🚀 go-pugleaf

On Tue, 15 Jul 2025 12:16:26 +0200, ąćęłńóśźż wrote:
> No że q... ćam :-(
> Kto to wymyślił?
> Jesteś w środku niczego i musisz ustalić sobie dzisiejszy cvv do własnej posiadanej od lat karty :-(
> 
> Wg dezinfolinii "wszystkie karty wszystkich banków tak mają".
> No nie mają.

Ale może "powinny miec" ? 

Taki CVV to w zasadzie żadne zabezpieczenie, szczególnie, że
generowany algorytmem ...

J.

On Tue, 15 Jul 2025, ąćęłńóśźż wrote:

> No że q... ćam :-(
> Kto to wymyślił?
> Jesteś w środku niczego i musisz ustalić sobie dzisiejszy cvv do własnej 
> posiadanej od lat karty :-(

No ja naprawdę podziwiam twoje szczęście w życiu.
Oraz dyskrecję - jak zwykle nie napisałeś, co to za bank.

Tylko tak się zastanawiam z tym środkiem niczego...
Bo dzisiaj chyba też nie miałeś internetu, a ten post to telepatycznie się 
pojawił.
No jeszcze można sobie wyobrazić robienie zamówienia "mail order" przez 
Overland Pony Express...
Ewentualnie "telephone order" w miejscu, gdzie linia telefoniczna jest, 
ale tzw. "internetu" bez stacji starlinka lub innego telefonu 
satelitarnego jednak nie uświadczysz?
Sławosz wrócił już z orbity, więc raczej nie jesteś jego alter-ego, no 
chyba że to właśnie reminescencje z pobytu na ISS (ale czy tam nie ma 
"internetu"? Już Challenger się był wziął i popsuł niestety mocno 
skutecznie bo się spieszyli z satelitą TDRS, a wtedy to jeszcze w PL o 
internecie można był pomarzyć, nawet nie wiem, czy bitnet i fido już były, 
prędzej stan wojenny) - w takim razie zazdraszczam bardzo.
Chyba że CVV ma jeszcze inne zastosowanie niż MO/TO/IO (z czego MO i TO to 
już anegdotycznie, stąd pewnie w ogóle pomysł zmiennego CVV) i mój sarkazm 
jest zdecydowanie nie na miejscu, lub wręcz robię z siebie publicznie 
idiotę?

> Wg dezinfolinii "wszystkie karty wszystkich banków tak mają".
> No nie mają.

No tym bardziej na takie dictum acerbum trzeba napisać, jaki to bank.
Inna sprawa że mogli cię uratować przed fraudem.

A ty to jedną kartę masz?

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

> Taki CVV to w zasadzie żadne zabezpieczenie, szczególnie, że
> generowany algorytmem ...

Domyślam się, że chodzi o CVV2 (aczkolwiek CVV jest zapewne podobnie
generowany). A czym miałby być generowany jak nie algorytmem?
Klucze szyfrujące też są generowane algorytmem.
-- 
Krzysztof Hałasa

On Wed, 16 Jul 2025 00:11:48 +0200, Krzysztof Hałasa wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>> Taki CVV to w zasadzie żadne zabezpieczenie, szczególnie, że
>> generowany algorytmem ...
> 
> Domyślam się, że chodzi o CVV2 (aczkolwiek CVV jest zapewne podobnie
> generowany). A czym miałby być generowany jak nie algorytmem?
> Klucze szyfrujące też są generowane algorytmem.

Google ma podobno scianę "Lava lamp" do generacji kluczy.

To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
karcie. Więc żadne zabezpieczenie.


P.S.
https://en.wikipedia.org/wiki/Card_security_code

"As a security measure, merchants who require the CVV2 for "card not
present" transactions are required by the card issuer not to store the
CVV2 once the individual transaction is authorized.[12] This way, if a
database of transactions is compromised, the CVV2 is not present and
the stolen card numbers are less useful. "


Taa ...
-może i nie przechowują, 
-czyli cykliczne obciążenia się robi bez CVV2 ...

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

[...]
>
> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
> karcie. Więc żadne zabezpieczenie.

A jakieś źródło tej rewelacji?
KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
There are more dead people than living, and their numbers are increasing.
		-- Eugene Ionesco

On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
> [...]
>>
>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>> karcie. Więc żadne zabezpieczenie.
> 
> A jakieś źródło tej rewelacji?


np

https://www.chargebackgurus.com/blog/cvv2
https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html


A jak się ktoś odważy
https://neapay.com/online-tools/calculate-cvv-cvc-icvv-cvv2-cvc2-dcvv.html

ale trzeba znać jakiś MDK ...

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>> [...]
>>>
>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>> karcie. Więc żadne zabezpieczenie.
>> 
>> A jakieś źródło tej rewelacji?
>
>
> np
>
> https://www.chargebackgurus.com/blog/cvv2
> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html

Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
to nie jest tak, że zalezy tylko od innych cyferek na karcie.

KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
HOW YOU CAN TELL THAT IT'S GOING TO BE A ROTTEN DAY:
	#1040 Your income tax refund cheque bounces.

Wyobraź sobie sytuację pierwszą z brzegu: kupujesz coś z tabletu bez sim działającego pod wifi.
Aplikacja bankowa (przynajmniej tego banku wg dezinfolinii) nie działa aktywnie pod wifi, potrzebuje sim (bez sim możesz sobie 
pooglądać obrazki i poczytać cyferki).
Zrozumiał?
Albo wziąłeś viagrę i chcesz panience zapłacić lub zonie kolię kupić, a tu nagle w banku trzeba przejść procedurę nadawania nowego 
cvv i viagra poszła się nomen omen j...ć ;-)

BTW zrób doktorat z apek bankowych bez sim ;-)
Bo mogą nie mieć racji.
No może da się przeglądarkę odpalić z systemem banku.


-----
> Tylko tak się zastanawiam z tym środkiem niczego...
> Bo dzisiaj chyba też nie miałeś internetu, a ten post to telepatycznie się pojawił.
> No jeszcze można sobie wyobrazić robienie zamówienia "mail order" przez Overland Pony Express...
> Ewentualnie "telephone order" w miejscu, gdzie linia telefoniczna jest, ale tzw. "internetu" bez stacji starlinka lub innego 
> telefonu satelitarnego jednak nie uświadczysz? 

On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>> [...]
>>>>
>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>> karcie. Więc żadne zabezpieczenie.
>>> 
>>> A jakieś źródło tej rewelacji?
>>
>> np
>>
>> https://www.chargebackgurus.com/blog/cvv2
>> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html
> 
> Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
> pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
> to nie jest tak, że zalezy tylko od innych cyferek na karcie.

I myśliśz, że bank za każdą kartą zmienia?
Czy raczej raz na parę lat, albo wcale?

No ale jeżeli to pisze Amazon, w kontekscie weryfikacji kart, 
to ten algorytm i klucz jest chyba jakos bardziej powszechnie znany ?

Dobra - to jest chyba dla developerów współpracującyh z Amazon i tyczy
się nie bardzo wiadomo czego. 
Czyli wracamy do pierwszego linka, i innych, i np AI


https://developer.visa.com/capabilities/pav/docs-how-to
"The Card Verification Value 2 (CVV2) is the three-digit security code
that is printed on the signature panel of every Visa card. The CVV2
value is calculated using a secure cryptographic process and a key
that is known only to the issuer and to Visa. 
You can use the CVV2 Validation service to determine if the issuer of
the account recognizes the CVV2 value given to you by the user of your
project. This will help you to verify that the cardholder has the
physical card in their possession. CVV2 Validation is primarily used
in the e-commerce or other card-not-present environments, but can also
be used in a card-present environment if you are unable to obtain a
magnetic stripe or chip read. CVV2 validation is one of the options
you can select when you use the Payment Account Validation API. "

Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe, 
są tajne, nie wyciekły ani z banku, ani z Visy/MC, i trudno będzie
hackerom znaleźć CVV2 na podstawie innych danych ?
A publikowane algorytmy są raczej poglądowe, bo bez kluczy mało
użyteczne? 

Ale, jeśli dobrze myślę/liczę, to wystarczy znac kilkanaście nr kart i
ich CVV2 z jednego banku, aby ten tajny klucz metodą brute force
ustalić :-)
Szczęśliwie to brute force wychodzi nieprzyzwoicie długie ... ciągle
jeszcze 

J.

