寫這些程式
順便了解一下整個線上交易的內容
組長可能也很少教人吧
一教到我一整個興奮 所有的絕活都拿出來了
而這件事跟這個新聞報導有連結的地方在於
組長教會我一件事情 不是一定要破解SHA才可以拿到密碼的
有很多的手段都可以拿到 尤其他又是開發程式的人
從你一登入網站到結束 中間經過多少步驟
隨便有個木馬就把密碼幹走了
幹嘛一定要用破解SHA的方式
這就是這個判決有盲點的地方

我舉個簡單的例子
假設整個線上交易系統被防的滴水不漏
結果你被盜刷 法官判你輸 要付錢
原因是線上交易非常安全
可是上帝她看見了整個事實的來龍去脈 幫你點出問題的癥結
癥結是出在你當初領密碼的時候 櫃員把你偷偷記下來了
然後櫃員再去盜刷
這樣的確交易是很安全 跟法官的理由沒有違背
可是要你負責這筆款項你能心服口服嗎?

最後還是請前輩告知一下 到底這個密碼是甚麼
我也想趕快去取消
※ 引述《WaterDragonI (水龍)》之銘言：
: ※ 引述《ryanodine (ryanodine)》之銘言：
: :        大家好, 我是原PO
: :        關於當初我所申請的密碼
: :        是一固定密碼
: :        不是所謂的動態認證密碼
: :        所以大家一直在懷疑是我周遭的人
: :        可是事實不是這樣的
: :        我昨天已經請警察處理了
: :        後續我會再跟大家報告, 謝謝
:    之前那篇文章過期被刪了，再轉一次！
:    信用卡被盜刷 「保密不周」敗訴【聯合報╱記者劉峻谷／台北報導】
:                                                    轉貼自2007.08.28聯合新聞網
: http://udn.com/NEWS/NATIONAL/NAT2/3989145.shtml
: 銀行女行員羅向容人在台灣，卻有人在南韓上網以她的信用卡購物，發卡銀行要她給付六
: 千餘元消費款。法院審理認為羅向容未妥善保管網路交易密碼，就算真的被人盜用也算她
: 的帳，判決她敗訴。
: 羅向容昨天無奈地表示，不會上訴，遇上了算她倒楣；但要敬告所有消費者，如果可以不
: 用網路交易，儘量不要使用，風險太高了。
: 她說，她曾在新光銀行任職，因此辦了新光銀行的信用卡和上網註冊網路交易使用的「網
: 路驗證服務」，目前她在日盛銀行當行員。
: 去年四月廿六日，有人在南韓上網，使用羅向容的信用卡完成六筆網路購物，其中三筆輸
: 入她的網路交易驗證密碼，順利完成交易，另三筆沒有輸入密碼，交易未完成。新光銀行
: 事後向羅向容要求付清三筆交易的六千兩百五十元。
: 羅向容向法官表示，她根本沒出國，且案發當天她一接獲刷卡消費簡訊，立即告知新光銀
: 行被盜刷並報警，因此拒付該款項。
: 銀行指出，密碼是採極不易破解的「SHA-1加密法」，且電腦系統沒有記憶功能，只有聯
: 合信用卡處理中心有密碼；羅女是唯一知道密碼的人，須負保管密碼不周之責。銀行並解
: 釋，輸入密碼的網址可以更改，這幾筆網購不一定是在南韓刷卡。
: 新光銀行並拿出申請信用卡「網路驗證服務」契約指出，「凡使用密碼完成之信用卡交易
: ，本行均視為已經本人同意之交易。亦即，若您未善盡保管『密碼』的義務而致他人使用
: 『密碼』，因此產生的款項仍由您負擔。」請求判決羅女負清償責任。
: 聯合信用卡處理中心函覆法院指出，「SHA-1」是目前廣泛被採用在商業交易的密碼加密
: 方式，極難破解，且上述三筆交易輸入密碼都是一次完成，不是重試多次才猜對密碼。
: 法院據此認定，銀行已就驗證密碼的安全性，採取相當的防護措施，以確保羅向容是唯一
: 知道密碼的人，信用卡遭冒用盜刷的責任要由羅向容承擔；縱然不是她親自交易，也要負
: 保管密碼不周之責。
: ==============================================================================
:    不要說在東部，在韓國都要妳負責了說～
:    基本上這種狀況應該是銀行仍視為本人交易，如果持卡人要求償，應向盜刷者另提起
:    民事訴訟.....
:    Anyway, goodluck....煩請原po持續回報喔～
:    總之，Visa驗證跟MasterCard SecureCode請小心使用，
:    當然，最好都不要用也不要申請！

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.193.12.81
推 maniaque:密碼沒有跟卡號一起出門,而且密碼一開始就用機器打的...
→ maniaque:不是人工封口(信封一開始就封起來,用點陣打在內部複寫紙
→ maniaque:至於所說的木馬....一開始就不安全的電腦,很難談"安全性"
→ maniaque:上面的密碼交付方式應該各銀行都差不多吧.....
→ maniaque:至於剩下的,那可以請當事人"傳喚上帝出庭作證"........
→ maniaque:不然就只能說是 " probatio diabolica "
→ hoboks:我的用意就是指 上帝無法出庭 只要因為SHA夠安全而被盜刷
→ hoboks:接下來就自己認了 原因是你無法找出真正洩漏密碼的原因
→ hoboks:而SHA夠安全就不會構成密碼外洩嗎? 我對這點持否定見解
→ hoboks:連我這種資訊的門外漢都學會好幾種方法繞過SHA去偷密碼
推 TZUYIC:沒有申請信用卡驗證的哪來的取消，這只對已經申請的人來說
→ maniaque:學會不代表能實作的出來,就算寫的出來,你也不知道輸入
→ TZUYIC:才有疑慮。
推 isaacc:拜託不要再亂比喻了。自知是門外漢請先弄清楚人家講啥...
→ maniaque:的東西代表什麼,資料流一個人一天輸入多少字元??
→ isaacc:妳講出"繞過SHA去偷密碼"更代表你完全不了解何謂hash函數
→ hoboks:小元爸 我是國考資訊組榜首 若你認為我的說法有誤
→ isaacc:也代表妳不知道SHA/SHA-1這種hash函數並非用來加密!!!!!
→ hoboks:請你指出銀行正確的說法
→ maniaque:他大概是以木馬做 keylog 方式將密碼輸入攔下來的想法
→ isaacc:天阿。請問妳知道"加密"跟"驗證"的差別嗎?
→ isaacc:另外hoboks我回一大篇給您了，請您告訴我您的心得與看法OK?
→ maniaque:至於hoboks 網友,若您主張整個交易流程有瑕疵,那您可以
→ maniaque:考慮擔任上篇文章的專業證人出庭作證,來"證明"有瑕疵..
→ maniaque:不然隨便就要銀行提出證明,證明他們的系統是安全的
→ maniaque:這就是所謂的"惡魔的證明"(剛剛那串拉丁文)
→ hoboks:我根本不知道原新聞的出處 我也沒辦法證明不是新聞的事主
→ hoboks:自己洩漏密碼
→ hoboks:我只是依我自己的自身經驗 提出這種判決可能有問題的地方
→ maniaque:或者是您以"國考資訊組榜首"身分,來親自申請一個VISA驗
推 isaacc:這位榜首，人家貼新聞的人有寫Link出來，您有認真看嗎?
→ hoboks:所有的情況在還沒有看過判決書之前 都只是我用假設方式
→ maniaque:證,然後用"自己寫出的程式"來破解整個驗證流程....
→ hoboks:來說明被盜刷後還要負責盜刷 可能會有問題的點
→ maniaque:不然,您的"所有假設",基本上只能歸類於"嘴砲"的見解...
→ maniaque:順道一提,個人認為您的假設,VISA組織在設計這一套系統時
→ maniaque:會沒有"測試"過嗎??整篇看起來,個人是認為您把驗證系統
→ maniaque:看得比線上遊戲的安全性還低的樣子 ....
→ hoboks:因為我的立場是站在消費者這邊的
→ hoboks:銀行有龐大的資源 武力 一被盜刷就要消費者負全責
→ hoboks:個人覺得有大欺小之嫌 所以不管安全性再怎麼充足
→ hoboks:若一被盜刷就說消費者保管密碼不周 個人覺得對消費者保護
→ hoboks:不夠周延
→ hoboks:小元爸 當初我們家的銀行SHA hash是用在SSL傳輸上
→ hoboks:你想討論的話就用這點來討論吧 這至少是已知的事實
→ hoboks:我也沒辦法把我所知的破解方法公開出來 免得被我家銀行告
→ TZUYIC:消費者有選擇的權利阿，那就是不用有強迫要驗證的卡在有驗
→ hoboks:若要討論SSL SHA我可以陪你討論
→ maniaque:建議您先參考isaacc 網友的文章,先去google 一下吧...
→ TZUYIC:證的網路商店消費，這不是很簡單得事情嗎，換卡刷不就好了
→ hoboks:是啊 所以我也覺得消費者要取消這個功能才安全啊
→ TZUYIC:你真的沒在聽我們講話，你一開始就沒有申請驗證，哪來的取
→ TZUYIC:消驗證，沒有開始哪有未來式。
→ TZUYIC:要不要申請/加入驗證是由持卡人決定的，銀行並沒有發卡給你
→ hoboks:我有聽到了 所以我不會替自己擔心 因為我沒取消過
→ TZUYIC:就強迫客戶要先加入驗證才能刷卡。
→ hoboks:嗯嗯 謝謝提供經驗 那我大概知道怎樣的情況才會用到驗證了
→ hoboks:                                      沒申請過
→ TZUYIC:我們可選擇你要我加入驗證才能結帳，那我就不刷這張卡。
→ hoboks:會有網路商店只吃一定要有驗證過的卡嗎?
→ hoboks:如果我手邊的卡都沒有申請驗證過 會不會有遇到某間商店拒收
推 TZUYIC:我上面有不是有說？商店有加入驗證服務，卡也有提供驗證
→ TZUYIC:功能，你要結帳會發生三種狀況：1.當場申請加入驗證並結帳
→ TZUYIC:2.對於有寬限次數的銀行，我在寬限次數內我選擇暫不加入驗
→ TZUYIC:證，即代表此次交易我跳過驗證步驟就直接結帳，Safe！
→ TZUYIC:3.對於不提供任何寬限次數的銀行信用卡，又小小區分兩種狀
→ hoboks:有了 我在前文看到T大的推文
→ hoboks:所以應該有某些卡是不用強制申請驗證 就可以通行全部的網路
→ TZUYIC:況－i.無奈地妥協了，這東西只有這間有賣，不買我會對不起
→ hoboks:商店了吧
→ TZUYIC:自己，只好默默地、含淚地加入驗證結帳；ii.恁爸不爽用驗證
→ TZUYIC:，不買、不刷你這種銀行的卡行吧，咖咖滑鼠兩聲Log out，網
→ TZUYIC:頁關掉不買了，我換其他銀行的卡刷。
→ hoboks:喔喔 所以結論是 有提供寬限次數的卡還比較好
→ hoboks:至少有那幾次寬限次數可以使用?
→ TZUYIC:寬限次數也是有限的，一旦次數用罄，之後想再有驗證的商店
→ TZUYIC:結帳，你就只剩含淚加入驗證或拒絕刷這張卡兩種選擇。
→ hoboks:T大可以再闡明最後一個問題 有商店就只吃有驗證的卡嗎?
→ TZUYIC:各銀行不同，我不知道精確的答案。
→ hoboks:喔喔 了解 那我會注意一下這個問題的 若是一定要逼人加入
→ hoboks:驗證才能刷卡 一被盜刷又由持卡人負全責
→ TZUYIC:如果商家有加入驗證，我認為事情就由信用卡銀行的系統來決
→ TZUYIC:定了。
→ hoboks:恐有違平等互惠的原則 對消費者顯失公平了吧
→ hoboks:如果商家一加入驗證並且只接受驗證的卡
→ hoboks:結論就像您說的 這是保證銀行一定收的到款
→ TZUYIC:我網路交易只用過四家銀行的卡，萬泰、花旗這兩家沒有加入
→ hoboks:而不是保證持卡人不會被盜刷
→ TZUYIC:驗證，網路刷卡不會遇到這種問題；聯邦卡有寬限次數，但我
→ hoboks:網路交易 相關協定做的再安全 也只是說明盜刷的風險降很低
→ TZUYIC:忘記是四次還是五次；永豐卡不給寬限，在有驗證的商店交易
→ TZUYIC:就兩條路：加入驗證或不刷。
→ hoboks:只要在做盾 就一定會有歪人去做矛 做好了盾而去說明絕對不
→ hoboks:可能有矛可以攻破 這樣對嗎?
→ yaimei:我覺得元波才是對的 isaacc不懂再裝懂 狠屁的樣子
→ TOMMM:我也是學資訊的 我覺得這篇講得很對啊 ptt愛裝懂得真的很多
※ 編輯: hoboks          來自: 123.193.12.81        (06/05 15:24)
推 WaterDragonI:基本上visa verify跟mastercard secure code只會越來
→ WaterDragonI:越盛行，到時候極有可能變成所有銀行跟所有商家都加
→ WaterDragonI:入而沒得選喔～
推 isaacc:當初沒去教書真是太正確了，還好這些人不是我教出來的 :)
→ WaterDragonI:唉呀...小元宅爸不要那麼生氣麼～h大只是從更民眾方
→ WaterDragonI:的觀點切入嘛！......這對教導整個觀念與討論有幫助
→ WaterDragonI:的說～  ^^
→ rovk:教書勒 不要笑掉我XX 呵~呵~呵~
推 isaacc:水龍妳亂入啦~我跟h是在討論阿，我說的是上面人身攻擊的ID~
→ isaacc:妳這樣好像把我的感想放到原PO身上了，整個就誤很大~呵呵
→ AdPiG:基本上這種不是OTP的密碼都是被木馬賺走的... 破解也沒用
> -------------------------------------------------------------------------- <

作者: isaacc (小元宅爸) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 14:18:53 2010

※ 引述《hoboks (戴爾真嫩)》之銘言：
: 看起來真的很糟
: 我想這邊的網路交易密碼 應該不是信用卡背面的那三碼驗證碼吧
: 可以請問一下有人可以解釋哪些銀行有提供這種網路交易密碼嗎?

google一下"網路驗證服務"
真的一點都不難
第一個就是VISA的網站。。。

: 以前我曾在銀行法務工作過
: 那時候有機會接觸到線上交易這塊
: 所以法官跟銀行這種說法也不是沒有道理
: SHA加密法還蠻安全的 不太可能被破解加密後盜用密碼

人家講的是SHA-1，比SHA安全很多很多
兩者是不一樣的東西
難得這回記者寫得完全正確
這位網友別再弄錯啦~

: 可是啊 那時後閒著無聊 又想考國考的資訊組
: 我就請負責線上交易的組長來教我寫這些程式
: 順便了解一下整個線上交易的內容
: 組長可能也很少教人吧
: 一教到我一整個興奮 所有的絕活都拿出來了
: 而這件事跟這個新聞報導有連結的地方在於
: 組長教會我一件事情 不是一定要破解SHA才可以拿到密碼的
: 有很多的手段都可以拿到 尤其他又是開發程式的人
: 從你一登入網站到結束 中間經過多少步驟
: 隨便有個木馬就把密碼幹走了
: 幹嘛一定要用破解SHA的方式
: 這就是這個判決有盲點的地方

盲點在妳身上喔。
記者的文章寫得很通俗易懂
這個驗證密碼基本上只有網友本人持有
銀行沒有，大家都沒有，請問如果外洩了，該懷疑誰?
法官不就這麼判決嗎?
法官沒說苦主"盜刷"，而是說她"保管密碼不周"
判決得非常貼切吧?

