No estoy de acuerdo con la premisa de tu pregunta. Creo que el esquema de su banco es probablemente más seguro que permitir que los usuarios elijan sus propias contraseñas.
Una cosa que sabemos con gran confianza es que muchos usuarios eligen contraseñas malas . Por ejemplo, un estudio reciente encontró que si el atacante tiene una tasa -limitado a 10 conjeturas en la contraseña por cuenta, entonces el atacante puede esperar romper aproximadamente el 1% de las cuentas. Estos números parecen ser bastante sólidos en una amplia gama de diferentes tipos de sistemas protegidos por contraseña. Por lo tanto, cualquier sistema que permita a los usuarios seleccionar sus propias contraseñas tendrá poca seguridad para una fracción significativa de la población de usuarios.
En contraste, su banco genera la contraseña para usted. Esto evita los problemas de las contraseñas generadas por el usuario. Una contraseña aleatoria de 8 dígitos tiene aproximadamente 26.6 bits de entropía. Eso no es tan lamentable. Por ejemplo, si el atacante tiene una tasa limitada de 10 conjeturas de contraseña por cuenta, entonces con el esquema de su banco, el atacante puede esperar romper aproximadamente el 0.00001% de las cuentas. Esa es una mejora significativa con respecto a las contraseñas generadas por los usuarios.
En contraste, las políticas de complejidad de contraseñas son frágiles. Ayudan a los usuarios a evitar algunas contraseñas malas, pero a menudo se aceptan muchas otras contraseñas malas. Fundamentalmente, debido a que el verificador de políticas de contraseñas no tiene visibilidad de cómo eligió su contraseña y porque cómo es la parte importante para calcular la entropía, su utilidad es limitada. Para muchos sitios, estas limitaciones son aceptables, pero puedo entender por qué un sitio bancario puede querer hacerlo mejor.
Una posible preocupación con el esquema de su banco es que, si no implementan ningún tipo de limitación de velocidad en el cálculo de contraseñas, el atacante que intente todas las posibles contraseñas de 8 dígitos podrá adivinar su contraseña. Si el atacante puede automatizar este proceso e intentar 10 contraseñas / segundo, entonces debería tomar aproximadamente 115 días agotar el espacio. Sin embargo, es fácil defenderse contra este tipo de ataque: el banco puede simplemente contar la cantidad de intentos fallidos de adivinar la contraseña y las estimaciones de límite de velocidad o imponer alguna otra defensa contra la adivinación automática de contraseñas.
Conclusión: el enfoque de su banco es en realidad más razonable de lo que parece. En general, es probablemente más seguro que permitir que los usuarios elijan sus propias contraseñas, especialmente si el banco aplica buenos mecanismos para limitar los ataques de adivinación de contraseña.