On Wed, 16 Jul 2025 14:16:16 +0200, J.F wrote:
> On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>> [...]
>>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>>> karcie. Więc żadne zabezpieczenie.
>>>> 
>>>> A jakieś źródło tej rewelacji?
>>>
> https://developer.visa.com/capabilities/pav/docs-how-to
> "The Card Verification Value 2 (CVV2) is the three-digit security code
> that is printed on the signature panel of every Visa card. The CVV2
> value is calculated using a secure cryptographic process and a key
> that is known only to the issuer and to Visa. 
> You can use the CVV2 Validation service to determine if the issuer of
> the account recognizes the CVV2 value given to you by the user of your
> project. This will help you to verify that the cardholder has the
> physical card in their possession. CVV2 Validation is primarily used
> in the e-commerce or other card-not-present environments, but can also
> be used in a card-present environment if you are unable to obtain a
> magnetic stripe or chip read. CVV2 validation is one of the options
> you can select when you use the Payment Account Validation API. "
> 
> Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
> dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe, 
> są tajne, nie wyciekły ani z banku, ani z Visy/MC, i trudno będzie
> hackerom znaleźć CVV2 na podstawie innych danych ?
> A publikowane algorytmy są raczej poglądowe, bo bez kluczy mało
> użyteczne? 

P.S. generator przykładowych numerów kart
https://neapay.com/online-tools/credit-card-number-generator-validator.html


Generuje też CVV/C2 ... posługując się jakimś losowym/fikcyjnym
kluczem CVK ?
A - bardzo losowy ten CVV, bo przecież nie podają daty ważności.



J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

> On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>> [...]
>>>>>
>>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>>> karcie. Więc żadne zabezpieczenie.
>>>> 
>>>> A jakieś źródło tej rewelacji?
>>>
>>> np
>>>
>>> https://www.chargebackgurus.com/blog/cvv2
>>> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html
>> 
>> Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
>> pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
>> to nie jest tak, że zalezy tylko od innych cyferek na karcie.
>
> I myśliśz, że bank za każdą kartą zmienia?
> Czy raczej raz na parę lat, albo wcale?

Ja myślę, że spokojnie może być inny klucz per transakcja.


>
> No ale jeżeli to pisze Amazon, w kontekscie weryfikacji kart, 
> to ten algorytm i klucz jest chyba jakos bardziej powszechnie znany ?
>
> Dobra - to jest chyba dla developerów współpracującyh z Amazon i tyczy
> się nie bardzo wiadomo czego. 
> Czyli wracamy do pierwszego linka, i innych, i np AI
>
>
> https://developer.visa.com/capabilities/pav/docs-how-to
> "The Card Verification Value 2 (CVV2) is the three-digit security code
> that is printed on the signature panel of every Visa card. The CVV2
> value is calculated using a secure cryptographic process and a key
> that is known only to the issuer and to Visa. 
> You can use the CVV2 Validation service to determine if the issuer of
> the account recognizes the CVV2 value given to you by the user of your
> project. This will help you to verify that the cardholder has the
> physical card in their possession. CVV2 Validation is primarily used
> in the e-commerce or other card-not-present environments, but can also
> be used in a card-present environment if you are unable to obtain a
> magnetic stripe or chip read. CVV2 validation is one of the options
> you can select when you use the Payment Account Validation API. "
>
> Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
> dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe,

Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
ze są "known to issuer and Visa" czyli klucz generowany co minutę i
wysyłany do Visy - spełnia to.
KJ


-- 
http://wolnelektury.pl/wesprzyj/teraz/
"Roman Polanski makes his own blood.  He's smart -- that's why his movies work."
		-- A brilliant director at "Frank's Place"

On Wed, 16 Jul 2025 15:24:25 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>> On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>>> [...]
>>>>>>
>>>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>>>> karcie. Więc żadne zabezpieczenie.
>>>>> 
>>>>> A jakieś źródło tej rewelacji?
>>>>
>>>> np
>>>>
>>>> https://www.chargebackgurus.com/blog/cvv2
>>>> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html
>>> 
>>> Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
>>> pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
>>> to nie jest tak, że zalezy tylko od innych cyferek na karcie.
>>
>> I myśliśz, że bank za każdą kartą zmienia?
>> Czy raczej raz na parę lat, albo wcale?
> 
> Ja myślę, że spokojnie może być inny klucz per transakcja.

W zasadzie może, ale sensu w tym mało - czemu nie losowy klucz?

No ale teraz, jak CVV/C2 zmienne, to musieli coś zrobic ... 
albo nic nie musieli, bo sprzedawca/agent rozliczeniowy nic z kluczami
sprawdzał, tylko słał do banku/wydawcy do sprawdzenia? 

>> No ale jeżeli to pisze Amazon, w kontekscie weryfikacji kart, 
>> to ten algorytm i klucz jest chyba jakos bardziej powszechnie znany ?
>>
>> Dobra - to jest chyba dla developerów współpracującyh z Amazon i tyczy
>> się nie bardzo wiadomo czego. 
>> Czyli wracamy do pierwszego linka, i innych, i np AI
>>
>>
>> https://developer.visa.com/capabilities/pav/docs-how-to
>> "The Card Verification Value 2 (CVV2) is the three-digit security code
>> that is printed on the signature panel of every Visa card. The CVV2
>> value is calculated using a secure cryptographic process and a key
>> that is known only to the issuer and to Visa. 
>> You can use the CVV2 Validation service to determine if the issuer of
>> the account recognizes the CVV2 value given to you by the user of your
>> project. This will help you to verify that the cardholder has the
>> physical card in their possession. CVV2 Validation is primarily used
>> in the e-commerce or other card-not-present environments, but can also
>> be used in a card-present environment if you are unable to obtain a
>> magnetic stripe or chip read. CVV2 validation is one of the options
>> you can select when you use the Payment Account Validation API. "
>>
>> Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
>> dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe,
> 
> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,

To chyba było z jakiejs innej strony - że issuer dostaje od "payment" 

> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
> wysyłany do Visy - spełnia to.

Tylko jaki miałoby to sens, przy zwykłych kartach? 
CVV2 jest jeden, się nie zmienia.

Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.

Jeśli sprzedawca/agent tylko wysyła CVV2 do Visy celem sprawdzenia, 
to by Visa musiała sprawdzić losowy kod przydzielony przez
bank/wydawcę, i nie pisaliby nic o algorytmie generacji CVV2 ...

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

> On Wed, 16 Jul 2025 15:24:25 +0200, Kamil Jońca wrote:
>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>> On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>>>> [...]
>>>>>>>
>>>>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>>>>> karcie. Więc żadne zabezpieczenie.
>>>>>> 
>>>>>> A jakieś źródło tej rewelacji?
>>>>>
>>>>> np
>>>>>
>>>>> https://www.chargebackgurus.com/blog/cvv2
>>>>> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html
>>>> 
>>>> Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
>>>> pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
>>>> to nie jest tak, że zalezy tylko od innych cyferek na karcie.
>>>
>>> I myśliśz, że bank za każdą kartą zmienia?
>>> Czy raczej raz na parę lat, albo wcale?
>> 
>> Ja myślę, że spokojnie może być inny klucz per transakcja.
>
> W zasadzie może, ale sensu w tym mało - czemu nie losowy klucz?


Co to znaczy losoowy?
[...]

>>>
>>> Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
>>> dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe,
>> 
>> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
>
> To chyba było z jakiejs innej strony - że issuer dostaje od "payment" 
>
>> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
>> wysyłany do Visy - spełnia to.
>
> Tylko jaki miałoby to sens, przy zwykłych kartach? 
> CVV2 jest jeden, się nie zmienia.

Cała dyskusja zaczęła się od tego że SIĘ ZMIENIA.


> Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
> karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.

Nie. Visa jak rozumiem, ma i tak komplet danych do wyliczenia CVV2, poza
kluczem.

> Jeśli sprzedawca/agent tylko wysyła CVV2 do Visy celem sprawdzenia, 
> to by Visa musiała sprawdzić losowy kod przydzielony przez
> bank/wydawcę, i nie pisaliby nic o algorytmie generacji CVV2 ...

