[HWSW]

A Magyar Telekom ügyfélszolgálati rendszerében már két éve elérhetõ a biometrikus hangazonosítási mód, de egyelõre szkeptikusak az ügyfelek az új technológiával kapcsolatban. Pedig a kutatások szerint ez az egyik legbiztonságosabb autentikációs eljárás, ezt jelzi legalábbis, hogy már bankok is használják ügyfélazonosításra.
https://www.hwsw.hu/hirek/52897/nuance-biometrikus-hangazonositas-biztonsag-jelszo.html

[fgyuri]

"nem törhetõ fel vagy támadható a szokványos módszerekkel (adathalászat, brute force, social engineering stb.)"

De igen! Felhívom és elbeszélgetek vele. Megszólítom egy csendes helyen. Hangot rögzíteni. Keresni róla hanganyagot a neten. (social engineering, ezzel >szinte< mindent lehet törni, de elsõ lépésnek mindenképp jó)

a) a meglévõ hanganyagból(ehhez sok kell) kivágni hangkapcsolatokat/szótagokat és összerakni (az összerakás már programmal megy) angolul kiejtés szerint magyarul írás szerint mehet

b) hangparamétereket kinyerni, beszédszintetizátort felprogramozni és kész

És csak annyira kell jónak lenni, hogy a hanganalizátor szoftverüket átverje. Ez ellen az emberi hallgató és engedélyezõ lehet nehezítés. De elég rég kijött már az éneklõ szoftver is. Éljen a DSP!

Persze ez csak akkor kell, ha változik a bekért jelszó. Ha nem változik, akkor elég lehallgatni a SZOKVÁNYOS eszközökkel : puskamikrofon, mobillehallgatás, skype és egyebek esetén wifi lehallgatás, telefonnál is több egyszerû SZOKVÁNYOS lehetõség van mint pl. poloska, vezetékesnél vezetékcsapolás

Most komolyan, azért jobb mert másfajta SZOKVÁNYOS módszerekkel törhetõ mint egy pinkód?

Ez még új dolog, és még nem terjedt el. Ha érdemes lesz vele foglalkozni, mert lehet lopni csalni vele eleget, akkor a most már meglévõ eszközöket használva fogják törni.

És végül a legSZOKVÁNYOSabb módszer: pisztolyt a halántékhoz nyomni, és kérni a jelszót (mondani). (Persze ez csak a filmekben van így, kivéve amikor nem.)

És ez csak általában a hangazonosításról. A konkrét mûködést ismerve lehet tovább fikázni vagy elismerni.
Itt is lehet trükköket alkalmazni a törés nehezítésére, vagy észlelésére. Pl. kényszerített kód kötelezõ megadása.

[Szerzetes]

Úgy elképzeltem a leírásod alapján a "legszokványosabb" szituációt: a rakamazi Tóth Mari nénit pisztollyal kényszerítik a minden hájjal megkent, állig felfegyverzett bûnözõk a Magyar Telekom rendszerében történõ hangazonosításra, majd ezek után szörnyû bûncselekményeket hajtanak végre, például ki/be kapcsoltatják a hívószám-kijelzést, vagy hívásrészletezést kérnek az elmúlt hónapról.

[philcsy]

@fgyuri: Egy-egy emberrel megcsinálod, de tömegesen kétlem. PIN kódot és jelszót viszont nagyüzembe lehet halászni/törni.

[fgyuri]

Mire megírtam ezt az alábbi sokat, rájöttem a megoldásra:
Vírus szépen az okostelóra, és ha a telebank számát hívja, akkor rögzíti a beszélgetést és utána küldi feldolgozásra a rosszfiúkhoz. Ennyi volt. vége a biztonságnak. Tömegesen megszereztük a belépési kódot.
És aki ezt az ötletem használja ártó szándékkal 100X karmát kap és halálnak halálával hol.

@philcsy: Azt írják tárolják a hangmintákat telekomál. Ha véletlenül eltárolták a felmondott hangot akkor tömegesen lehet ellopni. De szerintem ilyet nem csinálnak, mert nincs értelme, de attól még lehet De ha nincs hang, paramétereket tárolnak róla. Valamit kell. Azt el lehet lopni tömegesen. És ha még nem találtak ki valami nagyszerû csuda dolgot, akkor nincsen lekódolva egyirányba.

Mert ugye a hang minden pillanatban változhat, magasság, felharmónikusok, szó hossza, attól függõen, hogy a test és lélek épp milyen állapotban van. Szóval nem megy az mint a jelszónál, hogy teljes azonosság kötelezõ, így elsõre azt mondanám nincsenek kódolva. Általában normalizálják a hosszt, és gördülõ súlyfüggvényt használnak alapban. De már rég volt ez. Ha jól emlékszem, a magánhangzóknál az alapfreki és felharmónikusok aránya, és ezek amplitudója talán az emberre jellemzõ könnyen kiszedhetõ adat. ezeket egy FFT után könnyû megtalálni és kevés adattal leírható.

