Das ist einfach schrecklich. Dies kann nur funktionieren, wenn Ihr Passwort verschlüsselt wird, anstatt es zu hashen. Oder noch schlimmer, speichern Sie es einfach als einfachen Text. Ich würde mich niemals für diesen Service anmelden. <update> Wie @lynks feststellte, trifft dies bei Verwendung von HMS wahrscheinlich nicht zu. Wenn jedoch vor diesem Schritt nur ein Benutzername abgefragt wird. Und das Passwort ist ein festes Passwort des Benutzers, der Rest meiner Antwort sollte noch stehen. < / update>

Auch die Tatsache, dass Sie nur 4 erraten müssen Zeichen (stattdessen ein ganzes Passwort) ist einfach nur dumm. Diese Blöcke können auch die Länge des Passworts angeben, was auch wirklich Mist ist (wenn dies tatsächlich der Fall ist).

Nicht nur das, sondern sie zeigen Ihnen auch, an welcher Stelle die Zeichen hinzugefügt werden sollen Noch dümmer, weil Sie jetzt die verwendeten Zeichen anhand der Verteilung der Zeichen in Wörtern / Sätzen besser erraten können.

Alles in allem ist das, was Sie dort haben, Mega-Mist und sollte nicht verwendet werden. .. je. Ich würde sogar sagen, dass die Person, die dies gelernt hat, eine gute Idee wäre, aufhören sollte, solche Dinge zu tun, und nach einem anderen Job suchen.

Tatsächlich ist es so schlimm, dass es mich nicht überraschen würde wenn die tatsächlichen Zeichen, die von diesen blauen Blöcken ausgeblendet werden, nur ausgeblendet und in der Quelle der Seite gespeichert werden ;-)

Als Randnotiz basierend auf dem letzten Absatz Ihrer Frage:

oder haben sie ein Passwort in Salted Hash (MD5) gespeichert?

MD5 sollte niemals zum Hashing von Passwörtern verwendet werden. Es ist waaaaay zu schnell für diesen Zweck.

Wie andere bereits betont haben, müssen für die Verwendung eines Mechanismus "Zeichen x und y aus Ihrem Kennwort eingeben" die Kennwörter entweder im klaren oder in einem reversibel verschlüsselten Format auf dem Server gespeichert werden (es gibt die andere Option für das Hashing Jedes Zeichenpaar, aber das wäre eine blöde Idee.

Ob dieser Mechanismus die Gesamtsicherheit der Lösung verbessert oder verringert, hängt von der Häufigkeit und dem Schweregrad der Angriffe ab, gegen die jeder Ansatz gut funktioniert, sowie von Sicherheitskontrollen auf der serverseitigen Speicherung der Kennwörter vorhanden.

Es gibt wahrscheinlich mehr Instanzen von Keylogging-Software (dies ist beispielsweise bei Banking-Trojanern sehr häufig) als Fälle, in denen Kennwortdatenbanken gehackt werden Dies lässt das Konzept der Auswirkung außer Acht, bei dem eine Verletzung der Kennwortdatenbank viel schwerwiegender ist als eine einzelne Keylogging-Instanz eines Kunden.

Dies führt zu Kontrollen. Einige der Antworten und die dazugehörigen Kommentare haben auf HSM hingewiesen. Wenn diese Art von Szenario in einer britischen Bank verwendet wird, würde ich es für sehr wahrscheinlich halten, dass ein HSM verwendet und hoffentlich gut verwaltet wird.

Es ist bedauerlich, dass die Binsenweisheit der Sicherheit "nur Passwörter speichert" In Hash-Formaten ist die reversible Verschlüsselung schlecht. "Oft fehlt das Add-On." Sie können sie im reversiblen Format speichern, aber die Schlüsselverwaltung ist ein Problem.

Es ist möglich, dies sicher und tatsächlich am Geldautomaten zu tun Das Netzwerk in Großbritannien verwendete früher (und ich denke immer noch) symmetrische Verschlüsselung für alle Datenübertragungen, aber die Schlüsselverwaltung war umfangreich (zumindest in den Fällen, die ich mir angesehen habe) und beinhaltete Dinge wie die doppelte Kontrolle von Schlüsseln / p>

Die Antwort auf die Frage ist also, wie bei vielen Sicherheitsaspekten, dass es darauf ankommt. Es mag sicher sein, und in der Tat ist dieser Ansatz in einigen Szenarien besser, in denen das gesamte Passwort gehasht und abgefragt wird. Er hängt jedoch von einer Reihe von Faktoren ab, die ohne weitere Informationen nicht bewertet werden können.

First Direct - verwendet diese Methode zum Anfordern eines Kennworts. In einigen anderen Fällen - Halifax, Lloyds - werden nach Vorlage der Passwortabfrage Briefe per Dropdown angefordert. Darüber hinaus werden 5 zufällige Ziffern angehängt.

Verifiziert von Visa - http://www.visaeurope.com/de/cardholders/verified_by_visa.aspx - verwendet dies ebenfalls Form der Bestätigung bei Online-Zahlung mit Karte.