Chyba zaczynasz odlatywać. Robiłeś ty kiedykolwiek, cokolwiek
kryptograficznego?



KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
Vests are to suits as seat-belts are to cars.

W dniu 16.07.2025 o 14:09, ąćęłńóśźż pisze:
> Wyobraź sobie sytuację pierwszą z brzegu: kupujesz coś z tabletu bez sim 
> działającego pod wifi.
> Aplikacja bankowa (przynajmniej tego banku wg dezinfolinii) nie działa 
> aktywnie pod wifi, potrzebuje sim (bez sim możesz sobie pooglądać 
> obrazki i poczytać cyferki).

A jak zatwierdzasz transakcję (3d-cośtam) jeśli nie w aplikacji i nie 
przez sms?

   MJ

On Wed, 16 Jul 2025, ąćęłńóśźż wrote:

>> Tylko tak się zastanawiam z tym środkiem niczego...
>> Bo dzisiaj chyba też nie miałeś internetu, a ten post to telepatycznie się 
>> pojawił.
>> No jeszcze można sobie wyobrazić robienie zamówienia "mail order" przez 
>> Overland Pony Express...
>> Ewentualnie "telephone order" w miejscu, gdzie linia telefoniczna jest, ale 
>> tzw. "internetu" bez stacji starlinka lub innego telefonu satelitarnego 
>> jednak nie uświadczysz?

> Wyobraź sobie sytuację pierwszą z brzegu: kupujesz coś z tabletu bez sim 
> działającego pod wifi.
> Aplikacja bankowa (przynajmniej tego banku wg dezinfolinii) nie działa 
> aktywnie pod wifi, potrzebuje sim (bez sim możesz sobie pooglądać obrazki i 
> poczytać cyferki).
> Zrozumiał?

No przecież pisałem, że masz przedziwne gusta i/lub szczęście.
Tzn. to absolutnie nie jest krytyka, bo ja też takie mam, ale krytykuję 
to, że chcesz rozciągać to na masy pracujące miast i wsi.

> Albo wziąłeś viagrę i chcesz panience zapłacić lub zonie kolię kupić, a tu 
> nagle w banku trzeba przejść procedurę nadawania nowego cvv i viagra poszła 
> się nomen omen j...ć ;-)
>
> BTW zrób doktorat z apek bankowych bez sim ;-)

Tzn.?
Napisz w końcu, co to za bank albo parabank, to się będzie można odnieść.
Tablet sam w sobie to jest nieco inna historia, bo są apki, które się z 
tabletami nie lubią, nawet z takimi z modemem GSM, i nie chcą się na nich 
instalować ze sklepu google play (albo kiedyś było spoko, a potem 
przyszła nowa ekipa i przestawało działać) - ale czasem się dają z APK.
Może ma to związek z niemożliwością wykonywania połączeń telefonicznych.
Ale jak już się apkę dało zainstalować i aktywować, to potem można było 
używać przez wifi.

Ale mam telefon - używany do apek, bo ma pękniętą szybkę (po żonie), ale 
nowszy android niż ten, który mam w telefonie, który noszę (ten długo 
leżakował w szufladzie, ale jeszcze daje radę - oba to prezenty od citka, 
jeszcze poprzedni oraz obecny żony również, a obecnie robimy promocję na 2 
kolejne), więc mam w nim całą kolekcję apek (bo są już takie, dla których 
android 8.1 jest za stary), a karty SIM nie widział od lat - i wszystkie 
działają przez wifi.
Może dlatego, że to wifi jest via mój telefon, więc adres z puli GSM?
Albo używam normalnych banków, bo wszystkie te apki dało się aktywować bez 
stójek z przewieszką - a pamiętam hakowanie w krwawym pocie żeby zwalczyć 
dawne durne pomysły utrudniające życie w sytuacji, gdy chciało się 
zainstalować apkę na urządzeniu, w którym nie było karty SIM z przypisanym 
numerem telefonu podanym w banku.

> Bo mogą nie mieć racji.
> No może da się przeglądarkę odpalić z systemem banku.

No, zmienne CVx2 powinno się dać w ST przeglądarkowym wygenerować, inaczej 
kiszka gigantyczna, to nie blik, co do którego większość banków uparła się 
chrzanić głupoty o "powiązaniu z apką" - choć santander potrafi w ST 
wystawiać czeki, a ING kody.

Choć chyba są banki, które mają tylko apkę.
A przynajmniej na pewno są takie, których bez apki nie da się używać - np. 
N26, w którym co prawda do ST zalogujesz się z potwierdzeniem SMSem (chyba 
jeszcze, ostatnio ta możliwość była coraz bardziej ukrywana), ale co z 
tego, że nawet możesz zlecić przelewy, skoro potwierdzić można je tylko w 
apce?

Są też takie, które robią głupie szykany przeciwko SMS, np. milek, gdzie 
maksymalny dzienny limit przelewów przy potwierdzeniach SMS to 50k, a z 
apką 200k.
Albo żubr, gdzie SMSy są płatne po 20gr - kiedyś mi oddawali, jak byłem 
pełnomonicnikiem taty, i nie mieli zaprogramowane, że pełnomocnik płaci 
tak jak mocodawca - a wtedy jeszcze nie miałem własnego konta, bo jakbym 
miał to mogli mi nie oddać.

Albo może da się odsłuchać to aktualne CVx2 przez telefon?
I jak ono jest właściwie zmienne?
Per dzień, per transakcja?

W skarbonce można kod wyświetlić na stronie, z tym, że trzeba 
potwierdzić "narzędziem autoryzacji" - ale to może być sms.

Kod jest np. w tej chwili ważny do 6 rano.

Ale transakcję też trzeba potwierdzić, więc bez karty sim nic nie 
kupisz, nawet gdyby kod był stały.

A zauważyliście, jaka jest kolejność weryfikacji przy płatności? Otóż 
najpierw się przechodzi przez to całe 3d z zatwierdzaniem, a dopiero 
POTEM jest sprawdzany ten kod. Jakoś wydaje mi się to bez sensu.

   MJ

On Wed, 16 Jul 2025 14:09:07 +0200, ąćęłńóśźż wrote:
> Wyobraź sobie sytuację pierwszą z brzegu: kupujesz coś z tabletu bez sim działającego pod wifi.
> Aplikacja bankowa (przynajmniej tego banku wg dezinfolinii) nie działa aktywnie pod wifi, potrzebuje sim (bez sim możesz sobie 
> pooglądać obrazki i poczytać cyferki).

A która to aplikacja? 

ipko potrzebuje sim na czas pierwszej aktywacji .. tylko 

> Zrozumiał?
> Albo wziąłeś viagrę i chcesz panience zapłacić lub zonie kolię kupić, a tu nagle w banku trzeba przejść procedurę nadawania nowego 
> cvv i viagra poszła się nomen omen j...ć ;-)
> 
> BTW zrób doktorat z apek bankowych bez sim ;-)
> Bo mogą nie mieć racji.
> No może da się przeglądarkę odpalić z systemem banku.
> 
> 
> -----
>> Tylko tak się zastanawiam z tym środkiem niczego...
>> Bo dzisiaj chyba też nie miałeś internetu, a ten post to telepatycznie się pojawił.
>> No jeszcze można sobie wyobrazić robienie zamówienia "mail order" przez Overland Pony Express...
>> Ewentualnie "telephone order" w miejscu, gdzie linia telefoniczna jest, ale tzw. "internetu" bez stacji starlinka lub innego 
>> telefonu satelitarnego jednak nie uświadczysz?

J.

On Wed, 16 Jul 2025, Michał Jankowski wrote:

> W skarbonce można kod wyświetlić na stronie, z tym, że trzeba potwierdzić 
> "narzędziem autoryzacji" - ale to może być sms.

No to widać że ąćki jak zwykle tworzy problemy rodem z socjalizmu.
Chyba że znalazł sobie jeszcze coś innego niż skarbonkę.
A w skarbonce wszystkie karty mają już obowiązkowo zmienne CVx2 czy można 
to sobie włączyć/wyłączyć?
Akurat apki skarbonkowej nie mam - no i kart też nie mam, inteligo leży 
sobie odłogiem, nawet już przestałem robić co pół roku ping-pongi na 
grosza, żeby mi znów rachunków za "brak aktywności" nie zamknęli - 
przestało mi się chcieć sprawdzać, czyj koniec będzie wcześniej - mój czy 
ich ;)

> Kod jest np. w tej chwili ważny do 6 rano.

