"Salting" tiene sentido solo como parte de hashing de contraseña . De la respuesta que recibió ("las contraseñas [...] están en un canal seguro y cifrado"), se puede deducir que:
- Las contraseñas no están hash en absoluto. El banco puede recuperar su contraseña en cualquier momento.
- Se aplica algún tipo de cifrado, ya sea para el almacenamiento en sí (con una clave no especificada) o para la transferencia de una máquina a otra dentro del sistema bancario (probablemente SSL). O tal vez ambos.
- Quienquiera que te haya respondido no considera que puedas entender la tecnología, o que él mismo no entiende la tecnología, o ambas cosas.
En cuanto a la limitación de la longitud de la contraseña, es un problema y una mala práctica, ya que le impide usar contraseñas con alta entropía y, sin embargo, fáciles de recordar (consulte esta pregunta ). Puede haber razones técnicas para eso (compatibilidad con un sistema heredado, y hay un lote de sistemas heredados en los bancos), pero es igualmente plausible que la limitación provenga de una Tradición poco entendida (ver esta pregunta ).
Ahora vamos a tomar el punto de vista del banco. ¿Cuál es el uso de su contraseña? ¿Es para proteger tus bienes? No ! La contraseña está ahí para proteger al banco . No tú. Tu contraseña no es para ti; es para ellos.
El banco, en su conjunto, quiere ganar dinero. Los ataques exitosos les hacen perder dinero, porque:
- tienen que reembolsar al usuario;
- deben lidiar con la pérdida de reputación.
Las contraseñas se pueden usar para reducir estas pérdidas, de varias maneras:
- Si el robo es a través de adivinar la contraseña de un usuario, entonces el banco puede reclamar que no es su culpa, sino la culpa del usuario que eligió una contraseña débil. Esto limita el daño a la reputación.
- Del mismo modo, si pueden señalar al usuario por su culpa, pueden salirse con la suya de no reembolsarle.
Si la contraseña es segura, la probabilidad de una infracción se reduce. Sin embargo (y ese es un punto importante), las contraseñas largas y complejas aumentan la probabilidad de que el usuario olvide su contraseña. Tal ocurrencia implica una llamada telefónica al servicio de asistencia, por lo tanto, una pérdida de dinero. Hay un potencial para una compensación aquí.
Lo que se debe recordar es que el banco intenta maximizar sus propias ganancias y, por lo tanto, utiliza criterios que no necesariamente coinciden con su propia evaluación de la situación. Pueden oponerse a las contraseñas de usuario sólidas de realmente si dichas contraseñas implican un mayor costo por su parte, ya sea en capas de compatibilidad con sistemas heredados o un mayor uso del servicio de asistencia. Su mejor interés no coincide necesariamente con su mejor interés.
Por otra parte, la seguridad de las contraseñas se implementa de manera deficiente en general, ya que no se comprende bien, como lo demuestra la abundancia de mitos que flotan (por ejemplo, el mito que dice que incluir signos de puntuación mejora la seguridad). Que el banco sea antiguo no significa que sea bueno para manejar tecnología reciente.
En cualquier caso, la mayoría de los casos de robo de cuentas bancarias no se deben a una contraseña demasiado fácil de adivinar, sino a una contraseña que fue robada con un registrador de claves. Lo más probable es que el efecto de las "reglas de contraseña" ni siquiera se muestre estadísticamente, por lo que el banco no tiene una manera real de medir cuán eficiente o ineficiente es esa política de seguridad específica.