Preskočiť na obsah

Osobné identifikačné číslo

z Wikipédie, slobodnej encyklopédie
 Niektorý z redaktorov požiadal o revíziu tohto článku.
Redaktor si napríklad nie je istý, či neobsahuje obsahové chyby alebo je dostatočne zrozumiteľný.
Prosím, opravte a zlepšite tento článok. Po úprave článku môžete túto poznámku odstrániť.

Osobné identifikačné číslo (číslo PIN, PIN kód, angl. Personal identification number) je väčšinou číselný (niekedy alfanumerický) prístupový kód používaný v procese overovania totožnosti používateľa pristupujúceho do systému (autentifikácia).

PIN bol vytvorený k uľahčeniu výmeny súkromných údajov pre finančné inštitúcie. Je používaný aj vládami a aj v počítačových technológiach. Zadaním PIN kódu sa overuje totožnosť použivateľa.

V praxi sa PIN kódy používajú v bankomatoch, pri internetových nákupoch[1] alebo v riadení prístupu ( prístup do mobilu cez SIM kartu, otváranie dverí, zaheslovaných trezorov...)

História

[upraviť | upraviť zdroj]

PIN vznikol so zavedením bankomatov v roku 1967 ako efektívny spôsob, zabezpečenia bankových účtov. Prvý bankomat bol v Barclays v Londýne v roku 1967 a akceptoval šeky so strojovo čitateľným kódovaním a priradil PIN k šeku.[2][1][3] V roku 1972 vydala Lloyds Bank prvú bankomatovú kartu, ktorá obsahovala magnetický prúžok so zakódovanými informáciami a na zabezpečenie používala PIN.[4] James Goodfellow si ako prvý patentoval PIN a v roku 2006 získal ocenenie OBE v rámci Queen's Birthday Honors . [5]

Mohamed M. Atalla vynašiel prvý hardvérový bezpečnostný modul založený na osobnom identifikačnom čísle.[6] nazývaný „Atalla Box“ Bol to bezpečnostný systém, ktorý šifroval správy a chránil offline zariadenia pomocou neuhádnuteľného kľúča.[7] V roku 1972 Atalla si tento systém patentoval.

V roku 1972 založil spoločnosť Atalla Corporation (teraz Utimaco Atalla ) [8] a v roku 1973 začal komerčne predávať „Atalla Box“. Išlo o čítačku kariet a o službu identifikácie zákazníkov a poskytoval terminál s možnosťou použitia karty s PIN kódom. Systém bol navrhnutý tak, aby umožnil bankám a sporiteľniam, začať používať karty ako vkladné knižky . Systém Identikey pozostával z konzoly na čítanie kariet, dvoch zákazníckych PIN terminálov, inteligentného ovládača a zabudovaného elektronického rozhrania.[9] Zariadenie pozostávalo z dvoch klávesníc, jednej pre zákazníka a jednej pre predávajúceho. Zákazníkovi to umožnilo zadať tajný kód, ktorý zariadenie pomocou mikroprocesora premení na iný kód pre predávajúceho.[10] Počas transakcie čítačka kariet načítala číslo účtu zákazníka. Tento proces nahradil ručné zadávanie a zabránil možným chybám pri zadávaní čísla účtu. Používateľom to umožnilo nahradiť tradičné metódy overovania, ako je overovanie podpisu a testovacie otázky za bezpečný systém PIN. [9] Ako uznanie za jeho prácu na systéme PIN pre riadenie informačnej bezpečnosti bol Atalla nazvaný ako "Otec PINov".[11] [12]