O, to trzeba było sprawdzić o 4, do której będzie ważny ;)
Może generują na 8 godzin?

> Ale transakcję też trzeba potwierdzić, więc bez karty sim nic nie kupisz, 
> nawet gdyby kod był stały.

Dlaczego "bez karty sim nic nie kupisz"?
Właśnie o to chodziło, że apka nie chce działać przez wifi, jeśli w 
urządzeniu nie ma karty sim.
A "normalne" apki pozwalają na potwierdzanie "apkowe" mając dowolne 
połączenie "internetowe".
Zaś ta ąćkiego nawet mając "internet" przez wifi, podobno wymaga dodatkowo 
karty sim w telefonie, i to jeszcze aktywnej (choć nie wiem, czy to akurat 
sprawdził - albo czy w ogóle ten jego tablet ma modem GSM).

> A zauważyliście, jaka jest kolejność weryfikacji przy płatności? Otóż 
> najpierw się przechodzi przez to całe 3d z zatwierdzaniem, a dopiero POTEM 
> jest sprawdzany ten kod. Jakoś wydaje mi się to bez sensu.

To ma sens - sprawdzana jest poprawność całego zestawu haseł.
No chyba że jest na tyle głupio, że jeśli na etapie 3DS źle podasz kod to 
od razu wyskakuje błąd.
No ale to jest do usprawiedliwienia - 3DS to kody zmienne.
Ale gdyby najpierw było sprawdzane czy podałeś prawidłowy CVx2 - i w razie 
podanie złego wyskakiwał błąd, to jest wektor ataku - w końcu CVx2 to 
tylko 1000 kombinacji i jeśli bank nie zastrzeże karty po np. 10. błędnym 
podaniu CVx2, to można go w ten sposób odnaleźć.

Hmmm, tak się zastanawiam i karty citka zawsze chcą 3DS, ale santander MC 
chyba nigdy (a co ciekawe, visa santandera chyba też zawsze, nawet o to do 
nich pisałem reklamację, czemu robią sobie takie jaja, odpowiedź 
oczywiście spodziewanej treści: "bo tak i tak ma być, bo tak jest 
dobrze"), więc właściwie mam kartę, która może być podatna na taki atak.

Ale jakby człowiek wpadł na głupi pomysł, żeby samemu sprawdzić, to, 
słuchajcie dzieci wujka i zapamiętajcie, lepiej niech sobie przypomni 
historię jednego francuza, który znalazł poważną dziurę w 
zabezpieczeniach takiego francuskiego systemu kartowego "carte blue" (czy 
jakoś tak) - i jako porządny obywatel (ale bynajmniej nie grażdanim 
sowieckiego sojuza, czyli nastojaszczy sowiecki człowiek) napisał do nich, 
że mają taki bug.
A francuzi jako to oni: "wcale nie, co ty mi tu kulwa będzie p*olił, 
wszystko jest super cacy i nie przeszkadzaj w piciu wina" - no to ten się 
wkurzył (widać jakiś pseudo-francuz, zapewne z polską domieszką, być może 
ze źródłem z dywizji gen. Maczka - a to podobno nierzadkość, jako 
pamiątki z pochodu armii Andersa we Włoszech też się porodziło sporo 
polsko-włochów - i dobrze, bo jeden mojemu wujkowi życie uratował) i 
przeprowadził pokazowy atak.
I co - i zamkli go za to i wg prawa mieli rację.

Więc trzeba myśleć, co się robi.
To nie tak łatwo, jak z mistrzem Mazurem z elki PW, który kiedyś znalazł 
buga w K7 i napisał do AMD, że spieprzyli, a oni mu w podobnym tonie jak 
ci francuzi, tylko pewnie bez wina.
Mistrz się wkurzył i wysłał im kawałek programu, który na K7 działał źle.
Tu oczywiście sytuacja inna, AMD zaproponowało mu współpracę, a mistrz na 
to, że nie ma czasu ;>

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

> Google ma podobno scianę "Lava lamp" do generacji kluczy.

Tzn?

> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
> karcie. Więc żadne zabezpieczenie.

A jakiś dowód lub coś w tym kierunku? No wiem, czepiam się :-)

BTW każdy bank może po swojemu generować kody CVV*.
To oznacza, że w ogólnym przypadku nie da się stwierdzić (twierdzenie
nie miałoby sensu), czy w danym przypadku to jest PRNG, czy "prawdziwy"
RNG, czy rzeczywiście coś wyjątkowo wadliwie zaprojektowanego.

Poza tym, istnieją zmienne CVV2 :-)

> -czyli cykliczne obciążenia się robi bez CVV2 ...

No raczej.
-- 
Krzysztof Hałasa

Kamil Jońca <kjonca@poczta.onet.pl> writes:

> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
> wysyłany do Visy - spełnia to.

Ciekawe co to w ogóle znaczy "wysyłany do Visy"?
Do ew. partnerów w Visie, to pewnie tak.
-- 
Krzysztof Hałasa

Krzysztof Hałasa <khc@pm.waw.pl> writes:

> Kamil Jońca <kjonca@poczta.onet.pl> writes:
>
>> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
>> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
>> wysyłany do Visy - spełnia to.
>
> Ciekawe co to w ogóle znaczy "wysyłany do Visy"?
> Do ew. partnerów w Visie, to pewnie tak.

Nie chce mi się wnikać co znaczy "Visa" w tym kontekście.
Tak naprawdę chodziło mi o zdanie "CVV2 zależy tylko od danych na
karcie". No więc nie. I tyle.

KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
If your life was a horse, you'd have to shoot it.

On Thu, 17 Jul 2025 16:38:08 +0200, Kamil Jońca wrote:
> Krzysztof Hałasa <khc@pm.waw.pl> writes:
> 
>> Kamil Jońca <kjonca@poczta.onet.pl> writes:
>>
>>> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
>>> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
>>> wysyłany do Visy - spełnia to.
>>
>> Ciekawe co to w ogóle znaczy "wysyłany do Visy"?
>> Do ew. partnerów w Visie, to pewnie tak.
> 
> Nie chce mi się wnikać co znaczy "Visa" w tym kontekście.
> Tak naprawdę chodziło mi o zdanie "CVV2 zależy tylko od danych na
> karcie". No więc nie. I tyle.

Wychodzi jednak na to, że dla jednego banku zależy.

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

> On Thu, 17 Jul 2025 16:38:08 +0200, Kamil Jońca wrote:
>> Krzysztof Hałasa <khc@pm.waw.pl> writes:
>> 
>>> Kamil Jońca <kjonca@poczta.onet.pl> writes:
>>>
>>>> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
>>>> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
>>>> wysyłany do Visy - spełnia to.
>>>
>>> Ciekawe co to w ogóle znaczy "wysyłany do Visy"?
>>> Do ew. partnerów w Visie, to pewnie tak.
>> 
>> Nie chce mi się wnikać co znaczy "Visa" w tym kontekście.
>> Tak naprawdę chodziło mi o zdanie "CVV2 zależy tylko od danych na
>> karcie". No więc nie. I tyle.
>
> Wychodzi jednak na to, że dla jednego banku zależy.

Niby w jaki sposób skoro potrzebujemy klucza, który jest poza kartą?

KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
kondensator - kondensatorych - kondensatoremu
   (odmiana słowa "kondensator" według MS Word 6.0)

On Thu, 17 Jul 2025 16:16:40 +0200, Krzysztof Hałasa wrote:
> Kamil Jońca <kjonca@poczta.onet.pl> writes:
> 
>> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
>> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
>> wysyłany do Visy - spełnia to.
> 
> Ciekawe co to w ogóle znaczy "wysyłany do Visy"?
> Do ew. partnerów w Visie, to pewnie tak.

Ja tam nie wiem, ale mam podejrzenie, że jak polską kartą Visa płacę w
polskim sklepie, to Visa nic o tym nie wie. 
Jakoś się tam chyba polskie banki/wydawcy dogadali z poslskim agentami
rozliczeniowymi, i sprawdzają w ramach własnej sieci.

