银行是否将密码存储为纯文本？ [关闭]答案

【问题标题】：Do banks store passwords as plain text? [closed]银行是否将密码存储为纯文本？ [关闭]
【发布时间】：2011-12-24 08:09:10
【问题描述】：

我看到一些网站，尤其是银行网站，要求您输入这个（例如）。有时他们会在电话中要求此证明我的身份。

密码的第二个字符
密码的第 5 个字符
密码的第 6 个字符

要做到这一点，散列算法是行不通的，不是吗？像银行一样安全的东西肯定有办法存储不可解密的密码吗？

【问题讨论】：

如果你真的想知道，为什么不问问银行。
这不是一个坏主意，但我想我可能会被搁置至少 2 小时，然后才能联系到甚至认识可能知道如何设置数据库的人。特别是因为我不关心它，只是感兴趣;D

标签： database passwords password-storage

【解决方案1】：

这可能不是一个在开放论坛上讨论的好项目，但是如何阻止他们将您选择的字符插入到记忆中，在适当的位置保存、解密、复制您难忘的短语或单词、加密并执行对结果进行二元比较？

【讨论】：

【解决方案2】：

我想他们会有某种用于解密的私钥系统（甚至可能每个帐户都有一个私钥，以提高安全性）...

【讨论】：

【解决方案3】：

是的，这可以在不保留密码的纯文本版本的情况下工作。简单地说，当您最初设置密码时，银行将散列它会要求的各种组合，并存储这些散列。这很容易实现，无论您是否有固定长度的密码（即 PIN 码）或可变长度的密码。这些哈希值可以存储在与用户相关的表中预设的一系列列中，也可以存储为简单的 3 列表 - ID（主键）、UserId、Hash， 的每个组合都有一行密码中有 n 个字符。

我怀疑这种方法在询问整个密码方面的有效性......也许有人对此有评论？

【讨论】：

如果攻击者知道银行总是从密码中询问 5 个字符，这是否允许更容易地对单个哈希进行暴力破解？

【解决方案4】：

他们可以很容易地保留单个字符的 HASH，不是吗？

您实际上不必使用单向 HASH。如果您确定您的密钥是安全的，您可以轻松地使用双向密码。在这种情况下，他们可以轻松地将密码保存在无法从网络访问的系统上。

【讨论】：

【解决方案5】：

如果（某些）银行（或其他大公司）真的存储了纯文本密码，或者 ROT13 的密码，甚至是双 ROT13 的密码，那就不足为奇了......

【讨论】：