VANEK: A smíš měnit heslo tak často jak chceš? Ještě by tam mělo být, že nesmíš měnit heslo třikát za den.

VANEK: jo, podobně to měli v několika bankách, kde jsem jako kontraktor pracoval. A nějaký blb to zavedl i u nás (naštěstí bez omezení těch speciálních znaků).

a injection ti nehrozí, pokud pole, do kterého to zadáváš, pracuje s řetězcem a nespouští v sobě scripty. Dneska je omezení znaků kvůli bezpečnosti jenom planá výmluva.

CAIDEL: A jak já jako zákazník se mám zeptat vedení jinak než prostřednictvím Twitteru? K čemu si ho zřídili, když jim tam pak chodí lidi? Jiná věc je, že jiná odpověď než "prostě nám to ve SWOT cost-benefit analýze nevyšlo, jo, konkurence to holt má jinak, od toho se byznys modely liší, a sorry, detaily vám fakt žádná firma nedá" se čekat nedá; ale neumět to nějak pěkně zaobalit, to je fakt SocMktg 101 fail.
Ale důvod by mě fakt docela zajímal, pokud vím, jiné banky / karetní asociace / výrobci plastů to naopak cpou horem dolem (a paranoici si pak stěžují podobným způsobem).

KID_MCHUTT: Script injekce, standardizovaný čistič HTML vstupů, zkušenosti s tím, že si Poláci nastaví ogonky a pak se z cizích počítačů nedostanou na účet, co já vím.

BTW pro zasmání, nejmenovaný systém ČNB pro komunikaci s venkem vyžaduje v hesle 15 znaků, velké a malé písmeno, číslici, speciální znak (z krátkého seznamu), měnit asi po čtvrt roce a je zakázaná shoda asi 10 zpátky.

KOC256: já a právě proto, že je málo lidí používá a většina netuší, jak vypadá tilda nebo jak udělat stupně nebo promile :)
takováhle odpověď je košer - proč ji nedal odpovědný pracovník? :) nebyla by za debila celá banka, ale jenom ten "vývojář" nebo "analytik"

(sice furt nechápu, proč ta maska je omezená tímhle směrem...)

KID_MCHUTT:
to se tu resilo...
protoze tu masku vymyslel nekdo "superchytry" a treba ho ty znaky zrovna nenapadly... Na druhou stranu ve starem hesle stacily cisla a pismenka jedne velikosti. Coz dneska nejde... a zajimalo by me kolik lidi pouziova takto specialni znaky (dobrovolne) ;-)

ADAMM: podívej, řekni mi jediný jiný důvod k omezení možných znaků v hesle - obzvlášť, když se jednalo o znaky jako je ~ nebo <> a podobné... A viděl jsem u konkurence v databázi jiné zhůvěřilosti, takže zrovna tohle by mě nepřekvapilo.

KID_MCHUTT: db s heslama v plaintextu je imho nesmysl a dovolím si o tom na 99% pochybovat. nakonec, teď si po letech udělal profil na LinkedInu borec, co má na starosti oddělení bezpečnosti (a byl tam, ještě když jsem tam byl já), tak se ho můžu zkusit zeptat, jestli to může popřít.

CAIDEL: já, upřímně, ne. Malér je sice trochu troll (kdo z Okouna není, že), ale odpověď "Není dostatečný zájem," je imo košer. Je to stejně nesmyslná reakce, jako ta na dotaz, proč mBank s novým IB snížila bezpečnost hesel.
Z té jsem si pro změnu odnesl, že mBank si koleduje o průser, protože má hesla v DB v plaintextu. A argumentace "silnější heslo k ničemu nepotřebujete" se stala důvodem, proč tam nedržím peníze. A byla jednou z těch kapek, kvůli kterým včera už přetekl pohár.

VANEK: Tady bych se upřímně možná maličko zastal mBanky. Přijde mi, že se tazatel ptá - no, ne na úplně něco, do čeho mu nic není, ale na něco, co nemá korektní odpověď směrem ven. Protože reálný výsledek takové odpovědi by mohl vypadat jako "tak jsme k zavedení bezkontaktních kreditek měli nějakou poradu na vedení a tři z pěti lidí nakonec hlasovali proti". Proč? Jak to mám já jako správce twitteru vědět, zeptejte se jich...

PISTA1: a zkoušel jsi to někdy nastavit?

MRTVY_KENNY: Já taky ne, ale leze mi to samo:
Martin Ler on Twitter: "“Osobo, neviděla jste tudy jít dvě děti?” "Pleju len," odpověděla @mbank_cz http://t.co/kx2UggeDSW"
https://twitter.com/malercz/status/574910063007170561

NTR23: No jo když si neumíš spočítat, že chceš poslední platbu v trvaláku v únoru 2018, to je pak problém :D

MRTVY_KENNY: Nějak zvlᡚt jsem to neprojížděl.

ADAMM: já mám problém s tím, že není možné nastavit trvalou platbu na xx měsíců. Co je na tom za problém?

ADAMM: nedělo se to v RB (ale tam jsou jiné problémy). A buď mám na tohle chování kliku nebo nevím, ale vzhledem k tomu, že mě živí testing, jsem na tohle dost háklivý...

KID_MCHUTT: tak good luck. až najdeš banku, kde se to nikdy nestalo, dej vědět... osobně mi přijde vynulování limitů jako výrazně horší problém než nedostupnost (pokud trvá hodinu, jsem ochotný to v zásadě překousnout).

ADAMM: nedotahovaly se CSS, házelo to 404, vyhazovalo mě to (odlogovávalo), bylo to nepoužitelně pomalé. Po třech pokusech jsem ztratil trpělivost, celkově to byla ta pověstná poslední kapka. Tohle předvést jako dodavatel systému, nechci si ani představit ten průser (stačí, že vím, jak to vypadá, pokud se něco takového předvede na testovacích serverech, ne na produkčním)

PISTA1: mezi 9:45 a 10:15 se jim to zřejmě někde podělalo...