Názory k článku Peter Polák: Ohrozí Apple Pay naše banky?

No, nejvíce offlinových fraudů se týká toho, že ztratíte kartu a máte u ní napsaný PIN. Že zrovna vy to takhle neděláte neznamená, že se to neděje.

Předpokládám, že sám nečekáte, že nějakej zmetek najde telefon a následně se vydá hledat majitele jen proto, aby někde nenápadně sejmul jeho otisk, trefil se do jednoho z těch otisků, které má uživatel v telefonu zaregistrované a všechno to stihnul tak rychle, než si uživatel kartu (=telefon) stihne zablokovat.

Osobně to vidím tak, že pro ty, kteří si PIN nikam nepíšou (a karty ani telefony neztrácí), dojde k urychlení transakce při placení a pro ty zoufalce, co karty ztrácí a PIN si k nim píšou, dojde k rapidnímu snížení rizika zneužití.

několik připomínek:
- spousta leváků je přeučených
- stejně jako se karty kopírují (s kamerkou na odhalení pinu), tak stejně lze spatřit, jaký prst na odemknutí používáte
- pokud vás sleduju, vím čeho jste se dotkl/zařídím si, abyste se dotkl...

No, zatímco kartu s napsaným PINem můžete ten blbec ztratit relativně snadno, prakticky nejde ztratit telefon tak, aby byly splněny *zároveň* všechny následující podmínky nutné pro zneužití (vycházím z toho, jak je to řešeno v 5S, možná to AP bude trochu jinak):

1. Na telefonu bude dostatečně zřetelný (zkopírovatelný) otisk
Pokud bych měl jako otisk zaregistrovaný např. palec, znamenalo by to, že někde na čelní či zadní ploše telefonu (bok je příliš malý) by musel být dostatečně kvalitní otisk mého palce. Nevím jak vy, ale když držím telefon já, tak mám palec z boku a rozhodně s ním nepatlám po obličeji. Už jen tato první podmínka je poměrně komplikovaná na splnění. Nevěříte-li, zkuste si udělat ukazovákem či prostředníkem (nejběžnější prsty, které na telefonu mohou zanechat otisk) udělat na displeji otisk tak, aby něco vydržel (např. se nesetřel apod.)

2. Pachatel musí být schopen z náhodně zanechaného (tzn. nikoliv uměle připraveného) otisku vytvořit odlitek
Běžná fetka či obyčejný zmetek, který najde kartu s napsaným PINem, ten PIN umí zadat do bankomatu. Pochybuji, že by stejně tupá fetka byla schopna vytvářet kopie otisků

3. Zanechaný otisk musí být v telefonu registrován
Pokud si pachatel kopii otisku vytvoří, stále nemá jistotu, že jde o otisk, který si uživatel telefonu pro Touch ID zaregistroval. Navíc těch otisků by tam teoreticky mohlo být víc, např. zlodějův :-)

4. Velice málo pokusů
I pokud by se na telefonu otisk nacházel, pachatel byl schopen vytvořit maketu a tento prst byl skutečně v telefonu zaregistrován, pokud by se ověření nepovedlo, po pár pokusech telefon otisky zablokuje a nezbývá, než použít kód - ten si však lidé na telefon nepíšou

5. Vše by pachatel musel zvládnout velmi rychle
Například proto, že ztracenou kartu člověk vždy nezaregistruje, zatímco chybějící telefon vcelku rychle a blokace je otázkou jednoho telefonátu.

Zdůrazňuju, že všechny podmínky musí být splněny zároveň (!), tzn. pokud má například první bod pravděpodobnost 30% a druhý bod 5%, tak jsme na 1,5% kombinované pravděpodobnosti. Přidáme-li 50% za třetí bod (člověk má 10 prstů, telefon registruje 5 otisků, takže v reálu to bude 10-50%), jsme na ani ne polovině procenta. Průserový je bod 4, protože telefon vám neřekne, že otisk nepoznal proto, že tam ten prst není vůbec zaregistrován nebo proto, že byla špatná kvalita nebo proto, že jste maketu málo přitisknul. Takže nepovedený pokus - a máte velký problém, proč se to nepovedlo. Máte znovu zkusit udělat lepší odlitek toho samého otisku, máte udělat odlitek jiného otisku, stačí již hotový odlitek lépe přiložit? Nezapomeňte, že těch pokusů je jen pár, pak se telefon zablokuje, chce kód a na otisky nereaguje. To samé po restartu telefonu.

