unsichere Pin mit nur 5 Stellen

[strand78]

Liebes Consors Team,

es wurde schon öftern von der Community der Wunsch geäußert die Pin Länge zu ändern.

Da Sie als Bank ja für uns Kunden da sind, sollten Sie auch diesem Wunsch nachgehen.

In einem Ihrer Threads teilen Sie mit, dass 5 Stellig vollkommen ausreiche. Das ist falsch! 

Ein Computer mit entsprechendem Programm benötigt nachstehende zeit um entsprechende Pin Länge mit allen möglichen Kombinationen durchzugehen und zu knacken.

Ihre 5 Stellen wären dann wahrscheinliich in 30 Minuten durch:

Stellen                               Zeitbedarf:

PASSWORD                     3 Stunden

PASSWORDS                   6 Tage

PASSWORDSE                344 Tage

PASSWORDSEC               48 Jahre

PASSWORDSECU             2.000 Jahre

PASSWORDSECUR         125.000 Jahre

PASSWORDSECURI      6 Mio Jahre

PASSWORDSECURIT   325 Mio Jahre

PASSWORDSECURITY 16 Milliarden Jahre

Sie können sicher erkennen, wie schnell CONSORSBANK hier jedes Konto deutlich sicherer machen kann. Der jetzige Zustand ist untragbar! 

[schmucki]

@Mitglied056

Na ja, das ist aber mal wieder sehr weit hergeholt. Natürlich stimmt es, dass die PIN nicht schon vorhanden sein darf. Wenn es mehrere Kontobevollmächtigte gibt, so benötigt netürlich jeder eine andere PIN. Der Benutzername ist immer gleich. Aber man wählt die PIN ja nur einmal aus. Also müsste man direkt beim Versuch die PIN des Vollmachtgebers erraten, wenn die Meldung kommt, dass die PIN nicht möglich ist. Davon abgesehen: was darf der Bevollmächtigte denn nicht sehen? Er ist ja bevollmächtigt und hat soweiso Kontozugriff. Nur z.B. Überweisungen macht er mit seiner eigenen TAN.

[Sigrid_W]

@schmucki

Das Problem bei Consors ist wohl, dass man sich mit jeder Kontonummer (auch mit denen der Vollmachtgeber) anmelden kann. Haben jetzt die Zugänge von Vollmachtgeber und Bevollmächtigten die gleiche PIN, so hat ein Vollmachtgeber Zugriff auf alle Konten und Depots. Bei der DAB konnte das nicht passieren. Da gab's für jeden Kunden nur eine Zugangsnummer.

[schmucki]

@Sigrid_W

Nein Sigrid_W, das ist nicht möglich. Es nutzen zwar alle Bevollmächtigten die gleiche Kontonummer, aber jeder Nutzer muss ein eigenes Passwort generieren. Von dieser Seite her hat also jeder Nutzer seinen eigenen Zugang und kann sich nicht in die anderen Benutzer einloggen.

[Sigrid_W]

@schmucki

Ich glaube, Du hast mich missverstanden.

Die Frage war ja, warum unterschiedliche PINs sein müssen. Üblich ist es eigentlich, dass jeder Nutzer eine eigene Benutzerkennung hat und es somit egal ist, ob die gleiche PIN verwendet wird oder nicht. Bei Consors gibt es diese einmalige Benutzerkennung nicht. Der Kunde kann sich mit jeder Kontonummer anmelden, auf die er (als eigenes Konto oder per Vollmacht) Zugriff hat. Die Differenzierung erfolgt allein über die PIN.

[schmucki]

@Sigrid_W

Nein, natürlich habe ich es richtig verstanden. Und ich kenne mich damit gut aus, denn ich habe selber einen Hauptkontozugang und drei Bevollmächtigte mit eigenen Kontokarten. Aber Du hast geschrieben: "Haben jetzt die Zugänge von Vollmachtgeber und Bevollmächtigten die gleiche PIN, so hat ein Vollmachtgeber Zugriff auf alle Konten und Depots. Bei der DAB konnte das nicht passieren. Da gab's für jeden Kunden nur eine Zugangsnummer." Und die Zugänge von Vollmachtgeber und Bevollmächtigten können eben nicht die gleiche PIN haben. Das war nur meine Aussage, da alle die gleiche Zugangsnummer haben.

[Mithrandir]

Ich halte die 5 stellige PIn auch für unzureichend.

Natürlich versucht kein einigermaßen gutes Programm es mit Brutforce auf dem normalen login.

Folgende Punkte sollte man bedenken:

- eine 5stellige PIN ist leichter auszuspähen (wenn jemand "über die Schulter schaut")

-eine 5stellige PIn verleitet dazu einfache Daten zu nutzen (Geburtsdatum von Frau, Kind, Hund)

- Wenn die Bank gehackt wird und eine Passwortdatenbank erbeutet wird, wird Brutforce interessant, die passwörter sind natürlich verschlüsselt hinterlegt, aber dann man kann die Hashes leichter entschlüsseln. Dann passen nämlich die Zeitangaben vom Anfang des Threads.

Mir wurde auch gleich ganz unwohl, als icvh mitbekam, dass man nur 5 Stellen hat und dazu noch nicht einmal die Möglichkeit von sonderzeichen. das ist unterirdisch.

Leider ist die CB damit nicht alleine. Eine andere Bank funktioniert ähnlich.

Naja, wenn das Musterdepot nicht bald kommt, bin ich sowieso bald weg.

[Sigrid_W]

@schmucki

Ich glaube, wir schreiben etwas aneinander vorbei. Mir ist klar, dass Vollmachtgeber und Bevollmächtigter bei Consors zwingend unterschiedliche PINs haben müssen. Ich hatte nur zu erklären versucht, warum das so ist und bei der DAB nicht so war.

Ich hätte statt 'haben' besser 'hätten' schreiben sollen.