1 cent Authorisierungen in cardpeek

[Bergisches Land]

ANZEIGE

Hallo zuasmmen,

nachdem ich schon sehr lange hier mitlese, dann doch noch den Weg zur Registrieung gefunden

Ich habe kürzlich beim üblichen "spielen" mit cardpeek etwas gesehen, was ich mir nicht erklären kann.

Eine VISA einer VR Bank (DZ Bank als Issuer) zeigt mir einige 0,01 EUR Authorisierungen an.
Wie kommen die zustande? Ich zahle ja (leider) nicht nur 0,01 EUR an einem Terminal.

Wäre es irgendwie denkbar, das durch das GET PERMISSIONS in cardpeek da etwas generiert wird?
Dann fehlt dieser 0,01 EUR aber auch z.B. heute.

Jemand eine Idee?

Vielen Dank.

Tom

 

[penamba]

Sofern deine Version von Cardpeek nicht heimlich hinter deinem Rücken einen Händlervertrag abgeschlossen hat sollte das eigentlich nicht möglich sein Die Karte selbst ist ja vollständig offline, und ohne eine Weiterleitung der jeweiligen Autorisierung durch das POS des Händlers kann auf deinem Konto gar nichts passieren.

Theoretisch könnten Karten die Informationen zu Offline-Transaktionen im Rahmen der nächsten Online-Zahlung an den Herausgeber weiterleiten (z.B. um die Limits zu synchronisieren), aber einerseits ist mir das in der Praxis noch nie begegnet, und andererseits ruft Cardpeek die entsprechenden Befehle zur Bezahlung gar nicht auf. Es wird also keine fiktive Transaktion durchgeführt, die in irgendeiner Weise weitergeleitet werden könnte.

 

[selaf]

Bei mir hat Cardpeek noch nie zu irgendwelchen Transaktionen auf Karten geführt (weder 1ct noch andere).

 

[Bergisches Land]

Ich glaube mein cardpeek hat keinen Händlervertrag
Aber wie kann das denn zustande kommen?
Ich finde das so total kurios.
Natürlich geht es nicht um den einen Cent, das ist ja nicht sooooo relevant.
Mich als technisches Spielkind interessiert das Warum.

Ich hab mich schon durch so diverse Unterlagen zum EMV gelesen, aber es gibt nichts, was dieses Verhalten erklären könnte.

Möchte aber gerne dieses Rätsel lösen.

Das sieht irgendwie so aus, als wäre das eine Buchung/Transaktion im Log für eine Kartenvalidierung.
Aber wenn das Terminal das machen würde, wäre ja eine richtige Buchung auch noch da.

Rätsel über Rätsel.

Sofern deine Version von Cardpeek nicht heimlich hinter deinem Rücken einen Händlervertrag abgeschlossen hat sollte das eigentlich nicht möglich sein Die Karte selbst ist ja vollständig offline, und ohne eine Weiterleitung der jeweiligen Autorisierung durch das POS des Händlers kann auf deinem Konto gar nichts passieren.

Theoretisch könnten Karten die Informationen zu Offline-Transaktionen im Rahmen der nächsten Online-Zahlung an den Herausgeber weiterleiten (z.B. um die Limits zu synchronisieren), aber einerseits ist mir das in der Praxis noch nie begegnet, und andererseits ruft Cardpeek die entsprechenden Befehle zur Bezahlung gar nicht auf. Es wird also keine fiktive Transaktion durchgeführt, die in irgendeiner Weise weitergeleitet werden könnte.

 

[flopower1996]

Dir sollte doch klar sein, dass Cardpeek ein Tool zum auslesen der nicht-verschlüsselten Kartendaten ist. Cardpeek übermittelt deine Daten nicht und das Tool hat sicherlich nicht die Kapazitäten dafür, eine Transaktion auszulösen.

 

[penamba]

Cardpeek übermittelt deine Daten nicht und das Tool hat sicherlich nicht die Kapazitäten dafür, eine Transaktion auszulösen.

Übermittelt wird da (hoffentlich) nichts, auch wenn z.B. die automatische Aktualisierung der EMV-Ausleseskripte prinzipiell ein Angriffspunkt wäre. Nicht dass ich den Entwicklern böse Absichten unterstellen würde, aber das wäre nicht das erste Open-Source-Projekt, das durch Hacker übernommen wird und dann Malware ausliefert. Ein interessantes Ziel ist es sicher.

Auslösen kann eine Transaktion zwischen Karte und Terminal/Reader eigentlich jeder (dafür braucht es keinerlei Privilegien) – die Schwierigkeit besteht darin, diese dann auch an das Kartennetzwerk weiterzuleiten. Dazu braucht es dann zumindest einen (ggf. kompromittierten) Händlerzugang.

