20 nejhorších PINů na vašich kreditních kartách

Až na to že Enigma kód nikdo nerozluštil, protože byl ukradený stroj včetně vzorových depeší.

Ne, to je takový, co se z větší části živí kořaličkou modré barvy jménem Raketa.
Ale ona se už asi nevyrábí...

V tom případě vám prozradím, že nejčastější heslo administrátora počítačové sítě je pussy. Překladač to velmi cudně přeloží jako kočička.

To už dnes dávno není pravda...

protože po světě chodí tak obrovská várka tupounů, který by si víc jak 4 číslice už nezapamatovali

tak to bych tedy umoznil pouzivani i delsi kombinace cisel na prani zakaznika nez ty 4 cisla, ono stejne by pak zalezelo na cloveku jestli si necha bankou vygenerovany PIN nebo si nastavi svuj vlastni, delsi PIN a pokud ho zapomene - vetsina bank ma zpoplatnenou zmenu PINu. V cem je tedy problem umoznit pouzivani vice jak 4 cisla? Je to nejaka technicka prekazka? Nedava mi to proste logiku.

možná rychlost placení u obchodníků? 50 miliónů lidí pomalu vyťukávajících každý den 8-mi místný pin už může být (včetně překlepů) poznat ... ale jinak souhlasím, bylo by to lepší

Některé banky víc číslic umí, netuším ale, jestli se to týká i některé české.

Zuno podporuje vice cislic.

(ak dobre pocitam) tak to je 10 000 moznosti na taketo 4 miestne cislo a len 3 pokusy na jeho uhadnutie. + potrebuje utocnik kartu.

Docela dobře o tom mluvili v Digitu #43 - (Se Synopsim o bezpečnosti a platebních kartách). Je to tedy záležitost (nejen) kompatibility.

Me by spis zajimalo, jak si nektera banka muze dovolit mit petimistny "pin" pro internetovy bankovnictvi... Jak se pak mam cejtit bezpecne, kdyz si tam nemuzu napsat svoje 40mistne heslo?

Banka se k pinu ani dostat nemůže. Ten je uložený pouze na příslušné kartě.

To je možný, ale pokud můžou ty piny nějak uniknout (nezdá se mi že by někdo získal 3,4 milionu pinů přímo z karet), tak je dost blbý že nejsou hashovaný, a že by to byl produkt brute force se mi taky moc nezdá.

Banky piny nielenze nehashuju, oni ich ani nemaju. Piny generuju kartove spracovatelske spolocnosti jednotlicych bank. A tam tie piny su v db, ale sifrovane. Piny nevidia ani ludia, co ich tlacia.

Těch 3.4M bylo nasbíráno postupně. Spoustukrát se stačí uživatele pouze zeptat přes email a on vám to prozradí, nebo podvržená webová stránka apod. Já si myslím, že takové množství sbírali třeba 10 let.PIN je hashovaný a nedá se z karty přečíst. Dá se pouze uhodnout. PIN Vám otevírá přístup k vaší kartě, na které jsou údaje nutné pro komunikaci s bankou. Vše je zajišťováno přes certifikáty a certifikační autority. Banka vám může zneplatnit Vaši kartu, ale PIN vám na dálku nezmění.

Na tom něco bude. Phishing mě nenapadl. Takže je to teda jen o blbosti, tak to je fajn Jinak jen pro zajímavost, s tím hádáním pinu. Pokud by to někdo zkoušel u bankomatu, tak pomineme-li efektivitu téhle metody, tak předpokládám že mu bude po několika špatných pokusech zabavena. Ale co kdyby někdo měl vybavení že by to mohl zkoušet doma, má karta třeba něco na způsob "sebedestrukce"?

Jaké vybavení na zkoušení doma ? To by jako ty piny zadával do kalkulačky casio ?
Bankomat po třetím špatném zadaní pinu kartu zabaví a už nevrátí zpět.

No pokud se pin autorizuje ke kartě (tzn., neověřuje se někde on-line), tak takové zařízení na přečtení pinu musí být celkem primitivní.