另外講到防範木馬，那是VISA驗證機制的一環
你當然可以做在這邊懷疑VISA她們的網站/系統不安全啦
但是請提出可讓人信服的證據，好嗎?

: 我舉個簡單的例子
: 假設整個線上交易系統被防的滴水不漏
: 結果你被盜刷 法官判你輸 要付錢
: 原因是線上交易非常安全
: 可是上帝她看見了整個事實的來龍去脈 幫你點出問題的癥結
: 癥結是出在你當初領密碼的時候 櫃員把你偷偷記下來了
: 然後櫃員再去盜刷
: 這樣的確交易是很安全 跟法官的理由沒有違背
: 可是要你負責這筆款項你能心服口服嗎?

這段話誤很大。
擔心這個的話
是否你全盤不信賴銀行跟信用卡等交易系統?
那麼提款密碼很多行員都看的到阿
妳從此就不跟銀行打交道嗎?
妳真的很不了解相關驗證機制
所以建議就別再亂猜亂比喻了，差很多喔。

: 最後還是請前輩告知一下 到底這個密碼是甚麼
: 我也想趕快去取消

沒主動申請就絕對不會有，您放心吧。

: ※ 引述《WaterDragonI (水龍)》之銘言：
: :    之前那篇文章過期被刪了，再轉一次！
: :    信用卡被盜刷 「保密不周」敗訴【聯合報╱記者劉峻谷／台北報導】
: :                                                    轉貼自2007.08.28聯合新聞網
: : http://udn.com/NEWS/NATIONAL/NAT2/3989145.shtml
: : 銀行女行員羅向容人在台灣，卻有人在南韓上網以她的信用卡購物，發卡銀行要她給付六
: : 千餘元消費款。法院審理認為羅向容未妥善保管網路交易密碼，就算真的被人盜用也算她
: : 的帳，判決她敗訴。
: : 羅向容昨天無奈地表示，不會上訴，遇上了算她倒楣；但要敬告所有消費者，如果可以不
: : 用網路交易，儘量不要使用，風險太高了。
: : 她說，她曾在新光銀行任職，因此辦了新光銀行的信用卡和上網註冊網路交易使用的「網
: : 路驗證服務」，目前她在日盛銀行當行員。
: : 去年四月廿六日，有人在南韓上網，使用羅向容的信用卡完成六筆網路購物，其中三筆輸
: : 入她的網路交易驗證密碼，順利完成交易，另三筆沒有輸入密碼，交易未完成。新光銀行
: : 事後向羅向容要求付清三筆交易的六千兩百五十元。
: : 羅向容向法官表示，她根本沒出國，且案發當天她一接獲刷卡消費簡訊，立即告知新光銀
: : 行被盜刷並報警，因此拒付該款項。
: : 銀行指出，密碼是採極不易破解的「SHA-1加密法」，且電腦系統沒有記憶功能，只有聯
: : 合信用卡處理中心有密碼；羅女是唯一知道密碼的人，須負保管密碼不周之責。銀行並解
: : 釋，輸入密碼的網址可以更改，這幾筆網購不一定是在南韓刷卡。
: : 新光銀行並拿出申請信用卡「網路驗證服務」契約指出，「凡使用密碼完成之信用卡交易
: : ，本行均視為已經本人同意之交易。亦即，若您未善盡保管『密碼』的義務而致他人使用
: : 『密碼』，因此產生的款項仍由您負擔。」請求判決羅女負清償責任。
: : 聯合信用卡處理中心函覆法院指出，「SHA-1」是目前廣泛被採用在商業交易的密碼加密
: : 方式，極難破解，且上述三筆交易輸入密碼都是一次完成，不是重試多次才猜對密碼。
: : 法院據此認定，銀行已就驗證密碼的安全性，採取相當的防護措施，以確保羅向容是唯一
: : 知道密碼的人，信用卡遭冒用盜刷的責任要由羅向容承擔；縱然不是她親自交易，也要負
: : 保管密碼不周之責。
: : ==============================================================================
: :    不要說在東部，在韓國都要妳負責了說～
: :    基本上這種狀況應該是銀行仍視為本人交易，如果持卡人要求償，應向盜刷者另提起
: :    民事訴訟.....
: :    Anyway, goodluck....煩請原po持續回報喔～
: :    總之，Visa驗證跟MasterCard SecureCode請小心使用，
: :    當然，最好都不要用也不要申請！

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 116.227.71.104
推 lbt:另外，其實資訊安全本身就是一門學不完的技術了…裡面包含太多
→ lbt:不同學科的領域，不是外人一般認定的密碼學而以…
→ lbt:我無意貶低網友，只是提醒通過國考也不見得代表在資安領域嫻熟
→ hoboks:是的 所以我才說我是門外漢 我的重點也是放在 這麼博大精深
→ hoboks:學問 要說銀行的系統完全安全 把責任全賴給刷卡人 這樣公
→ hoboks:平嗎?
→ isaacc:原PO，我贊成你的法律觀點，但妳的論述完全叉題拖離現實
→ isaacc:說難聽點記者寫的比妳講的還正確很多很多。
→ isaacc:但我同意妳"銀行不該疑似沒有道德的推廣這種驗證服務"
推 lbt:我個人見解以前陳述過（#19KH6uuC） 雖然我不認為這方式完全沒
→ isaacc:而這也是為何我跟很多網友都拼命呼籲別輕易開啟這個"服務"~
→ lbt:問題，但我也不認為實務中有如h大講的這麼危險
→ isaacc:原PO他就不懂技術又亂舉例，所以...唉
→ hoboks:我舉的例未必根本案有關 先跟各位說聲抱歉了
→ hoboks:我所想的是 這相關的舉證責任會落在誰身上
→ isaacc:我是覺得妳的"正義之聲"很讚，但妳打的是自己幻想的稻草人
→ hoboks:上法庭也不可能拿我的例子去跟法官說 是櫃員偷走我的密碼的
→ hoboks:不好意思 先跟妳們說聲抱歉
→ hoboks:我想就SSL協定 銀行覺得很安全就很安全吧 我也沒意見
→ hoboks:我有意見的單純只是賴責任到對造身上這件事而已
推 hoboks:我剛看了#19KH6uuC 這篇文章 我先說明一點
→ hoboks:假設VISA驗證機制只有用固定的密碼 而不是動態產生
→ hoboks:那我在下文題的 網路ATM至少還有晶片卡多一層保護
拜託不要再亂舉例子了。
SHA只是一個演算法
SSL只是一個通訊協定

就好比SHA是塊磚頭
SSL是某棟建築物

阿妳現在拿塊磚頭以及這塊磚頭為部分材料做成的建築物
就要跟大家討論羅馬大教堂的建築藝術嗎?

真的差太多了，拜託妳別再講密碼學的東西好嗎?
※ 編輯: isaacc          來自: 116.227.71.104       (06/05 15:11)
→ hoboks:與l大的見解相同 個人覺得至少提款卡被幹走 被盜刷
→ hoboks:這時後再去賴持卡人還有理 而VISA驗證機制只要一被盜刷
→ hoboks:就一定是持卡人的問題 在沒有深入研究之下 個人實在很難接
→ hoboks:受
這個以前也討論過多次
銀行的立場就是密碼只有持卡人/客戶才有，所以她們要負全責
確完全沒有考慮到ATM卡的密碼容易保管難以外洩
但是這個VISA驗證密碼在目前的技術網路環境之下都有多種可能外洩

所以身為消費者，就是不用她!不用她!不用她!不用她!不用她!

※ 編輯: isaacc          來自: 116.227.71.104       (06/05 15:13)
→ hoboks:小元大 請問一下我講網路ATM的例子又講錯了嗎?
→ hoboks:這真的是我當初私底下被指導到的技術
→ hoboks:網路ATM不只需要密碼 還需要那張卡片 因為內部的驗證機制
→ isaacc:幾句推文就可以講清楚的話，那我就是大師了...:)
→ hoboks:會需要那張卡片動態產生密碼
→ hoboks:那我也打住不講了 就降吧
推 TZUYIC:那中信銀的網路刷卡OTP驗證可以參與討論嗎？XD
→ yinson:快來把小時後不懂事申請過驗證的卡都剪掉 XD
→ isaacc:我沒用過【中信銀的網路刷卡OTP驗證】~無法插嘴~
噓 rovk:我看裝懂的人是你吧 你應該連什麼是SSL都不知道
推 TZUYIC:也不用到噓吧
→ rovk:太離譜了 看不下去 這麼行不會去開發一個絕不被盜密碼系統
→ rovk:在這邊屁這些高空比較有成就感？ 沒建設性
→ rovk:什麼叫做SSL比羅馬建築 不懂還硬扯 只會出張嘴
推 hamk5202:私下偷偷問，過幾天要去世博，順便開戶定存，哪家銀行好?
推 TZUYIC:這個問題要問 badfood 大囉，常看到他的文章，應該可以給你
→ TZUYIC:很好的建議。
→ isaacc:大陸銀行每家的利率都一樣，關鍵是你可能還要開網銀吧?
→ isaacc:要開這個的話比較麻煩一點，旅客不一定能立刻拿到token
→ isaacc:招商銀行大概是活力最旺盛的銀行，可以去外灘分行開戶
推 hamk5202:是喔，希望交通銀行有，飯店就在世博軸外面5分鐘XD
→ isaacc:那棟原來是台灣銀行上海分行...後來被人家徵收了...
→ isaacc:基本上持台胞證都可以開戶，這個別太擔心~
噓 ilove183:你被踢爆了A 還在裝死嗎?
> -------------------------------------------------------------------------- <

作者: qwert999 (人生) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 14:53:25 2010

: : 最後還是請前輩告知一下 到底這個密碼是甚麼
: : 我也想趕快去取消
: 沒主動申請就絕對不會有，您放心吧。

請教一下各位  目前驗證是只要有密碼就可以

小弟曾經研究過遠端程式(隱形狀態就是木馬)  也試著自行撰寫(修課研究)

其中一項功能是紀錄鍵盤  也順道會紀錄目前視窗

然後固定時間上傳所有資料到伺服器

在這種狀況下  不是很容易就可以知道驗證密碼了嗎?

況且大部分民眾都沒有相關安全知識

當初程式的傳播方式是利用隨身碟  只要打開隨身碟就會中毒

何況還有各種隱藏於網頁  程式  電子郵件中的方式

這機制完完全全不安全啊 XD  至少也要是動態密碼(小機器隨機產生)

或是用圖片按鍵輸入 (像花旗銀行  但木馬也可以用滑鼠點一下就紀錄圖片)

這樣一來  刷卡額度跟盜刷不就有相關關係了嗎?

請教各位的意見~

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 61.56.159.241
→ hoboks:是的 這也是我擔心的其中一個問題
→ hoboks:至少用網路ATM還有那張卡在保護 這種只需要密碼的
→ hoboks:還可以把責任全賴到刷卡人 殊難想像:(
→ TZUYIC:我不太懂這個，我想問我把一長串密碼寫在.txt或.doc檔案，
→ TZUYIC:交易時已複製、貼上方式填入密碼，而不用鍵盤key-in，這樣
→ TZUYIC:密碼有多容易被盜（情境是假使我真的被駭）？
推 hoboks:我有用過渣打銀行的系統 密碼就是動態產生的
→ hoboks:而VISA驗證機制 真的就是用固定的密碼去做驗證嗎?
→ hoboks:另外T大您的問題 只要有木馬 還是可以偷到你剪貼簿裡面的
→ hoboks:密碼
推 yehmd:可以用一千個以上的亂碼...自己知道要copy哪一段就好~
→ yehmd:檔案被外流也沒關係...copy的時候可以分段copy...
→ yehmd:前後貼的順序也可以自己調整....
→ rovk:copy隨便一段沒用 你ㄧ拷貝病毒還是可以知道你考哪一段
> -------------------------------------------------------------------------- <

作者: qwert999 (人生) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 15:10:40 2010

: 這樣一來  刷卡額度跟盜刷不就有相關關係了嗎?
:
: 請教各位的意見~
:
: --
: ※ 發信站: 批踢踢實業坊(ptt.cc)
: ◆ From: 61.56.159.241
: → hoboks:是的 這也是我擔心的其中一個問題                          06/05 14:55
: → hoboks:至少用網路ATM還有那張卡在保護 這種只需要密碼的           06/05 14:55
: → hoboks:還可以把責任全賴到刷卡人 殊難想像:(                      06/05 14:55
: → TZUYIC:我不太懂這個，我想問我把一長串密碼寫在.txt或.doc檔案，   06/05 14:58
: → TZUYIC:交易時已複製、貼上方式填入密碼，而不用鍵盤key-in，這樣   06/05 14:58
: → TZUYIC:密碼有多容易被盜（情境是假使我真的被駭）？               06/05 14:59

這個用回文的好了

關於TZUYIC  你說的方法可以過濾掉單純紀錄鍵盤的軟體

基本上中毒了大概可以想成所有電腦權限已經被取得

如果要針對這種情形

   1.紀錄畫面的方式
   2.log buffer (就是你複製時電腦存複製東西的地方)

如果是我的話  我會採取方式一

比如說當視窗是高鐵網路付款時  開始大量紀錄畫面  滑鼠每點一下就紀錄

怎麼防阿@@  另外今天我借一下你的電腦  不用幾秒鐘就可以種下病毒

真的很不安全

我只是個門外漢   更不用提專家寫出來的程式了

消費者完完全全擔責非常非常不合理....

