🚀 go-pugleaf

On 2025-03-06, Jarosław Sokołowski <jaros@lasek.waw.pl> wrote:
> Pan Marcin Debowski napisał:
>
>>>> Podobnie działa autoryzacja zwykłą kartą kredytową z dodatkowym 
>>>> uwierzytelnieniem. Podaje nr karty, zatwierdzam płatność apką. 
>>> Ale numer karty długi.
>>
>> No owszem. 16. Ale trzeba pamiętac tylko raz, plus 3 cyfry ccv.
>> Jedną kartę tak pamietam.
>
> U mnie tak się nie da. Mój bank już nie drukuje kodu CVV na karcie,
> nie ma czego się uczyć na pamięć, bo kod jest zmieniany co kilka
> godzin. Za każdym razem muszę go pobrać z aplikacji. Za każdym razem
> też potwierdzam transakcję apką, bo tego wymagają chyba wszystkie
> polskie serwisy. Chyba że na przykład przypiszę kartę (jedną konkretną)
> do płatności w Allegro. Wtedy w ogóle przy zakupach o nic nie pyta,
> co średnio mi się podoba. Dobrze jest to zrobione w Booking.com.
> Tam numer karty jest zapamiętany, ale CVV trzeba podawac przy każdej
> rezerwacji. I chyba można mieć zapamiętanych kilka kart.

Nawet nie wiedziałem, że takie są, tzn. z dynamicznym cvv. Ciekawe, że 
karty wirtualne, które mam, mają stały cvv, czyli z czego to wynika? 
Reginalnych paranoi? A z Allegro, to pewnie w ogóle pomija cvv uznając, 
sklep za zaufany. To też w sumie ciekawy przykład braku regionalizcji z 
kolei, bo mojej zagranicznej karty też kupując na Allegro nie muszę 
dodatkowo uwierzytelniać. Na Amazonie też nie muszę. Ale w wielu 
miejscach tak.

>>> Unikatowy przez chwilę, bo milion to by na długo nie starczył. 
>>> Apka/bank/serwer blik generuje losowy numer, wpisujesz numer
>>> w terminal/bankomat/stronę www, kwote wpisuje sprzedawca czy
>>> Ty na powyzszej stronie, to się łączy przez bank i internet
>>> z twoją apką, gdzie się pokazuje kwota i akceptujesz płatność
>>> lub nie ...
>>
>> Może być, ale tak z mojej perspektywy szału nie.
>
> Bo tego typu usługi nie polegają na szaleństwie, a różnią się między
> sobą szczegółami. Jednak na tyle istotnymi, że jeden system wygrywa,
> inny przegrywa. W Polsce nie ma co startować z handlem internetowym
> nie dając możliwości płacenia blikiem. Jest w AliExpress, jest w
> Google, jest w Boltach, Uberach czy innych taksówkach. Podają, że
> średnio w każdej sekundzie dokonywanych jest około 150 transakcji
> blikiem.

A Google Pay też jest w Polsce? 

> To może być jednym z tych istotnych szczegółów. Nie wie, czy dobrze
> zrozumiałem, ale jeśli "indywidualny identyfikator" jest stały, to
> ktoś może go przechwycić. A potem robić psikusy, co chwilę inicjując

On jest zupełnie jawny. Uświadomiłem sobie, że jest pewna luka 
bezpieczeństwa, ale zupełnie inna niż ta, o której napisałeś - można, 
zdaje się, wstrzelić numerem telefonu w aplikacji bankowej i da się 
zobaczyć nazwisko i właściciela. Nb. człowiek już zapomniał jak to takie 
dane były jawne, a Terminator wyszukał adres Sar O'connor z ksiązki 
telefonicznej.

> płatność. Wiem, że kasy nie zaiwani, bo trzeba to finalnie potwierdzić.
> Jednak mogłoby być denerwujące. Wpisując losowy ciąg sześciu cyfr
> w okienko blik na stronie płatnosci, mamy szansę 1:10000 trafienia
> w ważny kod i sprawienia, że gdzieś komuś wyświetli się monit o
> zatwierdzenie tego wałka. Mało dokuczliwe, łatwe do namierzenia,
> więc pewnie nikt nie próbuje.

Przy Pay Now to jest bardziej (per odległa analogia) jak przesyłanie 
pieniędzy na poczcie, albo emaila, z tym, że musisz przesłać pieniądze, 
więc żadne zakusy typu DoS nie grożą. Albo też, taki identyfikator to 
jednokierunkowy alias do nr rachunku.

-- 
Marcin