Internetbanking – Heslo nesmie obsahovať špeciálne znaky

[Martin Sršeň]

Zdravím všetkých.

Povedal som si po nejakej dobe že moje staršie heslo od internetbankingu už nepovažujem za tak bezpečné ako pred tým a tak som sa rozhodol že si ho zmením. Po pokuse zmeniť si heslo som zostal v menšom šoku. Bol som odmietnutý vetou: "Heslo nesmie obsahovať špeciálne znaky".

Máte niekto skúsenosti s veľkými bankovými systémami a mohli mi možno povedať dôvod prečo by banka nemala chcieť aby heslá obsahovali špeciálne znaky? (Na príklad nejaké problémy s kódovaním v DB a tak podobne...) Bol som v tom že zrovna subjekt ako banka chce aby jej klienti mali čo najsilnejšie heslá a toto mi príde ako dosť veľké obmedzenie bezpečnosti.

[Reklama]

[Martin]

A nemuze to byt prave kvuli te SQL injekci? https://www.root.cz/clanky/zranitelnosti-typu-injekce-sql-injekce/
;-)

[Martin Sršeň]

A nemuze to byt prave kvuli te SQL injekci? https://www.root.cz/clanky/zranitelnosti-typu-injekce-sql-injekce/
;-)

To snáď vyrieši bindovanie SQL parametrov nie?

Prípadne nieči ako mysqli_real_real_real_escape_string 

[kkt1]

znam banky kde heslo pro ibanking jsou 4 cisla. Z pohledu bezpecnosti - po x spatnych heslech dojde k uzamceni uctu. Predstava, ze ti nekde z banky uniknou hashovane hesla je sice hezka, ale v praxi jsou procesy nastavene tak, ze je to malo pravdepodobne. Proto se moc neresi jestli tam budes mit nejake znaky. Co se tyce sql injection - v rozumne aplikaci se kontroluji vstupy, v payment aplikacich je to komplexnejsi kontrola a samotny internet banking obvykle nema pristup do zadne uzivatelske/financni databazy, ale obvykle vytvori nejaky job, ktery dalsi system spracuje a pripravi vystup pro internet banking.

[Jenda]

znam banky kde heslo pro ibanking jsou 4 cisla. Z pohledu bezpecnosti - po x spatnych heslech dojde k uzamceni uctu

Tak to doufám, že uživatelská jména nejde uhodnout (nejsou to např. čísla účtu nebo nejsou sekvenční), protože jinak by někdo mohl jen tak zablokovat cizí účty 

[Reklama]

[user]

Tak napr. UniCredit Czech Republic and Slovakia. Heslo síce môžu byť znaky, ale username je číslo účtu a po 3 zlých pokusoch treba ísť len a len na pobočku..

[Martin]

To snáď vyrieši bindovanie SQL parametrov nie?
Prípadne nieči ako mysqli_real_real_real_escape_string 

Ja to myslel jakoze maji hesla v DB v plain textu :-)

[rats]

Omezení možnosti skládání hesla z libovolných znaků se v dnešní době snad už nedá ani považovat za omezení bezpečnosti - odpovědí je dvoufaktorová autentizace (případně vícefaktorová).
Neboli - pokud u přístupu k internetovému bankovnictví spoléháte pouze na heslo, je to špatně z principu, bez ohledu na možnou/požadovanou komplexitu hesla.
Osobně mám v dnešní době standardní "dvou-a-půl-faktor": velmi nestandardní uživatelské jméno (moje banka to kupodivu umožňuje)+heslo+SMS klíč. Dále mi při každém úspěšném, ale především neúspěšném, pokusu o přihlášení pomocí mých údajů přijde e-mail s upozorněním, přičemž mám možnost si za směšný paušální poplatek aktivovat (což i mám) i varování via SMS na jiný mobil než ten, na které chodí autorizační SMS (to pro případ, že bych ten autorizační mobil ztratil). Sice mě to stálo jednu návštěvu na pobočce a ladění detailů, ale výsledek za to podle mě stojí.
Dokonce v rámci jednání jsem vznesl dotaz, zda by bylo možno zajistit, aby se na mé uživatelské údaje dalo přihlásit pouze z omezeného seznamu veřejných IP adres - a banka mi po krátkém váhání (14 dní) sdělila, že to možné je, pouze si ten seznam veřejných IP adres nebudu moci spravovat sám, a změna v seznamu bude možná pouze jednou za měsíc. Na tom jsem tedy nakonec netrval, ale i tak bych si troufal tvrdit, že se cítím bezpečně bez ohledu na to, že moje heslo k internetovému bankovnictví je opravdu slabé, abych ho při první příležitosti nezapomněl.
Dnes je to holt doba geeků, a už je i v bankovnictví možné leccos.

[dw]

A nemuze to byt prave kvuli te SQL injekci? https://www.root.cz/clanky/zranitelnosti-typu-injekce-sql-injekce/
;-)

SQL injection vznika zvedsa z neznalosti... ale programatora ktory uklada do DB priamo hesla a nie ich hash, tak toho treba umlatit klavesnicou...

[Kit]

A nemuze to byt prave kvuli te SQL injekci? https://www.root.cz/clanky/zranitelnosti-typu-injekce-sql-injekce/
;-)

SQL injection vznika zvedsa z neznalosti... ale programatora ktory uklada do DB priamo hesla a nie ich hash, tak toho treba umlatit klavesnicou...

Programátora, který místo šifrování hesla použije hash, je třeba tou klávesnicí umlátit také.

[ludva]

Tak toto bude chtít vysvětlit asi víc lidí ...

A nemuze to byt prave kvuli te SQL injekci? https://www.root.cz/clanky/zranitelnosti-typu-injekce-sql-injekce/
;-)

SQL injection vznika zvedsa z neznalosti... ale programatora ktory uklada do DB priamo hesla a nie ich hash, tak toho treba umlatit klavesnicou...

Programátora, který místo šifrování hesla použije hash, je třeba tou klávesnicí umlátit také.

[Martin Sršeň]

Tak toto bude chtít vysvětlit asi víc lidí ...

Možno šifruje všetky hesla so svojim verejným kľúčom. Čitateľné by to nebolo, ako hash by to ZHRUBA fungovalo ale ako BONUS by tie heslá vedel prečítať len on

Každý ma v sebe predsa nejakú tú štipku zvedavosti... 

[_Tomáš_]

řekl bych, že to tam mají z historických důvodů, dříve jsem tohle pravidlo vídal často a jako argument jsem slyšel, že lidé pak měli problém na jiném počítači zadávat ty speciální znaky a nemohli se přihlásit.

Před 15 lety možná obhajitelné, dnes to vypadá jako hodně blbý vtip.

Kit: ty budeš také pěkný exot.

[Yokotashi]

Specialni znaky moc nepomuzou a jeste se blbe pamatuji: https://xkcd.com/936/

A mit do banky heslo misto jednorazoveho klice vygenerovaneho tokenem je bezpecnostni zhovadilost. Skoda, ze to nikdo nevysvetlil zodpovednym lidem v tech bankach.

[L.]

A mit do banky heslo misto jednorazoveho klice vygenerovaneho tokenem je bezpecnostni zhovadilost. Skoda, ze to nikdo nevysvetlil zodpovednym lidem v tech bankach.

Jj, všichni jsou debilové, jen ty jsi génius