[Funland] Sinh trắc học có an toàn không?

poiuy nói:

App ngân hàng khi cài mới muốn sử dụng chỉ cần mật khẩu và khuôn mặt. Có 2 cái đó thì không cần tay trong nào cả. Khuôn mặt thì nó lấy hình ảnh chuyển cho app lừa app đây là hình ảnh từ camera. Tất nhiên là nó chạy trên TB của nó chứ không phải chạy trên cái ĐT thông thường.

Nhấn vào đây để mở rộng...

Cụ nghĩ đơn giản quá. Không phải chạy ra đc hình ảnh trên màn là đc. App bank nhận tín hiệu xử lý từ camera chứ ko phải từ app khác. Không dễ để chèn vào cụ nhé.

Khi cài từ máy cũ sang máy mới thì cần xác thực sim trên máy mới. Do đó cần tay trong tại nhà mạng. Chẳng nhẽ cụ còn giỏi hơn bọn hack, bọn nó phí tiền thuê tay trong nhà mạng.

Cần:

- Tay trong nhà mạng để cướp sim. Cài app ngân hàng trên thiết bị mới, bấm quên mật khẩu để ngân hàng gửi lại OTP, đặt lại mật khẩu mới.

- Tay trong ngân hàng để lấy được ảnh chủ tài khoản, in mầu ra A4, khi chuyển khoản thì giơ ảnh ra. App gửi hình ảnh về ngân hàng, so sánh thấy đúng thế là ting ting.

vingraux nói:

Cần:

- Tay trong nhà mạng để cướp sim. Cài app ngân hàng trên thiết bị mới, bấm quên mật khẩu để ngân hàng gửi lại OTP, đặt lại mật khẩu mới.

- Tay trong ngân hàng để lấy được ảnh chủ tài khoản, in mầu ra A4, khi chuyển khoản thì giơ ảnh ra. App gửi hình ảnh về ngân hàng, so sánh thấy đúng thế là ting ting.

Nhấn vào đây để mở rộng...

Sinh trắc học mà ko có thuật toán để phân biệt cái ảnh in giấy hay video replay trướ camera thì kém quá.

Mầu Diệu Thảo nói:

Những ngân hàng em gửi tiết kiệm là em không đăng ký giao dịch online và cứ gửi sổ giấy.

Nhấn vào đây để mở rộng...

Nhà cháu cũng nói không với kiểu gửi online, lần nào ra đáo hạn thay sổ mới, đội nv cũng gạ gẫm chuyển sang loại hình online cho thêm thắt được 0,2-0,3% nữa, nhà cháu toàn similac.

con dơi 141 nói:

Cụ nghĩ đơn giản quá. Không phải chạy ra đc hình ảnh trên màn là đc. App bank nhận tín hiệu xử lý từ camera chứ ko phải từ app khác. Không dễ để chèn vào cụ nhé.

Khi cài từ máy cũ sang máy mới thì cần xác thực sim trên máy mới. Do đó cần tay trong tại nhà mạng. Chẳng nhẽ cụ còn giỏi hơn bọn hack, bọn nó phí tiền thuê tay trong nhà mạng.

Nhấn vào đây để mở rộng...

cụ chắc là dân ngoại đạo chứ với người học IT cái này dễ như ăn kẹo. app nhận video từ cái gì thì nó cụng phải gọi hàm API chứ không thể nào tương tác trực tiếp với hardware được đấy là việc của driver. khi đã kiểm soát được phone thông qua root hay jailbreak thì nó muốn API trả về cái gì cũng được. đây là một hướng dẫ ví dụ cụ làm theo là được:
https://www.testdevlab.com/blog/android-virtual-camera-setup

đây cũng là một lý do mà sắp tới sẽ chặn các phone đã rôt, jailbreak không được sử dụng app bank

con dơi 141 nói:

Cụ nghĩ đơn giản quá. Không phải chạy ra đc hình ảnh trên màn là đc. App bank nhận tín hiệu xử lý từ camera chứ ko phải từ app khác. Không dễ để chèn vào cụ nhé.

Khi cài từ máy cũ sang máy mới thì cần xác thực sim trên máy mới. Do đó cần tay trong tại nhà mạng. Chẳng nhẽ cụ còn giỏi hơn bọn hack, bọn nó phí tiền thuê tay trong nhà mạng.

Nhấn vào đây để mở rộng...

Không cần dùng sim đâu. Có thể việc này tuỳ vào ngân hàng. Còn việc fake tín hiệu camera là nó làm được. Nó chỉ là dữ liệu hình ảnh thôi mà, có mã hoá gì đâu?

XSim nói:

Vụ này có một yếu tố then chốt là sim điện thoại bị lấy cắp, có sự thông đồng của nhân viên mạng viễn thông. Tuy nhiên, điều này cũng cho thấy là sinh trắc của bank cũng không thưc sự an toàn, có thể dễ dàng bị vượt qua.

Các cụ từ giờ phải trông chừng cái điện thoại của mình đấy, cứ tiện bỏ trên bàn đi đâu đấy để kẻ gian nó tháo SIM ra là lát sau tiền mất sạch đấy.

Nhấn vào đây để mở rộng...

Các cụ có thể cài mã khóa cho sim được mà, một khi máy khởi động hoặc đổi sim sang máy khác thì phải nhập mã khóa.

clicklacp nói:

Các cụ có thể cài mã khóa cho sim được mà, một khi máy khởi động hoặc đổi sim sang máy khác thì phải nhập mã khóa.

Nhấn vào đây để mở rộng...

