Komentarze

do: Atak na klientów LUKAS Banku

Dodaj nowy

Najnowsze

Wyróżnione

Śledź przez RSS

Komentarze:

~Eline.pl

Tokeny w systemie RSA sa od dawna dostepne dla wszystkich hakerow - wystarczy znac numer tokena i uzyc odpowiedniego (latwo dostepnego) softu, zeby dostac dokladnie te same cyferki co w tokenie. Jest soft gdzie podaje sie kilka numerkow jeden po drugim a program generuje nam numer tokena. Tokeny z RSA to ZŁUDNE poczucie bezpieczenstwa i jak widać wiele osób daje się na to "nabierać".

16-02-2009, 10:34

odpowiedz
szymarek (176)

Dzwoniła też do mnie taka babeczka. Dokładnie ten sam schemta. Numer zastrzeżony i na dzień dobry PESEL, oczywiście odmówiłem. Była bardzo zdziwiona że nie chciałem podać. Do tej pory nie wiem o co jej chodziło, powiedziała że ma to związek z moją kartą kredytową. Naprawdę głupia metoda. Ciekawe ile osób się na to nabiera.

26-06-2008, 10:13

odpowiedz
~nolan

szmerek bajerek
System jest na tyle bezpieczny na ile bezpieczny jest najsłabsze ogniwo.
Standardem w LB jest informowanie klienta o niezrealizowanych transakcjach i przy okazji Pani (inicjująca połączenie z ZASTRZEŻONEGO telefonu) wypytuje o PESEL, nazwisko panieńskie matki, datę urodzenia itp. rzeczy. W pewnych sytuacjach wymagają podania kilku cyfr z hasła telefonicznego dostępu do banku.
To ma być bezpieczne?

26-06-2008, 10:07

odpowiedz
szymarek (176)

Token z Lukasa ma dokładnie 6 cyfr. http://www.lukas(...)oken.asp tutaj można sobie poczytać o tym tokenie: Token generuje 6-cyfrowe wskazanie w oparciu o tajny prywatny klucz oraz bieżący czas (token jest zsynchronizowany z serwerem banku). System komputerowy LUKAS e-Banku znając klucz prywatny danego tokena oraz algorytm stosowany przez token, potrafi stwierdzić czy ciąg cyfr podany przez klienta jest prawidłowy.

26-06-2008, 09:53

odpowiedz
~Coaxen
[w odpowiedzi dla: ~Robert]

Token ma np. 6 cyfr i zmienia się okresowo. Podejrzewam, że on nie losuje się całkowicie przypadkowo bez dodatkowych wymogów, i np. dany zestaw kodów jest ważny tylko przez jakiś czas, np. 24 godziny. Ale to tylko taka dygresja.

Pomijając wymóg posiadania tokena, jest jeszcze inna kwestia. Jak trzeba być głupim, by dać się nabrać na takie coś? Przecież nawet przy zmianie hasła do konta podaje się przez telefon jedynie częściowe dane do logowania w celach bezpieczeństwa.
Wszystkie procedury są tip-top, a potem ktoś wysyła jakiś ewidentny mail. Jak ktoś da się nabrać, to jest naiwny i tyle - zapłaci za to podatek od głupoty.

26-06-2008, 09:48

odpowiedz