No ale jak wyjezdzam np do Meksyku, czy Cniczyk przyjeżdza do Polski, 
to Visa chyba pośredniczy przy płatnościach ?

Visa i MC sie nie obraziły na Rosję?
Podobno tak, a karty w Rosji nadal działają ... tzn mam na myśli te
wydane przez rosyjskie banki, ale obce chyba też ...


J.

On Thu, 17 Jul 2025 16:04:41 +0200, Krzysztof Hałasa wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>> Google ma podobno scianę "Lava lamp" do generacji kluczy.
> Tzn?

Taki tam generator liczb losowych
https://en.wikipedia.org/wiki/Lavarand


>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>> karcie. Więc żadne zabezpieczenie.
> 
> A jakiś dowód lub coś w tym kierunku? No wiem, czepiam się :-)

wyszło w międzyczasie
https://developer.visa.com/capabilities/pav/docs-how-to

Każdy bank/wydawca ma indywidualny klucz do generacji.

> BTW każdy bank może po swojemu generować kody CVV*.
> To oznacza, że w ogólnym przypadku nie da się stwierdzić (twierdzenie
> nie miałoby sensu), czy w danym przypadku to jest PRNG, czy "prawdziwy"
> RNG, czy rzeczywiście coś wyjątkowo wadliwie zaprojektowanego.
> 
> Poza tym, istnieją zmienne CVV2 :-)

Istnieją, ale to chyba jakaś nowa technologia. Postęp.

>> -czyli cykliczne obciążenia się robi bez CVV2 ...
> No raczej.

Ale ciekawe na jakiej zasadzie. Banki pamiętają komu raz autoryzowały,
mają listę zaufanych kontrahentów ?
Umowa pewnie zakłada, że klient zawsze może wycofać transakcję, 
ale kontrahent musi być na tyle stabilny, aby oddać.
Chyba, że to taki drobny margines, że banki/ubezpieczenie biorą to na
siebie ...

J.

On Wed, 16 Jul 2025 17:04:14 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>> On Wed, 16 Jul 2025 15:24:25 +0200, Kamil Jońca wrote:
>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>> On Wed, 16 Jul 2025 12:47:32 +0200, Kamil Jońca wrote:
>>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>>>> On Wed, 16 Jul 2025 10:53:44 +0200, Kamil Jońca wrote:
>>>>>>> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>>>>>> [...]
>>>>>>>>
>>>>>>>> To nie jest (pseudo) losowa liczba, tylko wynikła z innych cyferek na
>>>>>>>> karcie. Więc żadne zabezpieczenie.
>>>>>>> 
>>>>>>> A jakieś źródło tej rewelacji?
>>>>>>
>>>>>> np
>>>>>>
>>>>>> https://www.chargebackgurus.com/blog/cvv2
>>>>>> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html
>>>>> 
>>>>> Prr. Nawet tam jest wspomniane o kluczu ktorego używamy do przetwarzania
>>>>> pozostalych wartości. Jeśli zmienimy klucz => otrzymamy inne cvv2. Więc
>>>>> to nie jest tak, że zalezy tylko od innych cyferek na karcie.
>>>>
>>>> I myśliśz, że bank za każdą kartą zmienia?
>>>> Czy raczej raz na parę lat, albo wcale?
>>> 
>>> Ja myślę, że spokojnie może być inny klucz per transakcja.
>>
>> W zasadzie może, ale sensu w tym mało - czemu nie losowy klucz?
> 
> Co to znaczy losoowy?

losowy, czy pseudolosowy - tak czy inaczej na jedną transakcję.

> [...]
>>>> Czyli co - zakładamy, że te klucze CVK są przydzielane przez Visa/MC
>>>> dla banku/innego wydawcy, są stałe, przynajmniej okresowo stałe,
>>> 
>>> Gdzie ci wyszło, że są przydzielane przez Visa? Tam jest tylko napisane,
>>
>> To chyba było z jakiejs innej strony - że issuer dostaje od "payment" 
>>
>>> ze są "known to issuer and Visa" czyli klucz generowany co minutę i
>>> wysyłany do Visy - spełnia to.
>>
>> Tylko jaki miałoby to sens, przy zwykłych kartach? 
>> CVV2 jest jeden, się nie zmienia.
> 
> Cała dyskusja zaczęła się od tego że SIĘ ZMIENIA.

Się zmienia, i to jest nowa technologia, i nowe programy.

Bo dyskusja w tej gałęzi zdryfowała na "stały CVV na karcie to żadne
zabezpieczenie".

>> Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
>> karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.
> 
> Nie. Visa jak rozumiem, ma i tak komplet danych do wyliczenia CVV2, poza
> kluczem.

Patrząc na "a key that is known only to the issuer and to Visa"
to Visa chyba klucz zna.
I na dobrą sprawę jest w stanie zweryfikować CVV2 z karty - jeśli bank
się trzyma zadanego algorytmu. 

Oczywiscie dotyczy to stałego CVV2 na karcie - nie tych nowych,
zmiennych, które muszą być jakoś inaczej sprawdzane.

Aczkolwiek ... wątpię, aby Visa weryfikowała/autoryzowała, 
bo jak trzeba sprawdzić czy karta nie zastrzeżona, czy pieniądze są na
koncie/limit nie przekroczony - to i tak trzeba spytać bank/wydawcę,
i najprościej przekazać mu ten CVV2 do sprawdzenia.
A jednak ... tak to jakoś wymyślili/opisali.

>> Jeśli sprzedawca/agent tylko wysyła CVV2 do Visy celem sprawdzenia, 
>> to by Visa musiała sprawdzić losowy kod przydzielony przez
>> bank/wydawcę, i nie pisaliby nic o algorytmie generacji CVV2 ...
> 
> Chyba zaczynasz odlatywać. Robiłeś ty kiedykolwiek, cokolwiek
> kryptograficznego?

Ale co masz na myśli? Że ktoś po drodze mógłby ten CVV2
podejrzeć/podsłuchać?
Pewnie mógłby, podobnie jak inne dane - najsensowniej całą komunikację
szyfrować.

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:


[...]

>>> W zasadzie może, ale sensu w tym mało - czemu nie losowy klucz?
>> 
>> Co to znaczy losoowy?
>
> losowy, czy pseudolosowy - tak czy inaczej na jedną transakcję.

No i? Do czego właściwie zmierzasz. Cały czas (od momentu pokazania
algorytmu) mówię, że jesli będziemy zmieniać ten klucz (np. losowo) to
będziemy zmieniać CVV2 do weryfikacji.


>>> Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
>>> karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.
>> 
>> Nie. Visa jak rozumiem, ma i tak komplet danych do wyliczenia CVV2, poza
>> kluczem.
>
> Patrząc na "a key that is known only to the issuer and to Visa"
> to Visa chyba klucz zna.
Nie zmieniaj tematu. Najpierw piszesz, że "klucz powinien być stały" a
teraz że "visa go zna".
Jedno z drugim ma niewiele wspólnego.

> I na dobrą sprawę jest w stanie zweryfikować CVV2 z karty - jeśli bank
> się trzyma zadanego algorytmu. 

Właśnie odkryłeś że jeśli mamy te same dane i ten sam algorytm, to
otrzymamy ten sam wynik. Gratuluję.

>
> Oczywiscie dotyczy to stałego CVV2 na karcie - nie tych nowych,
> zmiennych, które muszą być jakoś inaczej sprawdzane.

Nie muszą. Wystarczy, że będziemy generować nowe klucze.

>
> Aczkolwiek ... wątpię, aby Visa weryfikowała/autoryzowała, 
> bo jak trzeba sprawdzić czy karta nie zastrzeżona, czy pieniądze są na
> koncie/limit nie przekroczony - to i tak trzeba spytać bank/wydawcę,
> i najprościej przekazać mu ten CVV2 do sprawdzenia.
> A jednak ... tak to jakoś wymyślili/opisali.

Znowu zmieniasz temat. Co ma wspólnego CVV2 ze sprawdzaniem pozostałych
rzeczy?

