http://www.heise-online.pl/news/Otwartozrodlowy-projekt-ataku-na-GSM-- /9956
Ciekawym ile w tym prawdy, może ktoś wie ? (sam specjalistą nie jestem)

Dnia Thu, 27 Aug 2009 13:38:44 -0700 (PDT), Clegan napisał(a):

http://www.heise-online.pl/news/Otwartozrodlowy-projekt-ataku-na-GSM-- /9956
Ciekawym ile w tym prawdy, może ktoś wie ? (sam specjalistą nie jestem)

Ale jeśli do kogoś nagle przyjdzie hasło SMS, to chyba dojdzie do wniosku że
ktoś coś miesza - i pierwszą naturalną reakcją jest telefon do banku i
zablokowanie kanału elektronicznego...

Pozdrawiam,
--
Jacek Osiecki joshua@ceti.pl GG:3828944
I don't want something I need. I want something I want.

On 27 Sie, 22:58, Jacek Osiecki <jos...@ceti.pl> wrote:

Dnia Thu, 27 Aug 2009 13:38:44 -0700 (PDT), Clegan napisał(a):

>http://www.heise-online.pl/news/Otwartozrodlowy-projekt-ataku-na-GSM-...
> Ciekawym ile w tym prawdy, może ktoś wie ? (sam specjalistą nie jestem)

Ale jeśli do kogoś nagle przyjdzie hasło SMS, to chyba dojdzie do wniosku że
ktoś coś miesza - i pierwszą naturalną reakcją jest telefon do banku i
zablokowanie kanału elektronicznego...

No tak tylko, że zanim się dodzwoni czy zaloguje to będzie po
sprawie.

Dnia Thu, 27 Aug 2009 13:38:44 -0700 (PDT), Clegan napisał(a):
> http://www.heise-online.pl/news/Otwartozrodlowy-projekt-ataku-na-GSM-- /9956
> Ciekawym ile w tym prawdy, może ktoś wie ? (sam specjalistą nie jestem)

Ale jeśli do kogoś nagle przyjdzie hasło SMS, to chyba dojdzie do wniosku że
ktoś coś miesza - i pierwszą naturalną reakcją jest telefon do banku i
zablokowanie kanału elektronicznego...

a jesli ten ktos np. spi? albo rozmawia przez zestaw słuchawkowy = nie widzi
ekranu komórki? w obu przypadkach nie jest swiadomy ze przyszlo hasło sms... --

Jacek Osiecki pisze:

Ale jeśli do kogoś nagle przyjdzie hasło SMS, to chyba dojdzie do wniosku że
ktoś coś miesza - i pierwszą naturalną reakcją jest telefon do banku i
zablokowanie kanału elektronicznego...

Poza tym jeszcze trzeba znać hasło i login aby się do banku dostać.


--
Mithos

Clegan <cleghan@gmail.com> napisał(a):

http://www.heise-online.pl/news/Otwartozrodlowy-projekt-ataku-na-GSM-- /9956
Ciekawym ile w tym prawdy, mo=BFe kto=B6 wie ? (sam specjalist=B1 nie jeste=
m)

To ze ktos moze podsluchac Twoj kod sms - i nic wiecej. Nawet pomimo tego jest
to tylko jedna z "warstw" zabezpieczen i przy np. mbanku praktycznie niewiele
daje. "Hacker" musialby dodatkowo przejac sesje z bankiem, badz znac haslo do
konta i do tego znac numer telefonu na ktory haslo ma zostac przeslane.
 No, ale tak czy siak, jest to zlamanie jednej z warstw zabezpieczen.   --

On 28 Sie, 08:59, "Mariusz " <maniek_ok.SKA...@gazeta.pl> wrote:

To ze ktos moze podsluchac Twoj kod sms - i nic wiecej. Nawet pomimo tego jest
to tylko jedna z "warstw" zabezpieczen i przy np. mbanku praktycznie niewiele
daje. "Hacker" musialby dodatkowo przejac sesje z bankiem, badz znac haslo do
konta i do tego znac numer telefonu na ktory haslo ma zostac przeslane.