這跟卡片背後三碼被知道的風險是一樣的  並不會比較小阿


補充 : 以現在的加密解密的方式  可以說 "出自己電腦後" 是安全的

也就是銀行端所持的理由  但是個人電腦端這邊很不安全阿 xdxdxd

安全最大隱憂  是人 xdxd




--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.56.159.241
→ hoboks:大家都是門外漢 科科
※ 編輯: qwert999        來自: 61.56.159.241        (06/05 15:19)
→ isaacc:您這門還真寬~連你都站門外了，板上沒人可站到門內了~
推 WaterDragonI:是沒錯～簡單來說，key logger跟screen shot要搞到這
→ WaterDragonI:些資訊不難.....不過純實務上.....這確實是你保管不
→ WaterDragonI:周導致流出去的....所以每次討論才說，出紕漏的地方
→ WaterDragonI:通常都是個人端，而也正由於如此，唯一徹底解決的方
→ WaterDragonI:法就是不要用，不要有這組密碼的存在.....既然沒有，
→ WaterDragonI:哪來流出......
→ rovk:不只是個人端才會有流出的危險 不要被銀行誤導了
→ TZUYIC:可以請r大發一篇個文嗎，跟我們分享一下您的意見。
推 rovk:偷password的方式不勝枚舉 要討論就轉移陣地到適當版面吧
→ rovk:在這邊只會被愛裝懂的三腳貓誤導
→ rovk:總之系統建構的再安全 只用一個password是不夠的
→ rovk:要也要至少用晶片卡的方式
→ qwert999:用這密碼的確比起原來的方式安全  但要付出代價不成正比
→ qwert999:原本是盜刷變成要完全擔責 = =  C/P值不符合
→ rovk:比只輸入信用卡背面驗證碼安全有何用 爽到的是銀行不是持卡人
→ rovk:事的 意見同樓上 不需要為銀行背書
→ qwert999:是阿  所以才很不合理...
→ qwert999:我竟然說到C/P值這個字了 我不是阿宅阿宅阿宅 XDXDXD
推 WaterDragonI:其實rovk大只要舉出另一種方式就可以，不需要轉移陣
→ WaterDragonI:地呀！讓大家都知道一下不是很好...可以舉例嗎？^^
推 rovk:不要在client用木馬還是有一堆方法啊 我可不可以在server端
→ rovk:注入forward的程式 只用一組固定密碼哪夠
推 suscym:只能說 只好從卡片分類下手 專門網購的平常不要放太多錢
→ suscym:要用時再用direct之類的轉進去
→ rovk:任何安全系統ㄧ定有被破解的危險 這是很簡單的道理
→ suscym:網購/店家刷卡專用卡也可以選現金回饋不錯的
→ rovk:我也沒說不准用VISA驗證 但是銀行要推出這項服務
→ suscym:啊 不過我是說visa debit啦 還沒有信用卡
推 TZUYIC:其實只要不使用驗證來交易也還好，網路購物沒什麼好怕的。
→ qwert999:是的  認為安全系統是安全的本身就是一種錯誤
→ rovk:就必須幫持卡人分擔風險  風險掌控者是在銀行端身上
→ qwert999:只是還沒被破而已  或我們不知道它已經被破了
→ rovk:沒有ㄧ種安全系統是100%安全 絕大部分都有被破解的ㄧ天
→ rovk:沒錯 意見同q大
推 WaterDragonI:是的，基本上安全本來就是大部分有被破的一天，可是
→ WaterDragonI:卻是....你必須打破法官的認定，否則都是白搭....
→ rovk:這就有賴h大律師了 非本人領域所及 :)
→ WaterDragonI:另請教r大，這種sever端forward的，難道不是一樣有加
→ WaterDragonI:密？何況這種狀況應該會有大規模的受害者......
→ WaterDragonI:否則的話照銀行說法，sever端出去就是聯徵sever出包
→ rovk:加密後的比較難破 未必破不了 當然要取得加密前的明碼才方便
→ rovk:加密前還是有很多時機被盜 例如從無線網路監聽
→ WaterDragonI:對呀！所以說以現實來說，未加密只有個人端跟終端還
推 DoraeCookie:加密段很難破，就從加密前或解密後去破
→ WaterDragonI:原的聯徵sever才對？
→ DoraeCookie:從這個邏輯來想就知道盲點在哪邊了
→ rovk:為什麼信用卡背面三碼被監聽 被盜刷不用負責
→ DoraeCookie:加密前，就是輸入密碼那段，在使用者端植入木馬偷
→ rovk:驗證碼被監聽後要賠錢給銀行 我搞不懂這種法律邏輯
→ WaterDragonI:咦？無線網路監聽是加密前嗎？
→ rovk:只因為驗證機制安全 所以監聽驗證碼要你負責? 懂法律的可以
→ rovk:解釋嗎?
→ suscym:可能會被說自己電腦(client)的問題(有木馬)
→ suscym:就像是在ATM機台讓人家看你按了哪些密碼 不算銀行的問題XD
推 rovk:一樣用修改stream的方式就可以騙到client 拿到明碼
→ rovk:駭客團體還有提供library 只要花100美金 就可以用監聽wifi方
→ rovk:式 去騙到各種上網的資料 連WEP加密都沒用 函式庫裡面都寫好
→ rovk:破WEP 還提供C C++ 連.NET也有 根本是為犯罪者量身打造
→ rovk:這樣電腦沒有被下病毒 是在傳送的過程被偷password 帳要算誰
→ rovk:身上?
→ WaterDragonI:問題是這密碼傳輸既使經由wifi，一樣經過除了WEP的加
→ WaterDragonI:密不是？
→ rovk:WEP也可破 接觸駭客團體他就給你library用了 連自己寫程式
→ rovk:都不用 頂多寫幾行呼叫一下library
→ rovk:前聞有人有提到 驗證系統的安全是在他設定的範圍內
→ WaterDragonI:wep可破沒關係，但SSL跟原本的防護不是應該仍在？
→ rovk:駭客有千方百計可以繞過這些系統 納這些帳要算誰身上?
→ rovk:只要繞過系統全部由刷卡人吸收? 真好做的生意
→ rovk:修改stream就可以騙到明碼 人家函式庫都幫妳寫好了
→ rovk:你可以想像你以為在跟銀行交易 事實上是駭客介於你跟銀行間
→ rovk:駭客當然不會讓你傳加密過的資料 他傳加密的資料給銀行就好
→ rovk:這樣就繞過驗證機制 然後法官說的驗證機制很安全也沒錯
→ rovk:因為驗證機制是駭客在用的 他根本沒去破解驗證機制
→ rovk:可是持卡人就是被表了 他哪管你是驗證機制內還是外的問題
推 hamk5202:真是長知識，能夠理解為什麼google可以透過wifi取得資料
推 rovk:是啊 任何學過幾年程式的人  一拿到那些library 立刻變身駭
→ rovk:客高手
→ rovk:我說的還只是很基本的攻擊法 man in the middle attack
→ rovk:查google就有man in the middle attack一堆解釋
→ rovk:這些駭客還把常見的攻擊法全都寫出來
→ rovk:要不是我不敢犯罪 隨便這樣拿到一個密碼去刷卡 有人還幫我付
→ rovk:錢 我應該變百萬富翁了 呵~呵
推 hamk5202:獵人hxh：我們光著身體站在雪地，卻不知道為什麼寒冷
推 a780411:如果是OTP的方式應該就比較不會了吧?只是OTP的好像不多..
推 rovk:OTP是啥啊 這我就不了了
→ rovk:重點在於只有一個密碼的系統太弱了 只要騙到密碼就崩潰
→ rovk:至少也要用動態密碼或是晶片金融卡(裡面也有動態密碼機制)
→ rovk:還能夠撐一下 這兩種方法目前我手邊的library還破不了
→ rovk:不過我不能破未必其他人也不能破
推 TZUYIC:簡訊動態密碼關鍵在這支手機是不是只有本人可以使用，如果
→ TZUYIC:被家人/男女朋友/親戚/路人甲拿到手機，又被刷，那就是個人
→ TZUYIC:保管不確實囉，所以還是客戶的錯，總之驗證過程愈多，就愈
→ TZUYIC:麻煩。
推 suscym:使用這種服務的時候 我還是不敢透過無線網路說{抖}
→ TZUYIC:無線網路也有加密機制阿，要開啟加密才能比較放心使用。
推 blockb:只用WEP加密還是會被入侵 市面上賣的很夯的卡皇 就可以破解
→ blockb:花一千多盜用人家網路 賤ㄧ點的拿去做壞事 多爽
推 suscym:所以不敢用無線是真的不想給別人有機會嘗試破解
推 TZUYIC:我自己是都用有線網路啦，之前有買過無線網路分享器，結果
→ TZUYIC:常常斷線重連，氣到改回有線，真是花錢活受罪。
推 richshaker:卡皇......我還以為看到甚麼關鍵字...
推 Ckholiday:看完整個討論串 大推rovk網友的內容 感謝提供我正確資訊
> -------------------------------------------------------------------------- <

作者: qwert999 (人生) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 16:54:44 2010


我想這一個案子最大問題在於  使用者根本沒辦法做保管

推文提到ATM例子  人們可以很容易判斷是否有人在偷看密碼

並且確認卡片是否在身上  但電腦安全  99%的人都不懂

不是用用掃毒軟體  灌灌電腦  用Linux 組裝一下就是會電腦

至少也要會組合語言 OS 計算機架構  這些電腦如何運作的知識

才算是開始接觸電腦  其他都是 pure user (借老師的話 XD) (PS  我也是pure user)

資工系都不見得有安全概念了...  何況一般普通人

舉例來說  BBS根本沒加密  你打的密碼全世界的人都知道

就算不知道  用小小的perl暴力破解破解法  用6位數以下的密碼 很容易就被強暴了...

- - - - - - - - - - - - - - - - - - - - - - - - - - - -

講到密碼  以現今電腦破解所需要的時間如果很久的話

就認為它是安全的(如果沒有弱點被發現的話)  但這都是相對安全

大家記得基因計劃嗎  聯合全球電腦做運算  ...

另外

http://zh.wikipedia.org/zh/SHA%E5%AE%B6%E6%97%8F

WIKI裡面關於SHA資料  我沒詳細研究資料正確性

我想大家要注意的是裡面提到的歷史  演算法是一直被找出弱點



SHA-0的破解

   在CRYPTO 98上，兩位法國研究者提出一種對SHA-0的攻擊方式[1]：

   2004年時，Biham和 Chen也發現了 ... 將本來需要80次方的複雜度降低到62次方。

   2004/8/12 Joux, Carribault, Lemuet和Jalby宣佈找到SHA-0演算法的完整碰撞的方法..


SHA-1的破解

   2005年，Rijmen和Oswald發表了對SHA-1較弱版本（53次的加密迴圈而非80次）....

   2005年二月，王小雲、殷益群及于紅波發表了對完整版SHA-1的攻擊...

   2005年8月17日的CRYPTO會議尾聲中王小雲、姚期智、姚儲楓再度發表更有效率的...

   2006年的CRYPTO會議上，Christian Rechberger和Christophe De Canniere宣布...


大家還這麼有信心嗎?


