WARNUNG: Ändern Sie Ihr Passwort nicht!

Dies scheint genau das zu sein, was Betrüger tun würden, um Sie dazu zu bringen, ihnen Ihr Passwort zu geben. Glauben Sie wirklich, Ihre Bank würde am Freitag eine solche Nachricht mit einem senden? Frist etwas über das Wochenende, so dass Sie keine Möglichkeit haben, sie zur Überprüfung anzurufen?

Hier gibt es zwei verschiedene Perspektiven.

Auswirkungen auf Sie (einen erfahrenen Benutzer). Wenn Sie Ihr Passwort entsprechend auswählen, können Sie Ihr Passwort in auswählen ein Weg, der stark genug ist. Wenn Sie ein zufälliges 10-stelliges Passwort wählen, bei dem jedes Zeichen zufällig und unabhängig von a-zA-Z0-9 (62 Möglichkeiten) ausgewählt wird, hat Ihr Passwort 59 Entropiebits. In der Praxis ist dies mehr als ausreichend: Es ist mehr als ausreichend, dass das Erraten von Passwörtern wahrscheinlich nicht der einfachste Angriff auf das System ist, und mehr als genug, um sicherzustellen, dass Ihr Passwort nicht das schwächste Glied im System ist. P. >

Auswirkungen auf den durchschnittlichen Benutzer. Es ist eine andere Frage, ob diese Änderung eine gute Idee ist, da typische Benutzer normalerweise ihr Kennwort wählen. Meine Meinung: Ich halte das für eine schlechte Idee. Viele Benutzer wählen Passwörter, die auf Wörtern oder Phrasen basieren. Diese Arten von Passwörtern haben viel weniger als 5,7 Bit Entropie pro Zeichen, daher kann die Längenbeschränkung einen größeren Einfluss auf den durchschnittlichen Benutzer haben. Das Längenlimit schließt auch lange Passphrasen aus, die eine der besten Möglichkeiten sind, ein sicheres Passwort zu wählen.

Fazit. Es ist möglich Verwenden Sie das System Ihrer Kreditgenossenschaft sicher, sodass die Auswirkungen für Sie relativ gering sein können. Dies bedeutet jedoch nicht, dass ihre Änderung eine gute Idee ist. Ich denke, die Einführung eines Maximums von 10 Zeichen für die Passwortlänge ist eine schlechte Idee und eine ziemlich zweifelhafte Entscheidung von ihrer Seite. Ja, ich würde mir Sorgen machen, dass sie schlechte Entscheidungen treffen - aber die Auswirkungen für Sie sind wahrscheinlich besonders hübsch bescheiden, wenn Sie Ihr neues Passwort entsprechend auswählen.

Ehrlich gesagt würde ich mich mehr um andere Bedrohungsvektoren wie Malware auf Ihrem Computer als um das Erraten von Passwörtern kümmern. Auch die Qualität ihrer Implementierung kann einen größeren Einfluss haben als die Längenbeschränkung. Wenn sie die Anzahl der Vermutungen begrenzen, die ein Angreifer machen kann, wenn sie die gespeicherten Passwörter entsprechend hashen und salzen und wenn sie über ironische Möglichkeiten verfügen, um Lecks in der Passwortdatenbank zu verhindern, ist ein 10-stelliges Passwort wahrscheinlich nicht das schwächste Glied ihres Systems.

Das Wichtigste, worauf Sie sich konzentrieren sollten, ist Folgendes: Wer haftet, wenn in Ihrem Konto nicht autorisierte Aktivitäten vorhanden sind (z. B. wenn sich jemand in Ihr Konto hackt und eine Transaktion ausführt, die Sie nicht angefordert haben)? Verspricht Ihre Kreditgenossenschaft, Sie zu erstatten und Sie für etwaige Verluste zu entschädigen? Geben sie dies schriftlich in ihren Richtlinien an? Wenn sie dies tun, ist dies ihr Problem, nicht Ihr Problem. Wenn dies nicht der Fall ist, gehen Sie ein erhebliches Risiko ein, unabhängig von den Kennwortrichtlinien. In den USA habe ich den Eindruck, dass grundsätzlich alle Banken versprechen, Ihnen nicht autorisierte Transaktionen zu erstatten, wenn Ihr Konto ein Verbraucherkonto ist (kein Geschäftskonto). Persönlich würde ich keine Geschäfte mit einer Bank machen, die nicht versprochen hat, mich zu erstatten - ich würde die Bank wechseln, wenn meine Bank versuchen würde, mir die Haftung aufzuerlegen.

