Luottokorttin lukulaite

[Terabitti]

Miksei mäceissä ole vieläkään vakiona luottokortin lukulaitetta nettiostoksia varten?

[tBa]

Onko PC-koneissa vakiona luottokortin lukulaite nettiostoksia varten? Mikä vaiva se on näpytellä käsin se numero?

[Jamac]

Ja siirretään viestiketju laitteisto-osiolle...

[Terabitti]

Blonk [:S] Kysymys oli siis integroidusta luottokorttiaukosta macissa, ei erillisestä laitteesta.

Kiinteä luottokorttilukija maceissa ja muissa koneissa helpottaisi maksamista, sillä numeron nakuttelu on vaivalloista ja hidasta. Pikku parannus helpottaisi pikkuostoksia ja toisi miljardien dollarien edestä liikevaihtoa myyjien ja asiakkaiden välille.

[nege]

Kiinteä luottokorttilukija maceissa ja muissa koneissa helpottaisi maksamista, sillä numeron nakuttelu on vaivalloista ja hidasta. Pikku parannus helpottaisi pikkuostoksia ja toisi miljardien dollarien edestä liikevaihtoa myyjien ja asiakkaiden välille.

Ootko aivan kunnossa?? [:^)] Kiinteä luottokorttilukija ei taida olla konevalmistajien eikä Pekka Peruskäyttäjän mielestä must-juttu..

[mtoivo]

Ennemmin odottelisin sirukortinlukijaa, mutta taitaa olla kova juttu vasta muutaman vuoden päästä. Sellaisen tosin saa mäkkiinkin parilla kympillä. Itelläni on projektina käydä laittaan OKO:n visaelectronin siruun HST-tunniste, jolloin esim. nettipankissa asioinnissa ei ainakaan OKO:lla tarvitse kuin kortin ja PIN-koodin. En ole ikinä niistä avainlukulistoista pitänyt, vaikka ymmärrän, että se on toistaiseksi turvallisin tapa. Kunhan EMV-hanke pääsee kunnolla käyntiin, päästään verkkoasioinnissa siihen, mitä sen pitäisi jo nyt olla. Mutta pidetään ne sirut sitten kortilla.

Magneettiraidalliset kortit ja pelkällä numerosarajalla maksaminen ovat ainakin oman tietämykseni mukaan pikkuhiljaa katoamassa, ja syytä onkin. Sirukorttikin pitäisi saada luettua langattomasti, ainakaan nykyisellään nuo kontaktipinnat eivät ole järin kestäviä.

[Terabitti]

Jep, sirukortti voi olla luottokortti tai pankkikortti. Lompakosta löytyy Visa Electron ja Mastercard.

Jossain vaiheessa myös Digi-TV menee webcastiksi, laatu paranee ja muuttuu maksulliseksi. Salaus purettaisiin koneella ja tunnusluku ostettaisiin sirukorttilukijalla.

[Elroy]

Ei onnistu ihan niin helposti. Magneettinauhalle on kryptauksella sisällytetty paljon tietoa kuten tunnusluku. Jotta joka jannulla olisi kotona lukija, pitäisi olla softa tai rauta jossa se kryptausavain olisi ja sitten se olisikin jo murrettu.

[jonesb]

Je, itsellenikin tulisi heti mieleen yrittää sabotoida kortinlukijaa. Tuollainen masiina olisi kyllä älyttömän suuri tietoturva riski. Ehkäpä se on se syy miksei noita ole . Ja toisaalta verkkomaksaminen on jo nyt nopeaa ja luotettavaakin, miksi turhaa alkaa mitään kortteja höyläämään.

[Elroy]

Itseäni ei se luottokorttinumeron naputtelu haittaa. Jos se ahdistaa, niin "pienellä" tietoturvariskillä talletat sen johonkin tiedostoon josta sitten copypastella heität sen sinne tarvittaessa.

Nimimerkillä, "mikäs se sun ip olikaan?"

[tBa]

Magneettiraidalliset kortit ja pelkällä numerosarajalla maksaminen ovat ainakin oman tietämykseni mukaan pikkuhiljaa katoamassa, ja syytä onkin. Sirukorttikin pitäisi saada luettua langattomasti, ainakaan nykyisellään nuo kontaktipinnat eivät ole järin kestäviä.

Mun kokemuksen mukaan ne on nimenomaan ihan järjettömän kestäviä- ainoastaan magnetismista ne ei todellakaan tykkää. Itsellä on ollut kortti missä magneettinauha sai ihan hirveää kohtelua, se kastui, kului, hankautui likaantui ja lopulta vielä taittui kaksikerroi keskeltä- ja seuraavassa automaatissa toimi normaalisti. Tosin tuossa paukutuksessa kortin sirupuoli meni mykäksi. eikai se näin aina ole, mutta nämä on mun kokemuksia.

[Tee-Rex]

Ootko nähnyt Discoverylta Mythbustersia? Aikalailla sai kortille magneeteilla kyytiä antaa ennenkuin mitään muutosta saivat aikaan.