補充 : 這系列討論串我想重點應該不是被破解  而是大眾沒辦法防備被盜密碼


--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.56.159.241
推 TZUYIC:套一句卡板常說的，銀行發卡規則就要要拿來破的，這句用在
→ TZUYIC:安全機制也很貼切，安全機制就是發展出來給駭客破解用的XD
→ qwert999:Orz  一針見血...
→ qwert999:當初對網安很有興趣阿 xd  可惜走上了電機路
→ qwert999:裡面太深奧了沒心力好好研究...
推 WaterDragonI:基本上規則本來就是用來打破的，密碼本來就是等著被
→ WaterDragonI:破解的......
推 DoraeCookie:本來就沒無法破解的密碼，只有破解的難度&時間問題
→ WaterDragonI:這應該是大家都懂得基本道理，不過實務上妳要怎麼突
→ DoraeCookie:所以會有人不斷的思考更好的破解演算法
→ WaterDragonI:破法官的論點與判例....因為就難度上，加密後的密碼
→ WaterDragonI:直破法太困難了.....
→ DoraeCookie:同時也會有人思考更難破的加密方式，這是一場戰爭
→ DoraeCookie:但是相信加密無法破解本來就是有問題的觀念
→ qwert999:如果是犯罪組織有計畫的推動  什麼都有可能
→ qwert999:要專家有專家  要電腦有電腦  利益太大了  跟印假鈔一樣
推 WaterDragonI:問題在於你沒辦法拿「有可能」去說服法官不是？
→ qwert999:如果收到人無法判別的假鈔 是不是國家要賠償呢?
→ DoraeCookie:法官哪裡懂這些道理，法官會要你舉證破解的可行性(倒)
→ WaterDragonI:對呀！同D大所言....這是關鍵癥結點....這裡大部分人
→ qwert999:破解只是題外話  我覺得重點是密碼被側錄
→ WaterDragonI:都知道密碼破解的可能性，不過問題是你在法律面妳要
→ qwert999:但是大眾並沒有辦法防被被側錄
→ WaterDragonI:闡述跟舉例說服法官.....
推 DoraeCookie:其實q大說的才是重點，本但才去破解加密
→ DoraeCookie:笨蛋才去破解加密，因為有更好的方法取得密碼
※ 編輯: qwert999        來自: 61.56.159.241        (06/05 17:09)
→ WaterDragonI:防側錄這就是又變成個人端的問題了....妳得說服法官
→ WaterDragonI:側錄不是個人端應該負責的事情.....@@
→ DoraeCookie:加密前把密碼偷走就好了，何必等加密後再來這麼麻煩
→ DoraeCookie:目前這麼問題無解，最好的辦法回歸到水龍大說的，別用
→ qwert999:我的意思是 防側錄根本是個人端做不到的事情
→ qwert999:法官不能要求每個都是專家  有辦法用專家思維
→ qwert999:不然就是一種壓迫了  ...
推 DoraeCookie:所以目前唯一解就是不要用....
→ DoraeCookie:同樣的問題一樣存在於網銀裡面，偏偏銀行又狂推網銀
→ qwert999:是... 可是我的永豐八通卡  哭哭
→ qwert999:網銀倒是還好  因為轉帳沒那麼容易  要約定
→ DoraeCookie:題外話，台企銀上次還和我說，超過3個月定存只能用網
推 TZUYIC:網銀跟這個比差多了吧，以轉帳來說，約定轉帳是你本人設定
→ DoraeCookie:銀定存
→ TZUYIC:的，非約定以外都要用金融卡作驗證。
→ qwert999:最多就被看光資料...  心靈受創...
→ TZUYIC:不用金融卡的還有動態密碼產生器或簡訊動態密碼可以選擇。
推 DoraeCookie:資料被看光光就很恐怖了 XD
→ DoraeCookie:而且約定帳號台企銀可以在網銀裡面設定增加(昏倒)
推 TZUYIC:個人資料也不是什麼多保密的東西，搞不好外面一個人一筆2
→ TZUYIC:元燒在DVD裡，想買都可以買。
推 rovk:我也支持這篇 固定密碼有很多方式被盜 憑甚麼說一定是持卡人
→ rovk:外洩
→ TZUYIC:整天擔心個資在這個世界真的不用活了，跟金控往來個資早已
→ TZUYIC:在各金控關係企業流竄`
→ DoraeCookie:我說的不是個資，是所有的投資資料 XD
→ TZUYIC:投資資料被知道，也轉不走阿，除非他幫你買很爛的基金等等
→ TZUYIC:讓你虧錢。:P
→ TZUYIC:很多網銀可以自己設定常用的轉帳帳號，但那還是屬於非約定
→ TZUYIC:領域，因為約定幾乎都要個人親自在分行辦理，有些像HSBC
→ TZUYIC:Direct可以郵寄申請約定轉帳那就另當別論。
→ DoraeCookie:這是奇摩子的問題，沒人會想讓其他人知道自己有多少$$
→ TZUYIC:你的理專早就知道了（如果你有），理專常常看各個客戶的錢
→ TZUYIC:，三不五時問你要不要買基金。
→ TZUYIC:還有那種定存快到期打來問你我們有一種商品很好，要不要買
→ DoraeCookie:我好像沒有理專 (逃)
→ DoraeCookie:不過理專頂多只能看到他所屬金控的資料吧？
→ hamk5202:別擔心XD，我家的大豬公有數不清的零錢，連我都知道多少
→ hamk5202:難怪都沒有理專要我買基金，都要我買保險......
推 isaacc:我只有一句話: HASH/SHA/SHA-1都不是拿來加密的...
→ isaacc:其它的，閒聊OK，但反智的人身攻擊，也只能一笑置之 :)
→ rovk:SHA加密是記者講的 你去跟你的偶像記者說去吧
→ rovk:在那邊說啥記者講的很正確 自己打自己嘴巴XD
推 isaacc:奇怪，我講的是qwert999這篇又把SHA講到加密去了
→ isaacc:樓上大師認為qwert999是記者嗎?
推 rovk:你看清楚SHA加密一開始是誰先講得好嗎
→ rovk:應用hash加密不可以嗎? 樓上管真寬 我喜歡用1+1=2加密不行嗎?
→ rovk:還是你要規定我不可以用加法加密 明明自己講錯還要嘴硬
推 isaacc:樓上除了人身攻擊之外，沒有辦法平心靜氣與人討論嗎?
→ isaacc:妳露餡了...hash本來就不是用來加密的，這是基本密碼學常識
→ isaacc:否則妳講講被hash過的hash value妳怎麼"解密"吧。囧。
→ isaacc:這是個討論區，真理絕對不是用人身攻擊來達到。
→ isaacc:周末很美好，妳要開罵慢慢罵吧，恕不奉陪。
推 rovk:加密就ㄧ定要解密？ 真可笑的人
→ rovk:你可以googleㄧ下sha加密嗎？證明你自己說錯？
→ rovk:1+1=2 2本來就無法還原成1,1 有可能是0,2
→ rovk:這代表加法無法加密？原來嘴砲隨口講講這麼簡單
→ lbt:咳！我覺得版主可以出來上鎖了…（我心中也有定論，不過離題了
→ yinson:這系列都看不太懂  ~"~a
推 setsuna293:看不懂XDDD 摸垮...
推 blockb:幹麻鎖文啊 這系列蠻歡樂的呀
→ blockb:有人囂張的跳出來指責別人說錯 然後被勸火氣不要太大時
→ blockb:就說是討論而已
→ blockb:現在被抓包原來自己說錯 就躲起來不面對 還說別人人身攻擊
→ blockb:有沒有話都給鄉民說就好的八卦呢
→ qwert999:哇哇  吵真兇  我舉SHA只是想說明任何演算法都會被破解
→ qwert999:常用的RSA也有被找出弱點  無線網路一開始被發現弱點
→ TZUYIC:銀行/證券常用的 XML憑證 安全性如何？
→ qwert999:官方還死不承認  後來有人一氣之下 就把它破掉了(印象中)
→ qwert999:資訊安全攻防的歷史很有趣阿~ 美國一些演算法還是機密
→ qwert999:不准輸出國外 ~  所以輸出國外的... 對米國來說
→ qwert999:大概早就有破法了 XD (亂猜...)
→ qwert999:xml我不清楚  我只是路人甲...  隨便研究一下而已
→ qwert999:比起演算法弱點  人才是真的漏洞
→ qwert999:有個故事很有趣  有一位資訊專家聲稱他發明的系統
→ qwert999:超級安全  絕對沒有漏洞 ...  駭客聽了...
→ qwert999:就利用電話詐騙使用者的密碼... 於是系統就被破了...
→ qwert999:什麼技術都不用用到....
推 rovk:上面這故事蠻有趣的啊 很像cracker style
→ rovk:cracker總是會ㄧ直想出不同的破解方法
推 TZUYIC:唉，以詐騙來說，都有人可以被騙到臨櫃把詐騙集團的帳號加
→ TZUYIC:入約定轉出，再多有效的防堵詐騙機制，都比不過人腦的教育
→ TZUYIC:，人才是事情的關鍵阿。XD
→ qwert999:總而言之  多了驗證卻要放棄保護傘  這種賠本生意不要做
→ qwert999:不然就是用完趕快讓它失效吧 XD 需要再申請就好~
推 TZUYIC:愈多的驗證，愈多的機制，代表使用者愈需要自行負責，而不
→ TZUYIC:是銀行要承擔風險。
→ qwert999:不過突然想到  那如果是微軟漏洞呢  這筆帳怎麼算
→ qwert999:幾年前重灌時只要接上網路  幾分鐘就會被攻陷了...
→ qwert999:這件事情在宿網真是災難...
推 richshaker:銀行：用微軟的爛系統→未盡善良管理人之責(可能無誤)
推 TZUYIC:那也是使用者要自行承擔，銀行搞不好會說你不會用麥金塔阿
→ TZUYIC:沒有麥金塔不會用Linux嗎，你用M$中毒怪我囉？
→ qwert999:不過國外也應該有案例吧  有人知道怎麼判嗎?
推 sentiswab:真佩服某人
推 Ckholiday:樓上的 我跟你一樣!
推 ilove183: 樓上的 我跟你一樣! 愛屁又沒實力 被抓包就龜起來 回家
→ ilove183:喝...吧!!
> -------------------------------------------------------------------------- <

作者: imrt (0830) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 19:20:57 2010

: ※ 引述《ryanodine (ryanodine)》之銘言：
: :        大家好, 我是原PO
: :        關於當初我所申請的密碼
: :        是一固定密碼
: :        不是所謂的動態認證密碼
: :        所以大家一直在懷疑是我周遭的人
: :        可是事實不是這樣的
: :        我昨天已經請警察處理了
: :        後續我會再跟大家報告, 謝謝
:
:    信用卡被盜刷 「保密不周」敗訴【聯合報╱記者劉峻谷／台北報導】
:                                                    轉貼自2007.08.28聯合新聞網
:
:
: http://udn.com/NEWS/NATIONAL/NAT2/3989145.shtml
:
: 去年四月廿六日，有人在南韓上網，使用羅向容的信用卡完成六筆網路購物，其中三筆輸
: 入她的網路交易驗證密碼，順利完成交易，另三筆沒有輸入密碼，交易未完成。新光銀行
: 事後向羅向容要求付清三筆交易的六千兩百五十元。
:
: 聯合信用卡處理中心函覆法院指出，「SHA-1」是目前廣泛被採用在商業交易的密碼加密
: 方式，極難破解，且上述三筆交易輸入密碼都是一次完成，不是重試多次才猜對密碼。
:

我完全跟銀行或密碼無關，根本是幾千光年外的外星人了。
只是我在想，密碼不一定要破解，用猜的也會中。

首先是聯合中心說密碼輸入一次完成，
所以認為不是猜的。
但其實卡號是有規則可推算的。
如果用很浮濫常用的密碼去試很多組有效卡號，
試對了就可以繼續刷，
那麼不就符合文中一試就中，一中就刷三筆？
而且查記錄也只會查到一試就中，
不會查到同密碼試多卡號的記錄吧？

附帶一提的是，
就算要求設定密碼要有英文也要有數字，
還是會有最常見的密碼，
例如 abcd1234 這種。
只是不知道用這種密碼會不會被法官認為是「設密碼不用心」就是了 XD

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.193.27.201
※ 編輯: imrt            來自: 123.193.27.201       (06/05 19:21)
推 WaterDragonI:老實說實務上這樣試會被firewall block....
→ WaterDragonI:而且所謂的浮濫常用密碼是什麼？(．＿．?)
→ imrt:網路上不是有程式可以自定封包讓server以為是不同ip來源？
→ imrt:我有舉例啊 abcd1234
→ WaterDragonI:ㄟ...有多少人會用這密碼？而且還要對上卡號.....
→ imrt:水大…你沒看內容厚…不用對上特定卡號 對上可用卡號即可
→ imrt:這裡有常用密碼統計 http://tinyurl.com/pttbbscreditcard
※ 編輯: imrt            來自: 123.193.27.201       (06/05 19:34)
→ bailan:VISA驗證是卡號到期日等等資訊送出後，有申請的會跳出個窗
→ bailan:叫你輸入驗證密碼....你用fake IP送出的話，他怎麼回傳跳出
推 WaterDragonI:b大說到重點囉～  ^^
→ imrt:有道理。看來真的要猜到而非亂試。
→ imrt:感謝兩位指教。看來設密碼一定要注意。千萬不要跟持卡人資料
→ imrt:有相關才好
推 james7766:Korea?? 不意外！？
→ sardine:一定要用假ip嗎  跳板呢? 跳板可以有無限個試出一個就好不
→ sardine:是嗎
推 tellurian:其實我是比較同意密碼不太可能經由非客戶端疏失流出
→ tellurian:不過即使是這樣客戶幹嘛要用，也是自找麻煩而已
推 TZUYIC:這時候真的要頃出常用的大絕了：不爽不要用！ LOL
推 tellurian:搞到所有商店所有銀行都要用認證的時候
→ tellurian:使用者應該寧願把網路信用卡交易全部停掉
→ TZUYIC:之前我好像有在本板PO過一篇新聞，可是我找不到原文，新聞
→ TZUYIC:是說VISA要在2011（若我沒記錯）年讓網路交易全面採行VISA
→ TZUYIC:驗證。
推 tellurian:盜刷責任如果還是在使用者身上的話在台灣我猜是玩不下去
→ tellurian:就跟詐騙集團騙人好騙也只有剛開始而已
→ tellurian:久了一般使用者也知道這東西的危險性的話也沒什麼人要用
→ bailan:用猜卡號試的根本是笨方法，卡號有組合但不一定存在
→ bailan:加上卡號還得配合到期日，或是還要加上CVC2/CVV2碼，這樣是
→ bailan:要猜到什麼時候啊？  光在那產生大量授權失敗就會引起懷疑
→ bailan:了
→ sardine:重點是現在的木馬駭的到任何資訊 如果不能將線上刷卡的方
→ sardine:式改以讀卡機+晶片卡取代  再多的認證風險都不會降低
→ sardine:雖然我也不認為多張實體晶片對真正高手來說是什麼難事
→ sardine:可是至少比現行的用一串數字這樣傳來傳去安全多了
→ rovk:推樓上 有張晶片卡至少還是多點保障
→ rovk:沒那張卡cracker還是多了很多麻煩 他們倒不如去偷密碼好用
推 drcula:要破那張晶片卡,有這樣的能力,還不如去直接生個假戶頭,裡面
→ drcula:直接灌個幾千萬,再轉走可能更快,那種能力層級太高了,高到
→ drcula:這樣搞了,很難不被抓到
→ hoboks:認同樓上 要搞晶片卡很搞剛 VISA只弄一個密碼就可以讓持卡
→ hoboks:人付全責 真噱
> -------------------------------------------------------------------------- <

作者: astrawberry (波希米亞*La La*) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 22:05:35 2010

想分享個題外話 類似的教學應該OP過 有關數字密碼的輸入法

假設我的卡號 1234-1234-1234-1234

我一定先輸入                  12   12   123  123
然後再用滑鼠移到正確位置補上    34   34    4    4

下次輸入  我會再更換順序輸入         234  234    4    34
然後同樣道理 用滑鼠移到數字前方補上 1    1    123   12

只要網路交易每次輸入順序都故意不一樣
我有被盜刷過ㄧ次 但銀行(兆豐)主動發現異狀 之後我都格外小心

※ 引述《imrt (0830)》之銘言：
: :    信用卡被盜刷 「保密不周」敗訴【聯合報╱記者劉峻谷／台北報導】
: :                                                    轉貼自2007.08.28聯合新聞網
: : http://udn.com/NEWS/NATIONAL/NAT2/3989145.shtml
: : 去年四月廿六日，有人在南韓上網，使用羅向容的信用卡完成六筆網路購物，其中三筆輸
: : 入她的網路交易驗證密碼，順利完成交易，另三筆沒有輸入密碼，交易未完成。新光銀行
: : 事後向羅向容要求付清三筆交易的六千兩百五十元。
: : 聯合信用卡處理中心函覆法院指出，「SHA-1」是目前廣泛被採用在商業交易的密碼加密
: : 方式，極難破解，且上述三筆交易輸入密碼都是一次完成，不是重試多次才猜對密碼。
: 我完全跟銀行或密碼無關，根本是幾千光年外的外星人了。
: 只是我在想，密碼不一定要破解，用猜的也會中。
: 首先是聯合中心說密碼輸入一次完成，
: 所以認為不是猜的。
: 但其實卡號是有規則可推算的。
: 如果用很浮濫常用的密碼去試很多組有效卡號，
: 試對了就可以繼續刷，
: 那麼不就符合文中一試就中，一中就刷三筆？
: 而且查記錄也只會查到一試就中，
: 不會查到同密碼試多卡號的記錄吧？
: 附帶一提的是，
: 就算要求設定密碼要有英文也要有數字，
: 還是會有最常見的密碼，
: 例如 abcd1234 這種。
: 只是不知道用這種密碼會不會被法官認為是「設密碼不用心」就是了 XD

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 218.166.176.79
推 TZUYIC:有的時候不用滑鼠一直點耶，可以一直輸入下去，從第一組四
→ TZUYIC:碼開始打，打完第四個字，游標就很Nice的自己跳到下一組，
→ TZUYIC:所以可以順順地連續輸入16碼卡號。XD
→ sardine:沒用...側錄的能力就是你看到的跟他看到的一模一樣
→ sardine:包含2D的平面改變跟時間間隔  全都錄
推 dragonjc:路過推  有心防範請裝防火牆防毒提升資安常識  有用多了
推 dragonjc:此言無惡意  只是現實如此...保護自己不值得學嗎..
推 richjf:木馬下去你這方法就沒用了啊....
推 DoraeCookie:完全沒用，側錄的能力比你想像的強多了
> -------------------------------------------------------------------------- <

作者: AFP (努力賺錢) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 22:06:48 2010

: ==============================================================================
:    不要說在東部，在韓國都要妳負責了說～
:    基本上這種狀況應該是銀行仍視為本人交易，如果持卡人要求償，應向盜刷者另提起
:    民事訴訟.....
:    Anyway, goodluck....煩請原po持續回報喔～
:    總之，Visa驗證跟MasterCard SecureCode請小心使用，
:    當然，最好都不要用也不要申請！
請問一下
我辦的卡從來沒有拿過什麼密碼
線上刷卡只要填卡號 背面3碼 跟有效期

這樣如果被線上盜刷是銀行負責是嗎?

