Un mot de passe numérique à 6 chiffres ne fait pas grand-chose.

Pourquoi 6 chiffres?

Troy Hunt a un excellent blog sur l'obligation de créer mots de passe faibles où il parle de diverses mauvaises pratiques, y compris le forçage de mots de passe numériques courts et avance l'excuse souvent utilisée que

«Nous voulons permettre aux gens d'utiliser le même mot de passe sur le clavier du téléphone»

La seule raison valable pour exiger un mot de passe uniquement numérique est que la seule entrée disponible pour un utilisateur est numérique (par exemple avec les guichets automatiques); (De même, la seule raison valable d'exiger un mot de passe lisible par un humain est qu'un humain le lira - ce qui serait un très mauvais signe s'il était utilisé non seulement pour les services bancaires par téléphone, mais aussi pour le site Web) .

Mais si c'est la raison, pourquoi diable vous forceraient-ils à utiliser le même code d'accès non sécurisé en ligne (ou sur mobile), alors que vous avez accès à un clavier qwerty complet?

Est-il facile de forcer brutalement le chemin?

Il existe 10 ⁶ mots de passe possibles composés de 6 chiffres.

Pour un attaquant non qualifié, obtenir dans votre compte n'est pas du tout un problème s'ils ont votre nom d'utilisateur et des tentatives illimitées. Vous devez supposer qu'ils ont votre nom d'utilisateur. Les noms d'utilisateur ne sont pas des secrets.

Supposons peut-être que la banque a pensé à cela et verrouille chaque compte après 3 mauvais essais, ou peut-être lance une option de limitation du robot comme un captcha pour essayez à nouveau après cela. Ensuite, l'attaquant a toujours une chance de 3/1000000 d'accéder à un compte aléatoire dans cette fenêtre.

Cela signifie que s'il attaque 1000000 comptes, il peut s'attendre à entrer dans 3. et faire 3000000 requêtes ne le ferait pas Cela prend beaucoup de temps.

Comparez cela au nombre de mots de passe avec 6 caractères alphanumériques (selon la plupart des normes de sécurité, beaucoup trop courts et pas assez complexes).

Il existe 62 ⁶ = 56800235584 mots de passe alphanumériques à 6 caractères possibles. C'est encore trop faible mais c'est déjà 56800 fois plus fort!

Stocké en toute sécurité?

Inutile de dire que si la base de données utilisateur a été violée, 10 ⁶ les mots de passe possibles ont une entropie ridiculement basse, et quel que soit le système de hachage et de salage utilisé, ils ne peuvent pas garder votre mot de passe sécurisé.

Le plan de votre banque en cas de violation de base de données est vraisemblablement se retourner et pleurer. Peut-être pensent-ils que le résultat est si mauvais qu'ils ne vont tout simplement pas le planifier.

En supposant que l'autre méthode d'authentification est sécurisée, dois-je m'inquiéter?

Un attaquant voyant vos finances l'histoire est un très gros problème; vous devriez vous inquiéter même si l'autre méthode d'authentification bloquant les transferts est sécurisée. Et vous ne devriez pas vous attendre à ce que l'autre méthode soit sécurisée.

Combien d'autres informations sont divulguées à votre sujet sans la deuxième méthode d'authentification? Votre nom, adresse, email, peut-être?

Celles-ci sont plus que suffisantes pour commencer à faire des recherches de fond sur vous, pour obtenir des informations supplémentaires - cela pourrait être des indices sur votre autre mot de passe, ou de bonnes informations solides sur la façon de vous hameçonner. Ils peuvent essayer de vous appeler, utiliser les informations qu'ils ont sur vous jusqu'à présent pour gagner votre confiance, se faire passer pour la banque et vous inciter à révéler d'autres secrets sur vous-même sous une ruse dont vous avez besoin pour vous authentifier en répondant aux derniers. questions dont ils ont besoin pour accéder à votre compte.

