为什么有些银行网站使用不区分大小写的密码?

信息安全 密码 密码策略 银行
2021-08-24 10:29:44

最近引起我注意的是,某大银行网站允许用户使用不区分大小写的密码登录。确认这一点后,我检查了我使用的其他银行网站,并找到了第二个做同样事情的大型银行网站。我没有检查他们的移动客户端。

对我来说,这似乎降低了安全性,因为这增加了可用于登录我的帐户的唯一密码的数量。从安全的角度来看,这是否有共同的原因和/或正当理由?我能想到的最重要的非安全原因是它减少了与区分大小写密码相关的帮助台的呼叫。

3个回答

最可能的原因是后端只支持不区分大小写的密码。引用OWASP

有时,我们会发现密码不区分大小写的系统,这通常是由于遗留系统问题,例如没有区分大小写密码的旧大型机。

对于仍在数据中心运行大型机的大型银行等陈旧的旧机构,发生这种情况的可能性要高得多。

通常,它是可用性和安全性之间的选择。用户在密码大写方面有很多麻烦,因此在散列密码之前将密码大写可以让用户更轻松。

当然,这也会降低给定长度密码的最大熵。作为补偿,你应该使用更长的密码......如果你被限制在一些愚蠢的数字,比如“最多 10 个字符”(在这种情况下,你有权怀疑他们是否真的以安全的方式处理密码)。

银行在密码中经常不区分大小写的原因之一是电话银行业务:银行在互联网出现之前就已经存在,甚至在电话出现之前。因此,一旦电话普及,许多主要银行都允许人们通过电话进行银行业务。这是有道理的:您只需要两个帐号和一个代码来验证您是进行交易的人。对于这个代码,你通常去银行学院。

但是,由于您需要使用手机上的数字键盘输入您的密码,系统只响应数字按键,而不是实际密码。这意味着小写和大写之间甚至没有区别,因为您在小键盘上输入它们的方式没有区别。

一旦网上银行出现,这些系统就使用与电话银行系统类似的后端,包括使用相同的密码,这样用户就不必记住额外的密码。然而,这导致了区分大小写字母很简单的问题,电话银行时代在系统中输入密码的方式不一致:有的柜员使用大写字母,有的使用小写字母,有些人会使用 CamelCase,... 为了防止人们不得不返回银行来澄清这一点,他们必须使密码不区分大小写。请注意,这部分可能不适用于所有银行,但有些银行有这个原因。

资料来源:

https://en.wikipedia.org/wiki/Telephone_banking - 关于电话银行的维基百科文章;

https://www.ing.be/en/retail/day-to-day-banking/self-banking/pages/phone.aspx?tabName=Details - 比利时银行网站上关于电话银行的文章;

http://www.hsbc.co.uk/1/2/ways-to-bank/phone-banking - 英国主要银行关于电话银行的文章。