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.165.66.112
※ 編輯: AFP             來自: 118.165.66.112       (06/05 22:07)
→ TZUYIC:沒有使用驗證而交易成功的盜刷，持卡人可以藉由交易爭議
→ TZUYIC:聲明書維護自己不用付盜刷款的權益。
> -------------------------------------------------------------------------- <

作者: qwert999 (人生) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sat Jun  5 23:05:57 2010



我試著去google國外文章  還沒找到判例  不過有些說法很有趣  隨便節錄一下

http://pindebit.blogspot.com/2008/10/is-verified-by-visa-also-verified-by.html

Verified by Visa and Mastercard SecureCode are there purely to protect
the banks, not the card holder. They offer zero additional protection
to the consumer, but allow the bank to claim that transactions
using purloined credit card credentials were really made by the card holder.
It is as simple as that.

小翻 : VISA/MS 驗證根本就不是保護消費者而是保護銀行.

安全性沒有增加卻宣稱任何盜用都是由使用者造成的...

--------------------------------------------------------------------------

http://www.channel4.com/news/articles/business_money/verified+by+visa/994747

The problem with the system is that it is possible to by-pass the password
by clicking 'forgotten password' and answering security questions instead.
These include questions about date of birth, information which is easily
obtainable from a stolen driver's license or an online social networking site.
Experts say its quite old technology, but Visa says the system is safer
than having nothing.

小翻 : 問題是密碼可以很輕易被重置. 因為在遺失密碼這個機制中,

所需輸入資訊都可以很輕易的取得(例如社群網站).

專家認為這是一種很老舊的技術, 但Visa認為有總比沒有好 XD....

補充 :

Paper :

Veried by Visa and MasterCard SecureCode: or, How Not to Design Authentication
                      Steven J. Murdoch and Ross Anderson
                      Computer Laboratory, University of Cambridge, UK

                  http://www.cl.cam.ac.uk/~sjm217/papers/fc10vbvsecurecode.pdf

   裡面很平淡的討論  但是說到

    banks are free to set terms that shift liability to customers. For example,
the Royal Bank of Scotland says [2]: You understand that you are nancially
responsible for all uses of RBS Secure." So despite the bank having made
many poor security choices, the customer must accept the losses
{ a clear example of misplaced incentives. The use of passwords also harms
customer interests because they no longer have the statutory protection
aorded by signatures where....

   小翻 : 銀行輕易的將責任轉給消費者, 例如 Royal Bank條款之一 :"你必須負全責"

          所以儘管銀行做了許多危險的動作,消費者還是要接受損失. (真壞心 揪咪)

          同時間這種方法也讓消費者興趣缺缺因為不再有信用卡簽名的保護....

    (In fact the `3D' stands for three domains { the bank, the merchant
and the payment network; the customer seems not to have been considered
at design time.)

   小翻 : 實際上3D指的是  銀行 商家 還有付款系統 ; 消費者似乎不再考慮之內


------------------------------------------

也就是說國外的質疑聲浪並不小 ... 我就不信美國這種國家會判銀行勝訴

今天拿一個不被認可是保護消費者的機制  卻要消費者擔權責  前提就不對

敗訴重點應該是簽了不平等條款  "必須負全責 - -"

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.56.159.241
推 TZUYIC:國外鄉民也很聰明阿。
推 hoboks:好文不得不推一個 看到現在連鄉民質疑的聲音都不少
→ hoboks:在2007年就可以判銀行勝訴 不可思議
推 TZUYIC:臺灣的法官配上臺灣的大金控，持卡人自求多福。
推 WaterDragonI:這個問題老早就存在，也老早就被質疑了.....不過法\
→ WaterDragonI:律上輸了就是輸了......@@
→ WaterDragonI:鄉民老早就在大力推廣避免認證的自保措施囉～
→ qwert999:法律上輸我想是因為這知識太冷門
推 hoboks:了解 我太少逛卡版了 科科 逛版長知識
→ qwert999:律師/受害者根本不知道如何辯護 法官也沒相關知識
推 WaterDragonI:我個人是很懷疑即便法官知道，會判決持卡人勝訴....
推 hoboks:我看這個判決的被告應該沒請律師 因為才六千多元
→ hoboks:今天有狀子要趕 等我趕完再來翻這個判決看看
推 ROCAF:全PTT除了卡版以外其他地方恐怕都不知道萬惡驗證機制的陰謀
推 hoboks:有可能喔 要不是今天沒剛好上卡板
→ hoboks:我也不知道有這種陰謀
推 TZUYIC:過去曾在數字板看到有人大推一定要用驗證勒。
推 hoboks:昏倒 那應該是銀行的打手吧 顆顆
推 TZUYIC:沒有啦，沒有親身體驗、研究的人真的會以為有驗證就是有安
→ TZUYIC:全，不知者最單純。
推 hoboks:安全啊 對銀行非常安全 顆顆
推 yinson:驗證機制確實能有效低降低(    )的盜刷風險
推 TZUYIC:                         bank
→ yinson:登登! 答對了  持卡人哭哭
推 TZUYIC:等一下被銀行高層看到，會不會以後不給取消已申請的驗證密
→ TZUYIC:碼！！
推 yinson:已申請的就 <(‵)~′)-8<"
→ qwert999:都沒有人推我翻的 "啾咪"這兩個字  哭哭...
推 TZUYIC:連歪國人自己寫的約定條款都是持卡要負全責。
推 hoboks:有有 我有推推
推 hamk5202:推一下翻譯小幫手XD
→ hamk5202:不能申請取消驗證密碼，就跟銀行說有盜刷疑慮，換卡號...
推 TZUYIC:銀行：你掛失就可以換卡號，掛失費用1000元拿來
※ 編輯: qwert999        來自: 61.56.159.241        (06/06 00:41)
推 tellurian:剪卡換家就好了
推 yinson:剪卡  六個月後再辦一次  說不定還有首刷禮  揪咪  ^_<*
推 Engyo:good point
> -------------------------------------------------------------------------- <

作者: hoboks (戴爾真嫩) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sun Jun  6 00:32:10 2010

剛請同事幫我找到這則判決了
http://tinyurl.com/2ctzbks

    被告申請網路驗證服務時所
    設定之密碼，係被告依其個人自由意志所決定，旁人無從得
    知，且該密碼係以SHA-1 加密之不可逆方式儲存於系統內，
    故不會發生資料外洩之情況，亦經財團法人聯合信用卡處理
    中心以96年6 月21日（96）聯卡商管字第0960400137號函查
    覆明確，自堪認原告就驗證密碼之安全性已採取相當之防護
    措施，以確保被告為該驗證密碼之唯一知悉者，在此情況下
    ，被告即成密碼安全之最關鍵控管者，亦為信用卡遭冒用風
    險之優勢承擔人，故上開約款將他人得知密碼而盜刷之風險
    歸由被告負擔，亦符合「風險歸於就防阻風險發生具有優勢
    之人承擔」之原則，尚難認有何不當失衡之處。準此，本件
    原告以前開約款課予被告妥善保管密碼之義務，並明定使用
    「密碼」完成之交易，均視為被告同意之交易，而應由被告
    負清償責任，應無顯失公平之情形，被告辯稱該約款顯失公
    平而無效云云，尚不足採。

說SHA-1可以加密 又安全的人不是我啊
大人 灣甕啊

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.193.12.81
→ hoboks:這位姓馬的法官 判決內容真是一級棒:(
推 isaacc:唉，關鍵是"加密之不可逆方式儲存於系統內"。妳斷句斷錯了~
→ hoboks:hash原則上就是不可逆的啊 在卡版要討論這些嗎?
→ gcm:都被翻出判決了還能繼續凹 強
推 sewage:個人認為被告敗訴的主要論點是因為他是"優勢承擔人"
→ sewage:如果他憑藉著優勢保管者之地位卻未達到其應有之責任,
→ sewage:以風險分擔比例原則來看,被判敗訴也很正常
推 qwert999:但論點如果是銀行端要求保管人達到其無法達到之責任呢?
→ sewage:這是銀行的計謀,不申請驗證,就不會落到自掘墳墓的下場了
→ sewage:請舉證
→ qwert999:我們的討論串已經說明各種消費者無法察覺被盜用的情況
→ sewage:      銀行如何"要求保管人達到其無法達到之責任"
→ hoboks:等到有一天銀行要逼大家用密碼驗證 我就要發起革命 科科
→ qwert999:既然無法察覺  又如何善盡責任?
→ qwert999:舉例來說  我利用你的社群資料重設驗證密碼  然後盜刷
→ sewage:你怎麼知道原案被告沒將卡號及驗證碼借給別人使用
→ qwert999:之中你完完全全無法知道... 又如何善盡責任?
※ 編輯: hoboks          來自: 123.193.12.81        (06/06 00:55)
→ qwert999:有沒有惡意使用信用卡  應該是要銀行證明  而非使用者
→ sewage:社群資料如何重設驗證碼??? 銀行不會傳驗證碼到社群網站的
→ qwert999:至於驗證碼卡號被盜風險  就如同普通信用卡
→ sewage:是你要提證明不是銀行要提證明,
→ sewage:銀行把卡片跟密碼借給你使用,是你要善盡保管之責耶
推 qwert999:我想這個討論串已經說明  密碼可以很輕易被盜取
→ qwert999:就算你是專家  做了一堆防護措施  還是會不知不覺被盜取
→ qwert999:這樣如何盡到保管責任?
→ qwert999:至少PAPER中也說到  這根本不能增加消費者個安全
→ hoboks:舉證責任在誰那方我還得再想一下 如果是提款卡的情形
→ hoboks:我比較了解 是存款戶與金融機關成立消費借貸契約
→ hoboks:白話點說 存戶是把錢寄放在銀行那裡 若銀行被冒領存款
→ hoboks:則要舉證自己完全不可歸責 通常只要一被抓包盜用印章
→ hoboks:銀行就賠定了
→ hoboks:信用卡的情況我還得再想想
推 TZUYIC:信用卡的確是銀行的財產沒錯，是銀行借給善良使用者合法使
→ TZUYIC:用...
→ hoboks:信用卡一般我們會說是成立委任契約 是持卡人委託銀行去
→ hoboks:付款
→ hoboks:若是被偽造簽名盜刷的情況比較沒爭議 因為銀行未盡善良管理
推 qwert999:法律面就由各位專家去探討了
→ hoboks:人的責任 而讓商家亂給消費 所以得自行舉證不可歸責
→ hoboks:否則持卡人可以不用清償盜刷的款項 一般都不可能讓銀行舉證
→ qwert999:實務面是消費者無能力盡到銀行所稱善盡保管之責任
→ hoboks:免責
→ qwert999:連卡片都會被盜製了  何況是一組密碼...
→ hoboks:而此例弔詭的地方就在於 有財團法人聯合信用卡處理中心
→ hoboks:幫銀行背書 SHA-1的加密方式會讓加密過的密碼 無法被外洩
→ hoboks:所以反而舉證責任落到持卡人身上 這樣對嗎?
→ hoboks:SHA-1我也能背書不可逆推回去原本的密碼明碼 這只要一位資
→ hoboks:工的學生就可以知道 可是拿這理由要持卡人負沒有外洩的舉證
→ hoboks:責任?
推 qwert999:說到信用卡被盜製  使用者需要負沒被盜製之舉證之責嗎?
→ qwert999:說錯  是被盜製舉證之責
→ hoboks:不用啊 是銀行要舉證有盡到善良管理人的注意義務
→ hoboks:誰舉證誰就倒楣 所以一般盜刷就是銀行倒楣 得銀行付錢了
→ hoboks:此例應該是有聯合信用卡處理中心幫銀行背書 說SHA-1很安全
→ hoboks:導致銀行舉證成功 結果就是換持卡人倒楣 要持卡人舉證沒外
→ hoboks:洩 依照誰舉證誰倒楣的原理 就是她要付錢了
推 qwert999:至少有一點不會錯: 不要使用網路驗證 雖然比較容易被盜刷
→ qwert999:但反而可以受到保護  這什麼世界阿....
→ hoboks:是啊 等到全面推行驗證時請大家加入我的革命行列 科科
→ yinson:離題一下 @@/   呆鵝那件 是樓上打的官司嗎? :P
→ hoboks:不是耶 目前打贏那件沒有請律師 連我都很崇拜:)
推 vz:問一下，在店家結帳系統上放病毒，可否植入用戶端木馬偷驗證碼?
推 maniaque:驗證碼是送到VISA去驗證,之後VISA那邊會回報店家結果....
→ hoboks:可以在一開始就放病毒 用假流程去偷 要在中途以病毒介入流
→ hoboks:程咖難
→ hoboks:可是只要不是在流程內出問題 銀行就會賴你頭上 因為他們流
→ hoboks:程超安全 他們不負責流程外的事情
> -------------------------------------------------------------------------- <

作者: qwert999 (人生) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sun Jun  6 00:44:14 2010

大家參考

http://tw.knowledge.yahoo.com/question/question?qid=1105041702503


定型化契約中有故意過失免責約款時~其效力如何?

回答者：        來杯咖啡吧！ ( 實習生 3 級 )

依據民法247-1條的規定，

如果使用定型化契約條款之人預先免時其責任，

按其情形顯失公平者該部分之條款無效。

但是、如果係爭定型化契約是屬於消費關係，

則依據消費者保護法第12條之規定，

企業經營者使用免除故意或過失責任約款之定型化契約，

會被認為屬於違反平等互惠原則而有顯失公平，

且違反誠信原則而被認為該條款無效。

民法第 247-1條

依照當事人一方預定用於同類契約之條款而訂定之契約，為左列各款之約定，按其情形顯失公平者，該部分約定無效：
一　免除或減輕預定契約條款之當事人之責任者。
二　加重他方當事人之責任者。
三　使他方當事人拋棄權利或限制其行使權利者。
四　其他於他方當事人有重大不利益者。

消費者保護法第 12 條

定型化契約中之條款違反誠信原則，對消費者顯失公平者，無效。
定型化契約中之條款有下列情形之一者，推定其顯失公平：
一　違反平等互惠原則者。
二　條款與其所排除不予適用之任意規定之立法意旨顯相矛盾者。
三　契約之主要權利或義務，因受條款之限制，致契約之目的難以達成者。

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 61.56.159.241
推 hoboks:姓馬的法官說此例沒有違反誠信原則喔 她說消費者這樣主張
→ hoboks:顯不可採 我上文有把重點用黃色標出來
→ hoboks:原告還要付裁判費一千元 如果繼續上訴又累
→ hoboks:而且小額的訴訟 第二審要找法律見解有誤的地方 若沒律師幫
→ hoboks:忙會不好找 銀行在此例贏得第一審的話 基本上沒律師幫應該
→ hoboks:沒救了
→ qwert999:這個沒有技術相關人員基本上也沒救了...
> -------------------------------------------------------------------------- <

作者: GERRYccc (月狼) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sun Jun  6 03:21:00 2010


其實我認為信用卡或網路交易設計本身就不良，

因為網路交易最重要的卡號、有效期、後三碼

全都印在卡面上，而實體刷卡通常也絕大多數都是交由店員去刷操作

雖然以善良管理人來說，他不會記憶你的關鍵資料(上述三項)

但是已經是暴露於外的風險，

另外，網路刷卡若申請VISA 3D驗證密碼者，因合約上載述，

相當不利於持卡人的條件，也就是密碼保管責任(未印在卡面上)，

屬於實體刷卡時沒有暴露的風險存在，以銀行的保管機制SHA-1也是相對安全，
(註:這裡指相對安全也就是非絕對安全，也就是有機會可以破解只是很難，
用超級電腦要猜幾年?)