>>> Jeśli sprzedawca/agent tylko wysyła CVV2 do Visy celem sprawdzenia, 
>>> to by Visa musiała sprawdzić losowy kod przydzielony przez
>>> bank/wydawcę, i nie pisaliby nic o algorytmie generacji CVV2 ...
>> 
>> Chyba zaczynasz odlatywać. Robiłeś ty kiedykolwiek, cokolwiek
>> kryptograficznego?
>
> Ale co masz na myśli? Że ktoś po drodze mógłby ten CVV2
> podejrzeć/podsłuchać?
> Pewnie mógłby, podobnie jak inne dane - najsensowniej całą komunikację
> szyfrować.

Nie. Po prostu mam wrażenie, że Ty tego algorytmu, który tu podałeś -
nie rozumiesz i zaczynasz pobredzać.


KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
Give them RADAR-GUIDED SKEE-BALL LANES and VELVEETA BURRITOS!!

On Fri, 18 Jul 2025 09:42:27 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
> [...]
> 
>>>> W zasadzie może, ale sensu w tym mało - czemu nie losowy klucz?
>>> 
>>> Co to znaczy losoowy?
>>
>> losowy, czy pseudolosowy - tak czy inaczej na jedną transakcję.
> 
> No i? Do czego właściwie zmierzasz. Cały czas (od momentu pokazania
> algorytmu) mówię, że jesli będziemy zmieniać ten klucz (np. losowo) to
> będziemy zmieniać CVV2 do weryfikacji.

No i tam, gdzie jest CVV2 zmienne, tam miałoby to jakiś sens.
Ale jak jest stałe na karcie?

>>>> Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
>>>> karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.
>>> 
>>> Nie. Visa jak rozumiem, ma i tak komplet danych do wyliczenia CVV2, poza
>>> kluczem.
>>
>> Patrząc na "a key that is known only to the issuer and to Visa"
>> to Visa chyba klucz zna.
> Nie zmieniaj tematu. Najpierw piszesz, że "klucz powinien być stały" a
> teraz że "visa go zna".
> Jedno z drugim ma niewiele wspólnego.

Ok, możliwych rozwiązań jest kilka.
Pierwsze, prawie na pewno nieprawdziwe w tym przypadku -
sprzedawca/agent rozliczeniowy dostaje przy każdej transacji, 
od Visy czy wydawcy karty klucz, nazwijmy go publicznym, 
który w połączeniu z innymi danymi
umożliwia weryfikację podanego przez klienta CVV2.

No ale ponieważ na plastikowej karcie jest ten CVV2 wydrukowany, i
jest stały - to najprosciej byłoby wysyłać dla danej karty
zawsze taki sam klucz weryfikacyjny. Znalezienie innych kluczy
dających pozytywną weryfikację może być trochę trudne, i jakies takie
mało celowe się wydaje.
A i sama weryfikacja przez sprzedawcę/agenta, wydaje się mało
sensowna.

>> I na dobrą sprawę jest w stanie zweryfikować CVV2 z karty - jeśli bank
>> się trzyma zadanego algorytmu. 
> 
> Właśnie odkryłeś że jeśli mamy te same dane i ten sam algorytm, to
> otrzymamy ten sam wynik. Gratuluję.

Tylko:
-wymaga to znajomości przez Visę klucza banku/wydawcy,
-i ze źrodeł wynika, że Visa istotnie ten klucz zna,

-pozwala to zweryfikować CVV2 przez Visę, bez potrzeby angażowania
komputerów wystawcy. Co w nielicznych przypadkach wydaje się miec sens
... np masz swoją platynową kartę, kupujesz cos przez internet, twój
bank ma akurat ważną aktualizację i nic nie autoryzuje, ale w
zastępstwie Visa odsyła "tak, tą transackję autoryzujemy".

>> Oczywiscie dotyczy to stałego CVV2 na karcie - nie tych nowych,
>> zmiennych, które muszą być jakoś inaczej sprawdzane.
> 
> Nie muszą. Wystarczy, że będziemy generować nowe klucze.

Ja mam wątpliwości, czy te stałe były/są sprawdzane w taki sposób
przez sprzedawcę/agenta.

-źródła podają, że jest jakis klucz wystawcy używany do generacji
CVV2, zakładam że dla wszystkich jego kart, ewentualnie przez jakis
okres, np rok.
-rozsyłanie tego klucza to była by głupota,
-być może rozsyłany jest jakiś inny klucz "publiczny" ... ale akurat
3DES nie należy to takich szyfrów. 
I choć wydaje mi się, że można jakiś inny klucz do celów
weryfikacyjnych przygotować, zmienny, to sensu w tym widzę niewiele.
Najprościej to niech sprzedawca/agent wyśle wszystkie dane do
wystawcy, a ten potwierdzi.

>> Aczkolwiek ... wątpię, aby Visa weryfikowała/autoryzowała, 
>> bo jak trzeba sprawdzić czy karta nie zastrzeżona, czy pieniądze są na
>> koncie/limit nie przekroczony - to i tak trzeba spytać bank/wydawcę,
>> i najprościej przekazać mu ten CVV2 do sprawdzenia.
>> A jednak ... tak to jakoś wymyślili/opisali.
> 
> Znowu zmieniasz temat. Co ma wspólnego CVV2 ze sprawdzaniem pozostałych
> rzeczy?

Skoro inne rzeczy i tak trzeba sprawdzić, i tak trzeba sie
skomunikować z serwerem wystawcy, to czemu mu przy okazji nie wysłać
CVV2 do sprawdzenia?

>>>> Jeśli sprzedawca/agent tylko wysyła CVV2 do Visy celem sprawdzenia, 
>>>> to by Visa musiała sprawdzić losowy kod przydzielony przez
>>>> bank/wydawcę, i nie pisaliby nic o algorytmie generacji CVV2 ...
>>> 
>>> Chyba zaczynasz odlatywać. Robiłeś ty kiedykolwiek, cokolwiek
>>> kryptograficznego?
>>
>> Ale co masz na myśli? Że ktoś po drodze mógłby ten CVV2
>> podejrzeć/podsłuchać?
>> Pewnie mógłby, podobnie jak inne dane - najsensowniej całą komunikację
>> szyfrować.
> 
> Nie. Po prostu mam wrażenie, że Ty tego algorytmu, który tu podałeś -
> nie rozumiesz i zaczynasz pobredzać.

te podawane algorytmy, np
https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html

to się teraz zastawiam, do czego słuzą.

https://docs.aws.amazon.com/payment-cryptography/latest/userguide/what-is.html

"AWS Payment Cryptography is a managed AWS service that provides
access to cryptographic functions and key management used in payment
processing in accordance with payment card industry (PCI) standards
without the need for you to procure dedicated payment HSM instances.
AWS Payment Cryptography provides customers performing payment
functions such as acquirers, payment facilitators, networks, switches,
processors, and banks with the ability to move their payment
cryptographic operations closer to applications in the cloud and
minimize dependencies on auxiliary data centers or colocation
facilities containing dedicated payment HSMs. "

podawane dalej klucze ... nie są to klucze używane do szyfrowania
komunikacji na linii sprzedawca-Amazon(serwis AWS) ? 
I nie maja nic wspólnego ustalaniem CVV2 przez Visa/wydawców kart?

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

[...]
>
> No i tam, gdzie jest CVV2 zmienne, tam miałoby to jakiś sens.
No wreszcie.

> Ale jak jest stałe na karcie?

To wtedy nie zmieniamy kluczy. Proste.

>
>>>>> Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
>>>>> karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.
>>>> 
>>>> Nie. Visa jak rozumiem, ma i tak komplet danych do wyliczenia CVV2, poza
>>>> kluczem.
>>>
>>> Patrząc na "a key that is known only to the issuer and to Visa"
>>> to Visa chyba klucz zna.
>> Nie zmieniaj tematu. Najpierw piszesz, że "klucz powinien być stały" a
>> teraz że "visa go zna".
>> Jedno z drugim ma niewiele wspólnego.
>
> Ok, możliwych rozwiązań jest kilka.
> Pierwsze, prawie na pewno nieprawdziwe w tym przypadku -
> sprzedawca/agent rozliczeniowy dostaje przy każdej transacji, 
> od Visy czy wydawcy karty klucz, nazwijmy go publicznym, 
> który w połączeniu z innymi danymi
> umożliwia weryfikację podanego przez klienta CVV2.