Autre exemple, si la deuxième méthode d'authentification est un mot de passe fort , mais que vous (et pour la plupart des clients, le "vous" n'est pas un expert en technologie), mais le client a jamais été inclus dans une violation de base de données pour un autre site Web où ils ont utilisé le même nom d'utilisateur / e-mail et mot de passe, puis la partie est terminée. - Cette logique s'applique à tout système basé sur un nom d'utilisateur / mot de passe, mais est particulièrement pertinente dans ce cas car l'attaquant est capable de découvrir d'autres informations vous concernant exposées par la première méthode d'authentification non sécurisée, et parce que le 2ème mot de passe est désormais le seul barrière qui les empêche de prendre votre argent - c'est l'une des raisons pour lesquelles la norme du secteur est d'exiger une authentification à deux facteurs sur les sites Web bancaires avant de montrer quoi que ce soit à l'utilisateur.

Quant à normes de l'industrie; ma banque a un mot de passe de longueur maximale avec la possibilité de prendre des caractères spéciaux, puis de le suivre avec un deuxième code qui ne peut être saisi qu'en sélectionnant quelques lettres dans une série de listes déroulantes (de sorte que le le deuxième mot de passe entier n'est pas utilisé en une seule tentative).

Je préférerais que ma banque utilise un deuxième facteur d'authentification hors bande; comme un code envoyé sur mon téléphone.

Insolite? Oui. Fou? Non. Continuez à lire pour comprendre pourquoi ...

Je pense que votre banque applique une politique de verrouillage rigoureuse. Par exemple, trois tentatives de connexion incorrectes verrouillent le compte pendant 24 heures. Si tel est le cas, un NIP à 6 chiffres n'est pas aussi vulnérable que vous pourriez le penser. Un attaquant qui essaierait trois codes PIN par jour pendant une année entière n'aurait toujours que 0,1% de chances de deviner le code PIN.

La plupart des sites Web (Facebook, Gmail, etc.) utilisent soit des adresses e-mail, soit des utilisateurs -les noms sélectionnés comme nom d'utilisateur, et ceux-ci sont facilement devinables par les attaquants. Ces sites ont tendance à avoir une politique de verrouillage beaucoup plus souple, par exemple, trois verrous de connexion incorrects pour un compte pendant 60 secondes. S'ils avaient une politique de verrouillage plus forte, les pirates pourraient causer toutes sortes de problèmes en excluant des personnes légitimes de leurs comptes. La nécessité de sécuriser les comptes avec une politique de verrouillage assouplie est la raison pour laquelle ils insistent sur des mots de passe forts.

Dans le cas de votre banque, le nom d'utilisateur est un numéro à 16 chiffres - votre numéro de carte. Vous gardez généralement votre numéro de carte privé. Bien sûr, vous l'utilisez pour les transactions par carte (en ligne et hors ligne) et il est dans votre portefeuille en texte clair - mais il est raisonnablement privé. Cela permet à la banque d'avoir une politique de verrouillage plus solide sans exposer les utilisateurs à des attaques par déni de service.

En termes pratiques, cet arrangement est sécurisé. Si votre colocataire trouve votre carte, il ne peut pas accéder à votre compte car il ne connaît pas le code PIN. Si un pirate informatique tente de pirater en masse des milliers de comptes, il ne le peut pas car il ne connaît pas les numéros de carte. La plupart des compromissions de compte se produisent à cause du phishing ou des logiciels malveillants, et un code PIN à 6 chiffres n'est pas plus vulnérable à ces attaques qu'un mot de passe très long et complexe. Je soupçonne que votre banque n'a pas plus de problèmes de sécurité quotidiens que les autres banques qui utilisent des mots de passe normaux.