但是在進行網路刷卡時，由於持卡人使用的電腦設備並非完全安全的環境，
(不論是木馬、側錄、等等等都在善良持卡人未知的情況下洩漏3D驗證密碼)

也就是安全機制設計不良，致使容易受外在因素造成洩漏3D密碼，
(電腦設備不安全非本人未妥善保管，
此例中原PO應該主張已經善盡維護電腦設備安全並妥善保管密碼的責任
並強調該線上刷卡網頁沒有提供動態鍵盤功能，使密碼受到木馬側錄，
為可歸責於銀行端網頁設計不良所生之密碼洩漏風險，此說法不一定夠有力但可一試)

所以我認為在銀行未設計出更好的驗證方式之前，不要申請3D密碼驗證XD

番外篇------
動態OTP密碼驗證也是不夠好的設計，現在智慧手機也會有病毒，可預見以後也會有木馬，
並且人在國外要網路刷卡，光收OTP簡訊的漫遊費不用盜刷就夠讓你害怕了~
不過已經是目前相對好的方式了~(我本人還是不會想用XD)
因為萬一不幸用了還是被盜刷那不是自找苦吃，
現行只要自付三千也算控制風險了，
印象中花旗及其他特定卡好像是失卡零風險(也就是連自付三千都免了!! XD)
只要卡片還在自己手上，都可以主張已妥善保管!!

以上分享個人心得，僅供參考，若有謬誤請不吝指正，謝謝!


※ 引述《qwert999 (人生)》之銘言：
: 大家參考
: http://tw.knowledge.yahoo.com/question/question?qid=1105041702503
: 定型化契約中有故意過失免責約款時~其效力如何?
: 回答者：        來杯咖啡吧！ ( 實習生 3 級 )
: 依據民法247-1條的規定，
: 如果使用定型化契約條款之人預先免時其責任，
: 按其情形顯失公平者該部分之條款無效。
: 但是、如果係爭定型化契約是屬於消費關係，
: 則依據消費者保護法第12條之規定，
: 企業經營者使用免除故意或過失責任約款之定型化契約，
: 會被認為屬於違反平等互惠原則而有顯失公平，
: 且違反誠信原則而被認為該條款無效。
: 民法第 247-1條
: 依照當事人一方預定用於同類契約之條款而訂定之契約，為左列各款之約定，按其情形顯失公平者，該部分約定無效：
: 一　免除或減輕預定契約條款之當事人之責任者。
: 二　加重他方當事人之責任者。
: 三　使他方當事人拋棄權利或限制其行使權利者。
: 四　其他於他方當事人有重大不利益者。
: 消費者保護法第 12 條
: 定型化契約中之條款違反誠信原則，對消費者顯失公平者，無效。
: 定型化契約中之條款有下列情形之一者，推定其顯失公平：
: 一　違反平等互惠原則者。
: 二　條款與其所排除不予適用之任意規定之立法意旨顯相矛盾者。
: 三　契約之主要權利或義務，因受條款之限制，致契約之目的難以達成者。

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.232.62.216
→ GERRYccc:這一篇文章值 256 元~ 我承認是來撈P幣的 XD
※ 編輯: GERRYccc        來自: 118.232.62.216       (06/06 04:16)
推 isaacc:嗯，國際收漫遊簡訊是免費的喔~發的話才要收錢~
推 maniaque:本篇樓主也要擔心ptt 帳號密碼被人家側錄....
→ maniaque:最安心的就是把網路線拔掉,把信用卡提款卡健保卡通通剪掉
→ maniaque:搬到後山山上或海邊買一塊地(付現),蓋間小房子,沒有電話
→ maniaque:每天日出而作日落而息,不亦快哉.....
→ maniaque:單單"主張善盡電腦設備安全跟妥善保管密碼責任"
→ maniaque:就已經可說不攻自破,更不用想哪天又來質疑動態鍵盤
→ maniaque:也是可以被側錄(誰說不行的?問國考榜首可否screen shot?)
→ maniaque:就一如本篇樓主也在質疑OTP的安全性等級般......
→ maniaque:都是可以被列入"不安全"的操作方式,不是嗎??
→ maniaque:甚至也可以質疑開發動態鍵盤的程式商可能就內建密碼
→ maniaque:基本上,還是回到原點,水龍大跟其他網友一直想讓大家知道
→ maniaque:的,認證服務在設計上認定使用者就是本人,具有不可質疑性
→ maniaque:或許可以降低 商店/銀行 因盜刷而受的損失
→ maniaque:但卻因為不可質疑性,一旦出現持卡人質疑刷卡非本人時
→ maniaque:舉證責任變成要由持卡人自己來證明是盜刷....
→ maniaque:但卻因為不可質疑性,幾乎證明不了.......
推 hoboks:推你這篇
推 WaterDragonI:推maniaque跟hoboks大大....癥結點就只有一個！
→ GERRYccc:我本身也有在用網路刷卡，只是3D密碼合約條款不利持卡人
→ GERRYccc:而且用了3D密碼不見得安全到哪去~風險嫁禍的功能比較大..
→ GERRYccc:OTP在目前來說是相對安全，但是主要癥結是合約條款!!
→ GERRYccc:所以在銀行設計出另一套更能保證安全且低風險的機制前，
→ GERRYccc:我個人是不會申請也不會簽那種不平等條約~
→ GERRYccc:上述OTP都是指簡訊，可以推薦一下渣打的OTP密碼KEY~
→ GERRYccc:一樣是OTP，且密碼都是銀行端保管與產生(銀行給的key)
→ GERRYccc:風險就是非常低，只是使用上麻煩(多帶一個key)
→ GERRYccc:真是有一好就沒兩好~~  為了安全，麻煩一點是可接受的~XD
→ hoboks:我也覺得渣打的動態密碼較好
> -------------------------------------------------------------------------- <

作者: Sany (小美眉) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sun Jun  6 17:12:02 2010

這聽起來好像很危險耶~
我想在此請教各位,
國泰世華,中國信託,一銀的信用卡,
也是只要輸入這幾樣卡片上有的數字就能在網路上刷嗎?
我是知道中信轉帳是要求要輸入手機簡訊的密碼啦~
刷卡好像也是(忘了)
那請問另外2家呢?

※ 引述《GERRYccc (月狼)》之銘言：
: 其實我認為信用卡或網路交易設計本身就不良，
: 因為網路交易最重要的卡號、有效期、後三碼
: 全都印在卡面上，而實體刷卡通常也絕大多數都是交由店員去刷操作
: 雖然以善良管理人來說，他不會記憶你的關鍵資料(上述三項)

--

呼籲：全民抵制責任制　

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 111.184.1.105
推 hoboks:我又沒呼籲過什麼(新警察)
推 depravity:其實 責任制對我比較有利說  XDDD
推 GERRYccc:你可以到Y或P購物線上買個東西試試就知道了目前刷卡沒OTP
剛打給國泰,他說他們不能取消網路刷卡的功能,我是用master卡的
※ 編輯: Sany            來自: 111.184.1.105        (06/06 18:29)
推 Wiki0623:應該是說要取消驗證功能???
推 TZUYIC:您...好像還沒有進入狀況，建議之前的文章看仔細一點。
→ TZUYIC:還有推文... :P
→ TZUYIC:我們並沒有要取消網路刷卡功能，國際卡本來就可以網路交易
→ TZUYIC:我來討論的是網路購物的安全驗證機制，不是網路交易取消。
→ Sany:有看呀~但取消那個驗證不就表示不能在網路刷嗎??
→ Sany:對不起,我不是很懂,那大家為什麼要取消那個驗證?
→ TZUYIC:你把板上每一篇相關文章和推文都看過就知道了，一言難盡。
推 a92180:驗證只是網路消費多一道手續 少了這道手續仍可以消費
→ a92180:基本上還是有很多網路消費不需要網路驗證機制...
推 GERRYccc:現在網路消費通常還是只需要卡號、有效期、後三碼等資料
→ GERRYccc:有些商店有加入Visa 3D密碼驗證服務(要有註冊才會啟用)
→ GERRYccc:大家要取消的就是後面說的這個Visa 3D密碼驗證服務
→ GERRYccc:原因....就去看看前面大家討論串說的吧
→ GERRYccc:如果原PO沒申請過這種服務，就不用特地去取消...
→ Sany:我終於看完了~呼~所以取消了還是會被盜刷,只是官司能打贏是吧
→ Sany:看來我只有定期剪卡比較好~呵呵~
推 TZUYIC:你有看清楚嗎？？？？沒有使用網路驗證的盜刷持卡人是不用
→ Sany:我覺得簡訊密碼這個功能還不錯耶~其它家怎麼不跟進
→ Sany:不用負責,我知道^^
→ TZUYIC:負責的，你真的應該仔細看。 囧>
> -------------------------------------------------------------------------- <

作者: dasein79 (白蓮教教主) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Sun Jun  6 22:06:24 2010

※ 引述《qwert999 (人生)》之銘言：
: http://tw.knowledge.yahoo.com/question/question?qid=1105041702503
: 定型化契約中有故意過失免責約款時~其效力如何?

        我個人覺得，這個討論串會發展出來，主要討論的一方不知道下列兩者：

1. 無過失責任
2. 定型化契約跟一般契約的差異

        但更有趣的是，另外一方竟然沒想到上面這兩者不是每個人都了解。

        但是最重要的是：

1. 當事人放棄審級利益，沒有上訴
2. 原判決不具備約束力，也不能成為法源。如果未來自己遇到此事，就祈禱自己遇到
   另外一種見解的法官吧！

        所以，我的結論就是，沒什麼好討論。

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 112.104.47.78
推 hoboks:才六千多 怎麼叫當事人上訴第二審啊?
推 TZUYIC:錢阿，為了$6000再上訴，成本是這$6000的好幾倍了，還有所
→ hoboks:小額的二審要能找出判決違背法令 六千多的利益又無法找律師
→ TZUYIC:花費的時間精力。
→ hoboks:基本上小額被銀行贏第一審 就沒救了吧
> -------------------------------------------------------------------------- <

作者: hoboks (戴爾真嫩) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Mon Jun  7 12:58:11 2010

看大家取消驗證的行動這麼夯
我就趁出門前來補刀一下好了
說明一下為什麼不能接受判決理由說的
"因為SHA-1加密很安全 所以密碼不會外洩"

法院的認定是 SHA-1加密後 密碼無法被反推得知
亦由財團法人聯合信用卡處理中心掛保證
密碼只有持卡人一人得知
看判決是不知道財團法人聯合信用卡處理中心掛了哪些保證
是只有保證說SHA-1非常安全 不會被逆推密碼呢?
還是密碼如果被銀行外洩 財團法人聯合信用卡處理中心要人頭落地?

因為我沒有參與這場官司
所以僅就於SHA-1的安全性與密碼間的關係做小小的討論就好
其他部分沒有充足的證據可以說明
假設真的如同法官認定的
SHA-1加密密碼後超級安全
密碼不會外洩
這種演算法 這種技術 看起來是非常高級的
只有VISA驗證這種高級機構採用這種十足安全的機制
對於持卡人保護已經很足夠了
依照這種邏輯 只要有用到SHA-1技術的程式都是相當安全的
所以我上網隨便找了一個北一女學生的作業
http://tinyurl.com/29x8cpc
裡面剛好也有提到3D驗證 並且作業還是使用SHA-1演算法
剛好跟此例一樣 可以拿來檢驗一下

在附錄一的部分
有使用到SHA-1
我波上附錄一function的程式碼
Sub Login_Click( sender As Object, e As EventArgs )
  IfVerify( Account.Text, Password.Text ) Then FormsAuthentication.RedirectFromLoginPage(Account.Text, RememberMe.Checked)
      Dim hashedPassword As String hashedPassword =
          _ FormsAuthentication.HashPasswordForStoringInConfigFile(password.Text, "SHA1")
      Response.Redirect("index.aspx")
  Else Msg.Text = "帳號或密碼錯誤, 請重新輸入!"
  End If
End Sub

黃色的部分是密碼的明碼
IfVerify是驗證函式
可以看到這邊他是用明碼去驗證 而非使用SHA-1演算後的變數去驗證
而真正用到SHA-1演算法的只有綠色那一行
並且把演算後的值存在區域變數hashedPassword裡面
而因為是區域變數 所以存完以後完全不做任何事情 這個函式就結束了
說白話點 就是為了加密而加密
加密完不做任何事情

我無意攻擊這個程式寫得如何
高中生能寫出這種程式也算很厲害了
在北一女的作業裡面也提到跟判決類似的觀點
-----------------------------------------
使用雜湊函數SHA-1，將畫面輸入的密碼先予以轉換成160bits後傳送，於系統面亦
將使用者密碼檔中之密碼先行以相同的方式處理後，加以比對以確認其正確性，藉以防範密碼因係明碼而遭他人截獲。
-----------------------------------------
事實上呢?
比對的程式是用明碼比對的
所以在比對的時候如果被駭客進記憶體去偷密碼
偷到的會是明碼 而非加密後的密碼

我只想歸納出以下這點想法
聯合信用卡處理中心頂多只能掛保證SHA-1加密後無法被反推
但密碼外洩一定跟上述觀點有關?
一個高中生花幾行程式碼
一樣可以寫出使用SHA-1的程式碼
然後呢？持卡人就該信賴這個程式？
我猜 處理中心也沒在法庭上公開程式碼吧
相關的運作機制都是黑盒子
都給妳們講就好啦
重點在於 有加密總比沒加密好
我自己也常在用線上刷卡
但是發生事情不要亂賴
東西都你們設計的 風險全部由持卡人承擔
鄉民個個都這麼精 會隨便被呼嚨的嗎?