Litości. Z tego co widziałem to przy generowaniu CVV2 jest użyty jeden
klucz (czy raczej 2 połówki)

>
> No ale ponieważ na plastikowej karcie jest ten CVV2 wydrukowany, i
> jest stały - to najprosciej byłoby wysyłać dla danej karty
> zawsze taki sam klucz weryfikacyjny. Znalezienie innych kluczy
> dających pozytywną weryfikację może być trochę trudne, i jakies takie
> mało celowe się wydaje.

O czym ty bredzisz?
 
[...]
>>> Oczywiscie dotyczy to stałego CVV2 na karcie - nie tych nowych,
>>> zmiennych, które muszą być jakoś inaczej sprawdzane.
>> 
>> Nie muszą. Wystarczy, że będziemy generować nowe klucze.
>
> Ja mam wątpliwości, czy te stałe były/są sprawdzane w taki sposób
> przez sprzedawcę/agenta.
>
> -źródła podają, że jest jakis klucz wystawcy używany do generacji
> CVV2, zakładam że dla wszystkich jego kart, ewentualnie przez jakis
> okres, np rok.

A to założenie to skąd? Z poślinionego palca?

> -rozsyłanie tego klucza to była by głupota,

Sam podałeś źródło gdzie jest napisane "only visa and issuer" - więc o
czym znowu pobredzasz?

[...]
Ja wysiadam. Szkoda tylko, że inni mogą wziąć na serio to co piszesz.


>
> to się teraz zastawiam, do czego słuzą.
>
[...]
>
> podawane dalej klucze ... nie są to klucze używane do szyfrowania
> komunikacji na linii sprzedawca-Amazon(serwis AWS) ? 
Nie są. 

> I nie maja nic wspólnego ustalaniem CVV2 przez Visa/wydawców kart?
Tu obstawiam, że właśnie mają.
KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
Guns don't kill people.  It's those damn bullets.  Guns just make them go
really really fast.
		-- Jake Johanson

W ST jak najbardziej na komputerze, tylko rzeźbienie w ST na telefonie lub nawet na tablecie to może już lepiej na ryby iść.
Przy czym apka konkretnego banku (nie wiem jak inne) na fonie musi być jako główna na ekranie, a gdy tylko na coś innego się 
przełączysz to apka wylogowuje.
A bank no qrewka blada jak najbardziej emerycki, jak oni to robią :-0


-----
> No, zmienne CVx2 powinno się dać w ST przeglądarkowym wygenerować 

Dezinfolinia twierdzi, że tak było kiedyś, a od jakiegoś czasu losowo powiedzmy co miesiąc sobie sprawdza, ale kto wie.

PYTANIE:
Jak na jednym numerze telefonu mieć parę apek bankowych z płatnościami mobilnymi?


-----
> ipko potrzebuje sim na czas pierwszej aktywacji .. tylko 

On Fri, 18 Jul 2025 11:05:28 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
> [...]
>>
>> No i tam, gdzie jest CVV2 zmienne, tam miałoby to jakiś sens.
> No wreszcie.

Tylko czy w ogóle jest taka potrzeba, czy się po prostu wysyłało dane
karty do wydawcy do weryfikacji ... i nadal się to robi, 
nie przejmując się żadnymi kluczami, ani zmiennością kodu.

>>>>>> Jeśli weryfikacja ma być przez sprzedawcę/agenta, na podstawie danych
>>>>>> karty, algorytmu i klucza ... to i klucz powinien być w miarę stały.
>>>>> 
>>>>> Nie. Visa jak rozumiem, ma i tak komplet danych do wyliczenia CVV2, poza
>>>>> kluczem.
>>>>
>>>> Patrząc na "a key that is known only to the issuer and to Visa"
>>>> to Visa chyba klucz zna.
>>> Nie zmieniaj tematu. Najpierw piszesz, że "klucz powinien być stały" a
>>> teraz że "visa go zna".
>>> Jedno z drugim ma niewiele wspólnego.
>>
>> Ok, możliwych rozwiązań jest kilka.
>> Pierwsze, prawie na pewno nieprawdziwe w tym przypadku -
>> sprzedawca/agent rozliczeniowy dostaje przy każdej transacji, 
>> od Visy czy wydawcy karty klucz, nazwijmy go publicznym, 
>> który w połączeniu z innymi danymi
>> umożliwia weryfikację podanego przez klienta CVV2.
> 
> Litości. Z tego co widziałem to przy generowaniu CVV2 jest użyty jeden
> klucz (czy raczej 2 połówki)

No dobra, kod CVV2 klucz został wygenerowany, i wydrukowany na karcie, 
i co dalej? 
klient coś kupuje, i trzeba zweryfikować.
I jak to jest robione?

>> No ale ponieważ na plastikowej karcie jest ten CVV2 wydrukowany, i
>> jest stały - to najprosciej byłoby wysyłać dla danej karty
>> zawsze taki sam klucz weryfikacyjny. Znalezienie innych kluczy
>> dających pozytywną weryfikację może być trochę trudne, i jakies takie
>> mało celowe się wydaje.
> 
> O czym ty bredzisz?

Że, gdyby naprawdę CVV2 był weryfikowany przez sprzedawcę/agenta,
za pomocą danych karty, algorytmu i jakiegoś klucza, 
to pewnie musiałby ten klucz dostać od wystawcy przy każdej
transakcji. 
I nawet przy stałym CVV2 klucz wcale nie musi być stały !
Skoro CVV2 to tylko 3 cyfry, to prawdopodobnie co tysięczny klucz
szyfrujący da pozytywną weryfikację prawdziwego CVV2.
Wystawca mógłby więc wysyłać sprzedawcy zmienne klucze za każdym razem
... w imię tzw bezpieczeństwa.

> [...]
>>>> Oczywiscie dotyczy to stałego CVV2 na karcie - nie tych nowych,
>>>> zmiennych, które muszą być jakoś inaczej sprawdzane.
>>> 
>>> Nie muszą. Wystarczy, że będziemy generować nowe klucze.
>>
>> Ja mam wątpliwości, czy te stałe były/są sprawdzane w taki sposób
>> przez sprzedawcę/agenta.
>>
>> -źródła podają, że jest jakis klucz wystawcy używany do generacji
>> CVV2, zakładam że dla wszystkich jego kart, ewentualnie przez jakis
>> okres, np rok.
> 
> A to założenie to skąd? Z poślinionego palca?

że zmieniają co rok, czy że są stałe?

https://developer.visa.com/capabilities/pav/docs-how-to

"The CVV2 value is calculated using a secure cryptographic process and
a key that is known only to the issuer and to Visa. "

Różnie to można rozumieć, ale wiele z tych rozumień nie ma sensu :-)

>> -rozsyłanie tego klucza to była by głupota,
> Sam podałeś źródło gdzie jest napisane "only visa and issuer" - więc o
> czym znowu pobredzasz?

A jak chcesz weryfikować?
Jeśli sprzedawca/agent ma przesłać komplet danych do wydawcy karty, 
to nie trzeba żadnych kluczy - wydawca może przydzielać CVV2 losowo.

Ale jeśli to sprzedawca/agent ma sprawdzać algorytmem ... to musi znac
odpowiedni klucz. I przestaje on być tajny.
Ogólnie rzecz biorąc, to nie musi być ten sam klucz, co użyty do
generacji, tylko algorytm musiałby być cwany.

> [...]
>> podawane dalej klucze ... nie są to klucze używane do szyfrowania
>> komunikacji na linii sprzedawca-Amazon(serwis AWS) ? 
> Nie są. 

A do czego?

Bo wychodzi mi na to, ze w AWS się tworzy klucze w miarę potrzeby
https://docs.aws.amazon.com/payment-cryptography/latest/userguide/create-keys.html

>> I nie maja nic wspólnego ustalaniem CVV2 przez Visa/wydawców kart?
> Tu obstawiam, że właśnie mają.


Wydaje mi się, że nie, ale może znajdziesz lepszy opis, jak się tego
AWS używa.