To mám na mysli. Přijde mi to nebezpečnější než kdyby se karta autorizovala někde proti serveru, protože tak by bylo blokování karty jednoduché, ale pokud se ověřuje přímo karta, tak musí bohatě stačit čtečka a patřičnej SW, o čemž pochybuju že by byl větší problém sehnat.

Na karte ta informace (privatni klic) je sice ulozena, ale neda se precist. Ani kdyby jste vymontoval pametove bloky a precetl to cimkoliv. Privatni klic se nikdy necte, tato operace neni naprogramovana v obsluznem softwaru, ktery je na karte. Pomoci tohoto softwaru, verejneho klice banky a PINu je pak mozne se dostat k udajum ulozenym na karte a overit tak kartu vuci serveru.Stejny zpusob je i u SIM karet.

Myslel jsem to tak že v případě že by se nehlídala karta sama, ale dělal by to obslužný SW bankomatu, tak by doma útočník nebyl omezen na 3 pokusy. Když se karta hlídá sama, tak je to cajk

Všechno se dá přečíst. Neříkám, že je to jednoduché.

Je mozne mit doma vybaveni na cteni karty, nicmene je vam to celkem na houby. Takova ctecka muze byt integrovana treba v klavesnici a slouzi k pristupu k jakekoliv sluzbe, ktera umoznuje prihlaseni osobnim certifikatem. Tzn. treba do internetovaho bankovnictvi nekterych bank.Karta se po trech spatnych zadanich zablokuje. Pak je ji mozne odemknout pouzitim pin 2, ten vam ale banka nikdy nerekne.
Karta si sama o sobe pamatuje, kolikrat vam to nevyslo, takze i zkouseni na vice mistech vam povoli dohromady zase a pouze 3 pokusy.Sebedestrukce tedy neni potreba, zrusi se uvnitr.

Díky to jsem chtěl vědět. Takže teda opravdu jediná možnost jak se k pinu dostat je že buď mi ho někdo řekne, nebo mám kliku a trefím se na 3 pokusy.

a nebo nainstalujete nejakou kameru ke klavesnici a budete to sledovat a zapisovat. I takoveto pripady se u nas v CR objevily :)

JJ, to se mi stalo, i se zkopírováním karty. Naštěstí mi ji spořka zablokovala dřív než mi někdo vybral účet, jen ten úlek když jsem si byl pro peníze a místo s penězma jsem od bankomatu odešel bez karty.

Podle mě není - pak by se dalo z ukradené karty přečíst obsah a nějakým brute force útokem ten pin zjistit. Druhý důvod je ten, že karty banka vydává každé 2-3 roky nové a PIN se mi nezměnil, takže to musí být uložené někde u vydavatele karet, aby tam mohli dát stejný.

Ach jo. Uvedom si, co si napsal za blbost. Hashovat PIN nema zadny smysl. PIN jsou 4 cisla a neni problem projit vsech 10000 moznych PINu a hash "rozsifrovat".

Ani ne. Pokud by se karta ověřovala proti serveru (což jsem předpokládal), tak za jakýchkoli okolností není problém po třetím pokusu kartu zablokovat, a při dalším použití zabavit. Ovšem pokud je pin přímo na kartě, tak tam pochopitelně nemá moc smysl ho hashovat, pokud není přímo na kartě mechanismus kterej by bankomat opět přiměl k zabavení po několika pokusech.

pin nema cenu hashovat nikdy

Tak s tím opravdu nemůžu souhlasit. Pokud by ověřování pinu probíhalo na serveru, tak by hashování mělo význam zásadní. I když se 4 místné číslo dá po mocí brute force prolomit velice rychle, tak se po několika málo pokusech dá celá karta zablokovat a při následném použití klidně i zabavit. Pokud bude mít člověk lidskej pin a ne něco z článku tak pravděpodobnost prolomení na 3 pokusy je spíš teoretická. Oproti tomu pokud by na serveru byl pin uložen jako prostý text, nebo klidně i šifrovaný, tak by se k němu potenciální útočník mohl dostat "prostým" nabouráním systému a nemusel by se nějakým prolamováním pinu vůbec obtěžovat, a pokud by byl šikovnej, mohl by i mít pin dřív než kartu a tu pak díky tomu vyčistit za pár okamžiků.

