Voglio confermare che questa comprensione sia corretta:
Una carta ha 16 cifre più un CV2
Le prime 6 cifre sono un numero di identificazione dell'emittente
L'ultima cifra del 16 è una cifra di controllo Luhn mod 10.
Questo lascia 9 cifre nel mezzo. Sono queste 9 cifre casuali, come in, inconcepibili?
Anche le ultime 3 cifre, la CV2, sono casuali?
Sì, i primi sei sono un ID emittente
Quelle 9 cifre centrali non sono percorribili, nel senso che se dovessi provare a forzarle con un processore di pagamento ti prenderanno.
Se in qualche modo hai un hash del CCN completo (o una versione crittografata e la chiave pubblica) dovresti aver bisogno solo di un massimo di 10 ^ 8 (100.000.000) tentativi per capirlo, dato che Luhn riduce la complessità di un ordine di magnitudine.
Per calcolare un CVV a 3 cifre, l'algoritmo CVV richiede un numero di conto primario (PAN), una data di scadenza di 4 cifre, un codice di servizio di 3 cifre e una coppia di chiavi DES (CVK). fonte
Le prime sei cifre sono il Bank Identification Number (BIN). Le ultime quattro cifre si trovano comunemente sulle ricevute e non sono richieste dalla legge statunitense per essere tenute segrete. Supponendo di conoscere (o indovinare) la banca e di avere la ricevuta con le ultime quattro cifre, si conoscono 10 delle 16 cifre. L'algoritmo Luhn può essere utilizzato per ricostruire qualsiasi cifra mancante, non solo l'ultima cifra. Ciò significa che rimangono solo 5 cifre sconosciute.
Considerate tutte le informazioni di cui sopra, se state filando attraverso un algoritmo hash cercando di testare gli hash "trovati", dovrete eseguire solo 100.000 test per forzare un numero di carta. Ciò non richiede nemmeno un acceleratore per schede grafiche da realizzare in un secondo o meno.
Il numero CVV2 stampato sul retro della carta deriva dai dati non presenti sulla carta e non può essere indovinato o determinato unicamente dalle informazioni sulla carta o sulla striscia mag.
Leggi altre domande sui tag entropy