Vous mentionnez que les transactions nécessitent une authentification multifactorielle. Ainsi, le principal risque d'un code PIN compromis est que quelqu'un puisse consulter vos coordonnées bancaires privées. Ils pourraient voir votre salaire et votre historique d'achats douteux. Quelques personnes ont mentionné qu'un code PIN à 6 chiffres est très vulnérable à une attaque par force brute hors ligne. Donc, si quelqu'un volait la base de données, il pourrait déchiffrer votre hachage et obtenir votre code PIN. Bien que cela soit vrai, cela n'a pas beaucoup d'importance. S'ils déchiffraient votre NIP, ils pourraient se connecter et voir votre historique bancaire, mais pas effectuer de transactions. Mais dans ce scénario, ils peuvent quand même voir votre historique bancaire - ils ont déjà volé la base de données!

Donc, même si cet arrangement n'est pas typique, il semble que ce n'est pas si fou après tout. L'un des avantages que cela peut avoir est que les gens ne réutiliseront pas le même mot de passe sur d'autres sites. Je soupçonne qu'ils l'ont fait pour des raisons de convivialité - les gens se sont plaints de ne pas pouvoir se souvenir des mots de passe longs et complexes dont le site avait besoin auparavant.

Réponse originale

C'est une mauvaise, une mauvaise politique. Il n'y a que 10 ⁶ ou un million de numéros à 6 chiffres différents. C'est trop peu.

Il est presque impossible d'empêcher une attaque par force brute hors ligne, quelle que soit la lenteur d'un algorithme de hachage que vous utilisez. Si une tentative prend 1 seconde, vous craquerez un mot de passe en 11 jours. Il peut également être trop peu pour arrêter complètement une attaque par force brute en ligne, si l'attaquant peut utiliser plusieurs adresses IP (par exemple, en contrôlant un botnet) et a de nombreux numéros de carte différents à essayer.

C'est aggravée par le fait que, tout comme avec les mots de passe ordinaires, la plupart des gens ne les choisissent pas au hasard. 123456 est lié à apparaître beaucoup, tout comme les nombres qui représentent des dates. En pratique, la plupart des mots de passe auront beaucoup moins de 6 × log ₂ (10) ≈ 20 bits d'entropie.

Je ne vois aucune raison pour laquelle vous ne devriez pas être autorisé à choisir un mot de passe plus fort. Cette pratique envoie le signal qu'ils ne se soucient tout simplement pas de la sécurité. Cela me fait également soupçonner que quelque part dans leur base de données il y a un NUMBER (6) au lieu d'un hash stocké.

Les paiements ne peuvent pas être effectués sans un autre facteur d'authentification est un peu réconfortant, mais pas beaucoup. Un attaquant pourrait toujours voir l'historique de votre compte, quelque chose qui pourrait contenir des informations très sensibles et également être utilisé pour le phishing.

Même si cela ne sera probablement jamais utilisé contre vous, si j'étais à votre place, j'envisagerais de changer à une nouvelle banque. De préférence, une authentification à deux facteurs lors de la connexion.

Autres commentaires

Il y a eu des discussions dans les commentaires et quelques bonnes réponses avec une autre vue sont apparues, alors je voudrais élaborer et répondre à certaines critiques.

Mais les noms d'utilisateur sont secrets!

Selon la question, les numéros de carte d'identité (à ne pas confondre avec les numéros de carte de crédit) sont "presque publics", et OP a précisé dans ses commentaires qu'il en voyait les listes comme des "résultats pour les services du secteur public". En d'autres termes, les noms d'utilisateur ne sont pas secrets . Et ils ne devraient pas avoir à l'être - si la sécurité de votre système repose sur le fait que les noms d'utilisateur sont secrets, vous vous trompez.

La limite de taux par compte et / ou numéro IP sera Prenez soin de cela.

Une attaque par force brute distribuée, par exemple en utilisant un botnet, aurait une chance décente de casser quelques comptes. Disons que vous avez 10 000 ordinateurs et que chaque ordinateur teste 3 mots de passe par jour pendant un mois sur différents comptes. Cela représente environ 10 ⁶ tentatives. Cela vous donnera un compte en moyenne si les mots de passe sont vraiment aléatoires. Dans le monde réel, vous obtiendrez beaucoup, beaucoup plus.