To je blbost, pin je pouze na karte a banka ho nezna.

Ano, to už jsi mi řekl. Pracoval jsem už jen s původním mým příspěvkem, kde jsem ještě předpokládal ověřování proti serveru, a tím co napsal smrt28 tedy že hashovat pin nemá nikdy smysl.

ok, ale nekdo ho znat musi a tato diskuse je o tom, jak ten nekdo (trebaze ten nekdo neni banka) ma ten pin ukladat. Ja se tu snazim vysvetlit, ze hashovani je v tomto pripade blbost.

Tak nám ještě prozraď, jak to ta banka dělá, že když vydává novou kartu po skončení platnosti předchozí, tak je na ní stejný PIN. Pošle k tobě v noci hackera a ten ho přečte?

A jaky vynam by melo hashovani pinu na serveru? A co s tim ma spolecneho blokovani karty? Hesla na serveru se hashujou proto, aby kdyz nahodou nekdo ukradne databazi s heslama, tak ma stizene jejich rozkryti. Kdyz ma teda nekdo heslo dost dlouhe (alespon 8 znaku, radeji 10, bezpecnych je IMO tak 20) a hashe jsou osolene, tak hash nejakou ochranu poskytne. Ale pin? 4 mistny pinu ti z hashe dostane kazde PCcko 100 za sekundu.

btw: "rozšifrovat" hash (tahle blbost vypadá fakt děsně) ve kterým je jedna z 10000 možností je dost zásadní problém když na to máš jen 3 pokusy

SHA1 hash z meho pinu je 8ea10a65182f4ef14235b9c01bc7a308a665831d. Jaky mam PIN?Ok, zkusim 3 piny, sha1(0000) = 39dfa55283318d31afe5a3ff4a0e3253e2045e43, sha1(0001) = 7a6779700f09e1eafe9ad40e390f3a15b94dfa4b, sha1(0002)= c5e8754637504e5ebf868efc915ae09cb8ba1c3bco to? Karta furt zablokovana neni a udelal sem 3 pokusy.

5368. Radši si ho jdi změnit

no a tady je perfektne videt, jak je hashovani u pinu zbitecne.

Uz jsi slysel, ze do vetsiny hash hesel se v dnesni dobe dava jeste salt? Pokud neznas hodnotu salt, tak have fun se ziskanim hesla.

A jeste volit takovou kombinaci, aby nebylo zrejmy, jestli to konkretni cislo je napr 3 nebo 8 , aby mel duvod zkusit to vickrat.

15 rokov to praktizujem.Dokonala ochrana.

A kolikrat si tu kartu uz ztratil?

Ještě ne, ale co kdyby...

Naopak, vhodne je tam napsat PIN takovy, ze ktereho clovek muze vypocitat ten spravny - coz je v pripade vice karet skvela pomucka. Bud prehazet dvojcisli nebo treba pricist ke kazdemu cislu 1 ci jine "tajne cislo".

no proto je na kreditce na 2 strane ten CVS nebo jak se tomu nadava kod... overovaci sms apod. to uz vidim banky, jak stekaj ze stavajici zabezpeceni je dostatecne a kdesicosi, dyt to zname...kdyz muze byt v CR bezna absurdita, ze se plati poplatek pri vkladu na vlastni ucet....

Doporučuji si ten CVS kód přelepit papírkem, aby si to někdo s fotografickou pamětí náhodou nezapamatoval. Navíc, číslo karty obchodník vidí v systému, takže stačí jen ty 3 čísla

jako mobitoplatito.cz - maji zakazany vsechny piny co maji v sobe 2 po sobe jdouci stejna cisla. Tj. celkem mame 10000 moznych kombinaci pinu. Z toho oni zakazou 2710, coz je vic jak 1/4. To same plati u hesel. Kdyz te nejaka sluzba nuti, abys mel v heslu alespon 2 cisla (napriklad ceska sporitelna). Kdyz mas heslo o 10 pismenach + cislech. mas celkem (24+10)^10 moznych kombinaci. Kdyz naridis cisla, dostanes (24+10)^10 - 24^10 kombinaci. Tj. stratis 3.1% moznych hesel. U sesti znaku uz prichazis o nejakych 14%.