Valamint szerinted nem lehet felhívni az embereket nagyüzemben gépekkel, és elmondani nekik hogy az xy banktól vagyunk, nyert egy 50000Ft-os ajándékot mint 10000dik felhasználó/kisorsolt van egy új akciónk, adategyezetetés miatt keressük..., és hogy a nyeremény átvételéhez hangazonosítja magát? Itt az anonimitás megtartása talán nehezebb mint spamek küldénésél, de szerintem kellõ pénzzel minden megoldható.



A pinkódokat meg kártyaadatokat ha jól tudom csak úgy tudják nagyüzemben ellopni, hogy a ZembereK jól megadják ezeket az adatokat mindenféle weboldalon, és azok meg képtelenek vigyázni rájuk. És ez nem a PIN kód meg a bankkártya hibája. Hanem mert vannak olyan helyek, ahol tömegesen halmozzák õket és nem figyelnek eléggé rájuk. Lehet még automatát módosítani, vagy kamuautomatát építeni. Esetleg mint legutóbb egy cég kártyaolvasóiba beépülni szoftveresen. Egyik se a kártyából szedi ki a PIN-t. Vagy tudsz más tömeges PIN szerzésrõl? A kiszolgáló berendezések és az emberek a gyenge pont mára. Kezdetekben nem így volt, a telefonkártyák és a bankkártyák is elég bénácskák könnyen törhetõek voltak eleinte.

És ha már faluról van szó: Nagymamék falujában volt autós üldözés utcán lövöldözéssel (igen éles halálos töltényekkel), ukrán maffia fenyegetett legalább egy embert és õk nem az összefirkálást szokták felajánlani.... bármi elõfordulhat! Ja a posta széfjét meg úgy rámolták ki, hogy éjszaka kibontották hátul a falat, és ott mentek be hétvégén. Elõl meg sértetlen az ajtó meg a vasrács. Hétfõn nyitáskor volt nagy meglepi. És ez egy világvégi kis falu. Nem a hely számít, hanem az ellopható/megszerezhetõ érték, és a hozzá szükséges befektetés megfelelõen jó aránya a kockázathoz viszonyítva, az adott ember elmeállapotával súlyosbítva.

Egyébként én jelenleg arra szavazok a fizetési megoldásoknál, hogy tárolja a bank az adatokat, mert nála úgyis ott van, és õk vigyáznak rá, mert nekik nagyon fájna, ha elvinnék a pénzüket. Ebbõl élnek, van már tapasztalatuk (remélem meg a paypali, ha nem ódzkodunk amcsiknak megadni adatainkat.

[fgyuri]

@Szerzetes: bankban is akarják használni...

[kisrobert]

"kutatások szerint ez az egyik legbiztonságosabb autentikációs eljárás"
Erre van valamilyen forrás (avagy csak marketingduma)?

[Jahno]

Idézet: fgyuri - Dátum: 2014. 09. 25. 03:55

Mire megírtam ezt az alábbi sokat, rájöttem a megoldásra:
Vírus szépen az okostelóra, és ha a telebank számát hívja, akkor rögzíti a beszélgetést

Tudsz ilyen vírust? Nekem elsőre az sem sikerült, hogy helyben SD kártyára mentsen, aztán hol van még ettől az, hogy a elmailozza, de csak a bankom számával kapcsolatosat? No meg nem is nagyon elterjedt a dolog, aztán meglátjuk.

[Szerzetes]

A biometrikus azonosítások általános problémája, hogy ezeket is lehet lopni/hamisítani... Ujjlenyomatot nagyon könnyû ellopni, hangot nagyon könnyû ellopni, egyedül a szemet nehéz ellopni, igaz a kényszerítés itt is mûködik vagy egyszerûen levágják a fejedet és odatartják a gép elé...

Továbbá könnyû lopni tokengenerátort is, és úgy általában mindent, ami mozdítható.

[Jahno]

Idézet: Szerzetes - Dátum: 2014. 09. 25. 10:28

A biometrikus azonosítások általános problémája, hogy ezeket is lehet lopni/hamisítani... Ujjlenyomatot nagyon könnyû ellopni,

Ja, addig igen. Ellenben ezzel csak a leggagyibb olvasókat lehet kinyitni. Jobbakra max. átverős youtube videó van, ami nem igaz, de mondhatnád, hogy miképpen tudod ellopni és másolni. Kinyomtatod fehér papírra és odarakod az olvasóra?

[Jahno]

Idézet: Szerzetes - Dátum: 2014. 09. 25. 10:28

Továbbá könnyû lopni tokengenerátort is, és úgy általában mindent, ami mozdítható.

Amihez júzernév, jelszó és PIN kell. Mellékesen van olyan tokenünk, aminél ezek mellé még a júzer mobilja is kell, feloldókód után jelszóval meg lehet nyitni alkalmazást, ami még kiír egy engedélyező kódot Bonyás is használni...