Bien sûr, la banque pourrait théoriquement avoir un système sophistiqué pour détecter et se défendre contre de telles attaques. Peut-être peut-être pas. En tant que client, je n'ai aucun moyen de le savoir, et je ne fais certainement pas confiance à une organisation qui ne peut même pas obtenir le droit de politique de mot de passe pour faire quelque chose de plus avancé.

Une attaque hors ligne n'est pas pertinente . Si les mots de passe sont sortis, les données sensibles qu'ils protègent le sont aussi.

Peut-être, peut-être pas. Il y a beaucoup de vidages de données flottant sur Internet avec des données incomplètes. Le fait de prétendre que les mots de passe seront à jamais collés à l'historique de votre compte fait des suppositions très solides sur la façon dont la violation s'est produite et sur la manière dont les données ont été traitées par la suite.

Le code PIN de votre carte de crédit ne comporte que quatre chiffres Alors qu'est-ce que ça compte de toute façon?

Le code PIN de votre carte de crédit est un facteur faible dans une authentification à deux facteurs. L'autre facteur - la possession de la carte - renforce le système.

Ce mot de passe est un facteur faible, et c'est aussi le seul facteur protégeant vos informations financières.

Conclusion

Pour être clair, je ne dis pas qu'il serait impossible pour une banque de sécuriser ce système par d'autres moyens. Je ne dis pas qu'une attaque réussie sur le compte de quelqu'un est probable, encore moins sur le vôtre en particulier. Ce que je dis, c'est que ce n'est pas "suffisamment sécurisé" pour une banque.

La banque s'est déjà efforcée de mettre en place une authentification à deux facteurs pour les virements financiers. Pourquoi ne pas l'utiliser également pour les connexions?

La banque a (espérons-le) déjà eu la peine de hacher un mot de passe et de le stocker dans une base de données. Pourquoi ne pas simplement supprimer la partie du code qui limite le mot de passe à six chiffres?

Opinion contraire: méfiez-vous

Il est fort probable qu'en tant qu'utilisateur, vous n'avez pas été informé des autres mesures de sécurité mises en place par votre banque en amont de votre code PIN. Je sais que comme pour CapitalOne360, qui a un système de broches similaire à 4 à 6 chiffres, j'ai été choqué! Mais après un certain temps d'utilisation du code PIN sur le même ordinateur, j'ai finalement dû me connecter sur une autre machine (IP différente, navigateur différent). Quand j'avais fait cela, il m'avait en fait demandé un mot de passe . Non seulement cela, mais après avoir entré le mot de passe avec succès, il a également demandé mon code PIN en tant que bonus.

Après quelques recherches, j'ai découvert que le navigateur ne demande un mot de passe que lorsque l'utilisateur visite le site Web pour la première fois et reçoit une sorte de cookie d'authentification. Une fois que le compte utilisateur est approuvé sur la combinaison IP / cookie de cette machine, il permet alors une connexion sans mot de passe et uniquement par code PIN. Mais la première fois que l'utilisateur se connecte, il EST obligé de saisir un mot de passe. Vous n'êtes peut-être tout simplement pas au courant de la pratique ( comme je l'étais ).

Je trouve incroyablement improbable qu'une banque qui dispose déjà d'un système de mot de passe fonctionnel le casse complètement pour un 6 chiffres uniquement, code PIN numérique. Les entreprises peuvent peut-être sembler stupides, mais étant donné qu'une authentification à 6 chiffres brise le bon sens, ainsi que les normes PCI, je doute sincèrement que ce soit la seule authentification présente. L'affiche originale peut peut-être apporter un éclairage supplémentaire à ce sujet au cas où je manquerais quelque chose.

Un mot de passe numérique à 6 chiffres est-il suffisamment sécurisé pour les services bancaires en ligne?

Non, ce n'est pas le cas, pas seulement à cause de la capacité d'un utilisateur malveillant à casser un tel mécanisme d'authentification , mais parce qu'il enfreint les normes de conformité PCI-DSS et les directives FFIEC sur l'authentification. De plus, l'authentification multifacteur est requise par les directives de la FFIEC depuis 2006.