Úspech „Atalla Boxu“ viedol k širokému prijatiu hardvérových bezpečnostných modulov založených na PIN.[13] Jeho proces overovania PIN bol podobný neskoršie vytvorenému IBM 3624. Odhaduje sa, že do roku 1998 bolo 70% všetkých bankomatových transakcií v Spojených štátoch smerovaných cez špecializované hardvérové moduly Atalla[14] a do roku 2003 Atalla Box poskytoval služby pre 80% bankomatov na svete[12], pričom tento podiel vzrástol na 85% v roku 2006. Produkty Atalla HSM chránili a tieto moduly chránia 250 miliónov kartových transakcií každý deň (údaj z roku 2013).[8] a v roku 2014 stále zabezpečuje väčšinu svetových bankomatových transakcií. [6] Dnešné systémy vedia spracovávať až 10 000 transakcií za sekundu napríklad s modulom Atalla AT1000.[15]

Finančné služby

[upraviť | upraviť zdroj]

Využitie

[upraviť | upraviť zdroj]

V kontexte finančných transakcií sa zvykne vyžadovať súkromný PIN a aj verejný identifikátor uživateľa na autentifikáciu v systéme. V týchto situáciách sa zvyčajne od používateľa vyžaduje, aby poskytol používateľský identifikátor (ako napr. ID použivateľa) alebo token a dôverný PIN, aby získal prístup do systému. Po prijatí identifikátora a PINu, systém vyhľadá PIN priradený k identifikátoru používateľa a porovná vyhľadaný PIN s prijatým PIN. Používateľovi je prístup umožnený len vtedy, keď sa zadané číslo zhoduje s číslom uloženým v systéme. Preto, napriek názvu, PIN neidentifikuje používateľa ale je len potvrdením či to je reálne daný uživateľ za ktorého sa vydáva. [16] PIN sa nedá nájsť na karte, ale je nutné aby ho manuálne zadal vlastník karty počas transakcie prostredníctvom bankomatu alebo iného terminálu alebo aj pri transakciách bez karty, napr. ako cez internet alebo pri telefónnom bankovníctve.

Dĺžka čísla

[upraviť | upraviť zdroj]

Medzinárodná norma pre správu PIN kódov finančných služieb umožňuje zadať PIN od štyroch do dvanástich číslic, ale odporúča sa, aby z dôvodov zapamätateľnosti vydavateľ karty neprideľoval PIN dlhší ako šesť číslic.[17] Vynálezca bankomatu John Shepherd-Barron si najskôr predstavoval aby sa používal šesťmiestny číselný kód, ale jeho manželka si pamätala iba štyri číslice a to sa na mnohých miestach stalo najčastejšie používanou dĺžkou,[1] hoci banky vo Švajčiarsku a aj v iných krajinách vyžadujú šesťmiestny PIN.

Overovanie

[upraviť | upraviť zdroj]

Existuje viacero metód na overenie PIN kódov.[18] Operácie uvedené nižšie sa zvyčajne vykonávajú v rámci hardvérového bezpečnostného modulu.

Metóda použitá v IBM 3624

[upraviť | upraviť zdroj]

Jedným z prvých modelov bankomatov bol IBM 3624, ktorý využíval metódu IBM na generovanie tzv. prirodzeného PINu. Prirodzený PIN sa generuje zašifrovaním čísla účtu (PAN) pomocou šifrovacieho kľúča vygenerovaného špecificky na tento účel. [19] Tento PIN priamo súvisí s číslom účtu. Na overenie PIN kódu banka, ktorá vystavila kartu, znovu vygeneruje PIN vyššie uvedeným spôsobom, porovná ho a zistí či sa zhoduje zadaný s vygenerovaným PIN kódom.

Prirodzené PIN kódy nie je možné vybrať používateľom, pretože sú odvodené z čísla účtu. Ak je karta znovu vydaná s novým číslom účtu, musí sa vygenerovať aj nový PIN kód. Prirodzené PIN kódy umožňujú bankám poslať list so zabudnutým PINom, pretože PIN je možné vygenerovať.