Abych byl konkrétnější - pokud bych dal skupině hackerů, kteří se na webu chlubili vytvořením odlitku otisku sejmutého ze skleničky a obelstěním 5S, svůj telefon, aby ho pomocí mého otisku odemkli, jsem si prakticky jist, že by to nezvládli. Telefon bych samozřejmě nijak neupravoval, nepřipravoval, prostě v některý moment M, kdy bych ho měl v kapse, by se vzal a dal jim k práci (simulace, že bych ho někde vytrousil nebo mi ho někdo vytáhl). Oni umí sice udělat odlitek, ale neví přesně kterého z otisků, které na něm teoreticky najdou, ani zda vůbec něco použitelného najdou a těch pokusů mají skutečně málo.

Díky za komentář k věci.

Bod 4 není vyřešený heuristikou. Dejme tomu, že skutečně skoro všichni uživatelé mají jako jeden z prstů palec. To znamená, že už bod 1 znamená, že na těle telefonu či jeho pouzdra (protože to bude pravděpodobně to jediné, co má náhodný nálezce/zloděj k dispozici) hledáme použitelný otisk palce. Palec se rozpoznat dá, nicméně jak jsem psal, vzpomeňte si na to, jak s telefonem zacházíte vy a kolikrát budete po displeji či zadní stěně "matlat" palcem jako posledním prstem tak, aby tam jeho otisk zůstal. Mimochodem - máte 5S? Já ano a pozoroval jsem se, jak se chovám. Palcem se tlačítka při snímámí dotýkám zcela jinak než displeje - tam používám levou hranu palce, nikoliv bříško. Vy snad někdy na displej bříško palce tisknete? Vsadím se, že nikoliv, je totiž příliš velké na to, aby se s tím telefon dal pohodlně ovládat. I to primitivní skrolování se dělá hranou prstu, která je zase ale nepoužitelná pro sejmutí otisku. Pokud si myslíte, že přeháním, podívejte se na pár videí na YouTube a uvidíte, že bříškem palce neovládá telefon skutečně prakticky nikdo.

Konkrétně: buď je ruka držák a její palec je nám pak k ničemu a nebo je to dominantní ruka, ale pak je šance, že na telefonu najdu otisk jejího palce, skutečně malá - takže tím akorát hrajete mně do karet, získat použitelný otisk palce dominantní na telefonu bude setsakramentsky těžké. S vaším přístupem navíc ingorujete 10-13% leváků v populaci, tzn. základní pravděpodobnost nemáte 100%, ale 87-90% :-)

A i pokud se to povede, že tam nějaký použitelný otisk bříška pravého palce najdete a identifikujete ho, pak stále je tu bod 4, kdy prostě máte zatraceně málo pokusů a velkou nejistotu zjistit, proč se to nedaří. To zvlášť u palce, který je - oproti ploše tlačítka - poměrně velký a trefit se tou správnou částí na senzor nebude úplně triviální.

Proto IMHO mylně předpokládáte, že "úspěšnost bude znatelně vyšší než šance, že náhodná karta, k níž se dostanu, má na sobě napsaný PIN (případně že ho na tři pokusy uhodnu)."
Připusťme, že jste onen hacker, kterého jsem zmiňoval, a že za víceméně laboratorních podmínek jste schopen senzor podvést odlitkem, a věříte si natolik, že u náhodně nalezeného telefonu najdete otisk palce, uděláte z něj použitelný odlitek a jím se dřív, než si majitel ztráty telefonu všimne, úspěšně ověříte. Osobně bych si myslel, že i tak byste měl skutečně větší šanci najít kartu s napsaným PINem než že by se vám to povedlo. Ale to je v principu jedno.

Podstatná je totiž pravděpodobnost, že můj telefon najde/ukradne *průměrný podvodník*, který s výrobou odlitků otisků pravděpodobně nemá žádnou zkušenost, a povede se mu senzor obejít, tak tam vidím šanci skutečně nula nula nic. Možná se nám časem vyvine nová generace lupičů, kteří výrobu super kvalitních odlitků v rekordně krátkém čase zvládnou perfektně, ale jsem si jist, že nyní jich skutečně po světě moc neběhá.

