בתשובה לגרב בר, 17/12/02 18:51
 |
|
 |
||
|
||||
 |
כלומר, בכל שימוש בכרטיס האשראי, הלקוח יצטרך לקבל דרך המוכר מספר חדש לכרטיס? הרי, כיצד יקבל הלקוח מספר חדש? ישתמש בעמדה שבדוכן המוכר, אחרת זה לא נוח. מה מונע מן המוכר "לטפל" בעמדה כדי שתתן לו את המספר? |  |
 |
 |
|
|
|
||
|
||||
|
העמדה תעביר לכרטיס את המספר בצופן, שרק הכרטיס מבין (כי הוא-הוא הכרטיס האמיתי), ועם חתימה של הבנק. בעל העמדה יכול לראות מה נמסר לכרטיס, אבל לא להבין (כי הוא לא הכרטיס, לכן אין לו המפתח לצופן). בעל העמדה יוכל להעביר מידע משלו לכרטיס, אבל הכרטיס לא יאמין לו (כי הוא לא יוכל לחתום בחתימה של הבנק). עם זאת, כל השיטה הזו של ''מספר בכל עסקה'', שלא התעמקתי בה, נראית לי כמו רעיון לא מוצלח. |
|
|
|
|
|
|
||
|
||||
|
יש לי תחושה שזה פותח פתח להתקפת known-plaintext על הכרטיס, אבל לא משנה. | |
|
|
|
|
|
||
|
||||
|
אתה יכול לפרט? | |
|
|
|
|
|
||
|
||||
|
יתכן כי לא הבנתי את התהליך נכון, אבל הבנק שולח מספר מזהה, ושולח את אותו המספר מוצפן לכרטיס. הכרטיס נותן את המספר למוכר הבא, המספר מועבר לאחר כבוד לבנק, הבנק מחזיר עם מספר חדש, וכן הלאה. כלומר, קנוניית מוכרים יכולה לאסוף מספרים ומספרים מוצפנים לפי המפתח שבכרטיס. |
|
|
|
|
|
|
||
|
||||
|
קודם כל, אפשר להשתמש בהצפנה שחסינה (ככל הידוע) מהתקפות know plaintext. שנית, מדוע שהמוכרים יצטרכו לראות את המספר? כלומר, מה יש למספר הלא-מוצפן לחפש אצל המוכר? | |
|
|
|
|
|
||
|
||||
|
מה המשמעות אם המספר נשלח באופן מוצפן גם הלוך וגם חזור? אז באותה מידה קנוניית המוכרים יכולה (פעם אחת) לנצל את המספר הזה, ולשלוח אותו בדרך חזרה במקום בעל הכרטיס. | |
|
|
|
|
|
||
|
||||
|
טוב, נו, אני באמת לא התעניינת כ"כ איך השיטה הספציפית הזו עם המספרים המתחלפים עובדת או בשביל מה היא טובה. תמיד אפשר להבטיח שהמוכרים לא יוכלו לעשות משהו שהכרטיס (ובעליו) כן יכולים, אם הנמען בצד השני דורש שהכרטיס יחתום על השדר. כדי לעשות את החיים פשוטים בהרבה: כל מה שצריך הוא שהבנק יכבד רק טרנזקציות שהכרטיס חתם עליהן, בדיוק כשם שכיום (בעסקאות שאינן "במסמך חסר") חברות האשראי מכבדות רק שוברים שבעל-הכרטיס חתם עליהן בחתימת-ידו. |
|
|
|
|
|
|
||
|
||||
|
שיטת "מספר בכל עסקה" מיושמת בפועל על ידי חברת ישראכרט לרכישות באינטרנט, בשיטה המכונה "Secure Click". בכל רכישה מחושב מספר "כרטיס אשראי" מדומה, אותו מעביר העסק לחברת האשראי לשם קבלת התשלום. | |
|
|
| חזרה לעמוד הראשי | המאמר המלא |
| מערכת האייל הקורא אינה אחראית לתוכן תגובות שנכתבו בידי קוראים | |
 RSS מאמרים |
כתבו למערכת |
אודות האתר |
טרם התעדכנת |
ארכיון |
חיפוש |
עזרה |
תנאי שימוש
|
© כל הזכויות שמורות |