Má na to 3 pokusy, pokud to neuhádne, bankomat kartu sežere a musíte zažádat banku (vlastní zkušenost v rodine). A co se tyka plateb pres kartu online, uz i ted chce po me opsat kod z sms, takze ani tak to uz ted nepujde

Když jsem jednou zapoměl pin, tak se karta sice zablokovala, ale normálně vyjela ven, a automaticky se odblokovala v pondělí 00:00 ráno. (karta i bankomat ČSOB)

Pokud ten treti pokus nezada a chvili pocka, tak ta karta vyjede ven.Opsat kod to chce jen u karet podporujicich 3Dsecure a jen tam, kde to podporuje i platebni brana. Pokud to jedna strana nepodporuje, tak zaplatis "starym" zpusobem.

opisuje se mozna u nas. v zahranici muzete platit jak chcete a mobil nepotrebujete

pokial nakúpi v obchode alebo vyberie peniaze z bankomatu bude problém ho chytiť (možno tak s pomocou záznamu z kamery pri bankomate). Ak ale nakúpi na internete platba pôjde na adresu nejakého obchodu, odkiaľ ti pôjde domov tovar. imho nebude veľký problém zistiť kam ten tovar poslali ;)

než to zjistíš, je zboží vyzvednuto zlodějem, vítej v Absurdistánunějakou dobu po krádeži zjistíš že proběhla platba (to už zloděj nakoupil online a zboží vyzvedl na pobočce)
napřed musíš zjistit kam proběhla platba, banka ti to v nejlepším dá do 24 hodin
pak seženeš internetového obchodníka a oslovíš ho, on ti sdělí informace, když budeš mít štěstí zvládneš to za dalších 24 hodinno a ve finále zjistíš, že kamerový systém na pobočce je už měsíc mimo provoz

aby mohl platit online, musí mít platby kartou na netu povoleny, což nemá každý.
Já osobně to na kartách povoleno nemám, k platbě přes net používám virtuální PK Komerční banky.

To by mi musel ukradnúť aj telefón. Každú platbu na internete musím potvrdiť kódom zaslaným SMSkou

I u těch retardních bank, co neumožňujou blokovat net platby je možný CVC2 / CVV2 strhnout, a zapamatovat si ho, nebo dát jinam.

Co to dáš za banku že ani pin nemůžeš změnit. Dokonce i u bezblatné mbank to jde..

U bezplatné mBanky to stojí "jen" 25Kč.

vzhladom ze pin menis mozno raz za niekolko rokov, vacsina ludi je schopna 25kc financne zvladnut :)

Zde nejde o samotných 25 Kč, ale o to, že banky neustále bombardují lidi, aby měnili hesla a vůbec dbali o větší bezpečnost následně tuto činnost zpoplatní, což má přesně opačný efekt. Pro mě je podstatné, že si lze za 0 Kč zvolit PIN při aktivaci. Když jej zvolíte rozumný a nijak jej nešíříte pak jeho změna není potřeba. Mimo jiné by mě moc zajímalo, kolik lidí mění PIN na své kartě pravidelně jednou řekněme za rok... Troufám si tvrdit, že je to zanedbatelné procento, které banku nemůže finančně nijak zrujnovat a na těch 25 Kč se nezahojí...

Od takove banky bych ihned odesel. Pin je moje volba a nikdo ny me do toho nemel kecat, ci dokonce vedet, jake cislo pouzivam.

Jeste pred par lety byla zmena PIN u ceskych bank nemozna.

Před pár, cca 10 lety...

Pokud mě paměť neklame, tak položku "Změna PIN" vídám v bankomatu tak poslední tři roky, maximálně.

Tak u mě to šlo už 3 karty zpátky. To je cca 10 let. Ale na bankomatu jsem to neměnil, to je fakt...