Ich glaube, dies soll verhindern, dass Key-Logger das gesamte Passwort erhalten . Ich glaube, Banken und Visa haben ihre eigenen sehr strengen Richtlinien, die das gesamte System einigermaßen sicher machen.

(letztendlich sind es wir, die für all ihre Sicherheitsverletzungen bezahlen)

@ Hyps Kommentar ist richtig (meine Antwort wurde aktualisiert). Lloyds und Halifax haben nach dem Passwort Folgendes:

Ist das sicher?

Nein, das ist nicht sicher. Dies ist viel leichter brutal erzwungen als das vollständige Passwort. Beachten Sie jedoch, dass es normalerweise IP-Blöcke beim Brute-Forcing gibt. Daher ist dies normalerweise nicht der beste Weg, um auf das Konto einer anderen Person zuzugreifen.

Dies ist vorhanden, um Keylogging zu verhindern, was in Wirklichkeit a ist viel größere Bedrohung als brutales Erzwingen . Es ist eine ähnliche Situation:

Selbst das brutale Erzwingen einer 4-stelligen Teilmenge eines Passworts ist schwierig (ich gehe davon aus, dass sie gemischt werden Wenn die Felder aktualisiert werden, erhöht dies die Komplexität. Es gibt immer noch mindestens 26 ^ 4 Passwörter, die ausprobiert werden können (und mit einem CAPTCHA und allem könnte es schwierig sein). Angesichts der Tatsache, dass die Gesamtlänge offen gelegt wird, können Wörterbuchangriffe natürlich lebensfähig werden. Es gibt jedoch noch viele Sätze zu versuchen, und wir gehen davon aus, dass die IP in dieser Zeit nicht blockiert wird. Ein weiterer Angriff, der auf diesem System ausgeführt werden könnte, besteht darin, das eingegebene 4-Schlüssel-Kennwort-Snippet zu protokollieren und die Seite dann so lange zu aktualisieren, bis dieselbe Box-Reihenfolge eingeht. Oder sie können das Passwort-Snippet einfach mit einem Wörterbuch abgleichen. Sie erhalten eine sehr kleine Anzahl von Wörtern.

Das schwerwiegendere Problem hierbei ist, dass sie Passwörter im Klartext speichern. Es wäre nicht zu schwierig für einen Sysad oder jemanden mit schreibgeschütztem Datenbankzugriff (es sollten genügend solche Personen vorhanden sein), das Passwort zu extrahieren und damit etwas zu erstellen, das wie eine legitime Online-Übertragung aussieht. Ein sicheres System würde die Passwörter (SHA-256 oder SHA-512 ist gut ^{1 sup>, verwenden Sie kein MD5) mit einem Salt hashen und die Klartexte sofort vergessen. Sie sollten die Hashes beim Erhalt eines Passworts vergleichen. In diesem Fall können Sie mit dem Passwortformular natürlich keine Gymnastik machen.}

Es gibt viel vernünftigere Möglichkeiten, Keylogger zu verhindern. Viele Banken implementieren eine "virtuelle Tastatur" mit zufällig verteilten Tasten. Letztendlich kann dies auch "protokolliert" werden (etwas, das einer Bildschirmabdeckung ähnelt, kann durchgeführt werden), jedoch sind Text-Keylogger hier ziemlich hilflos, da der Benutzer nicht tippt. (Normalerweise wird die Option zum Eingeben angegeben, aber der Benutzer kann die virtuelle Tastatur verwenden, wenn er sein Kennwort in einem Cybercafé oder einem anderen öffentlichen Computer eingeben möchte.) Wie in den Kommentaren erwähnt, ist dies aus vielen Gründen keine gute Zeitinvestition. Verwenden Sie stattdessen die 2-Faktor-Authentifizierung:

Die 2-Faktor-Authentifizierung ist wahrscheinlich eine der sichersten Methoden, um an Keyloggern vorbeizukommen. Diese zeitbasierten Schlüsselanhänger oder der "Bestätigungscode wurde Ihnen per SMS gesendet" wären sehr effektiv, da das Passwort ohne das zugehörige Gerät nahezu wertlos ist (nützlich für die Kontowiederherstellung).

^{1. Eine bessere Idee wäre, ein HSM mit RSA zu verwenden und die Passwörter zu verschlüsseln. Oder verwenden Sie bcrypt oder einen ähnlichen langsamen Algorithmus. Sup>}

Es gibt eine solche Art der Kennworterstellung / -verschlüsselung, die als Verdeckungsverschlüsselung bezeichnet wird. Dann haben Sie eine Nachricht in einer Nachricht. Aber das ist es nicht. Ich denke, es soll in Bezug auf die Privatsphäre sicher sein, also schaut niemand hinter Ihre Schulter oder es gibt keinen Bot, der versucht, das Passwort brutal zu erzwingen. Weil sich die Stellen der Buchstaben des Passworts immer ändern würden. Benötigen Sie ein vollständigeres Bild darüber, wie einfach es ist, dieses Passwort brutal zu erzwingen.

Ändert sich die Herausforderung, die Platzierung der Buchstaben häufig, wie zufällig ändert sich die Herausforderung?