Je suis presque sûr que vous manquez quelque chose dans votre examen de votre site Web, c'est-à-dire peuvent être des facteurs d'authentification supplémentaires qui n'interviennent que dans certaines circonstances, par exemple si vous modifiez votre appareil ou votre adresse IP. Soit cela, soit vous n'écrivez pas réellement sur un véritable site Web de banque en ligne, mais sur un site d'assistance financière tiers (que j'arrêterais probablement d'utiliser si j'étais vous).

Je vais adopter une position contraire et dire oui, c'est suffisamment sûr pour une banque.

1. Les banques ont généralement beaucoup d'argent à récupérer en cas de violation
2. Les banques ont généralement beaucoup d'influence auprès du gouvernement et peuvent éviter les recours collectifs (je viens du Canada, et nous n'avons que quelques grandes banques)
3. Les banques ont beaucoup de clients, et moins d'appels d'assistance = plus d'argent dans leurs poches
4. Les banques fonctionnent généralement sur d'anciens mainframes, qui coûtent cher à mettre à jour
5. Les banques disposent généralement d'un logiciel de détection de fraude analysant toutes les transactions
ol>

Donc, ce n'est pas une question de sécurité absolue, c'est une question de savoir si cette politique de mot de passe maximise les profits. Dans la plupart des pays occidentaux, les directeurs de la banque sont légalement tenus de maximiser les bénéfices pour les actionnaires.

Du point de vue du client:

Je ne recommande pas d'essayer de forcer votre votre propre mot de passe, mais si vous l'avez fait, vous remarquerez (espérons-le) un verrouillage de compte après 3 à 5 tentatives. Cela réduit l'efficacité des attaques par force brute.

Avec ma banque, on me pose des questions de sécurité si je me connecte depuis un ordinateur avec lequel je ne me suis pas encore connecté. Ainsi, un pirate informatique, sur un autre ordinateur, devrait deviner le mot de passe et connaître la réponse à la question de sécurité.

Si vous êtes un consommateur, votre gouvernement, espérons-le, fournira une protection aux consommateurs, ce qui entraînera le remboursement de votre argent en cas de fraude.

Par rapport aux pratiques courantes du secteur, vos conditions ne sont pas si inhabituelles. Ma banque applique des politiques similaires, avec deux différences notables:

• le nom d'utilisateur n'est PAS mon numéro de carte. Je l'ai reçu par la poste dans une enveloppe protégée, semblable à celle utilisée pour envoyer mon NIP. Ce n'est pas un vrai secret cependant, il peut être trouvé sur certaines déclarations aussi.

• mon mot de passe est numérique avec 6 chiffres MINIMUM (jusqu'à 10 chiffres je crois). Mais j'utilise néanmoins un code PIN à 6 chiffres.

Mon compte bancaire en ligne est également verrouillé après 3 tentatives de connexion infructueuses, donc je suis assez sûr qu'il ne deviendra pas brutal -forcé. Je suppose que votre banque a la même politique; vous voudrez peut-être lire votre contrat ou vérifier pour être sûr. L'accès à mon compte ne m'a jamais été refusé, sauf qu'une fois j'ai oublié l'un des chiffres et essayé de le forcer brutalement.

Cela semble être une sécurité faible, mais en réalité un piratage par force brute n'est pas faisable pour les services bancaires en ligne.

Les banques utilisent des systèmes de détection de fraude très robustes et une surveillance très rigoureuse. Le verrouillage de compte nécessite généralement un appel téléphonique pour se réactiver, contrairement à de nombreux autres systèmes en ligne qui utilisent simplement un verrouillage basé sur le temps.

Ils utiliseront également presque certainement des jetons anti-contrefaçon dans le formulaire de connexion, donc vous ne pouvez pas simplement lancer des demandes de poste au point final et vous attendre à ce qu'elles fonctionnent. En réalité, vous seriez limité au piratage de l'automatisation du navigateur, ce qui ralentira considérablement les choses et nécessitera une programmation beaucoup plus complexe à configurer. De nombreux sites de banque en ligne utilisent également des claviers générés aléatoirement, donc votre script d'automatisation devrait être capable de faire l'OCR pour reconnaître les touches sur lesquelles appuyer.