J.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:

>> A to założenie to skąd? Z poślinionego palca?
>
> że zmieniają co rok, czy że są stałe?
>
> https://developer.visa.com/capabilities/pav/docs-how-to
>
> "The CVV2 value is calculated using a secure cryptographic process and
> a key that is known only to the issuer and to Visa. "
>
> Różnie to można rozumieć, ale wiele z tych rozumień nie ma sensu :-)

I gdzie tu jest COKOLWIEK o tym że klucz się zmienia/jest stały?
Jest tylko napisane, że CVV2 jest generowane przy użyciu klucza, w
pewnym procesie kryptograficznym.

KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
Do not try this at home.

"J.F" <jfox_xnospamx@poczta.onet.pl> writes:
[...]

>
>> [...]
>>> podawane dalej klucze ... nie są to klucze używane do szyfrowania
>>> komunikacji na linii sprzedawca-Amazon(serwis AWS) ? 
>> Nie są. 
>
> A do czego?
>
> Bo wychodzi mi na to, ze w AWS się tworzy klucze w miarę potrzeby
> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/create-keys.html

No właśnie do generowania CVV2 :)

>
>>> I nie maja nic wspólnego ustalaniem CVV2 przez Visa/wydawców kart?
>> Tu obstawiam, że właśnie mają.
>
>
> Wydaje mi się, że nie, ale może znajdziesz lepszy opis, jak się tego
> AWS używa.
Ten opis wydaje się byc wystarczająco czytelny.

KJ

-- 
http://wolnelektury.pl/wesprzyj/teraz/
Never argue with a man who buys ink by the barrel.

On Fri, 18 Jul 2025 13:00:14 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
> [...]
>>> [...]
>>>> podawane dalej klucze ... nie są to klucze używane do szyfrowania
>>>> komunikacji na linii sprzedawca-Amazon(serwis AWS) ? 
>>> Nie są. 
>>
>> A do czego?
>>
>> Bo wychodzi mi na to, ze w AWS się tworzy klucze w miarę potrzeby
>> https://docs.aws.amazon.com/payment-cryptography/latest/userguide/create-keys.html
> 
> No właśnie do generowania CVV2 :)

Tego zmiennego CVV2, w jakims systemie płatności Amazon?
Być może.
A co ze stałymi CVV2 z kart?

Bo tu zauważ, że ten klucz ma 16 znaków ... tylko małe litery i cyfry,
to nawet nie jest 16 bajtów.


A potem mamy dwa tematy
https://docs.aws.amazon.com/payment-cryptography/latest/userguide/data-operations.html

generacja danych karty ... w tym i CVV2, oraz weryfikacja.
Nie bardzo rozumiem o co chodzi z tą generacją, musiałbym jakis opis
ogólny przeczytać, a nie widzę.

Tu jest chyba przypadek weryfikacji karty ze stałym CVV2

https://docs.aws.amazon.com/payment-cryptography/latest/userguide/use-cases-issuers.generalfunctions.cvv2.html

i jesli dobrze rozumiem - najpierw generujemy klucz
aws payment-cryptography create-key --exportable --key-attributes
KeyAlgorithm=TDES_2KEY,KeyUsage=TR31_C0_CARD_VERIFICATION_KEY,KeyClass=SYMMETRIC_KEY,KeyModesOfUse='{Generate=true,Verify=true}'
--tags='[{"Key":"KEY_PURPOSE","Value":"CVV2"},{"Key":"CARD_BIN","Value":"12345678"}]'

taki losowy? Jednorazowy?

potem używając tego klucza generujemy CVV2 ... ale po co to generować?
i nam wychodzi np
"ValidationData": "321"

a potem weryfikacja używa i klucza, i tej wartości 321 

aws payment-cryptography-data verify-card-validation-data
--key-identifier
arn:aws:payment-cryptography:us-east-2:111122223333:key/7f7g4spf3xcklhzu
--primary-account-number=171234567890123 --verification-attributes
CardVerificationValue2='{CardExpiryDate=1127} --validation-data 321
                          


i byłoby fajniem tylko odpowiedz   
{
"KeyArn":"arn:aws:payment-cryptography:us-east-2:111122223333:key/7f7g4spf3xcklhzu",
 "KeyCheckValue": "AEA5CD",
 "ValidationData": "801"
}
 
do czego słuzy 801 ?

I po co było generować to 321? 
To klient powinien wpisać ... tak mi się przynajmniej wydaje ..

>>>> I nie maja nic wspólnego ustalaniem CVV2 przez Visa/wydawców kart?
>>> Tu obstawiam, że właśnie mają.
>>
>> Wydaje mi się, że nie, ale może znajdziesz lepszy opis, jak się tego
>> AWS używa.
> Ten opis wydaje się byc wystarczająco czytelny.

To powiedz do czego to służy, lub jak tego używać, jeśli jestem małym
sklepikiem/firemką, która by chciała przyjmować płatności kartami ...

J.

On Fri, 18 Jul 2025 12:57:28 +0200, Kamil Jońca wrote:
> "J.F" <jfox_xnospamx@poczta.onet.pl> writes:
>>> A to założenie to skąd? Z poślinionego palca?
>>
>> że zmieniają co rok, czy że są stałe?
>>
>> https://developer.visa.com/capabilities/pav/docs-how-to
>>
>> "The CVV2 value is calculated using a secure cryptographic process and
>> a key that is known only to the issuer and to Visa. "
>>
>> Różnie to można rozumieć, ale wiele z tych rozumień nie ma sensu :-)
> 
> I gdzie tu jest COKOLWIEK o tym że klucz się zmienia/jest stały?
> Jest tylko napisane, że CVV2 jest generowane przy użyciu klucza, w
> pewnym procesie kryptograficznym.

O tym, że się zmienia, to nie ma słowa, to sam wymyśliłem, że może
dobrze było by zmienić, np co rok.
Po co ryzykować, że stary jakoś wypłynie ?

Skomplikowanie przy tym nieduże.

A bardzo zmienny klucz przy stałych CVV2, to nie widzę sensu.

A przy zmiennym CVV2 ... czemu nie po prostu losowo generowany?


No chyba że ... nie wiem - dzienny klucz, znany Visie i wydawcy,
wydawca dzienne CVV2 wygeneruje i klient będzie mógł w apce zobaczyć,
a Visa będzie mogła zweryfikować, bez potrzeby banku ...

J.

On Fri, 18 Jul 2025 12:37:55 +0200, ąćęłńóśźż wrote:
> Dezinfolinia twierdzi, że tak było kiedyś, a od jakiegoś czasu losowo powiedzmy co miesiąc sobie sprawdza, ale kto wie.

Zabezpieczenie :-)

> PYTANIE:
> Jak na jednym numerze telefonu mieć parę apek bankowych z płatnościami mobilnymi?

Normalnie - instalujesz kilka, tylko muszą to być inne banki, 
a nie inne konta.
Uruchomiona współdziała z NFC.

J.

> -----
>> ipko potrzebuje sim na czas pierwszej aktywacji .. tylko

On Fri, 18 Jul 2025 12:34:34 +0200, ąćęłńóśźż wrote:
> W ST jak najbardziej na komputerze, tylko rzeźbienie w ST na telefonie lub nawet na tablecie to może już lepiej na ryby iść.

Niekoniecznie.

> Przy czym apka konkretnego banku (nie wiem jak inne) na fonie musi być jako główna na ekranie, a gdy tylko na coś innego się 
> przełączysz to apka wylogowuje.

Inne grzeczniejsze, i wylogowują później.

Być może to jeszcze jakoś np od pamięci zależy, przeglądarka może być
pamięciożerna i zmuszać inne apki do zamknięcia ..

> A bank no qrewka blada jak najbardziej emerycki, jak oni to robią :-0

a) emeryci lubią przychodzic do banku,
b) emeryci w sieci nie kupują, 
c) wk* klienci jeszcze powiedzą bankowi co o tym myślą ..
...
d) przecież oni to testowali, to powinno się używać względnie wygodnie
...

J.

> -----
>> No, zmienne CVx2 powinno się dać w ST przeglądarkowym wygenerować

No nie, odmowa: "ten numer telefoniczny jest wykorzystywany przez inny bank" czy jakoś tak.
W sensie ze jak masz apkę z płatnościami mobilnymi, to nie wiadomo, do którego z tych banków na jeden i ten sam numer telefonu 
miałyby przychodzące środki pójść.


-----
> Normalnie - instalujesz kilka, tylko muszą to być inne banki, a nie inne konta.