🔒 Об ограничениях на длину паролей Недавно Лукацкий в своем канале посмеивался над ограничением на длину пароля в 255 символов. А мне вспомнилась история, которая произошла со мной около 10 лет назад. При очередном входе в онлайн-банк система потребовала сменить пароль. Я сгенерировал новый в KeePass и вроде успешно задал его. Но больше не смог зайти ни с новым паролем, ни со старым 🤷‍♂️ После недолгого общения с поддержкой выяснилось, что мне придется переться в единственное отделение этого банка в Москве. Банк был зарубежный, и для смены пароля из головного офиса слали почтой бумажный конверт, который отдавали в филиале после проверки личности ✉️ Я запамятовал, два раза мне пришлось съездить или хватило одного визита, но помню, что на месте я достаточно громко возмущался их онлайн-банком 💩 Они им, кстати, очень гордились, и даже вывешивали на сайте какие-то награды лучшему европейскому онлайн-банку :) Проходивший мимо руководитель филиала поинтересовался, не говорю ли я по-английски. Он пригласил меня в переговорную, чтобы выяснить причину моего возмущения и продемонстрировать заботу о клиентах. Выслушав описание проблемы, он заметно расслабился и задал казалось бы странный вопрос. - А сколько символов было в вашем пароле? - Не помню, но наверное 16. А какая разница? - Огромная! Должно быть ровно 8 символов! - Это почему еще? - Потому что так у нас работает. - Гм... Но почему над формой смены пароля не указать это требование? Мужчина посмотрел на меня с легким сожалением, как на несмышленыша: - Но ведь это же небезопасно! Об этом узнают хакеры, и это облегчит им подбор вашего пароля. - Да, действительно, символов же всего 8 (на мой сарказм он и бровью не повел). Ну, а как я должен был узнать об этом требовании? - Когда вы открывали счет, вам выдали бумажные инструкции! В их получении вы расписались. А там это требование указано. 🙄 Счет я открывал несколькими годами ранее, и помнить о таких деталях уже не мог. В общем, все было понятно, но я таки задал еще один вопрос. - Ок, но почему, когда я ввел более 8 символов, система приняла новый пароль вместо того, чтобы сообщить мне о необходимости чтения этих инструкций? Зачем блокировать доступ к счету на одну-две недели и заставлять меня ездить в банк, если можно написать это на экране? В глазах руководителя филиала промелькнуло замешательство, но лишь на миг: - Это могло бы выдать излишнюю информацию хакерам! На том и распрощались ✌️