Donc, dans la pratique, la courte longueur de la broche n'est pas tout à fait la même échec de sécurité flagrant que d'autres suggèrent.

La force brute n'est généralement pas la façon dont les comptes en ligne sont compromis de toute façon. Le phishing et l'ingénierie sociale sont les méthodes préférées, et la longueur / complexité des broches n'aidera pas à empêcher cela.

Si, comme vous l'avez indiqué dans les notes:

Quelqu'un qui accède à mon compte n'est toujours pas en mesure d'effectuer un paiement avant qu'il ne passe par un autre mécanisme de sécurité (que nous supposerons être bon).

Ensuite, il est probable que la seule chose que le mot de passe à 6 chiffres protège soit le solde et l'historique du compte.

À titre de comparaison: ma banque japonaise m'envoie l'historique de mon compte imprimé , dans un courrier régulier. Ma boîte aux lettres n'est pas protégée et n'importe qui peut récupérer la lettre.

Donc, un mot de passe à 6 chiffres (éventuellement avec une limite de réessai et un délai d'expiration) semble être une amélioration.

il n'est pas assez sécurisé d'un point de vue global. Pensez à avoir un système qui essaie de se connecter à 100 000 comptes, en utilisant un seul mot de passe. Pourquoi de nombreuses banques comptent sur lui, c'est au-dessus de moi. Même consulter votre compte (sans possibilité de retirer de l'argent) peut en fait faire du mal (adresse, ballance, ...).

Un autre problème est que même le verrouillage de votre compte peut être une sorte d'ingénierie sociale. Il ne devrait pas être possible de verrouiller le compte de quelqu'un d'autre en tapant 3/5 mots de passe erronés. Il n'est pas beaucoup utilisé en tant que tel, mais peut faire beaucoup de mal ou d'inconvénients. Pensez à quelqu'un qui verrouille le compte d'un autre exprès, puis l'appelle «au nom de la banque» pour des raisons physiques. Ou juste pour l'anoyé (vengeance en ligne, etc.)

Dans l'ensemble, il est peut-être plus sûr.

Quand nous informaticiens parlons de sécurité, nous parlons d'entropie, d'algorithmes de hachage, de tentatives de force brute, etc. Il est facile d'oublier une règle simple et incontournable. Les gens sont stupides! Tout cela passe par la fenêtre lorsqu'un utilisateur écrit son mot de passe, son code PIN et sa question / réponse de sécurité sur un morceau de papier, enroule ce papier autour de sa carte de guichet automatique et le pousse le tout dans leur portefeuille. (Ou placez leur mot de passe sur une note autocollante jaune sous le moniteur.)

Utiliser un mot de passe à 6 chiffres, en conjonction avec une authentification multifacteur, et une politique de verrouillage rigoureuse est probablement beaucoup mieux "dans le grande image ", puis plusieurs mots de passe plus complexes.

Prenons un exemple:

Old Way :

Un utilisateur configure leur compte, doit alors choisir un code PIN de carte. On leur dit d'utiliser un numéro dont ils se souviennent. La plupart des gens choisissent une date ou une combinaison de dates, ou 12 h 34.

L'utilisateur est ensuite invité à définir une "question de sécurité et une réponse" pour le moment où il appelle. Ils choisissent quelque chose comme "Quelle école primaire avez-vous aller en 5e? "

L'utilisateur est alors invité à définir un mot de passe sécurisé sur le site Web, mais déteste ces choses car il ne se souvient jamais vraiment d'un mot de passe sécurisé, alors il définit" sunsname123 @ "et le le caissier l'écrit pour eux et l'utilisateur le met dans son portefeuille.