Tak sem se schvalne podival do ekonta raifaisenbanky, coz je dodnes asi nejlepsi internetovy bankovnictvi v CR a jedina moznost zmeny PIN je nechat si ho vygenerovat a dojit si pro nej na pobocku nebo si ho nechat poslat postou...

Nejlepší internetový bankovnictví? :D Na to si přišel jak? :D Jestli to tak je, tak v tom případě máme v ČR nejlevnější volání na světě :D

Mozna podle toho ze to bylo vubec prvni internetovy bankovnictvi v CR a podle vsech ohlasu i ve sve dobe i jedno z nejpokrokovejsich v Evrope a tak uspesne, ze vlastne banka vznikla vicemene kolem neho? Pokud uz eKonto (puvodni eBanku) naka z mistnich bank dokazala aspon dohnat v komfortu, zabezpeceni a mnozstvi funkci, prosim odkaz...

1) ano, bylo první, to však neznamená, že je dnes nejlepší
2) ve své době ale bylo opravdu nejlepší, to nikdo nemůže popírat
3) ebanka vznikla z expandia banky a o její úspěšnosti se dá docela polemizovat, protože zase tolik klientů neměla, ale to bylo spíše nedůvěrou, neznalostí a malou penetrací internetuŘada dnešních IB je kvalitních a jejich hodnocení je dost subjektivní, protože každý potřebuje něco jiného a to nemyslím jen po stránce funkcí nebo služeb, ale i vzhledu. K tvým třem otázkám:1) komfort, to je to co mi vždy u eKonta chybělo - bylo to vždy extrémně pomalé. Já osobně dám i na design a ten je u eKonta na dnešní poměry děsivý.
2) všechny banky používají SSL a (asi) všechny mají i SMS ověřování. Některé banky pak mají ještě další možnosti autentizace (je stále u eKonta kalkulačka?). Každopádně co je u eKonta bezpečnější?
3) počet funkcí je subjektivní. Jak už jsem psal - každý potřebuje něco jiného, proto jednomu stačí par funkcí od mBank a jiný potřebuje kompletní správu jako právě třeba u eKonta. Hodnotit podle toho IB je tedy poněkud zavádějící, stejně jako hodnotit ji podle designu, na který třeba já dávám jistý důraz.eKonto jsem zrušil zhruba před dvěma lety, právě kvůli stagnaci, ale i kvůli Raifky, která eBanku koupila, protože potřebovala IB, které si sama nebyla schopna napsat. Ale jednak jej v podstatě dál nerozvíjela a jednak se objevila řada služeb, které nebylo možné řešit online, ale musí se klasicky na pobočku. Měl jsem možnost pracovat s IB spořky, FIO banky (staré i nové), mBanky a staré KB (nové jsem viděl pouze na screenech), AirBank a GE a právě GE považuji z těchto IB za nejlepší - je rychlé, přehledné a graficky příjemné.

Teda neni mi moc jasny co na ebance kdy bylo pomale. Je to prave design a rychlost a to ze z internet bankovnictvi muze delat uplne vse co potrebuju, co mne u ebanky drzi uz 12 let...
Leda mne napadlo jestli ste nepouzival Java verzi ktera se obcas myslim pomalu nacitala, ale ja pouzivam snad od zacatku javascriptovou verzi, ktera funguje perfektne...Ale pravda muzu primo srovnavat pouze s mbank, ktera je horsi nez ekonto absolutne v kazdym smeru. Od skutecne otresnyho designu, pres naprosto neergonomicky ovladani az po nevyzadovani overeni pres sms pro prihlaseni a i kdyz uz overeni pres sms je tan ta sms narozdil od ekonta neni sifrovana a chranena pinem,,,
Narocnejsi funkce jako vedeni uctu nezavisle v ruznych menach ci dalsi pripojeny produktu asi nema smysl ani zminovat... Komercni banku sem mel moznost videl i kdyz je to dyl a dost mne to desilo, to bych nemoh pouzivat vubec.
Ge nemam moznost posoudit