IBM 3624 + metóda posunu

[upraviť | upraviť zdroj]

Aby si používateľ mohol vyberať vlastný PIN kód je možnosť uložiť hodnotu o koľko sa má PIN kód posunúť. Posun sa zistí odčítaním prirodzeného PIN kódu od zákazníkom zvoleného kódu pomocou modula 10. [20] Napríklad, ak je prirodzený PIN 1234 a používateľ si želá mať PIN 2345, posun je 1111.

Posun môže byť uložený buď v údajoch karty,[21] alebo v databáze vydavateľa karty.

Na overenie PIN kódu banka vypočíta prirodzený PIN ako vo vyššie uvedenej metóde, potom pripočíta posun a porovná túto hodnotu so zadaným kódom.

Metóda VISA

[upraviť | upraviť zdroj]
Pri používaní terminálu vlastník karty VISA potiahne alebo vloží svoju kreditnú kartu a zadá svoj PIN na klávesnici

Metóda VISA sa používa v mnohých kartových spoločnostiach a nie je špecifická len pre VISU. Metóda, ktorú používa VISA generuje overovaciu hodnotu PIN[22] (po anglicky Pin verification value - PVV). Podobne ako hodnota posunu môže byť uložená v údajoch na karte alebo v databáze vydavateľa karty. Toto sa nazýva referenčné PVV.

Metóda VISA používa prvých jedenásť číslic čísla účtu z pravej strany okrem hodnoty kontrolného súčtu, indexu overovacieho kľúča PIN (po anglicky PIN valiadation key index - PVKI) a požadovanej hodnoty PIN na vytvorenie 64-bitového čísla, PVKI vyberie overovací kľúč (PVK - 128 bitový) na zašifrovanie tohto čísla. Z tejto zašifrovanej hodnoty sa nájde PVV. [23]

Aby bol PIN overený, banka vypočíta hodnotu PVV zo zadaného PIN a čísla účtu a porovná túto hodnotu s referenčným PVV. Ak sa referenčné PVV a vypočítané PVV zhodujú, bol PIN zadaný správne.

PIN použitý na generovanie PVV môže byť náhodne vygenerovaný, vybratý používateľom alebo dokonca aj odvodený pomocou metódy IBM.

Zabezpečenie PIN

[upraviť | upraviť zdroj]

Finančné PINy sú zväčša štvormiestne čísla v rozsahu 0000 – 9999, výsledkom čoho je 10 000 možných kombinácií. Švajčiarsko štandardne vydáva šesťmiestne kódy PIN (000000-999999). [24]

Niektoré systémy nastavujú predvolené PIN kódy a väčšina umožňuje zákazníkovi nastaviť si PIN alebo zmeniť predvolený PIN, a v niektorých je zmena PIN pri prvom prístupe dokonca aj povinná. Zákazníkom sa zvyčajne odporúča, aby si nenastavovali PIN na základe narodenín niekoho zo svojich blízkych, podľa čísel vodičského preukazu/občianskeho preukazu alebo po sebe idúcich alebo opakujúcich sa čísel. Niektoré finančné inštitúcie neposkytujú alebo nepovoľujú kódy PIN, v ktorých sú všetky číslice identické (napríklad 1111, 2222, ...), po sebe idúce (1234, 2345, ...), čísla začínajúce jednou alebo viacerými nulami alebo aj štyri číslice rodného čísla alebo dátumu narodenia držiteľa karty. 

Mnoho systémov na overenie PIN umožňuje tri pokusy, čím dáva potenciálnemu zlodejovi karty predpokladanú 0,03% pravdepodobnosť, že uhádne správny PIN pred zablokovaním karty. Platí to iba vtedy, ak sú všetky kódy PIN rovnako pravdepodobné a útočník nemá k dispozícii žiadne ďalšie informácie o majiteľovi karty.