處理中心應該對相關的人員 設備
都是極度的有信心吧
銀行界也不可能請高中生來寫程式
程式裡面絕對不會有任何一個bug
所以發生任何問題
一定都是持卡人的錯
只要沒有持卡人外洩密碼 銀行不會犯下任何一點錯
以銀行界高超的技術
精良的人員 還用了高超的SHA-1演算法
絕對不是高中生寫寫幾行程式可以比擬的
所以請相關持卡人對於銀行要有高度的信心
(最後我還加了這段平衡報導 相關的驗證機構 筆者對妳們不錯吧)
※ 引述《hoboks (戴爾真嫩)》之銘言：
: 剛請同事幫我找到這則判決了
: http://tinyurl.com/2ctzbks
:     被告申請網路驗證服務時所
:     設定之密碼，係被告依其個人自由意志所決定，旁人無從得
:     知，且該密碼係以SHA-1 加密之不可逆方式儲存於系統內，
:     故不會發生資料外洩之情況，亦經財團法人聯合信用卡處理
:     中心以96年6 月21日（96）聯卡商管字第0960400137號函查
:     覆明確，自堪認原告就驗證密碼之安全性已採取相當之防護
:     措施，以確保被告為該驗證密碼之唯一知悉者，在此情況下
:     ，被告即成密碼安全之最關鍵控管者，亦為信用卡遭冒用風
:     險之優勢承擔人，故上開約款將他人得知密碼而盜刷之風險
:     歸由被告負擔，亦符合「風險歸於就防阻風險發生具有優勢
:     之人承擔」之原則，尚難認有何不當失衡之處。準此，本件
:     原告以前開約款課予被告妥善保管密碼之義務，並明定使用
:     「密碼」完成之交易，均視為被告同意之交易，而應由被告
:     負清償責任，應無顯失公平之情形，被告辯稱該約款顯失公
:     平而無效云云，尚不足採。
: 說SHA-1可以加密 又安全的人不是我啊
: 大人 灣甕啊

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.193.12.81
推 gottsuan:你指的問題是另一件事情了 跟hash方式無關
推 ngds:專業，推！
推 gottsuan:想要更了解 可以去研究一下3D secure的架構和ACS系統流程
→ gottsuan:3D secure的交易流程和傳統卡號+效期+後三碼不一樣
推 TZUYIC:銀行：密碼外洩一定是持卡人的錯，持卡人的電腦被駭、被灌
→ TZUYIC:木馬，這也是持卡人管理不周所造成，與銀行無關。
推 TZUYIC:可以請g大發文解釋嗎，我也好想知道3D驗證的交易程序。
→ TZUYIC:與傳統只憑卡號、有效期、檢查碼交易之間的差異。
推 DoraeCookie:不管什麼程序，問題就是在SHA1加密前一定會有明碼
→ DoraeCookie:駭客只要偷SHA1之前的明碼就好了，SHA1怎麼搞根本不是
→ DoraeCookie:重點
→ DoraeCookie:或者說的更白，沒有明碼如何加密
→ hoboks:推樓上
推 Jamy:專業補刀!
推 yinson:上一次大家這麼嗨  好像是中信大剪卡事件  .__.
推 TZUYIC:廢牡蠣表示：我又被鞭屍了嗎！？ <囧>
推 yinson:其實卡版一直有在勸導盡量少用驗證，只是這次突然大爆發 XD
→ yinson:卡版佛心勸導事項: 不要申請預借現金密碼、不要申請驗證
→ yinson:還有少用VISA金融。以上，能不用就不用~   XDDD
→ hoboks:顆顆 可能這次有事主現身 出面表示在東部被盜刷
→ hoboks:真好奇事主現在解決的如何?
推 TZUYIC:我真的很想知道苦主的交易真的是用VISA驗證一次成功的嗎，
→ TZUYIC:還有是周遭親人、朋友所為嗎？
→ hoboks:真希望苦主可以follow這一個討論串
→ hoboks:只要有一個例子是被盜刷 3D secure就破功了吧
→ hoboks:可惜目前持卡人能打贏官司機率應該微乎其微
→ graman:這篇文章說的很有道理 不像那位喜歡胡說八道的某人 又提不
→ graman:證據 被戳破就躲起來的好
※ 編輯: hoboks          來自: 114.136.93.244       (06/07 15:18)
推 GERRYccc:幾本上駭客很難偷到明碼, 刷卡頁面傳輸過程都有SSL加密,
→ GERRYccc:所以過程中，記得要看到瀏覽器出現鎖頭才正常，伺服器端
→ GERRYccc:銀行的防火牆+雜七雜八安全伺服器檢核，不太容易破功~
→ GERRYccc:萬一破功就會上新聞~XD 就會很多個資外洩~所以看新聞就知
→ GERRYccc:唯一拿得到明碼的地方就是使用者端的電腦~所以才會有木馬
推 DoraeCookie:樓上，要偷當然是從SSL加密前偷的....
→ hoboks:駭客可以偷的地方還很多 例如用釣魚網站
→ hoboks:我這幾天把3D架構相關資料整理一下再波出來
> -------------------------------------------------------------------------- <

作者: DoraeCookie (哆啦餅) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Mon Jun  7 13:43:12 2010

不可逆的加密真的有這麼萬能嗎？

現在我們所在的PTT所使用的資料庫裡面
每個帳號的密碼就是用類似的函數運算過後儲存的
那是確保站務人員無法取得密碼的方式
但是如果想偷一個人的PTT密碼
除了進到資料庫裡面去偷密碼之外(失敗，只有函數運算後的值，沒有密碼)
還可以在你上站打密碼的時候用側錄程式來偷

不管你用什麼鬼函數去加密運算都好
但是都要密碼來當作運算的起始值
問題出在誰敢保證在輸入密碼的過程中是絕對安全的？

大家都知道後面的傳輸很安全，問題就是前面那一段安全嗎？

--
修改一些用詞怪怪不通順的地方 XD
--
我的線上模擬城市，歡迎參觀
http://doracookie.myminicity.com/

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.224.55.168
推 TZUYIC:要破解驗證系統真的太費事，還不如一開始就偷走你輸入的密
→ TZUYIC:碼比較乾脆、快、又有效率，拿到後可以爽爽用。
→ TZUYIC:可是這樣又回到銀行堅持的那點，持卡人沒有善盡保護之責，
→ gottsuan:就如樓上說的 駭客很少會對銀行系統破解 因為不容易
→ TZUYIC:讓路人甲可以從你的電腦以任何方式獲取你設定的原始密碼，
→ gottsuan:針對使用者端或是使用流程去破解簡單多了 根本不用破系統
→ TZUYIC:變成雙方根本沒有共識，各說各話的尷尬局面。
推 TZUYIC:而且顯然法官也蠻認同銀行的看法？＠＠
推 ROCAF:銀行會說你的電腦中木馬是你的事情我幹嘛要負責
推 hoboks:推你這篇 寫程式的人要搞鬼也要賴持卡人?
→ hoboks:除了使用者外洩密碼之外 真的都沒有任何管道外洩密碼?
→ hoboks:只用一個sha-1演算法就可以得到這結論?
→ hoboks:反正最後一段我也加了平衡報導 就當銀行最厲害好了
→ hoboks:幫銀行寫程式的工程師全部都是人才
→ hoboks:若這驗證機制出問題 不要賴我身上 我會去用
→ hoboks:否則ㄧ出問題要賴人 就交給對bank有100%信心的持卡人去用
※ 編輯: DoraeCookie     來自: 61.224.55.168        (06/07 14:39)
推 smtp:進資料庫的話,把密碼改掉,事情處理完後,再把原密碼復原即可.
推 hoboks:上面這招也不錯 ㄧ樣可以不用逆推密碼
→ hoboks:我看法官應該是被奸人所害 誤信讒言 顆顆
推 smtp:反正只要密碼不是動態密碼, 都有被側錄的可能.
推 GERRYccc:固定密碼好歹也用個動態鍵盤，快又便宜先解決眼前80%問題
→ DoraeCookie:動態鍵盤遇到滑鼠一個按鈕就拍一張照片的側錄照樣死
→ DoraeCookie:不過還是比什麼都沒做好一點 XD
> -------------------------------------------------------------------------- <

作者: fatcats (心靈律動^^囉 :)) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Mon Jun  7 18:32:50 2010

信用卡就是要方便

如果跟郵局金融卡一樣  多了拔卡並插回的手續   這樣會不會安全的多?

不過網路購物就會變成相對於現在的不方便

如果說可以卡片不在身上就要進行安全的網路購物的話

有沒有可能=========================================

1.那透過網路銀行設定一個一個網路交易開關

  每次要網路交易時   除了去銀行開啟網路交易開關

  然後網路交易的時候 還要輸入剛剛開啟時跳出來的驗證碼
 (用當時電腦IP去搭配隨機參數跑出來的)

  皆相同才進行交易 (驗證碼可以設定限3~5分鐘內交易完成 不然失效)

  這樣除了可以確認使用者的IP之外  還可以多一個即時驗證手續

2.加密過的指紋小型掃描器   就像一些新筆電有這種鎖一樣

  每次網路交易的時候  要插上USB的這個小東西
 (現在已經有部分筆電有內建了 未來也許會推廣全部內建?)

  然後用自己的手去驗證此筆交易

  透過生物特徵進行的驗證    相對的應該也是蠻安全不容易複製的

  透過生物特徵+信用卡資料  配上

  銀行方面由辦卡時就由內部(不透過網路)建立起一組對應的加密過後的碼

  因為加密可以在指紋小型掃描器中進行

  那傳輸的時候就完全不會有明碼產生了

不知道這種可能性大不大

反正歹戲拖棚... 讓我們繼續看下去吧...  XDDD


--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 115.43.156.251
※ 編輯: fatcats         來自: 115.43.156.251       (06/07 18:43)
推 smtp:類似中信的OTP動態密碼,我就覺得很安全了,除非手機不在身邊!!
推 TZUYIC:我不想用指紋驗證，這種生物性的東西......
→ bailan:問題是很多卡都沒晶片，不像金融卡是全面晶片化
→ TZUYIC:真的搞晶片驗證，那國外怎麼辦，很多國家晶片卡可沒有臺灣
→ TZUYIC:這麼普遍，因為臺灣詐騙集團太多才會搞晶片（金融卡）驗證
→ TZUYIC:只有臺灣這裡自己玩自己的嗎？
我覺得現在問題出現了...
如果我們卡版的人早就知道這機制有問題  那發卡組織一定也預料的到會有這一天
現在的關鍵反而變成
在面對大陸銀聯卡的壓力下  發卡組織要怎麼把看似危機的變為轉機
搞不好這個驗證其實本來就只是一個試水溫的幌子...
※ 編輯: fatcats         來自: 115.43.156.251       (06/07 20:04)
推 tellurian:可能是想先試試看消費者會不會有強烈的反感
→ tellurian:沒有的話就騙過去了
推 hahano:我整個看完還是看不太懂ㄟ..真的很抱歉
→ hahano:我最常用的是PCHOME..很擔心有這風險
推 Adsmt:第二個其實是多此一舉，因為現在用的傳輸方式本來就是加密後
→ Adsmt:再傳輸。就算被監聽也無所謂。
剛拜讀完你的大作  ^^  (下面那篇)
第二個除了加密之外...還可以確定是本人...
不像現在  只要知道所有該知道的資訊   家人也可以幫你刷
因為你的手正用於在餐廳吃飯   在客廳的家人就無法通過驗證...
所以應該還是有些差異^^|||
※ 編輯: fatcats         來自: 115.43.156.251       (06/07 22:02)

> -------------------------------------------------------------------------- <

作者: Adsmt (如來神漲) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Mon Jun  7 21:53:49 2010

※ 引述《DoraeCookie (哆啦餅)》之銘言：
: 不可逆的加密真的有這麼萬能嗎？
: 現在我們所在的PTT所使用的資料庫裡面
: 每個帳號的密碼就是用類似的函數運算過後儲存的
: 那是確保站務人員無法取得密碼的方式
: 但是如果想偷一個人的PTT密碼
: 除了進到資料庫裡面去偷密碼之外(失敗，只有函數運算後的值，沒有密碼)
: 還可以在你上站打密碼的時候用側錄程式來偷
: 不管你用什麼鬼函數去加密運算都好
: 但是都要密碼來當作運算的起始值
: 問題出在誰敢保證在輸入密碼的過程中是絕對安全的？
: 大家都知道後面的傳輸很安全，問題就是前面那一段安全嗎？

    看到大家都在談 SHA-1, 卻沒人提到，真正的傳輸協定是 SSL, 你的疑慮並沒有問

題，前面那一段是安全的。

　　SSL傳輸過程也是被加密過的值，中間即使被側錄或監聽所得到的只是密碼，而非明

碼。雖然可能綁架連線篡改證書，但難度非常高，你必須在目標交易期間完成破解和篡

改，可說幾乎不可能。

　　以目前信用卡認證的方式，要取得對方密碼，大概有以下幾種方式比較有可能：

　　1.p2p 洩密，這就不用說了，個人造業個人擔。

    2.密碼太好猜、寫在紙上.....等等，個人造業個人擔。

    3.keylogger, 這個是有難度地。你的電腦只會用來輸入密碼嗎？當然不可能，一定
夾雜一大堆無用資訊，要在這些資訊分析出哪一段是密碼並沒那麼容易。

    總而言之，以現在的密碼技術，駭客要直接破解取得你的資訊，必須大費週章，而

且還不一定成功，以駭客的觀點來看，他會花大把的時間金錢，結果去取得一張信用卡

資料來刷幾千塊的東西嗎？那不如直接入侵銀行去偷幾十億不是更爽快？

　　


--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 122.116.222.246
推 fatcats:厲害的小偷 會偷存款利息的個位數...
→ fatcats:所以真正的高手不在於一次多 而在於不被發現+累積獲利多
→ Adsmt:那是早期可以這樣，因為破解成本低。
→ Adsmt:現在每破解一次都是一個新的挑戰，成本太高，所以駭客都會鎖
→ Adsmt:定肥羊目標才會下手，因為還不一定成功。
→ Adsmt:我看過最瞎的駭客故事，某駭客組織有個大美女，如果該組織無
→ Adsmt:法成功，就會派美女去色誘目標單位重要人物騙取密碼。
→ Adsmt:所以該駭客組織連美國國防部重要機密都能取得。
推 fatcats:因為這是卡版...不然我還真想伸圖...XDDD
→ hoboks:3d secure會在三個組織之間傳來傳去 即使互傳的過程
→ hoboks:資訊都被加密無法破解 萬一中途被介入釣魚網站
→ hoboks:密碼就可以被釣魚網站給騙走了
→ hoboks:這也是3d secure搭配單一密碼制度時 已知的風險
→ hoboks:事實上這套系統是可以搭配動態密碼或晶片卡使用的
→ hoboks:要改進的話絕對可以 早在當初她們設計這系統就想到了
→ hoboks:看他們爽不爽把單一密碼換成其他機制罷了
推 jimfery:To樓上,金融組織之間互傳資料沒人會走Internet,那是封閉
→ jimfery:線路,不可能跑去釣魚網站的
→ hoboks:釣魚網站有方法會介入這個流程的
→ hoboks:因為在使用者跟這三個機構間 不是固定連往同一台主機
→ hoboks:等我全盤把文件看完再把所有的問題點波出來好了
> -------------------------------------------------------------------------- <

作者: DoraeCookie (哆啦餅) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Mon Jun  7 23:30:20 2010