Ändert sich Für den Passwortmechanismus benötigen Sie ein sicheres Passwort. mit alphanumerischen / nicht alphanumerischen Buchstaben, die lang genug sind und kein Wort aus dem Wörterbuch enthalten?

Ermöglicht der Kennwortmechanismus maximale Versuche?

Das ist meiner Meinung nach ein guter Weg, um sicherer zu sein, denn wenn es mit seinen Herausforderungen zufällig genug ist und eine minimale Anzahl von Versuchen pro Zeit zulässt, sollte es als sicherer Vergleich angesehen werden zum regulären Passwortfeld, das wir heute auf allen anderen Websites sehen!

Ist das sicher?

Wahrscheinlich nicht. Oder besser gesagt: Höchstwahrscheinlich nicht. Es scheint, dass einige Leute diesmal in die Stadt gegangen sind, um es sehr sicher (tm) zu machen. Und wie so oft, wenn Sie Ihren eigenen Shop alleine ausführen: Sie scheitern.

Oder haben sie das Kennwort in Salted Hash (MD5) gespeichert?

Nun, ich kann nicht in ihren Code sehen, aber aufgrund der "Klugheit" (Ironie beabsichtigt), die sie mit ihrer Benutzeroberfläche zeigen, haben sie höchstwahrscheinlich einen MD5-Hash für jedes einzelne Zeichen des Passworts erstellt. Ja, guter Witz am Morgen, oder?

Aber was mich mehr verwirrt, ist, dass Sie sich hier wirklich Sorgen um Sicherheit machen. Schauen Sie sich diese Benutzeroberfläche an. Ist es für einen Benutzer nicht völlig umständlich, damit umzugehen? Richtig? Überlegen Sie also jetzt zweimal: Ich muss sagen, welchen Geisteszustand diese Leute haben müssen, um a) dies vorzuschlagen und b) die gesamte Verarbeitung bis zur Produktion zu durchlaufen. Seien Sie versichert, dass die Sicherheit bei so großen Mängeln Ihrer Benutzeroberfläche höchstwahrscheinlich auch ein Witz ist.

Okay, was ist hier falsch? Der Vorteil des Erstellers dieses Formulars besteht darin, dass niemals das gesamte Passwort über die Leitung übertragen wird. Stattdessen wird nur ein Teil des Passworts übertragen. Wenn ein Angreifer die Übertragung des Kennworts belauscht, kann der Angreifer nicht das gesamte Kennwort auf einmal abrufen, sondern muss viele Anmeldungen mit demselben Kennwort sammeln, um dann das gesamte Kennwort zu erstellen.

Die Das Problem dabei ist, dass es nicht die richtige Methode ist, um sich vor Abhören zu schützen. Stattdessen sollte eine sichere Verbindung verwendet werden.

Wenn die Bank dies jetzt eingeführt hat, weil sie der Meinung ist, dass ihre Verbindung nicht mehr sicher ist, müssen sie die Anmeldung schließen, bis sie dies behoben haben. P. >

Außerdem zeigt es ein sehr häufiges Missverständnis in Bezug auf Sicherheit. Es muss brauchbar sein, sonst schießen Sie in Ihren Fuß. Hier werden Kunden dieser Bank darin geschult, Passwörter zu verwenden, die sie laut vorlesen können, damit sie sagen können, welcher Buchstabe sich an welcher Position befindet.

Nehmen Sie die Länge dieses Passworts und wissen Sie ein wenig über den Benutzer, während Sie ein haben Ein gutes Wörterbuch sollte es wirklich einfach machen, die 4 angeforderten Buchstaben zu erraten, da die Länge des Passworts einem Angreifer bereits kostenlos zur Verfügung gestellt wurde.

Daneben muss ein Benutzername vorhanden sein, damit dieses Muster funktioniert wurde bereits bereitgestellt, bevor das Passwortformular angezeigt werden kann. Dies bedeutet, dass ein solches System leicht genutzt werden kann, um zuerst Benutzernamen zu testen.

Wenden Sie sich an die Behörden, die für die Regulierung dieses Bankhauses verantwortlich sind. Sie haben guten Grund zu der Annahme, dass diese Bank leichtfertig damit umgeht Kundendaten und Geld bei elektronischen Transaktionen über das Internet?

Ich verstehe nicht, warum es von Natur aus eine schlechte Praxis ist, nur bestimmte Buchstaben von einem Passwort zu verlangen.

Sicher, wenn ein Hacker nur 3 der 10 Buchstaben in Ihrem Passwort kennen muss, ein "Brute" Force "-Ansatz hat mehr Erfolgschancen. Dies kann jedoch ein geringer Preis für andere Leistungen sein.

Soweit ich weiß, tun dies alle britischen Telefonbankensysteme. Und es scheint mir ziemlich offensichtlich, dass das Telefonpersonal der Bank nie das gesamte Passwort sieht. Ich würde vermuten, dass der Server, auf dem sich dieses Kennwort befindet, sicherer eingerichtet werden kann, da er niemals das gesamte Kennwort an jeden weitergeben muss.