Bol vykonaný výskum na bežne používaných kódoch PIN.[25] Zistilo sa, že veľká časť ľudí má slabý PIN kód. „S možnosťou iba štyroch pokusov dokážu hackeri prelomiť 20% všetkých PINov. V prípade, že by mali 15 pokusov vedeli by sa dostať až do viac než štvrť milióna účtov.[26]

Chyby implementácie

[upraviť | upraviť zdroj]

V roku 2002 dvaja doktorandi na Cambridgeskej univerzite, Piotr Zieliński a Mike Bond, objavili bezpečnostnú chybu v generovaní PIN kódov IBM 3624, ktorý bol duplikovaný vo väčšine neskoršieho hardvéru. Táto chyba bola známa ako Decimalization table attack a umožnila by niekomu, kto má prístup k počítačovému systému banky, určiť PIN bankomatovej karty v priemere na 15. pokus.[27]

Reverse PIN hoax

[upraviť | upraviť zdroj]

V e-mailoch a na internete sa šírili fámy, ktoré tvrdili, že v prípade napadnutia a nasledovného pokusu o krádež pri zadaní PIN kódu do bankomatu naopak, bude okamžite privolaná polícia, bankomat vydá požadovaný počet peňazí ako keby bol PIN zadaný správne, ale peniaze sa zaseknú aby tam zlodeja zdržali.[28] Zámerom tohto systému by bolo chrániť obete prepadnutí; napriek tomu, že systém bol navrhnutý na používanie v niektorých štátoch USA, [29] v súčasnosti neexistujú žiadne bankomaty, ktoré používajú tento spôsob ochrany obetí.[30]

Heslá mobilného telefónu

[upraviť | upraviť zdroj]

Mobilný telefón tiež môže byť chránený PIN kódom. PIN kód pre mobilné telefóny s normou GSM môže mať štyri až osem číslic [31] a je zaznamenaný na karte SIM. Ak takýto PIN zadáte trikrát nesprávne, SIM karta sa zablokuje až do zadania osobného odblokovacieho kódu (PUK kód), ktorý získate od operátora. Ak je PUK desaťkrát zadané nesprávne, SIM karta sa zablokuje natrvalo, čo si vyžaduje novú SIM kartu od mobilného operátora.

PIN kódy sa bežne používajú aj v smartfónoch ako forma osobnej autentifikácie, takže zariadenie budú môcť odomknúť iba tí, ktorí poznajú PIN kód. Po niekoľkých neúspešných pokusoch zadania PIN kódu môže byť na určitý čas zablokovaná možnosť zadania kódu, môžu sa vymazať všetky údaje uložené v zariadení alebo môže byť používateľ vyzvaný, aby zadal alternatívne informácie, pomocou ktorých by sa dala overiť jeho totožnosť. To, či po neúspešných pokusoch na zadania PIN kódu dôjde k niektorému z vyššie uvedených javov, závisí vo veľkej miere od zariadenia a výberu majiteľa v jeho nastaveniach.