C'est une pratique assez courante. Les numéros de code PIN peuvent être déterminés en ayant seulement besoin de vérifier un sous-ensemble des nombres qui pourraient être une date valide, dans quelques combinaisons. La question de sécurité est inutile, car elle est de notoriété publique, et le mot de passe répond à toutes les exigences techniques ou à un «mot de passe sécurisé» mais ne l'est pas.

Nouvelle façon :

Un utilisateur configure son compte et est invité à choisir un code PIN à 6 chiffres. Ils en choisissent toujours un en fonction d'une date.

L'utilisateur est alors aidé avec, ou donné, ou dit d'installer un authentificateur multifactoriel (faisons semblant d'avoir un porte-clés pour l'instant).

Maintenant, peu importe la transaction, que ce soit au guichet automatique ou en agence ou par téléphone, vous pouvez demander au personnel de la banque et au client de fournir / recevoir le code PIN et le code MFA.

Dans le monde réel, cela présente probablement moins de risques que les personnes moins enclines à la sécurité appelant une fois par semaine parce qu'ils ont oublié leur mot de passe, fournissant la réponse de notoriété publique à leur question de sécurité, réinitialisant leur mot de passe, l'écrivant ENCORE et le mettant dans leur portefeuille.

Presque, mais pas tout à fait

Il est "suffisamment sécurisé" en ce sens qu'à première vue, il est hautement improbable (presque impossible) que quelqu'un accède à votre compte et puisse accéder à des données telles comme par exemple le solde de votre compte, et dans la mesure où il est encore moins probable (en raison de l'authentification à deux facteurs) de pouvoir effectuer une transaction.

Ce n'est pas assez sûr dans la mesure où car il est trivialement possible d'alimenter des numéros de compte aléatoires avec des codes PIN aléatoires (le format exact du numéro de compte, y compris les chiffres de contrôle, est une information publiquement connue, cela limite considérablement l'espace de recherche). Notez à quel point le hasard aléatoire est exactement ce qui est la condition préalable au paradoxe de l'anniversaire, donc la chance est du côté de l'attaquant.

À moins que la banque ne bloque par adresse IP lors du déclenchement du verrouillage (peu probable, mais même ainsi vous pouvez trivialement lancer l'attaque à partir d'un botnet), leur politique de verrouillage forte ne vaut rien contre cette attaque. Vous pouvez tester littéralement dix milliers de combinaisons de compte / code PIN par seconde.

Oui, il est impossible de vous cibler personnellement , et il est toujours assez fastidieux de cibler quelqu'un , mais cibler quelqu'un n'est pratiquement pas impossible, c'est tout à fait faisable sans même pénétrer dans le serveur et voler la base de données du compte ou autre.

Maintenant, si vous envisagez la possibilité que quelqu'un lise le solde de votre compte et vos données personnelles et sache vos revenus comme quelque chose avec lequel vous pouvez vivre (vous n'avez rien à cacher, n'est-ce pas!), c'est néanmoins une chose inquiétante .

Non seulement ils savent maintenant qui vous êtes et où vous vivez (et s'il vaut la peine de cambrioler votre maison ou de kidnapper votre enfant), mais il est également tout à fait possible compte tenu du nom et du prénom du titulaire du compte valide nom ainsi que le numéro de compte à prélèvement automatique vous.
Effectivement, vous pouvez contester la transaction - si vous en prenez connaissance dans les 4 semaines. Mais si cela vous échappe, c'est juste de la malchance pour vous. Dans les deux cas, c'est beaucoup de problèmes.

Oui, ça va, mais seulement si cela fait partie de l'authentification multi-facteurs * et inclut un système de vérification side-channel sur les actions des utilisateurs **.

Toutes les solutions moins sécurisées ne sont à mon avis pas adéquates dans une banque Internet moderne et ne traite pas les ordinateurs infectés, les MIB, etc.

* Par exemple, vous devez vous porter garant de l'ordinateur que vous utilisez, via votre téléphone mobile.

* * Telles que chaque action de paiement sont envoyées avec un code à votre téléphone mobile qui comprend également des détails sur l'action de paiement que vous acceptez.