[Jahno]

Idézet: fgyuri - Dátum: 2014. 09. 25. 03:55

Ja a posta széfjét meg úgy rámolták ki, hogy éjszaka kibontották hátul a falat, és ott mentek be hétvégén.

Hallottad, vagy tényleg? Júzereimnél ahol még nem volt riasztó ott előfordult, meg persze filmekben és legendákban, aztán jó ideje a sarki postán is bőven van riasztó. Neten is kerestem, hirtelen nem találtam.

[Szerzetes]

@Jahno: " Kinyomtatod fehér papírra és odarakod az olvasóra?"

Például: http://www.wikihow.com/Fake-Fingerprints

[Szerzetes]

@Jahno: "Amihez júzernév, jelszó és PIN kell."

Persze világos, csak azt akartam mondani, hogy más megoldásoknak is lehetnek gyenge pontjai. A bankomnál pl. az online felhasználónév a GIRO számlaszám középsõ nyolc számjegye (= az egyfélkóddal), ehhez elég csak a számlaszámomat megszerezni és kiolvassák belõle. Korábban fizikai tokenem volt, amihez a PIN kódot ki kellett volna figyelni vagy hõkamerával leolvasni. Most a mobiltelefonon van a tokengenerátor, amit mondjuk tényleg bonyolult megszerezni.

Na de a témára visszatérve a biometrikus azonosítás nem bombabiztos, de vannak olyan egyszerû szolgáltatások, ahová megteszi.

[UnA]

@Jahno: szerintem csak megnezte a Banki melo c. filmet, az tenyleg megtortent. Igaz mar 40 eve volt...

[Jahno]

Idézet: Szerzetes - Dátum: 2014. 09. 25. 11:37

@Jahno: " Kinyomtatod fehér papírra és odarakod az olvasóra?"

Például: <a href="http://www.wikihow.com/Fake-Fingerprints" target="_blank" rel="nofollow">http://www.wikihow.com/Fake-Fingerprints</a>

Kíváncsi lennék rá mivel működik. Kár, hogy nem a zselés/gumimacisat linkelted, de ez nekem így elég fura.

Kollégát meg kellene kérdezni, én nagy részében nem vettem részt, de nem hinném, hogy a lézernyomtatónak olyan felbontása van, ami reprodukálná, főleg lefényképezés után.

Másrészt ki előzetes hatástanulmány is kell, mert egy poharat általában nem vegytisztán és egy ujjal fogjuk meg, így le kell venni a létező összes lenyomatot, mellé kifigyelni mihez melyiket használja a júzer. Utoljára PINes feloldós dologgal olyannal vitáztuk ezt, aki a szomszéd szobában ült, mondom gyere ide lessük meg élőben. Nem jött be

[bakagaijin]

@Jahno: Ékszerüzlet volt pár napja. Volt mozgásérzékelõ is.

http://www.delmagyar.hu/szeged_hirek/dobbenetes_ekszerlopas_a_napfeny_parkban/2399103/

[Szerzetes]

@Jahno: "nem hinném, hogy a lézernyomtatónak olyan felbontása van, ami reprodukálná, fõleg lefényképezés után."

Az iPhone garantáltan nem jelent kihívást.
https://blog.lookout...6-touchid-hack/

[fgyuri]

@Jahno: Tényleg. A környékbeli több faluban végigmentek így a postákon.

[fgyuri]

A nyomtatók már nagyon pöpecek : itt egy 100KHUF 9600X2400dpi
http://www.edigital.hu/Okostelefon/Nokia/Irodatechnika/Tintasugaras_nyomtato/Canon_Pixma_iP8750_A3+__tintasugaras_nyomtato-p403981.html?gclid=CPbwi_Du_MACFfMgtAodyyYAxg

Szerintem egy FullHD-s mobil kijelzõje is jó lehet a 3-4száz DPIvel. ÉS ha ráér egy programozó akkor a szem fényképébõl egy kis programozással lehet szépen mozgó pislogó szemet is csinálni.

De persze ez csak a technomániások csinálják így. A jobbak elintézik, hogy legyen egy szemvizsgálat a célszemélynél (teljesen véletlenül , esetleg az egész szervezetnél, és szemvizsgálat közben szépen rögzítik a delikvensek szemét

De egy buliban leitatni (Gina, könnyen kapható nõ/férfi) és részegen hazasegíteni, közben minden adatát lemásolni, kémprogramokat telefonjára/laptopjára telepíteni, biometrikus adatokat levenni ...

Ujjlenyomatot könnyû szerezni, mert az emberek elég sok dologhoz hozzányúlnak, de talán az egyik legjobb az üvegpohár, azon szépen látszik de talán az evõeszközök is (pálcika nem). Ebédelni szoktak az emberek, és inni is nyilvános helyeken, de jó lehet az üzemi menzán a mosogatói/asztalleszedõ állás is ilyesmi célra. És a klasszikus takarítónak megyek a célszemélyhez/intézményhez-rõl már ne is beszéljünk.

A kérdés leginkább az, mennyi idõ és pénz van ezek megszerzésére és megéri-e azt a cél.