※ 引述《Adsmt (如來神漲)》之銘言：
:     看到大家都在談 SHA-1, 卻沒人提到，真正的傳輸協定是 SSL, 你的疑慮並沒有問
: 題，前面那一段是安全的。
: 　　SSL傳輸過程也是被加密過的值，中間即使被側錄或監聽所得到的只是密碼，而非明
: 碼。雖然可能綁架連線篡改證書，但難度非常高，你必須在目標交易期間完成破解和篡
: 改，可說幾乎不可能。
: 　　以目前信用卡認證的方式，要取得對方密碼，大概有以下幾種方式比較有可能：
: 　　1.p2p 洩密，這就不用說了，個人造業個人擔。
:     2.密碼太好猜、寫在紙上.....等等，個人造業個人擔。
:     3.keylogger, 這個是有難度地。你的電腦只會用來輸入密碼嗎？當然不可能，一定
: 夾雜一大堆無用資訊，要在這些資訊分析出哪一段是密碼並沒那麼容易。
:     總而言之，以現在的密碼技術，駭客要直接破解取得你的資訊，必須大費週章，而
: 且還不一定成功，以駭客的觀點來看，他會花大把的時間金錢，結果去取得一張信用卡
: 資料來刷幾千塊的東西嗎？那不如直接入侵銀行去偷幾十億不是更爽快？
所以你還是誤會我的意思 XD
我的前面一段指的就是【從你敲鍵盤/點滑鼠輸入密碼開始，到使用SSL傳輸之前】

木馬的釋放方式，大概就會像時下流行的線上遊戲盜帳密木馬一般
採用亂槍打鳥的方式，到處亂放木馬，反正遇到對的就會回傳
木馬寫成遇到VISA 3D驗證網頁開啟時就開始回傳必要的資訊並不難

而且現在比較流行的木馬是連帶畫面側錄
簡單說就是對方拿到的資訊就是如同你在看著你電腦螢幕一樣的資訊
在這種模式之下，尚未用SSL傳輸之前，密碼就被人看光光了

話說回來，這還是個人的問題，因為木馬是自己放進來的
不過以現在大多數人對資安的了解/重視程度來說
大概會是富奸的獵人漫畫裡面的名言：
「一個人沒穿衣服站在雪地，但是卻不知道為什麼會冷。」

--
我的線上模擬城市，歡迎參觀
http://doracookie.myminicity.com/

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 118.168.194.242
推 Sany:各位,我最近得到一個機會可以寫給某大銀行資訊長一篇建議,誰
→ Sany:有好建議嗎? ^^
→ hoboks:建議使用3d驗證時 被盜刷不要全賴使用者口以嗎?
→ Sany:樓上覺得這個建議能說服對方嗎?
推 TZUYIC:全世界持卡人都對驗證條款中的交易不可否認性感到反感。
→ TZUYIC:老實說我們的建議都有違銀行自身的利益，要它們接受我們的
→ TZUYIC:建議～～～難喔。
推 hoboks:要賴持卡人以後就沒人想用了啊 科科
→ ROCAF:不會啊 全PTT除了卡版以外的鄉民都用的很高興
推 suscym:不知道以後能不能有輸入好卡號三碼日期等等後 再來個網路
→ suscym:刷卡機
→ suscym:類似晶片卡抽拔機制等等
推 hoboks:3d驗證有這機制這機制做進去 只是台灣銀行不弄
→ hoboks:再多幾個盜刷被銀行告 應該就沒人想用摟
推 GERRYccc:信用卡上加觸碰按鈕(不會凸起)&動態密碼產生器 口以嗎?
推 TZUYIC:G大方案的我曾經也想過，2100年應該有機會實現。
→ TZUYIC:卡片上加個薄膜按鈕，要網路交易按一下就有密碼，很Perfect
推 Yyyyyy:如果因為大家害怕盜刷而減少刷卡金額  導致銀行手續費收入
→ Yyyyyy:減少的話  銀行自己就會想改了  相反的如果真的只有少數人
→ Yyyyyy:在這抱怨  大家卡還是照刷的話  跟銀行講啥都沒用
推 gottsuan:網路刷卡機現在的技術不太可能 因為刷卡機內都有一個安控
→ gottsuan:晶片組 讓收單銀行可以認證刷卡機是真的 如果放到web atm
→ gottsuan:那類的讀卡機上 一台大概要賣萬元吧 這樣子怎麼推得起來
→ gottsuan:我覺得換個角度想 被盜刷銀行也是受害者 所以銀行跟持卡
→ gottsuan:人一樣 都想避免這個風險 如果風險不能降低 當然銀行會傾
→ gottsuan:向於把風險轉嫁出去 不是給持卡人就是給特店
→ gottsuan:後三碼被盜刷是收單/特店要承擔風險 VBV被盜刷是發卡/持
→ gottsuan:卡人要承擔風險 怎麼樣都有一方受害
→ gottsuan:網路購物風險太高 若特店都不願意承擔轉而導入VBV 最後大
→ gottsuan:家大概就只能被迫加入或是用別的支付方式了吧
→ gottsuan:其實這樣持卡人也一樣受害 不承受就要付現或轉帳付款了
→ gottsuan:1F的建議若不能考慮銀行立場 我覺得說了也沒用
推 Sany:樓上,我有疑問,為什麼像web atm那樣要上萬元,那不也是讀卡機?
→ Sany:我也是考慮要用直接防止盜刷的方法建議,而不是轉嫁,我是覺得
→ Sany:簡訊動態密碼不錯呀~以非電腦方法取得不固定的密碼,那應該不
→ Sany:太可能會被盜刷吧~ 或是學8591用設定電話,但只有國內卡友會用
> -------------------------------------------------------------------------- <

作者: Adsmt (如來神漲) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Tue Jun  8 03:02:43 2010

※ 引述《DoraeCookie (哆啦餅)》之銘言：
: 所以你還是誤會我的意思 XD
: 我的前面一段指的就是【從你敲鍵盤/點滑鼠輸入密碼開始，到使用SSL傳輸之前】
: 木馬的釋放方式，大概就會像時下流行的線上遊戲盜帳密木馬一般
: 採用亂槍打鳥的方式，到處亂放木馬，反正遇到對的就會回傳
: 木馬寫成遇到VISA 3D驗證網頁開啟時就開始回傳必要的資訊並不難
: 而且現在比較流行的木馬是連帶畫面側錄
: 簡單說就是對方拿到的資訊就是如同你在看著你電腦螢幕一樣的資訊
: 在這種模式之下，尚未用SSL傳輸之前，密碼就被人看光光了
: 話說回來，這還是個人的問題，因為木馬是自己放進來的
: 不過以現在大多數人對資安的了解/重視程度來說
: 大概會是富奸的獵人漫畫裡面的名言：
: 「一個人沒穿衣服站在雪地，但是卻不知道為什麼會冷。」

    我不信你沒打過密碼，最好你打密碼是看到明碼，而不是看到 "*" XD

    還有，"遇到VISA 3D驗證網頁開啟時就開始回傳必要的資訊"，這個很難，我想到

方法有

    1. 劫持瀏覽器，但這個幾乎不可能。

    2. 自動分析過濾封包，那你得劫持作業系統才行，更不可能。

    3. 當中間人，這個更難了，你要在對方交易其間劫持並破解、篡改證書，一支自

動程式要寫到這樣可說不可能。

　　4. 造假瀏覽器，取代正常版。那你得先寫出一個幾可亂真的瀏覽器才行，太費功，

難度太高。


　　其實木馬並沒有那麼神，很多木馬只是搜集你電腦的資料，回傳回去，所以和p2p

洩密差不多，一堆人笨笨密碼寫在電腦裡，又中木馬，那只好個人造業個人擔了。

    SSL 如果這麼簡單就破，那很多國家的金融體制都要崩解了。駭客一下子就可以駭

走數十億美金遠走高飛。

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 118.169.74.103
推 hoboks:SSL難破 SHA也難反推回原始明碼
→ hoboks:可是只要是人開發的系統 就一定會有bug
→ hoboks:世界上總會有一堆歪人虎視眈眈的在等待入侵這些bug的機會
→ hoboks:只要一有bug出現 就等於門戶洞開 不需要正面迎戰SSL SHA
→ hoboks:老話一句 銀行不要亂賴人的話 不管3d4d5d驗證我都會去用
→ hoboks:只要一出差錯就全要賴到持卡人身上 即使出錯機率小於0.01%
→ hoboks:我還是寧願只用信用卡背面的那三碼就好
推 hoboks:http://en.wikipedia.org/wiki/3-D_Secure
→ hoboks:之前版友提到的 man in the middle attack
→ hoboks:釣魚網站攻擊 wiki都指出是這種3D系統容易受攻擊的弱點
→ hoboks:連wiki都知道的事情 銀行界還可以覺得只有持卡人流出密碼一
→ hoboks:途 真不知道要相信銀行還是相信wiki
推 gottsuan:1不會做不到 查一下BHO攻擊吧
→ gottsuan:SSL不用破 只要把你引導到釣魚網站就可以了 你-釣魚-銀行
→ gottsuan:中間還是走SSL 但是都被釣魚解光光了
→ gottsuan:中間人的攻擊在歐洲發生過了 不會不可能
> -------------------------------------------------------------------------- <

作者: DoraeCookie (哆啦餅) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Tue Jun  8 08:37:12 2010

※ 引述《Adsmt (如來神漲)》之銘言：
:     我不信你沒打過密碼，最好你打密碼是看到明碼，而不是看到 "*" XD
所以還是持續雞同鴨講 XD

不管看到的是【＊】還是【明碼】
不管用滑鼠去點或是鍵盤去輸入
使用者都必須做"輸入"這個動作
如果用鍵盤去輸入的話，對木馬來說【＊】還是【明碼】都沒差
因為是直接監看電腦後端的輸入訊號部份
如果用滑鼠去點擊輸入，勢必要用螢幕上的小鍵盤之類的東西
那只要能夠監看使用者畫面就可以照樣取得輸入資訊

至於你所說的四個方法根本不用這麼麻煩
只要寫一個開機背景常駐的木馬程式
開機便開始監聽你的網路
當網路連往特定網域即開始紀錄你的鍵盤、滑鼠、螢幕動作就可以達到這個效果
只有寫的好不好，能不能騙過防毒軟體、防火牆不被擋下來的問題

你不需要著重在SSL很安全這件事，因為這本來就是事實
但是重點在於使用者端的電腦部份並不安全
要洩漏密碼不會是在SSL傳輸之後發生，而是之前
根本沒人在談要挑戰SSL，因為挑戰SSL太麻煩＆有更簡單的方法

如果您認為VISA 3D驗證是安全的機制，您可以繼續使用
只是我選擇不使用，因為我沒把握保證我使用的電腦會是安全的

==

補充個小故事，以前在輔系資工的時候，年少輕狂會無聊去駭客論壇玩玩
有一回，不知名的人士丟個螢幕訊息給我，需要飲料架嗎？
然後我的光碟機拖盤就自己彈出來了 XD

--
我的線上模擬城市，歡迎參觀
http://doracookie.myminicity.com/

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 59.115.177.253
※ 編輯: DoraeCookie     來自: 59.115.177.253       (06/08 08:52)
推 walkingslow:我曾經對我同學幹過飲料架的事...
推 hoboks:科科 好好笑的駭客 真有創意XD
→ hoboks:推這篇 電腦一被入侵了 就等同是你本人了 要啥密碼就有啥密
→ hoboks:碼
推 ruve:飲料架這個還蠻常見的，一起上課的阿拉伯人每個都會
推 smtp:飲料架...真幽默^^
推 hamk5202:我也玩過XD，最好玩的利用廣播系統，全教室都出飲料架~
推 Sany:呵~這個飲料架情況好像聽過~ 原po才說一樣: 監視剪貼簿
→ Sany:                               少
→ Sany:以前看很多線上遊戲討論區教人家如何防止被盜都說用剪貼的.囧
→ itucson:你真是有耐心,對不懂裝懂的可以講這麼多
> -------------------------------------------------------------------------- <

作者: Nando (輕拂的風) 看板: creditcard
標題: Re: [新聞] 信用卡被盜刷 「保密不周」敗訴
時間: Thu Jun 17 20:20:31 2010

前文恕刪

這個3D密碼驗證其實一點都不保密
我常常使用中信Visa或是永豐Visa在網路上買東西 一個月十次跑不掉

結果發現好玩的過程，就是不管是IE或是Firefox到了3D密碼驗證的畫面時候
(自己的電腦 密碼都是自動記憶的)每到驗證畫面我的驗證密碼欄位都是六個黑點
(也就是密碼已經幫我記憶 瀏覽器自動幫我填好了)
我也從來不用滑鼠 到那畫面都是直接按Enter 就直接刷過了

現在還是有很多網路銀行登入密碼可以自動記憶
技術性的東西太複雜我不懂  但是如果密碼這東西都可以自動記憶
我不覺得這種驗證方式的銀行有什麼安全性可言

對於大部分使用者都不是電腦專業而言 銀行的責任也太輕了
什麼中間的過程要加密等等的技術 我覺得Visa的重點抓錯方向



現在的過程跟十年前自動ATM側錄條碼是一樣的
相信大家都記得之前銀行深夜的ATM大門都要刷條碼 結果一堆假條碼機在側錄
還有假側錄機架在ATM的插卡機上 加上攝影機在旁邊側錄按鍵密碼
結果歹徒利用銀行給的機會拼命側錄 當時搞的人心惶惶 一堆人被盜領
銀行一開始也是說密碼是使用者自己洩漏的 要自己負全責
結果盜領的案件越來越多的時候 銀行才坦承自己有疏失
現在晚上進入銀行ATM都不用在大門先過卡
ATM插卡口往外推不讓側錄機有機會卡上去
提款卡也全數改為晶片卡增加動態資訊 降低側錄風險



如果Visa 3D認證可以自動記憶密碼 之後的驗證瀏覽器只按個Enter就可以過卡
那還有什麼機密可言？
在IE或是Firefox卡號也是自動記憶 日期也是自動記憶 驗證碼也是自動記憶
連進入Visa 3D認證也是自動記憶
(基本上我都沒有在記卡號 每個欄位只要按↓鍵 之前的自動記憶就會跑出來)

整個過程中連個動態的機制都沒有 晶片也不需要 我不懂這3D認證是哪種3D？
Die Die Die嗎？


全台灣的電腦數量肯定是比ATM多幾千倍 要偷這些自動記憶的資訊易如反掌
我不懂這官司怎麼會輸  如果是我到庭 我只要把瀏覽器的自動記憶打開
叫法官輸入他的卡號跟3D驗證一次  然後我就再示範幫他刷一次卡
側錄軟體或是後門程式根本都用不上 IE或是Firefox的預設功能就可以幫你搞定
更別提那些自動記憶的檔案是多輕易的就可以被偷走 這哪門子的安全驗證？

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 61.228.57.186
→ bailan:那個記憶好像是你瀏覽器搞得吧
→ calmdownplz:法官的意思就是 電腦是你的，IE、FX是你在用的，不安
→ calmdownplz:全是你自己電腦使用的問題，不關銀行的事
→ calmdownplz:你的說法上法庭一樣會輸