銀行是否將密碼存儲爲純文本？

我見過一些網站，特別是銀行網站，要求你輸入這個（例如）。有時他們會要求通過電話證明我的身份。銀行是否將密碼存儲爲純文本？

密碼的第2個字符
密碼的第5個字符
密碼的第6個字符

要做到這一點，散列算法是行不通的，它會？當然，應該像銀行一樣安全的東西可以存儲不可解密的密碼？

2011-11-08 Connell

如果你真的想知道，爲什麼不問銀行。 –

這並不是一個壞主意，但我想我可能會在我遇到一個甚至知道某個人可能知道數據庫是如何設置的人之前至少擱置2個小時。特別是因爲我不關心它，只是有興趣; D – Connell

是的，這可以在不控股的純文本版本工作你的密碼。簡單地說，當您最初設置密碼時，銀行將散列它將要求的各種組合，並存儲這些散列。無論您是否有固定長度的密碼（即PIN碼）或可變長度的密碼，實現起來都非常簡單。這些散列可以存儲在與用戶相關的表中預設的一系列列中，或者作爲簡單的3列表 - ID（主鍵），UserId，Hash，並且每個組合有一行n你的密碼中的字符。

我懷疑這種方法的效力，而不是要求整個密碼雖然...也許有人對此有評論？

來源

2011-11-08 10:34:56 slugster