Re: [心得] 關於台新信用卡被盜用拿去預借現金

[isaacc (小元宅爸)]

※ 引述《beagle (紅茶犬)》之銘言：
: 做個技術上的討論...
: ※ 引述《isaacc (小元宅爸)》之銘言：
: : 銀行為了降低風險基本上不會留下您的密碼，他們存入的是hash value
: : (至於為何持有hash value卻還可以確認原密碼，請研讀密碼學相關知識)
: : 所以說根據數學理論上的分析，只有您才有可能持有該密碼。
: : 這也是為什麼連主管機關都會覺得說持有密碼的人要去負責就對啦
: 我們現在講的是四位數磁條密碼對吧?
: 四位數的純數字密碼, 以 hash value 保護原值是無效的,
: 只要有 hash value, 可以用一台 Pentium-90 在 10 秒內以暴力法解出來,
: 因為總組合數太少, 暴力法試一遍就行了, 這件事我在大學時實驗過。

這邊也做技術上討論
如果真的是四位數的純數字密碼 vs hash value
那麼網路上有很多的hash data database
直接可以用查表法立刻解決

但基本上系統設計一定會附加IV (initial vector)
IV的長度可能64bit起跳
另外還有HAMC的作法，進行兩輪hash (RFC 2104, 這篇很老了)
因此系統端其實只有留存IV以及hash value
後端只做比對，完全不留下密碼資料
這個設計很基本，為的也是避免落人口實，並且降低工程師的精神壓力

: 有可能這樣做的只有網路銀行密碼, 英數符號混雜且不能太短, 以提高組合數...
: 所以我對 "銀行端沒有存磁條密碼" 非常懷疑...
: 存 hash 幾乎等於存密碼, 那為何不直接存密碼? hash 只是多此一舉...
: 相信您也是推測, 並非真正見過銀行的資訊系統,
: 所以才會照常理認為他們有做現代化的密碼保護措施...

您猜錯了。
版上的朋友接觸到的銀行系統比我多的不太容易，我碰過二十多個國家的銀行系統吧。
另外這真的是很基本的設計，說難聽點白癡才會把密碼留在主系統內。

: 理論上是這樣說, 實際上銀行主機並不在 Internet 上, 而是受到重重保護,
: 要取得密碼資料庫沒那麼簡單...

這是IT審計的範圍了，基本上主機資料庫能碰到的人很少，但還是要看管理制度。

:                 *               *               *
: 晶片卡是有可能不存密碼在銀行端的, 而是做為晶片的 PIN code, (有可能而已)
: 如此你的 6-12 位數密碼只有晶片知道, 用來開啟晶片的下一層加密機制...
: 這部份機制我不確定台灣的晶片卡是如何做的...
: 老實說晶片卡不是不能偽造, 這我很清楚, 但逆向工程和偽造的成本之高,
: 只能說如果真的發生, 應該是有大型財團介入...

這段離題了，不過資料其實還真的找得到。
晶片卡的重點是hash value不會經過網路傳輸，傳輸的都是session key
而密碼驗證的部分都在晶片中完成，晶片的安全規格也有滿足某種保護標準
所以就算是被測錄，也沒有被製作偽卡的問題，除非直接對晶片下手
這是當年要花大手筆全國急著一起換卡的原因，目前也沒有大型案例產生
但也因為國內晶片卡標準並非國際認可
因此大家出國時，只能用磁條密碼，而不能用晶片密碼
所以反而有被測錄製造偽卡(磁條卡)的風險....

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 61.217.147.138
推 iele:其實蠻詭異的 一般偽卡集團多是購買高變現性的東西變賣 要是
→ iele:這麼容易取得預借現金密碼 也不會盜刷集團多是在持偽卡購物時
→ iele:被抓到 到現在我還是覺得一整個不太單純
→ iele:我持中立態度
推 WaterDragonI:我覺得疑點太多了～關鍵是密碼....就算假設密碼是被
→ WaterDragonI:植入木馬後被拿到，但是卡片呢？歹徒用什麼方法可以
→ WaterDragonI:測錄到vicky70兄的卡片，然後據此做出一張偽卡來盜領
→ WaterDragonI:？？？？
→ WaterDragonI:另外就算額度只有八千...歹徒怎麼會知道？而且剛好
→ WaterDragonI:一次五千，一次三千這麼巧？
→ WaterDragonI:搞不好我們正在見證一個新的手法？！這一定要追下去
推 shiely:樓上沒爬文才會有此疑問
推 shiely:抱歉推錯
推 WaterDragonI:基本上不論密碼是怎麼流出去的，我覺得跟"偽卡"能跟
→ WaterDragonI:"預借現金密碼"能夠match確實是一個待釐清關鍵！！
→ GERRYccc:我也覺得~ 有卡+密碼 = 本人~ 就算密碼被木馬抓走~...但
→ GERRYccc:卡沒丟~ 歹徒怎麼拿到卡?! 晶片偽卡破解成本太高~~
→ GERRYccc:我也想知道~~到底是為甚麼可以被領得走~卡&密碼?!曾離身?
推 umctsmc:[想請問] 預借現金是讀磁條還晶片? 國內還有讀磁條的嗎?
推 jack2:國內讀磁條的信用卡可多著,至於原PO的情形,就不知道了
→ vicky70:謝謝大家  我是原po 我那張信用卡是磁條信用卡 未升級晶片
→ vicky70:我的信用卡從未遺失 唯一離開我視線就是給百貨公司小姐
→ vicky70:拿去結帳,至於嫌犯如何知道我的預借現金額度
→ vicky70:我也很好奇,這件事情搞了我一個月,最終還是要自認倒楣
→ vicky70:早知道不要特地從淡水跑到基隆去報案,還去了兩次= =