「流出したクレジットカード番号がPayPay経由で使われる懸念」記事へのコメント

計算が雑

[albireo (7374)]

PCや今のスマホでも一日あれば突破できてしまうが

暗号解読のようなものならオフラインで高速に試行を繰り返せるけど、カード番号の総当たりはサーバからのレスポンスを待つ必要がある。
チェックディジット間違いを繰り返してもロックしないくらいだから同一IPから短時間に繰り返しアクセスもロックしないと仮定して24時間で53万回トライすると秒間約6回の間隔。不可能とはいえないけどちょっと厳しそう。
ただしこれは53万通りのうち有効な番号の組み合わせがひとつしかない場合。

現実にはそんなことありえなくて、カード発行元によっては万単位の「あたり」が存在すると思われるので、数百回か悪くても数千回のチャレンジで十分成功が見込めそう。

--
うじゃうじゃ

Re:

[Anonymous Coward]

53万通りのうち有効な番号の組み合わせがひとつしかないでしょ
っておもったら元の式がおかしいのか、最初の9の意味が分からないな。

1つのカード番号の有効期限とセキュリティコードを特定するのにかかる最大回数は
12ヶ月*5年*999回＝59940回の試行が必要です
さらにこのカード番号が未使用の可能性があるので通常は更なる試行回数が必要ですが、
番号の利用率（利用可能番号特定率）はカード会社の運用しだいでしょうね

少なくとも数百回で特定なんて相当運が無いと無理。
53万は意味の無い数字ですね

Re:

[albireo (7374)]

53万通りのうち有効な番号の組み合わせがひとつしかないでしょ

ぜんぜん違います。
この場合「一つのカード番号」に対応するセキュリティコードや有効期限を探すわけではなく、「まだPayPayに登録されていなくて、未使用番号やカード会社の方で停止措置などをしていない番号」でありさえすればいいので、有効な番号の組み合わせは数千とか数万のオーダーで存在しますよ。

--
うじゃうじゃ

Re:計算が雑

[Anonymous Coward]

1つのカード番号の有効期限とセキュリティコードを特定するのにかかる最大回数は6万回なのです
それを10回繰り返して、60万ためしても
得られるカード番号は最小で10個ですよ、元の計算53万が異常なの

53万のうち1万有効だというのなら平均53回試せば使えるカード番号と有効期限とセキュリティコードのくみあわせが得られるということになってしまいます。
有効期限が分かっていてもセキュリティコード特定のための999回以下なのですが

Re:計算が雑

[albireo (7374)]

勘違いしていたのに気づきました。
確かにカード番号も込みの総当たりだったら530万でもぜんぜん少ないですね。

--
うじゃうじゃ