安全与隐私datagenetics.com
银行 PIN 码分析
Analysis of bank PIN numbers
2012 — 2024，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
Data Genetics 对泄露数据中四位数 PIN 码分布的经典分析：最常用的 1234 占比惊人，生日、年份、重复数字等模式大量存在，前 20 个 PIN 就能覆盖约四分之一的用户。文章还给出选择 PIN 的实用建议。
为什么经久不衰：它用真实数据把'人类选密码有多懒'量化得清清楚楚，多年后仍是讨论密码安全时被反复引用的实证参考。
HN 评论精选
1004 高频可能源于韩国泄露数据，说明 PIN 分布与用户文化背景相关
如果你好奇为什么看似随机的 1004 会排在榜单前列——作者没有深入调查——我猜是他用的数据库包含一些韩国的大规模泄露。1004 在韩国是很流行的密码，因为它是少数听起来像韩语真实词汇的四位数：1004 读作'천사'（天使）。所以真想破解别人账户的话，了解受害者的族裔会很有优势——韩国城偷来的卡的 PIN 分布很可能和中国城的不一样。
kijin查看英文原文
If you're wondering why 1004, a seemingly random number, is so close to the top of the list -- something that the author does not investigate in any detail -- my guess is that the database he used contains some major leaks from Korea. 1004 is a fairly popular password there, because it is one of the few 4-digit numbers that sound like actual words in Korean. 1004 sounds like "angel" (cheonsa). So if you're actually trying to break into people's accounts, it would be advantageous to know your victims' ethnicity. It's quite likely that cards stolen in Koreatown will have a different distribution of PIN numbers than those stolen in Chinatown.
长 PIN 理论上更安全，但现实中设备兼容性会坑你
我在富国银行开户时可以自选借记卡 PIN，这让我很惊讶，因为以前的银行都是直接发一个我无法影响的四位数。更惊讶的是他们告诉我不必限于四位！于是我输入了一串 12 位左右、我容易记住但没有任何模式的数字。我还以为自己很聪明——结果后来发现很多便利店的读卡器最多只接受 8 位 PIN，我的卡在那里用不了。自作聪明的偏执型计算机科学家就这样了……
kleiba查看英文原文
When I opened my Wells Fargo checking account, they let me choose my own PIN number for my debit card. I was quite surprised, because previously other banks always sent me a 4-digit number that I had no influence on. I became even more surprised when I was told that I don't have to restrict myself to 4 digits! So, I entered a sequence of 12 or so digits that I happen to be able to remember easily but that otherwise follows no patterns as e.g. the ones mentioned in this article. I thought I was so smart! Except when I later found out that a lot of card readers in convenience stores accept a maximum of 8 digits for card PINs :-( I can't use my card there. So much for being a paranoid computer scientist...
质疑用网站密码数据代表真实 PIN 分布的可靠性
他很快带过了一点：这些其实是碰巧为四位数字的计算机密码。'用户自由选择密码时，用网上账户的四位密码作为四位 PIN 的代理样本也说得通。'虽然现象可能不会天差地别，但真实 PIN 的分布应该会有明显不同，尤其是 1234。它可能仍居榜首，但未必有这么强的主导地位。人们对新网站密码的随意程度远高于银行密码，我相信人们平均会在银行密码上多花点心思。
brittohalloran查看英文原文
He quickly glossed over the fact that these are computer passwords which happen to be 4 numeric digits. "Given that users have a free choice for their password, if users select a four digit password to their online account, it’s not a stretch to use this as a proxy for four digit PIN codes." Though there probably wouldn't be drastically different phenomenon, I think the actual PIN distribution would be noticeably different. Particularly 1234. It may still be the top PIN, but I don't think it would have the same dominance. People choose trymynewwebservice.ly passwords a lot more callously than their bank password. I have to believe on average people put a little more effort into disguising it.
银行强制分配 PIN 是对抗弱 PIN 的有效做法，但 PIN 长度仍太短
我的银行发放的 PIN 不可自选，因为是智能卡，改 PIN 得亲自去银行。我想大多数人从来不去改，这似乎是防止人们选'1234'或生日的好办法。不过我还是希望有一天能看到六到八位的 PIN……
furyg3查看英文原文
My bank issues a PIN which is not of my choosing, and since it's a smart card to change it means actually going down to the bank to select a new PIN. I think the majority of people never do this, so it seems like a great way to counter people selecting "1234" or their birthday. At some point I'd really like to see six to eight digit PINs, though...
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选