[funfunk]

Joo o, ja palataan asiaan.
Onkos kenelläkään kokemusta HST-kortinlukijasta ompussa ?


_ff_

[NOx]

Ei onnistu ihan niin helposti. Magneettinauhalle on kryptauksella sisällytetty paljon tietoa kuten tunnusluku. Jotta joka jannulla olisi kotona lukija, pitäisi olla softa tai rauta jossa se kryptausavain olisi ja sitten se olisikin jo murrettu.

Magneettiraidalla ei ole paljon mitään, raitoja on kolme ja niistäkään ei välttämättä kaikkia käytetä. ISO/IEC standardin 7811 mukaisesti Track 2 mukaan sisältää max 40 merkkiä, siis 1234567890123456789012345678901234567890. Track 2 on se jota lähinnä käytetään eikä siellä ole oikeastaan mitään sellaista mitä ei kortin päältäkin voisi omin silmin lukea. Track 3 saattaa sisältää PIN-luvun kryptatussa muodossa, mutta useimmiten PIN-luku on kyllä ihan muualla l. luottolaitoksen tai erityisen pankkien yhdessä omistaman turvalaitoksen tietokannoissa. Yksinkertaistettuna kortin antaja l. pankki lähettää kyselyn eteenpäin eli tieto on hajautettu. Pankki tietää kortin haltijan ja numeron, turvalaitos kortin numeron ja PIN-luvun. Jos nämä täsmäävät asiakkaan antamaan PIN-lukuun ja kortin numeroon voidaan tehdä nosto tai ostos. Se onko joka jannulla lukija vai ei on aika merkityksetöntä turvallisuuden kannalta. Oli miten oli PIN-lukua ei edes käytetä useimmissa ostostapahtumissa, eniten sitä tarvitsee automaatilla asioitaessa. Track 3 sisällöstä ei edes ole olemassa yhtenäistä sopimusta. Track 3 on read/write-tilassa, kun taas Track 1 ja 2 ovat read only. Magneettiraidan tärkein tarkoitus on helpottaa ja nopeuttaa asiointia, ilman sitä ei olisi nykyisiä kassajärjestelmiä eikä sähköisiä palveluita.

[mtoivo]

Mun kokemuksen mukaan ne on nimenomaan ihan järjettömän kestäviä- ainoastaan magnetismista ne ei todellakaan tykkää

En kai tuota magneettiraidan kestävyyttä tässä kritisoinutkaan, pahoittelen jos tekstistäni sai sellaisen kuvan. Itselläni on juuri samanlaiset kokemukset magneettiraidasta ja sirusta: kertaakaan ei ole magneettiraita vioittunut, siru meni ensimmäisestä nordean visa electonista rikki. Harmillista, koska tuon siru muuttui euro-aikaan siirryttäessä sellaiseksi, että latauksesta ei veloitettu mitään. Käytin sirua näet elektronisena kukkarona, parkkimaksuja maksaessa ja armeijassa sotkussa. Magneettiraidan toivon poistuvan juuri sen vuoksi, että se ei ole järin turvallinen. En tiedä tallennetaanko varsinaisesti PIN-koodia raidalle, epäilen ettei. Mutta jollakin tavalla esim. kylmät bensa-automaatit kykenevät (tai ainakin kykenivät...) tarkistamaan onko PIN-koodi oikea ottamatta yhteyttä mihinkään pankkiin tms. Kyse lienee jostain kryptaus-algoritmista, ja jos sitä ei voi purkaa niin ainakin brute-forcettaa. Neljän numeron sarjaa ei kauaa tarvitse testailla. Sirun paremmuudesta tähän nähden en edes jaksa perustella, kukin voinee päätellä edut, siruhan ei ole mikään muistipankki (jos takavuosien puhelukortteja ei lasketa) vaan ihan ehta pikku-tietokone.

[NOx]

poistuvan juuri sen vuoksi, että se ei ole järin turvallinen. En tiedä tallennetaanko varsinaisesti PIN-koodia raidalle, epäilen ettei. Mutta jollakin tavalla esim. kylmät bensa-automaatit kykenevät (tai ainakin kykenivät...) tarkistamaan onko PIN-koodi oikea ottamatta yhteyttä mihinkään pankkiin tms. Kyse lienee jostain kryptaus-algoritmista, ja jos sitä ei voi purkaa niin ainakin brute-forcettaa. Neljän numeron sarjaa ei kauaa tarvitse testailla. Sirun paremmuudesta tähän nähden en edes jaksa perustella, kukin voinee päätellä edut, siruhan ei ole mikään muistipankki (jos takavuosien puhelukortteja ei lasketa) vaan ihan ehta pikku-tietokone.

Miksiköhän kukaan ei ole sitten purkanut tuota? Automaatin varastaminen testikäyttöön on ongelmista pienin.

Ellei datayhteyttä olisi niin aina kun jollekulle annettaisiin uusi bensakortti niin eräs Pertti-niminen kaveri joutuisi ajamaan koko Suomen läpi päivittämään uuden kortin tiedot automaateille. Sitten Veikko menee ja ottaa Plussa-kortin eli Pertti-raukka revitään sängystä kesken unien että lähdepäs päivittämään tietoja, nyt sen Veikon pitää saada 2 senttiä litra alennusta jos se käyttää Miinus-korttia. Pari kuukautta myöhemmin Veikon kortti varastetaan eli Pertti hälytetään saunasta lisäämään Veikon kortin tietoja joka automaatin myyntikieltolistoille.

