您基本上是對的；這是一種不好的做法，原因有幾個：

• 您注意到，它需要在服務器端以純文本或某種可逆格式存儲密碼。
• 鍵入密碼反复在“ 肌肉記憶”上工作，該操作使用戶可以“記住”密碼，以鍵盤上的一系列手勢表示；要求輸入特定的字母會鍛煉大腦的各個部位，並且可能會引起危險的行為，例如寫下密碼。
• 如果該站點只要求輸入三個字符，則攻擊者只需回答三個隨機字母，就有機會獲得訪問權限。 在線詞典攻擊也可以起作用。 （當然，銀行網站通常將其與觸發滿意的鎖定係統結合使用，但是聰明的攻擊者會在達到自動鎖定限制之前切換到另一個目標帳戶。）

三個主要原因銀行網站為什麼這樣做：

1. 如果他們只要求三個字母，但並不總是相同，那麼按鍵記錄器或肩膀衝浪者將無法立即 他非法獲得的知識。可以將其視為某種形式的損害控制措施，其中密碼僅部分洩露。

2. 僅要求提供一些字母是好萊塢認可的安全措施。它使表演很棒。客戶不知道真正的信息安全是什麼，他們會看到並認為“哇，那是安全的！”。 。不少“安全架構師”會看到這樣的系統和也的思考“哇，這是安全的！”

OL>

這是非常糟糕的做法。今天必須對密碼進行哈希處理，以彌補可能丟失的密碼數據庫。密碼的各個元素都可以用於身份驗證這一事實意味著，正如TP已經指出的那樣，正在使用可逆加密而不是哈希。這很不好，因為如果數據庫和加密密鑰都被盜，那麼所有密碼都會丟失。哈希（使用強密碼）使此操作變得不可能。至少，如果對哈希進行哈希處理，使用強密碼的人是安全的。

我相信某些機構加密而不是哈希的原因是出於某種目的，後端可能需要完整的密碼，例如進一步的驗證。聯繫幫助台時，某些站點將密碼的後4位用作“安全性問題”。但這是一個可怕的原因，可能是因為尚未實施大多數知名站點使用的安全性問題方法。

我什至已經看到，當我使用電子郵件時，我的電子郵件中會顯示實際的密碼。要求重設-通過電子郵件實施密碼重設然後請求新密碼比發送電子郵件更複雜！最重要的是，與僅實施密碼重置機制以提示輸入新密碼相比，僅對密碼進行加密（甚至是明文加密）並將其用於其他目的要容易得多。

之所以不好，是因為當今大多數關心密碼的人都只使用密碼管理器。需要強密碼的各個元素容易出錯，並且比僅使用安全密碼管理器要困難得多。

最後，在通常使用弱密碼的情況下，使用強密鑰加密比散列更為安全，因為今天弱密碼哈希可以很快被破解。但是在這種情況下，哈希和加密是首選，而不僅僅是加密。