 

[Bergisches Land]

Ich glaube nicht das da was kritisch ist.
Wahrscheinlich ist das irgendeine Sache von falscher Interpretation eines ausgelesenen Kartenwertes.
Die wirklichen Umsätze erscheinen ja, aber eben auch zwischendurch mal der 0,01 Euro.
Ich werde das mal im Blick behalten.

Übermittelt wird da (hoffentlich) nichts, auch wenn z.B. die automatische Aktualisierung der EMV-Ausleseskripte prinzipiell ein Angriffspunkt wäre. Nicht dass ich den Entwicklern böse Absichten unterstellen würde, aber das wäre nicht das erste Open-Source-Projekt, das durch Hacker übernommen wird und dann Malware ausliefert. Ein interessantes Ziel ist es sicher.

Auslösen kann eine Transaktion zwischen Karte und Terminal/Reader eigentlich jeder (dafür braucht es keinerlei Privilegien) – die Schwierigkeit besteht darin, diese dann auch an das Kartennetzwerk weiterzuleiten. Dazu braucht es dann zumindest einen (ggf. kompromittierten) Händlerzugang.

 

[selaf]

Übermittelt wird da (hoffentlich) nichts, auch wenn z.B. die automatische Aktualisierung der EMV-Ausleseskripte prinzipiell ein Angriffspunkt wäre.

Die kannst du ja abschalten - ich wüsste nicht, wann es da das letzte Mal eine Aktualisierung gab. Die Weiterentwicklung von Cardpeek scheint leider zu ruhen. Meine Sparda Hessen MC kann es z.B. gar nicht mehr richtig auslesen, da stehen jede Menge Fehlermeldungen im XML.

 

[geos]

Bei mir hat Cardpeek noch nie zu irgendwelchen Transaktionen auf Karten geführt (weder 1ct noch andere).

bei manchen Karten werden die letzten Transaktionen vermerkt und sind dann auch mit Cardpeek auslesbar. Ich glaube das ist mir vor ein paar Jahren mit meiner Advanzia MC aufgefallen, wobei natürlich nur Chip-Transaktionen vermerkt werden (war damals in vielen Ländern eher noch die Ausnahme, kontaktlos gab's m.W. noch gar nicht damals bei Advanzia).

Hab gerade mal nachgesehen: auch auf meiner derzeitigen Advanzia MC sind die Chip-Transaktionen meiner letzter Einsätze vermerkt. Es sind drei Umsätze aus den USA vermerkt, mit Währung korrekt als US Dollar und dem jeweils korrekten Transaktionstag. Bei der ersten Transaktion stimmt der Betrag (eben mit der Rechnung verglichen), bei den folgenden beiden jeweils nicht (50,00 statt 80 bzw. 51,00 statt 35,XX USD). Scheint wohl nicht immer ganz zu klappen mit der Anzeige.

 

[penamba]

Bei der ersten Transaktion stimmt der Betrag (eben mit der Rechnung verglichen), bei den folgenden beiden jeweils nicht (50,00 statt 80 bzw. 51,00 statt 35,XX USD). Scheint wohl nicht immer ganz zu klappen mit der Anzeige.

Das ist eine Spezialität in den USA (und wenigen anderen Ländern): Da es dort Kunden gewohnt sind, die Karte jederzeit während des Kassiervorganges "swipen" zu können, und nicht erst am Ende, geben Terminals einen geschätzten Wert als Platzhalter für die Chip-Transaktion an. Dieser wird dann im Transaktions-Log auf der Karte gespeichert, da diese ggf. schon wieder im Portemonnaie ist, bevor der tatsächliche Betrag feststeht.

 

[geos]

schon wieder was gelernt

 

[_AndyAndy_]

Das ist eine Spezialität in den USA (und wenigen anderen Ländern): Da es dort Kunden gewohnt sind, die Karte jederzeit während des Kassiervorganges "swipen" zu können, und nicht erst am Ende, geben Terminals einen geschätzten Wert als Platzhalter für die Chip-Transaktion an. Dieser wird dann im Transaktions-Log auf der Karte gespeichert, da diese ggf. schon wieder im Portemonnaie ist, bevor der tatsächliche Betrag feststeht.

MOment, das habe ich nicht verstanden: warum will man die Karte schon während des Kassiervorgangs swipen?

 

[ichbinswieder]

ANZEIGE

Weil es Zeit spart. Wie es oben schon steht, ist in einigen Ländern so.