Referencie

[upraviť | upraviť zdroj]
  1. ↑ a b c MILLIGAN, Brian. Prvý bankomat [online]. BBC, 25. jún 2007. Dostupné online.
  2. ↑ Jarunee Wonglimpiyara, Strategies of Competition in the Bank Card Business (2005), p. 1-3.
  3. ↑ ATM inventor John Shepherd-Barron dies at 84 [online]. 19 May 2010. Dostupné online.
  4. ↑ Jarunee Wonglimpiyara, Strategies of Competition in the Bank Card Business (2005), p. 5.
  5. ↑ Royal honour for inventor of Pin [online]. BBC News, 2006-07-16, [cit. 2022-12-23]. Dostupné online.
  6. ↑ a b STIENNON, Richard. Key Management a Fast Growing Space [online]. June 17, 2014, [cit. 2022-12-23]. Dostupné online.
  7. ↑ Cash and Dash: How ATMs and Computers Changed Banking. [s.l.] : [s.n.]. Dostupné online. ISBN 9780191085574.
  8. ↑ a b About HP Atalla Security Products [online]. HP, 2013, [cit. 2022-12-23]. Dostupné online.
  9. ↑ a b Mini-Based EFT System Runs Alone or With CPUs. ComputerWorld. Dostupné online.
  10. ↑ Customer Identification Seen as Great EFTS Problem. ComputerWorld, 1976-01-26. Dostupné online.
  11. ↑ FEUERSTEIN, Adam. Security guru tackles Net [online]. www.bizjournals.com, 1999-06-2, [cit. 2022-12-23]. Dostupné online.
  12. ↑ a b Honorary Degree [online]. [Cit. 2022-12-23]. Dostupné online.
  13. ↑ BÁTIZ-LAZO, Bernardo. Cash and Dash: How ATMs and Computers Changed Banking. [s.l.] : [s.n.]. Dostupné online. ISBN 9780191085574. S. 284.
  14. ↑ GRANT, Gail L.. Understanding Digital Signatures: Establishing Trust Over the Internet and Other Networks. [s.l.] : [s.n.]. Dostupné online. ISBN 9780070125544.
  15. ↑ Atalla AT1000 [online]. utimaco.com, [cit. 2022-12-23]. Dostupné online. Archivované 2022-12-23 z originálu. (po anglicky)
  16. ↑ Your ID number is not a password, Webb-site.com, 8 November 2010
  17. ↑ ISO 9564-1:2011 Financial services — Personal Identification Number (PIN) management and security — Part 1: Basic principles and requirements for PINs in card-based systems, clause 8.1 PIN length
  18. ↑ IBM Documentation [online]. www.ibm.com, [cit. 2022-12-23]. Dostupné online. (po anglicky)
  19. ↑ What is the IBM 3624 PIN generation method? [online]. [Cit. 2022-12-23]. Dostupné online.
  20. ↑ PIN Offset Generation algorithm [online]. IBM, 2021-06-25, [cit. 2022-12-23]. Dostupné online.
  21. ↑ How is offset pin calculated? [online]. [Cit. 2022-12-23]. Dostupné online.
  22. ↑ VISA PIN Algorithms [online]. www.ibm.com, 2012-09-18, [cit. 2022-12-23]. Dostupné online. (po anglicky)
  23. ↑ PVV Generation algorithm [online]. 2022-04-11, [cit. 2022-12-23]. Dostupné online.
  24. ↑ Understanding Human-Chosen PINs: Characteristics, Distribution and Security. Association for Computing Machinery (Association for Computing Machinery), 2017-04-02. Dostupné online. DOI: 10.1145/3052973.3053031. (po anglicky)
  25. ↑ BERRY, Nick. Najčastejšie používané PIN kódy [online]. The Guardian, 2012-09-28, [cit. 2022-12-23]. Dostupné online.
  26. ↑ LUNDIN, Leigh. PINs and Passwords [online]. SleuthSayers, 2013-08-04, [cit. 2022-12-23]. Dostupné online.
  27. ↑ BOND, ZIELIŃSKI, Mike, Piotr. Decimalisation table attacks for PIN cracking. University of Cambridge, 2003-02. Dostupné online [cit. 2022-12-23].
  28. ↑ Will Entering Your PIN in Reverse at an ATM Summon the Police? [online]. Snopes.com, 2006-10-06, [cit. 2022-12-23]. Dostupné online.
  29. ↑ Full Text of SB0562 Illinois General Assembly, accessed 2011-07-20
  30. ↑ GILL, Moriah. Will Entering Your ATM Pin Backwards Trigger the Police? [online]. rare.us, 2020, [cit. 2022-12-23]. Dostupné online. Archivované 2022-03-19 z originálu. (po anglicky)
  31. ↑ 082251615790 GSM 02.17 Subscriber Identity Modules, Functional Characteristics, version 3.2.0, February 1992, clause 3.1.3
Zdroj: „https://sk.wikipedia.org/w/index.php?title=Osobné_identifikačné_číslo&oldid=7871680“