Sms podejrzeć "ktoś tam" mógł zawsze.
Teraz będzie po prostu łatwiej.

smskod był włąśnie po to by zabezpieczyć się w sytuacji gdy ktoś zna
już login i hasło do banku.
Teraz "wystarczy" że sprawdzi dodatkowo jaki numer telefonu jest
ustawiony przy jakiś tam usługach(jesli jest to przez net możliwe) i
prawdopodobnie jest to ten sam numer na który przychodzą hasła sms
 - więc już wie który numer "podsłuchiwać".

Krzysiek wrote:

prawdopodobnie jest to ten sam numer na który przychodzą hasła sms
 - więc już wie który numer "podsłuchiwać".

No i tu ma problem, bo musi się znajdować w obszarze btsa tego klienta. Powodzenia.

--
Raf

Rafał wrote:

No i tu ma problem, bo musi się znajdować w obszarze btsa tego klienta. Powodzenia.

majac login i haslo do interfejsu transakcyjnego zwykle ma sie tez
dane klienta, a tym samym i bts'a z ktorego najprawdopodobniej
poleci sms z kodem

MarcinF wrote:

majac login i haslo do interfejsu transakcyjnego zwykle ma sie tez
dane klienta, a tym samym i bts'a z ktorego najprawdopodobniej
poleci sms z kodem

Czyli musisz wiedzieć co pacjent robi na komputerze, czekać godzinami albo i dniami pod domem pacjenta (gotowy do zalogowania się z jego danymi i ustawienia przelewu zanim on to zrobi), skanować wszystkie kanały ze wszystkich sektorów dostępnych w tym miejscu (nie wiadomo czy przypadkiem nie siedzi na UMTS) i do tego liczyć, że nie przeczyta smsa (gdzie podana jest kwota i do kogo) i nie powiadomi o tym od razu banku. Pewnie będziemy mieli masowe kradzieże...

--
Raf

Rafał wrote:

Czyli musisz wiedzieć co pacjent robi na komputerze, czekać godzinami albo i dniami pod domem pacjenta (gotowy do zalogowania się z jego danymi i ustawienia przelewu zanim on to zrobi), skanować wszystkie kanały ze wszystkich sektorów dostępnych w tym miejscu (nie wiadomo czy przypadkiem nie siedzi na UMTS)

a po co to wszystko ? jesli atakujacy ma login i haslo to wystarczy
ze bedzie w zasiegu tej samej stacji bazowej, sam sobie zleci przelew
i podpisze przechwyconym kodem

i do tego liczyć, że nie przeczyta smsa (gdzie podana jest kwota i do kogo) i nie powiadomi o tym od razu banku.

to jedyne co moze zapobiec kradziezy, ale po pierwsze nie kazdy bank przesyla
dane transakcji w sms, po drugie nie kazdy klient zareaguje wlasciwie,
a po trzecie nawet jesli to zrobi to moze byc juz za pozno (np. przelew
w ramach tego samego banku i natychmiastowa wyplata z bankomatu)

Mariusz wrote:

"Hacker" musialby dodatkowo przejac sesje z bankiem, badz znac haslo do
konta i do tego znac numer telefonu na ktory haslo ma zostac przeslane.

login i haslo przejmuje sie keyloggerem, a numer telefonu zwykle jest widoczny
po zalogowaniu do interfejsu

On 29 Sie, 14:04, MarcinF <ma...@interia.pl> wrote:

Mariusz wrote:
>"Hacker" musialby dodatkowo przejac sesje z bankiem, badz znac haslo do
> konta i do tego znac numer telefonu na ktory haslo ma zostac przeslane.

login i haslo przejmuje sie keyloggerem, a numer telefonu zwykle jest widoczny
po zalogowaniu do interfejsu

haslo maskowane ;)

BK wrote:

login i haslo przejmuje sie keyloggerem, a numer telefonu zwykle jest widoczny
po zalogowaniu do interfejsu

haslo maskowane ;)

tez keyloggerem tyle ze nie przy pierwszym wpisaniu :)