CBA网银的密码不区分大小写

Serin

Commonwealth Bank Netbank Passwords Don’t Care About Capital Letters

作为一个大银行，这也太水了……

[ 本帖最后由 Serin 于 5-6-2012 16:39 编辑 ]

妮南

是吗？晚上到家我要验证一下。

Serin

后面的评论也值得一看，其它银行的密码系统也被各种吐槽。

matthew1976

我还以为是招商银行

CMB

Yuanjia1108

这也太水了吧，回家试试。话说澳洲这边其实很多东西都很粗糙的，还不如国内。

fatwu

应该是cba, serin大哥。

Serin

改了改了！

妮南

经过验证，果真如此。

Serin

如果密码支持特殊字符的话，还好一些。

妮南

密码支持特殊字符。

一般来说问题不大，几乎没有什么人能知道我们的网上银行账号。网银账号与实际银行卡账号完全不一样的。

Serin

不用知道你的网银帐号，除非和你私人有仇。 一般真要黑别人的账户就直接无差别攻击了，随便列10000个用户名，总有人的密码是诸如“用户名+123”之类的。

妮南

一般情况我们都是靠记忆记下自己的网银账号，银行对账单上面账号都是普通账号。即使有内贼也难以做到。

smartoz

记忆记下自己的网银账号，

大米饭

谢谢分享

zlsiva

这种情况可能会泄露个人信息，但是不能转账销户什么的。cba我设置了手机密码验证。除非是我已经保存过的支付对象，其他转账bpay都需要手机短信验证

妮南

对，假如是转账给新的账户，都要经过手机短信密码验证的。还是比较安全的。

雅瑶冬月

不是卖花赞花香，CBA的网银系统是我用过最方便。

国内的中行和建行，我作为一个超过15工作经验的IT民工，硬是没有设置成功，索性恢复红本本的干活。。。

妮南

国内的网银我曾经想申请，但是太麻烦了，也就放弃了。

Serin

原帖由 雅瑶冬月 于 6-6-2012 17:51 发表

                               
登录/注册后可看大图

不是卖花赞花香，CBA的网银系统是我用过最方便。

国内的中行和建行，我作为一个超过15工作经验的IT民工，硬是没有设置成功，索性恢复红本本的干活。。。

赶快升级CBA的密码系统吧亲！无论如何大小写部分都不靠谱啊！ 国内的网银就不谈了，连IE都摆脱不了。 不能向下看齐啊！

雅瑶冬月

原帖由 Serin 于 6-6-2012 18:19 发表

                               
登录/注册后可看大图

赶快升级CBA的密码系统吧亲！无论如何大小写部分都不靠谱啊！ 国内的网银就不谈了，连IE都摆脱不了。 不能向下看齐啊！

木俺什么事啊。

另外，这个升级好像很费钱啊，昨天才看见一个数据，一个完整的netbank performance test cycle要花掉20万刀啊，所以老板们都比较小心地说。。。

workinvm

我怀疑 CBA 的后台数据库直接明码存储密码，然后直接和数据库明码比较，因为很多数据库是不区分大小写的。如果是这样，那也太不安全了，希望不是这样。

雅瑶冬月

原帖由 workinvm 于 7-6-2012 21:03 发表

                               
登录/注册后可看大图

我怀疑 CBA 的后台数据库直接明码存储密码，然后直接和数据库明码比较，因为很多数据库是不区分大小写的。如果是这样，那也太不安全了，希望不是这样。

不用怀疑，不是。

而且，数据库是否区分大小写，和设置有关系，和数据库本身没有关系。

CBA网银的authentication & authorization比我们想象的要复杂得多，而且是每次升级的测试重点。

[ 本帖最后由 雅瑶冬月 于 8-6-2012 11:24 编辑 ]

ubuntuhk

说实话，我也有点怀疑是不是存明码了，再普通的密码加密系统（如md5），大小写加密出来应该是不一样的字符

我知道很多数据库存储的搜索比对是大小写不区分的，但是经过md5之后，还能大小写不区分，就有点太神奇了。

我估计银行这么设计是考虑方便用户使用（招行有些密码设置还只支持数字呢，比如支付密码，更弱）。

所以，使用网银的同学，一定要申请手机SMS二次密码或着动态密码器（security token）。

ubuntuhk

这个评论写的不错：

–]
bob
TUESDAY, JUNE 5, 2012 AT 3:26 PM
Yes. It’s been a while since I worked in security, but I remember it struck me as strange when Westpac changed from their 8 character case-sensitive password to a 6 character case-insensitive password. That basically means that although they’re (most likely) storing it in encrypted form, it’s two-way encrypted which means that it’s reversable, i.e. someone could take the encrypted garbage string from their database, and with the right private key, decrypt it. That’s the only way they could have translated my case-sensitive password into a case insensitive one, or compare my case-insensitive input via their little keyboard thingy with the case-sensitive encrypted version. Sooooo crap. They should always do it in one direction, i.e. encrypt the password to store it, and then encrypt the attempt and compare the two encrypted strings.

coredump

原帖由 Serin 于 5-6-2012 12:29 发表

                               
登录/注册后可看大图

Commonwealth Bank Netbank Passwords Don’t Care About Capital Letters

作为一个大银行，这也太水了……

这个我在bankwest问过， 好像很多银行都是这样， 是所有字符，后台处理都是先预处理成大写的。

ubuntuhk

原帖由 coredump 于 8-6-2012 16:59 发表

                               
登录/注册后可看大图

这个我在bankwest问过， 好像很多银行都是这样， 是所有字符，后台处理都是先预处理成大写的。

嗯，这个倒是也合理，呵呵。

雅瑶冬月

放心，没有问题的。

CBA的网银和前线人员的作业系统是同一个平台，只是不用的用户界面而已。

而A & A是另外一套系统，我做过sa差不多两年，都没有成功地把我自己的密码在数据库里面弄出来。。。

雅瑶冬月

不区分大小写，主要是方便用户，因为几个字母的连大小写一组合，很难保证不搞错。比如我的GMAIL和MSN，它们的密码有一点点不同，经常被锁。。。

雅瑶冬月

而且，即便你拿到我NETBANK的密码，你要把钱从我的账号转到你的账号上面去，那时需要另外的生成的一串code的。。。当然，如果你想帮我交bill，那没有办法阻止得了。

妮南

我也是CBA的用户，一点都没有密码不安全的顾虑。

首先，没有人知道我的netbank账号，收到后就不必保存了。若是银行寄来的statement与netbank是完全不同的账号。当然，你愿意提供账号与密码给家人那是另一码事了

其次，若要通过网上银行转账到新的账户，都需要手机密码验证的。

再则，若是哪位以我的名义给CBA打电话更改什么，他们都是有录音记录的。