Rabobank Pincode lek?

[remixtyle]

Ik heb het hele forum doorgelezen, en wil toevoegen dat het mij gewoon is gelukt om internetbankieren te voltooien als de random reader open voor me ligt. In mijn ogen is het mogelijk om de teller te manipuleren. Stel, je meet een piekspanning (data) naar de chip toe als de pin fout is, en je onderbreekt dit of je stuurt handmatig het signaal: pin juist naar de chip toe, dan is een brute forse ineens wel mogelijk. Graag jullie reacties.

[utbone]

Ik weet niet of je zo'n reader wel eens open hebt gehad, maar de chip is met een soort hars overgoten. En onmogelijk zonder beschadigingen bloot te leggen.

[Verwijderd]

En als je dat hars verwarmt, krijg je het er dan ook af?

[serkoon]

De reader zelf is niet echt interessant om de pin te achterhalen, want die zit gewoon in de chip van de pas ingebakken en het enige dat de reader doet is communiceren met de chip. Die communicatie kun je op zich natuurlijk wel onderscheppen en/of manipuleren, maar daar kom je niet echt verder mee. Waarom zou je de reader openen als je ook gewoon iets tussen de chip en de lezer kunt schuiven om de communicatie mee af te vangen?

Wat remixtyle zegt over piekspanning naar de chip, glitching.. daar worden die dingen op ontworpen om mee om te gaan. Waarschijnlijk telt zo'n chip ook eerst het aantal overgebleven pogingen af om die vervolgens op te hogen als de pin goed is ingetypt, in plaats van het aantal overgebleven pogingen te verminderen bij een foute pin.

Smartcard-chips in het algemeen worden als het goed is ontworpen om met allerlei aanvallen om te gaan. Willekeurigheid in timing van uitvoering van code en robuustheid van de chip zelf om glitching tegen te gaan, gebruik van specifieke metalen/stoffen die op straling reageren en de chip beschadigen als je hem wil rötgenscannen.. Ik geloof zelfs zuren die de chip beschadigen als je de chip begint te polijsten om in laagjes te fotograferen?

Oftewel: kraken van een smartcard chip is niet bepaald triviaal en, volgens de risico-inschatting van banken, is de de investering per pas die een aanvaller moet doen het niet waard om de passen nog verder te beveiligen. Dat blijft de bottom-line: hoeveel kost het om een enkele pas te kraken en hoeveel levert je dat vervolgens op? En voor de banken: hoeveel resources gaat een aanvaller er aan spenderen en hoeveel kosten moet de bank maken om welke aanvallen niet meer rendabel te maken?

[ Voor 7% gewijzigd door serkoon op 13-11-2013 13:59 . Reden: Verduidelijkte conclusie ]

[AW_Bos]

Is het niet zo dat er bij het ondeskundig openmaken al iets in de Random Reader verbroken wordt, waarmee hij ten dode opgeschreven is, en waarbij de microchip vernietigd wordt?

[Xander]

remixtyle schreef op woensdag 13 november 2013 @ 11:59:
Ik heb het hele forum doorgelezen, en wil toevoegen dat het mij gewoon is gelukt om internetbankieren te voltooien als de random reader open voor me ligt. In mijn ogen is het mogelijk om de teller te manipuleren. Stel, je meet een piekspanning (data) naar de chip toe als de pin fout is, en je onderbreekt dit of je stuurt handmatig het signaal: pin juist naar de chip toe, dan is een brute forse ineens wel mogelijk. Graag jullie reacties.

De reader stuurt niet 'pin juist' naar de chip toe. Hij stuurt enkel de pin die jij invoert ter beoordeling naar de chip toe. De chip beslist zelfstandig of deze goed is.

Zie je randomreader als niets meer dan een toetsenbord en een monitor. De computer zit in de chip op je pas.

[Miyamoto]

AW_Bos schreef op donderdag 14 november 2013 @ 19:03:
Is het niet zo dat er bij het ondeskundig openmaken al iets in de Random Reader verbroken wordt, waarmee hij ten dode opgeschreven is, en waarbij de microchip vernietigd wordt?

Ja, klopt.
Maar na 1x zo'n ding open maken weet je natuurlijk waar die switch zit ;-)
Het ding blokkeert je pas ook als je 3x een foutieve code intoetst.

[begintmeta]

Weet iemand hier eigenlijk welke chip men gebruikt?

[ Voor 5% gewijzigd door begintmeta op 15-11-2013 12:57 ]