Nó chiếm từ tổng đài cơ. Kiểu sim A số X mới đúng thì tổng đài đổi sim thành simB số X. Kiểu như mất sim làm sim mới

poiuy nói:

Không cần dùng sim đâu. Có thể việc này tuỳ vào ngân hàng. Còn việc fake tín hiệu camera là nó làm được. Nó chỉ là dữ liệu hình ảnh thôi mà, có mã hoá gì đâu?

Nhấn vào đây để mở rộng...

Vâng, cụ nói việc chèn tín hiệu giả vào luồng tín hiệu camera bảo dễ thì hoặc cụ quá giỏi, hoặc cụ ko biết gì.

Sonbt nói:

cụ chắc là dân ngoại đạo chứ với người học IT cái này dễ như ăn kẹo. app nhận video từ cái gì thì nó cụng phải gọi hàm API chứ không thể nào tương tác trực tiếp với hardware được đấy là việc của driver. khi đã kiểm soát được phone thông qua root hay jailbreak thì nó muốn API trả về cái gì cũng được. đây là một hướng dẫ ví dụ cụ làm theo là được:
https://www.testdevlab.com/blog/android-virtual-camera-setup

đây cũng là một lý do mà sắp tới sẽ chặn các phone đã rôt, jailbreak không được sử dụng app bank

Nhấn vào đây để mở rộng...

Vâng. Cảm ơn cụ đã khoe. Nhưng nếu ko có tay trong tổng đài thì liệu có cài đặt đc lại tài khoản app bank trên điện thoại mới được không?

con dơi 141 nói:

Vâng, cụ nói việc chèn tín hiệu giả vào luồng tín hiệu camera bảo dễ thì hoặc cụ quá giỏi, hoặc cụ ko biết gì.

Nhấn vào đây để mở rộng...

Nói lại với cụ là nó chèn tín hiệu trên máy của nó có cài app ngân hàng chứ không phải máy thông thường. Tín hiệu nó cũng chỉ là dữ liệu mà thôi. App ngân hàng đã bị lừa.
Đây cũng không phải tín hiệu giả mà là hình ảnh thật nhưng không phải trực tiếp từ camera mà là được ghi sẵn.

poiuy nói:

Nói lại với cụ là nó chèn tín hiệu trên máy của nó có cài app ngân hàng chứ không phải máy thông thường. Tín hiệu nó cũng chỉ là dữ liệu mà thôi. App ngân hàng đã bị lừa.
Đây cũng không phải tín hiệu giả mà là hình ảnh thật nhưng không phải trực tiếp từ camera mà là được ghi sẵn.

Nhấn vào đây để mở rộng...

Nói lại với cụ đk tiên quyết là phải có tay trong tại nhà mạng. Nếu ko thì không cài app tk ngân hàng sang máy khác đc.

con dơi 141 nói:

Nói lại với cụ đk tiên quyết là phải có tay trong tại nhà mạng. Nếu ko thì không cài app tk ngân hàng sang máy khác đc.

Nhấn vào đây để mở rộng...

Em đổi máy điện thoại cần cài lại app ngân hàng có cần gì đến nhà mạng đâu nhỉ?

poiuy nói:

Em đổi máy điện thoại cần cài lại app ngân hàng có cần gì đến nhà mạng đâu nhỉ?

Nhấn vào đây để mở rộng...

Có tay trong nhà mạng là để cướp sim ==> cướp app.

Còn trò đăng nhập laptop bằng ảnh in thì nhiều người làm rồi.

poiuy nói:

Em đổi máy điện thoại cần cài lại app ngân hàng có cần gì đến nhà mạng đâu nhỉ?

Nhấn vào đây để mở rộng...

Cụ dùng bank nào để né. Ví dụ vcb yc từ rất lâu. Vpbank, vietin... Đều phải xác thực.

poiuy nói:

Em đổi máy điện thoại cần cài lại app ngân hàng có cần gì đến nhà mạng đâu nhỉ?

Nhấn vào đây để mở rộng...

Nếu xác thực dựa trên dữ liệu sinh trắc học bank thu thập thì phải thêm OTP.

Điều 2. Các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán phải triển khai áp dụng các giải pháp giảm thiểu rủi ro trong thanh toán trực tuyến như sau:

1. Đối với khách hàng cá nhân, trước khi thực hiện giao dịch lần đầu bằng ứng dụng Mobile Banking hoặc trước khi thực hiện giao dịch trên thiết bị khác với thiết bị thực hiện giao dịch Mobile Banking lần gần nhất thì phải xác thực khách hàng:

- Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chip của thẻ CCCD của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng trong do hệ thống định danh và xác thực điện tử tạo lập;

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng khớp đúng với dữ liệu sinh trắc học được lưu trong CSDL sinh trắc học về khách hàng đã thu thập và kiểm tra6, kết hợp với phương thức xác thực OTP gửi qua SMS/Voice hoặc Soft OTP/Token OTP.

Nói thêm chút phần trc đó. Nếu dùng app xác thực thiết bị mới với CCCD hoặc TK Định danh điện tử thì ko cần nhà mạng. Vụ này ko thực hiện theo hướng này đc vì kỹ thuật và đk ko thực hiện đc.

2. Thông báo việc đăng nhập lần đầu ứng dụng Internet Banking/ Mobile Banking hoặc việc đăng nhập ứng dụng Internet Banking/ Mobile Banking trên thiết bị khác với thiết bị thực hiện đăng nhập ứng dụng Internet Banking/ Mobile Banking lần gần nhất qua SMS hoặc các kênh khác do khách hàng đăng ký (email, điện thoại,…).

3. Lưu trữ thông tin về thiết bị thực hiện các giao dịch trực tuyến của khách hàng và nhật ký (log) xác thực giao dịch tối thiểu trong vòng 3 tháng.