No nic, víc tu my dva nevymyslíme, uvidíme, co ukáže budoucnost.

umí, neumí - prosil bych místo planého tlachání ten odkaz na slibovaný software.

Jak postupuje servis? Velice jednoduše. Obávám se, že jste 5s neviděl ani z rychlíku, protože jinak byste věděl, že k použití senzoru je povinné mít záložní heslo, bez něj prsty do telefonu nezaregistrujete. A pokud heslo zapomenete, osm prstů vám odřízla cirkulárka a poslední dva ukousl pes, tak potom lze telefon přehrát do továrního nastavení.

Předpokládám, že vám nemusím vysvětlovat, že v továrním nastavení váš telefon žádné otisky, ani čísla karet nezná, takže uvedený postup je pro lapku snažící se obejít AP nanic.

Jinak jsem rád, že jste konečně připustil to, co tu trvdím od počátku a to sice že pro běžné situace je zabezpečení otiskem dostatečně neprůstřelné a díky tomu je možno eliminovat ty blbce, co si PIN píšou na karty.

Všechny pokusy o "mobilní platební systém" totiž znamenaly to, že zákazník zaplatí tak, že se mu cena služby strhne z kreditu, popř. objeví na faktuře za mobil. Což má dvě zásadní nevýhody - zaprvé velké množství služebních telefonů, kde prostě nejde nakoupit si na svého zaměstnavatele :-) a v neposlední řadě již zmiňovanou a řekl bych klasickou nenažranost operátorů.

Tenhle novej systém má fungovat zcela jinak, přičemž absenci potřeby spolupráce s mobilními operátory tam vidím jako klíčový základ pro úspěch, aspoň tedy v ČR.

Možná ne. Ale minimálně pracovník konzultační firmy by je mohl znát.
Platba přes aplikaci v mobilu, která vyfotí QR kód s informacemi o platbě, nevidím důvod pro jakékoli opisování čísla účtu.

Aplikace jako MasterCard Mobile to děla dostpné pro uživate kterékoli banky.

Navíc ale Apple Pay řeší primárně platební kartu v mobily, se kterou zaplatím v kamenném obchodě. A tam funkce banky zůstává stále stejná.

No, ještě mi tam chybí "jde spatřit, jaký prst na odemknutí používáte, okoukat otisk, doma si ho vybavit a vysochat" :-)

Tak buď se tu bavíme o reálné možnosti, že vám někdo vybere účet, když najde/ukradne vaší kartu (nebo nyní i telefon) a nebo tu vymýšlíme hypotetické scénáře, jak by šlo celou akci provést při pečlivém naplánování.

Pokud si myslíte, že nejsnadnější způsob, jak se dostat k cizím penězům, je sledovat dotyčného, jakým způsobem svým telefonem platí, potom zařizování, aby se dotkl tam, kde potřebuji a mohl jsem si vytvořit odlitek a nakonec mu telefon ukrást, abych vše výše uvedené slavnostně použil k platbě, tak Vám garantuju, že existují podstatně jednodušší (tzn. i používanější) metody, jak si cizí peníze přivlastnit. Například vyčíhnout si na poště/v bance, kdo vybírá větší částku peněz a o tu ho oloupit. Nezřídka tak hotovost dostanete ihned (na rozdíl od vykradení karty) a zhusta víc, než je k dispozici na kartě. Nebo raději budete okukovat cizí otisky, vyrábět odlitky a pak se snažit dotyčnému nepozorovaně ukrást telefon? No tak.

Už mě to přestává bavit. V diskuzi se řeší, zda jsou platby zabezpečené otiskem bezpečnější než používání běžné platební karty. Nevymýšlíme tady speciální scénáře typu cílený útok, protože pokud ano, tak tu mám trumfové eso - ukradnu oběti telefon, uříznu obě ruce (abych měl k dispozici originály všech otisků) a dotyčeného zabiju, takže nebude moci ztrátu telefonu nahlásit. A pak mu z toho účtu všechny peníze vyberu.

