 มีความเสี่ยงใด ๆ จากการใช้ mint.com?
Mint.com ใช้สิ่งที่เรียกว่า OFX (Open Financial Exchange) เพื่อรับข้อมูลในบัญชีธนาคารของคุณ หากมีคนเข้าถึงบัญชีโรงกษาปณ์ของคุณ พวกเขาจะไม่สามารถทำธุรกรรมใดๆ กับธนาคารของคุณได้ ทั้งหมดที่พวกเขาทำได้คือดูข้อมูลเดียวกับที่คุณดู ซึ่งบางส่วนอาจเป็นข้อมูลส่วนตัว <- ขึ้นอยู่กับคุณ โดยทั่วไปจุดอ่อนที่สุดในด้านความปลอดภัยอยู่ที่ผู้ใช้ "ผู้โจมตี" มีแนวโน้มที่จะได้รับข้อมูลบัญชีของคุณจากคุณมากกว่า ซึ่งก็คือเขามาจากไซต์ที่คุณลงทะเบียนด้วย ทำไมคุณถึงเป็นจุดอ่อนที่สุด: เมื่อคุณป้อนข้อมูลบัญชีของคุณ รหัสผ่านของคุณจะไม่ถูกบันทึกตามที่คุณป้อนทุกประการ มันถูกส่งผ่านสิ่งที่เรียกว่า "ฟังก์ชันทางเดียว" ฟังก์ชันเหล่านี้คำนวณทางเดียวได้ง่าย แต่ให้ผลลัพธ์สุดท้ายนั้นยากมากที่จะคำนวณแบบย้อนกลับ ดังนั้นในฐานข้อมูลหากมีคนค้นหารหัสผ่านของคุณ พวกเขาจะเห็นสิ่งนี้เป็น "31435008693ce6976f45dedc5532e2c1" เมื่อคุณลงชื่อเข้าใช้บัญชี รหัสผ่านของคุณจะถูกส่งผ่านฟังก์ชันนี้ จากนั้นผลลัพธ์จะถูกตรวจสอบกับสิ่งที่บันทึกไว้ในฐานข้อมูล หากตรงกัน คุณจะได้รับสิทธิ์ในการเข้าถึง วิธีที่ผู้โจมตีดำเนินการเพื่อให้ได้รหัสผ่านของคุณคือการป้อนค่าลงในฟังก์ชันและตรวจสอบค่าเทียบกับของคุณ ซึ่งเรียกว่าการโจมตีแบบเดรัจฉาน สำหรับตัวอย่างของเรา (31435008693ce6976f45dedc5532e2c1) ต้องใช้เวลา 5 ล้านปีในการถอดรหัสโดยใช้การโจมตีด้วยกำลังดุร้ายพื้นฐาน ฉันใช้ "thisismypassword" เป็นรหัสผ่านตัวอย่างของฉัน ซึ่งมีความยาว 12 อักขระ นี่คือเหตุผลที่เว็บไซต์ส่วนใหญ่แนะนำให้คุณสร้างรหัสผ่านแบบยาวที่มีทั้งตัวเลข ตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก และสัญลักษณ์ผสมกัน นี่เป็นคำอธิบายพื้นฐานเกี่ยวกับการรักษาความปลอดภัยและทั้งสองฝ่ายมีเครื่องมือที่ดีกว่าคำอธิบาย แต่สิ่งนี้จะช่วยให้คุณเข้าใจว่าการรักษาความปลอดภัยทำงานอย่างไรสำหรับไซต์เหล่านี้ คุณมีแนวโน้มที่จะติดไวรัสหรือคีย์ล็อกเกอร์ขโมยข้อมูลของคุณ ฉันใช้มิ้นท์ แก้ไข: จากคำถามที่พบบ่อยเกี่ยวกับ Mint: คุณเก็บข้อมูลการเข้าสู่ระบบธนาคารของฉันไว้บนเซิร์ฟเวอร์ของคุณหรือไม่ ข้อมูลรับรองการเข้าสู่ระบบธนาคารของคุณจะถูกเก็บไว้อย่างปลอดภัยในฐานข้อมูลแยกต่างหากโดยใช้การเข้ารหัสฮาร์ดแวร์และซอฟต์แวร์หลายชั้น เราจัดเก็บข้อมูลที่จำเป็นเพื่อช่วยให้คุณไม่ต้องยุ่งยากในการอัปเดต ซิงค์ หรืออัปโหลดข้อมูลทางการเงินด้วยตนเองเท่านั้น แก้ไข 2: จาก OFX เกี่ยวกับความปลอดภัย Open Financial Exchange (OFX) เป็นข้อกำหนดแบบครบวงจรสำหรับการแลกเปลี่ยนข้อมูลทางการเงินทางอิเล็กทรอนิกส์ระหว่างสถาบันการเงิน ธุรกิจ และผู้บริโภคผ่านทางอินเทอร์เน็ต นี่คือวิธีที่โรงกษาปณ์สามารถสื่อสารกับธนาคารท้องถิ่นขนาดเล็กของคุณได้ แก้ไขขั้นสุดท้าย: ( สิ่งนี้ตอบทุกอย่าง ) สำหรับรหัสผ่านของ Mint เอง เราคำนวณแฮชที่ปลอดภัยของรหัสผ่านที่ผู้ใช้เลือกและเก็บเฉพาะแฮช (แฮชนั้นใส่เกลือด้วย - ดูที่ http://en.wikipedia.org/wiki/Sal ... ). การแฮชเป็นฟังก์ชันทางเดียวและไม่สามารถย้อนกลับได้ เป็นไปไม่ได้ที่จะเห็นหรือกู้คืนรหัสผ่านเอง เมื่อผู้ใช้พยายามเข้าสู่ระบบ เราจะคำนวณแฮชของรหัสผ่านที่พวกเขาพยายามใช้และเปรียบเทียบกับค่าแฮชที่บันทึกไว้ (นี่เป็นเทคนิคมาตรฐานที่ทุกเว็บไซต์ควรใช้) สำหรับข้อมูลรับรองการธนาคาร โดยทั่วไป เราต้องใช้การเข้ารหัสแบบย้อนกลับได้ ซึ่งเรามีขั้นตอนพิเศษและฮาร์ดแวร์ที่ปลอดภัยซึ่งเก็บไว้ในศูนย์ข้อมูลที่ปลอดภัยและมีการป้องกันของเรา คีย์ถอดรหัสจะไม่ออกจากอุปกรณ์ฮาร์ดแวร์ (ซึ่งสร้างขึ้นเพื่อทำลายเนื้อหาคีย์หากมีการโจมตีการป้องกันการงัดแงะ) อุปกรณ์นี้จะถอดรหัสก็ต่อเมื่อมีการเปิดใช้งานโดยคีย์อื่น ๆ ครบองค์ประชุม ซึ่งแต่ละคีย์จะถูกจัดเก็บไว้ในสมาร์ทการ์ดและเข้ารหัสด้วยรหัสผ่านที่รู้จักเพียงคนเดียว นอกจากนี้ อุปกรณ์ยังต้องการโทเค็นการอนุญาตที่เข้ารหัสแบบจำกัดเวลาสำหรับการถอดรหัสแต่ละครั้ง ระบบ (ซึ่งฉันออกแบบและจดสิทธิบัตร) ยังมีสิ่งอำนวยความสะดวกสำหรับการตรวจสอบระยะไกลที่ปลอดภัยสำหรับการถอดรหัสแต่ละครั้ง ที่มา: David K Michaels รองประธานฝ่ายวิศวกรรม Mint.com - http://www.quora.com/How-do-mint-com-and-similar-websites-avoid-storing-passwords-in-plain-text