Bank mi obbliga a usare sei caratteri alfanumerici

Ciò significa che stanno quasi definitivamente memorizzando le password in testo in chiaro in un campo di database di 6 caratteri. Se stessero conservando solo un hash (salato), come dovrebbero, allora non si preoccuperebbero della lunghezza della password poiché la funzione hash produrrebbe un valore di una dimensione fissa indipendentemente dalla lunghezza dell'input (password).

La tua banca probabilmente utilizza ancora sistemi degli anni '70 (o prima che il settore standardizzasse l'hashing salato) e non prendevano seriamente la sicurezza delle password per risolvere il problema. Questo è il caso di molte banche. Dovresti iniziare lamentandoti.

Se non è nemmeno illegale (visto che la password di sei caratteri è l'unico meccanismo di autenticazione), è sicuramente preoccupante. Questo basso livello di sicurezza in una banca mi sorprende!

Ho dato un'occhiata alle loro pagine di sicurezza dove ti dicono che pagheranno se il tuo conto è comprimato. Ad ogni modo, se quella banca avesse perso le proprie credenziali, immagino che ogni password sarebbe stata scomposta in pochi minuti. Un alfabeto di 36 lettere è semplicemente orrendo.

Vedo che hanno i token SecurID per i loro clienti gratuitamente. Ne prenderò uno immediatamente.

Come altri hanno indicato, è indicativo di misure di sicurezza che non sono all'altezza degli standard moderni. Tuttavia, una valutazione del rischio sembra indicare che il rischio di danni finanziari ai singoli clienti è basso (se non zero). Questo perché la banca ha indicato (secondo Henning Klevjer) che i clienti non perderanno soldi in caso di compromissione.

La banca può soddisfare un tale impegno? Quasi certamente. Nell'eventualità di un compromesso diffuso, avrebbero il potere di invertire qualsiasi trasferimento di denaro illegittimo, e noterebbero se fossero state ritirate ingenti somme di denaro (e la cosa bella del denaro fiat è che si può sempre stampare di più!) D)

Quindi, mentre dovresti comunque praticare una buona sicurezza il più possibile (es. Usa tutti i tipi di caratteri che puoi, non riutilizzare le password, renderli casuali), sembra che il tuo reale rischio di perdita in questo caso sia basso.