Olet myös ehkä saattanut törmätä jollakin automaatilla ilmoitukseen ettei sitä voida käyttää tietoliikennehäiriön takia tai siksi kun ohjelmistoa päivitetään. Jälkimmäisessä tapauksessa en ole kertaakaan onnistunut näkemään esim. kaupan tuulikaapissa nörttiä raplaamassa uutta Windowsin SP:tä automaatin kovalevylle, tästä olen päätellyt senkin onnistuvan etänä.

Tunnuslukuja on selvitetty asentamalla automaatin päälle feikkinäppis, siinä oleva lukulaite rekisteröi kortin numeron mg-raidalta ja käyttäjä avustaa näppäilemällä oikean tunnusluvun. Sitten puretaan data, koodataan kortin numeron mg-raidalla ja lähdetään ostoksille.

Suurin ero sirukortin ja mg-kortin käytössä ostoksia tehdessä on se että sirukortin yhteydessä vaaditaan aina pin-koodin kuittauksen ostoksen varmennukseen. Sama voidaan tosin tehdä mg-kortillakin saman datayhteyden kautta kuin muukin varmennus. Kaikille korteille yhteistä on ettei mitään ostoksia voi tehdä turvallisesti jos datayhteys pätkii. Tällöin siirrytään mankeloimaan.

[mtoivo]

Hyviä pointteja, hyviä pointteja. En tiedä mistä olen jäänyt käsitykseen, että aikoinaan keskellä ei-mitään olevat kylmäasemat olisivat olleet linjattomia. Kiitos kuitenkin kun jaksoit noin pitkästä rautalangasta vääntää. Ihan kurisositeettninä sellainen pitää mainita, että aikoinaan kun jenkkilät hakkerinappulat aloitteli war-dialing -harrastustaan löysivät se seuraavaa. Erääseen numeroon soitettaessa, alkoi yhteyden muodostuksen jälkeen ruudulle tulla solkenaan numerosarjoja, jotka pienen selvityksen jälkeen paljastuivat kaikki valideiksi luottokortinnumeroiksi. Kyseessä oli ilmeisesti palvelu, johon tuollaiset automaattiset maksulaitteet soittelevat silloin tällöin ja päivittävät validejen luottokorttien tietokannan. Näin varmaan siis ennen, kun jatkuvayhteyksiset automaatit tulivat markkinoille. (Lähde: Ei ainoastaan hakkerin käsikirja, Ilkka Tuomi, WSOY 1987)

Suurin ero sirukortin ja mg-kortin käytössä ostoksia tehdessä on se että sirukortin yhteydessä vaaditaan aina pin-koodin kuittauksen ostoksen varmennukseen. Sama voidaan tosin tehdä mg-kortillakin saman datayhteyden kautta kuin muukin varmennus. Kaikille korteille yhteistä on ettei mitään ostoksia voi tehdä turvallisesti jos datayhteys pätkii. Tällöin siirrytään mankeloimaan.

Maksutapahtuma on tietysti aina sellainen, että tosiaikainen varmistus pitäisi aina pystyä tekemään. Magneettikortin tapauksessahan PIN-koodi on aina pankilla tallennettu. Sirulla maksaessa laite varmentaa PIN-koodin perusteella, että maksaja on kortin omistaja, ja pankilta vain sen, että kortilla on katetta. Täten maksajan autentikointia ei tarvitse vetää linjoja pitkin. Sirukortti on mielestäni siinä mielessä mukava, että sinne sirulle saa myös kaikkea muuta kuin pelkästään muutaman maksukortin tiedot, esimerkiksi kansalaisvarmenteen (pankkiasiointi ilman avainlukulistoja verkkopankeissa) ja pienen ladattavan "käteislompakon" jolla voi maksaa pikkuostokset myös koneilla, joissa ei ole jatkuvaa datayhteyttä (parkkimittarit, joissa ei käy visa electron uudistuksen jälkeenkään. Näin Tampereella. Tietääkö kukaan onko niissä jatkuva yhteys?). Ja lisäksi, kun PIN-koodi on tallennettu kortille sen voi halutessaan vaihtaa vaikka joka päivä. Ja se, että päällä on aina oma henkilökohtainen varmennus- ja kryptauslaite miellyttää minua henkilökohtaisesti, jos pääsisi vielä jonain päivänä näistä salasanojen syöttelystä kortin ja PIN-koodin syöttämiseen. Nämä kaikki ovat tietenkin vain mielipiteitä, ja tuollaisen sirukortin käyttö tehokkaasti edellyttää, että ko. sirukortinlukija tulisi mahdollisimman moneen paikkaan. Tuolla TAMKissa on ainakin mielestäni jokaisessa ATK-luokassa sirukortinlukija työasemiin liitettynä.