Banken sowie Kreditgenossenschaften unterliegen den Richtlinien des FFIEC. PCI leitet oder beeinflusst Banken oder Kreditgenossenschaften nicht unbedingt oder die Anforderungen für den Zugriff ihrer Mitglieder auf ihre Online-Konten ( Ihre vollständige PAN ist wahrscheinlich nicht einmal über die Internetbanking-Website Ihrer Bank zugänglich.

In Bezug auf das Risiko sind hier einige Dinge zu beachten, die im nächsten Absatz an Bedeutung gewinnen werden. Was können Sie eigentlich auf der CU-Website tun? Können Sie Geld auf ein externes Konto überweisen oder die Rechnung auf ein Konto außerhalb der CU bezahlen? Viele Finanzinstitute bieten wirklich nur eine verwässerte Online-Kontoauszugsfunktion. In diesem Fall kann Ihr Guthaben aufgedeckt werden, aber niemand wird Ihr Konto löschen, und hoffentlich wird Ihre vollständige Kontonummer trotzdem redigiert. Welche anderen Faktoren sind vorhanden, um den Zugriff zu kontrollieren - Fragen herausfordern, Site-Key (persönliche Bilder), CAPTCHA, grafische Passworteingabe, clientseitige Verschlüsselung von Anmeldeinformationen usw. Gibt es Mechanismen, die es schwierig machen, tatsächlich eine Brute Force durchzuführen? Angriff.

Ich denke, eine wichtige Frage, die hier gestellt werden muss, ist, ob die CU eine Multi-Faktor-Authentifizierung für das Online-Banking implementiert oder nicht, was immer wichtiger wird, da die Aufsichtsbehörden dies betonen. Seit 2005 drängt das FFIEC die Finanzinstitute auf die Verwendung von Multifaktoren - siehe FIL-103-2005 (das vollständige PDF unten herunterladen). Seit letztem Jahr gibt es einen Update-Push mit FIL-50-2011. Wenn Sie mehr über die IT-Sicherheitsanforderungen für Banken und Kreditgenossenschaften erfahren möchten, können Sie das FFIEC IT-Handbuch lesen. Im Allgemeinen gelten die FFIEC-Leitlinien auch für Kreditgenossenschaften - es handelt sich um eine behördenübergreifende Organisation. Wenn Sie MFA haben, ist das Risiko, dass ein kürzeres Passwort brutal erzwungen oder auf andere Weise entdeckt wird, erheblich geringer. Beachten Sie, dass dies ein echter MFA wie ein Telefonfaktor oder ein Token sein sollte. Bilder vom Typ Sit-Key sind keine echte Multi-Faktor-Authentifizierung.

Es ist auch möglich, dass sie einen Drittanbieter-Service integriert haben, der nicht mit langen Passwörtern funktioniert. Es gibt immer noch einige Anbieter, die Legacy-Angebote anbieten, die für Ihre Finanzinstitution möglicherweise eine Nische oder einen anderen Reiz darstellen.

BEARBEITEN: Wie aus den Kommentaren unten hervorgeht, gilt PCI nur für Finanzinstitute, wenn diese Kreditkarten anbieten.

==

Entschuldigung, Für die PCI-DSS-Konformität ist nur eine Länge von 7 erforderlich. Ich habe den Text nicht vor mir, aber der Abschnitt ist 8.5.10.

Jemand anderes kann wahrscheinlich den entsprechenden Absatz zitieren.

Aus Sicht eines ethischen Hackers kann die Begrenzung der Kennwortlänge etwas überflüssig erscheinen. Es ist erwiesen, dass sich längere Passwörter gegenüber Passwort-Crackern besser behaupten als kurze komplexe Passwörter. Aufgrund von Speicherproblemen ist es jedoch Standard, eine minimale und maximale Kennwortlänge zu haben (das sichere Speichern vieler langer Kennwörter kann schwierig und ressourcenintensiv sein). Eine Begrenzung der Kennwortlänge kann auch dazu beitragen, Angriffe und Überschreibungen zur Längenerweiterung zu verhindern.

Die Kennwortlänge ist viel, viel wichtiger als die sogenannte Komplexität, und 12 Zeichen sind derzeit eine gute Mindestgröße. Die maximale Größe von 10 Zeichen ist nur ein bisschen weniger albern als die Beschränkung von 8 Zeichen, die wir vor nicht allzu langer Zeit auf vielen Systemen hatten.

Die numerischen Näherungen von KeePass und anderen Tools haben jedoch nur begrenzte Auswirkungen auf die tatsächliche Sicherheit. Es gibt viele Möglichkeiten, ein Passwort zu erhalten, bei dem die Länge keine Rolle spielt oder nicht viel.