Pokud řešíme běžné riziko, tak u platební karty to představuje zejména její ztrátu/krádež v případě, že se u ní nachází napsaný PIN, popř. teoretická možnost vybrat větší částku po pětistovkách přes bezdrátové terminály, aby nebyl třeba dávat PIN. U telefonu by takový *náhodný* zloděj musel projít vším, čím jsem popsal, proto bych ty platby viděl bezpečnější.

Nicméně to, jakou úroveň máte, je vidět z poslední věty. AP ještě žádný běžný zákazník neviděl (resp. možná viděl právě dnes, kdy se má startovat prodej) a vy už víte, že na internetech jsou servisní SW pro odemykání přes USB. Kolik vám je - deset nebo dokonce už třináct?

V žádném případě u karty nepředpokládám napsaný PIN. Několikrát jsem uvedl, že to dělá pouze blbec.

Vehementně se otisku nebráním, naopak jsem psal, že je to jedna z podmínek pro to, aby se takový systém dal nějak oblbnout. Stojím si za tím, že získat z běžně používaného telefonu (opakuji, žádné uměle vytvořené scénáře typu naleštěný telefon, správně mastný palec, pořádný otisk doprostřed displeje, opatrná maninupulace a okamžitá výroba odlitku) bude velmi, velmi těžké i pro toho, kdo ví, jak se to dělá a co chce udělat. Natož pro průměrného zlodějíčka.

Můžete mi prosím dát odkazy na nějaký ten leaknutí servisní sw? Když ne přímo link na ten sw, tak aspoň na web nebo minimálně název, pod kterým to googlit. Dost pochybuju o tom, že by něco takového, co by dovedlo zaregistrovat nové otisky bez toho, aby se uživatel předem ověřil, existovalo.

"při každé platbě se snímá a vyhodnocuje otisk palce uživatele"

Pan Polák je typický novinář, co rád píše o věcech, kterým vůbec nerozumí a ani je v životě neviděl, že? Touch ID snímá libovolný prst, samozřejmě, že nikoliv jen palec.

A když už v sobě p. Polák nemůže potlačit tu touhu psát o něčem, co v životě neviděl, měl by mít aspoň trochu inteligence, aby použil Google třeba na hledání obrázku "touch id setup" a hned by viděl, jak se používají libovolné prsty, dokonce i ty na noze, když je někdo masochista...

Jsou stejně pravdivé i ostatní informace v článku uvedené?

Naše banky ne, protože pentetrace iP5+ u bonitních zákazníků tu je nízká.

Z pohledu na lidnatost světa taky nemyslím, že na počet !!!používaných!!! telefonů iP5+ nějak boduje.

Ale v několika zemích to může být častý prostředek pomocí kterého budou lidé i platit. Jinde to bude na okraji zájmu.

Pěkný rozbor, ovšem vidím v něm drobnou trhlinu. Přijde mi, že poněkud přeceňujete počet možností, který otisk bude v telefonu zaregistrován. Troufnu si tvrdit, že to u naprosté většiny uživatelů bude palec dominantní ruky, prostě proto, že je to přirozená volba. Pokud telefon ovládáte jednou rukou, tak ho držíte v této a právě palcem se dotýkáte displeje, pokud dvěma, tak dominantní ruka je ta, která je užita k ovládání, druhá je "držák". No a pokud máte někam přiložit celé bříško prstu, je to u palce fyzicky jednodušší než u ostatních prstů (nemusíte vykroutit zápěstí). A protože praváků je výrazně více než leváků, bod 4 je "vyřešený" heuristikou "zkouším palec pravé ruky".

Jistě, není to stoprocentní, ale úspěšnost bude znatelně vyšší než šance, že náhodná karta, k níž se dostanu, má na sobě napsaný PIN (případně že ho na tři pokusy uhodnu).

Tento problém by navíc neřešilo ani to, kdyby Apple poznal, že se uživatel pokouší zaregistrovat palec, a nedovolil to. Pak by se heuristika změnila na "zkus ukazováček", opět proto, že čím dále od palce, tím nepřirozenější poloha ruky při obtiskávání.

Nebo vyjádřeno stručněji, ač máme (většina z nás) deset prstů, nejde o deset rovnocenných možností při volbě otisku a je to dáno "by design".(dle svých preferencí poděkujte evoluci či stvořiteli).