银行是否将密码存储为纯文本？

Question

我见过一些网站，特别是银行网站，要求你输入这个（例如）。有时他们会要求通过电话证明我的身份。

• 密码的第2个字符
• 密码的第5个字符
• 密码的第6个字符

要做到这一点，散列算法是行不通的，它会？当然，应该像银行一样安全的东西可以存储不可解密的密码？

Answer 1

是的，这可以在不控股的纯文本版本工作你的密码。简单地说，当您最初设置密码时，银行将散列它将要求的各种组合，并存储这些散列。无论您是否有固定长度的密码（即PIN码）或可变长度的密码，实现起来都非常简单。这些散列可以存储在与用户相关的表中预设的一系列列中，或者作为简单的3列表 - ID（主键），UserId，Hash，并且每个组合有一行n你的密码中的字符。

我怀疑这种方法的效力，而不是要求整个密码虽然...也许有人对此有评论？

Answer 2

这可能不是一个在公开论坛上讨论的好项目，但是要阻止他们将所选字符插入到存储器中，解密，将难忘的短语或单词复制到适当的位置，然后加密，对结果执行二进制比较？

Answer 3

我会想象他们不得不解密某种私有密钥系统（甚至每个帐户的私有密钥，以提高安全性）......

Answer 4

他们可以一样容易地保持一个HASH的单人字符不能？

你实际上不必使用单向HASH。如果您确定您的密钥是安全的，那么您可以轻松使用双向密码。在这种情况下，他们可以很容易地将密码保存在无法从网络访问的系统上。

Answer 5

这将是不太令人吃惊，如果（有人）银行（或其他大公司）确实存储明文密码，或ROT13'd的，甚至是双ROT13'd ...