El servicio alemán de informes de crédito "Schufa" utiliza un llamado "SuperPIN" para permitir a los usuarios restablecer su contraseña. Este super pin es una permutación de 30 letras mayúsculas y minúsculas y dígitos y se envía por correo al usuario en el momento del registro.
Para restablecer la contraseña, el sistema selecciona dos posiciones y solicita los caracteres en esas posiciones.
Me pregunto qué tan seguro es este sistema contra los ataques al servidor. El superpin no se puede almacenar con sal y hash porque el servidor necesita acceso a cada carácter individual. El hash y el salado del personaje en cada posición (o en todas las 870 combinaciones en pares) tampoco resistirán un ataque de fuerza bruta contra el hash.
A partir de estos hechos, no puedo obtener una ventaja sobre snail que envía un código de reinicio al usuario. ¿Qué me perdí?