sir0ta

Сбербанк хранит код CVC2/CVV2, а не его хэш?⁠⁠

Проверено на Android (функционал в приложении доступен давно, но только сейчас обратил внимание). Открываем карту, нажимаем "Показать данные":

"Показать CVC2/CVV2":

И вместо трех точек видим код...

В web ни в старом, ни в новом интерфейсе функционала не нашел. Работает для Visa, MasterCard, Мир.

Мало того что саму карту не известно как хранят и доставляют в отделение тоже скорее всего без особой секьюрности, так еще и в отделении ее через весь офис могут нести так что любой заинтересованный с нее информацию может получить. А тут контрольный в голову...

Вы смотрите срез комментариев. Показать все

Santus

3 года назад

У них ещё и логин+пароль не зависят от регистра. Попробуй в онлайн зайди и вмесло LoGiN / pAsSwOrD набрать просто login /password - всё прокатит. И все ещё хотят пользоваться сбербанком после этого? Даже если это не хранение логина/пароля в чистом виде, а просто хэширование в лоуэркэйс - это же всё равно полнейший пиздец - вместо единственно верной связки мы получаем тысячи и тысячи равнозначных вариантов, даже до такого абсурда, что у кого-нибудь они вообще могут совпасть.

раскрыть ветку (11)

DobroMax1

3 года назад

Да не, это нормальная практика. Техподдержку разгружают от бабок, нажавших капс лок.

раскрыть ветку (2)

Santus

3 года назад

Это может и нормальная практика для какого-нибдуь забытого в 2000ых форума, на котором сейчас три калеки пасётся, но никак не для банка.

раскрыть ветку (1)

DELETED

3 года назад

Хуйню несешь. Про регистр написано в правилах создания пароля, не читал - сам виноват. На безопасность же это никак не влияет.

r257

3 года назад

Да достаточно потерять телефон с подключенным мобильным банком. Потом злоумышленник может выяснить номер карты и запросить новый логин, далее пароль и привет всему баблу на всех счетах и вкладах.

раскрыть ветку (7)

Santus

3 года назад

Так надо настраивать безопасность на телефоне, чтоб любой прохожий не мог его разблокировать, звонить с него и читать СМСки.

раскрыть ветку (2)

zoom100

3 года назад

Надо тогда еще пароль от телефона хранить на бумажке в чехле

sir0ta

3 года назад

В конкретном случае вопрос не в этом. Грубо говоря чисто теоретически из хэша получить пароль не возможно, ибо функция односторонняя. Т.е. нет алгоритма позволяющего взять хэш и получить пароль. Можно зная алгоритм перебирать по очереди пароли чтобы получить такой же кэш. и как бы обычно разработчики не афишируют этими алгоритмами. В данном случае есть 3 варианта:
1. Либо алгоритм вот он открыт в самом приложении и просто происходит перебор в приложении и сервер отвечает что хэш совпал;
2. Перебор происходит на сервере и в приложение прилетает код (это очень не надежно);

3. Сбер хранит код в виде в котором он на карте...