Já mám eKonto už 13 let a mBank asi 3 roky, pořídil jsem si tam účet kvůli výběrům v zahraničí zdarma. A čím dál tím víc používám mBank a eKonto se chystám zrušit, protože to co ty mBance vyčítáš, mě naopak vyhovuje:
1) pro vstup mi stačí heslo - to mi vyhovuje, když se chci podívat na účet, třeba zda už došla nějaká platba, nemusim čekat na zaslání kódu a opisovat ho z telefonu, zadám jen heslo
2) potvrzovací SMS je podle mě pohodlnější, než do specielní aplikce, nemusim se k tomu proklikávat a zadávat pin a je i kratší (opisovat 11 znaků eKonta je vopruz) Navíc u SMS si na rozdíl od té bankovní aplikace můžu nastavit velikost písma, zatímco bankovní aplikace používá tvrdošijně mrňavý font a nejde to změnit
3) pokaždý, když změním SIM kartu, musím do RB aby mi nahráli aplikaci, a protože RB nemá moc poboček, jsem několik dnů bez přístupu k účtuA neodpustím si jednu výtku všem bankám - to je takový problém kód rozdělit mezerama na skupiny tří nebo řtyř znaků a při ověřování ty mezery zase ignorovat? kdo má opisovat 8-12 číslic zapsaných v jedné řadě.

ad 1) zadas jen heslo? A co uzivatelske jmeno. To mi dela nejvetsi problem pri prihlasovani. To cislo si zkratka nedokazu zapamatovat a tak ho musim mit nekde napsany... proto mam radsi i to prihlasovani od ekonta ktery je jak bezpecnejsi tak i pro mne pohodlenejsi, protoze uzivatelsky cislo sem si moh vybrat a tak si ho i pamatuju...ad 2) samozrejme ze je to pohodlnejsi, ale je to celkem velka bezpecnostni dira oproti sifrovany SMS.ad 3) Tak zvhledem k tomu, ze ja SIM nemenim vubec (dokud mi neukradli telefon loni mel sem porad prvni SIM na kterou mi ten SW pred 12 lety nahrali), tak tohle vubec neresim...Jinak sem taky uvazoval, ze bych ekonto zrusil a vystacil si s mbank, jenze mne chodi vyplata v Eurech a mbank nema podporu pro cizi meny a takze se mi ani vybery ze zahranicnich bankomatu zdrazma nevyplatili protoze bych zaplatil vic za prevody EUR -> CZK -> EUR nez je poplatek za vyber u RB a dalsi duvod, ze mbank nema poplatky za vedeni uctu uz taky pad, protoze ty uz neplatim ani u RB.Jo, s tim rozdelenim souhlasim, casto nekde naky cislo prehlidnu...

1) já používám správce hesel, a je furt jednodušší přetáhnout myší dva údaje, než opisovat 11 číslic z mobilu
2) zas tak velká bezpečnostní díra to neni a za to pohodlí to risknu
3) uznávám, že to neni často, za těch 13 let mi nahrávali aplikaci 4x a jednou mi trvalo několik dní než jsem se k tomu dostal a fakt mi ten přístup chyběl

no me prave prijde mnohem jednodussi opsat ten kod z mobilu nez se slozite proklikavat, kde to cislo mam ulozeny. Zvlast, kdyz se pripojuju z ruznych pocitacu... ale tak to je asi subjektivni...

Naopak, vhledem k tomu že jak článek ukazuje velká část lidí si volí triviální PINy, nastavením PINu banka chrání sebe i klienta. Pochopitelně je trapas, když sama banka vygeneruje triviální PIN jako 1234 nebo 0000 jak tu v diskusi zaznělo.

"ci dokonce vedet, jake cislo pouzivam." takže když si PIN změníš tak ho nikdo nezná?

U Zuno můžu mít PIN i delší než 4 čísílka

A jak se na to tváří bankomaty jiných bank?

Taky jsem na tom byl podobně, akorát jsem dostal kombinaci 0000. Ještě v době, kdy změna PINu nebyla jednoduchá.
Teď už asi třetí kartu po sobě mám jinou kombinaci, kterou jsem dostal a nějak nemám důvod ji měnit. Dobře si ji pamatuju a i z hlediska uvedené analýzy patří mezi poměrně bezpečné.