银行卡是人们都会用的，但是有没有人想过，为什么密码只用六位，而且全用数字的问题。下面是生活日记小编整理的一些银行卡的密码的资料，供您参考。

要明白其中的道理，首先我们来看一个法则，即“7±2法则”，它是由美国认知心理学家乔治·A·米，于1956年发表在《心理学评论》上的一篇重要论文。该论文指出，年轻人的记忆广度大约为7个单位(阿拉伯数字、字母、单词或其他单位，称为组块)，也就是说，如果达到7个及以上大部分人就很难对其短时记忆(如果是年龄稍大的就很难说了)，因此从记忆力上来说6位是最符合短时记忆的。

银行采用6位短时记忆，是有一定道理的。首先，持卡人忘记单个数字的概率是一样的，密码的位数越多，错误的可能性越大。如果加大密码位数的话，持卡人输错密码的概率会增加(在目前三次密码试错之后，就必须到柜台进行办理，这样每天到银行办理密码挂失的人超过办理其他正常业务的人，这会使得其他业务得不到正常办理)，这样重新输入密码乃至银行解锁都会降低效率。这说明密码的位数不能太长，但是也不能太短，否则试对的可能性很高。每增加一位数字，其试对的可能性为前次的十分之一。从记忆上来说，6位是最符合的。

1)全部使用数字已经足够。其实，使用全数字密码(简单密码)与其他复杂组合作为密码(复杂密码)的区别，主要是在抗暴力破解方面的优势。我们会想，现在计算能力如此高的情况下，不够长的纯数字密码几乎不起计算机的暴力破解，而包含字母、标点符号的密码抗暴力破解的能力大大增加。但是，有一点你要相信，在银行系统、 ATM 、电话银行等等方面你是无法进行暴力破解的(涉及安全性，原理后面说)。所以，复杂密码几乎不被认可。且现在网络银行，因为使用各种认证方式的配合，你也是无法进行暴力破解的(后面说明)。

2)选择全部数字作密码是历史原因决定的。在早期，整个银行系统计算和存储性能很有限，高昂的计算机成本导致提供复杂密码的成本太高。且在国外很多支付情况下对密码的依赖性不高，很多时候是靠签、复写等等方式即可满足需求。

3)越简单的密码输入设备，越能适配更多的系统和设备。选择全部数字作为密码，可以更好的延伸至电话、手机等等简单设备的输入支持，可以实现电话银行等功能。并且，使用纯数字密码，如果持卡人发现密码泄漏，就可在很短的时间内通过电话银行将其修改。

4)选择全部数字作为银行密码，大大降低设备的输入设备成本。设想一个包含字母、符号、数字的全键盘成本高，还是简单的数字键盘成本高。特别是在 ATM 等等设备上，这样不同的输入设备的价格差距更大。

在银行的密码安全中，密码保密不仅是通过计算机密码算法来保密，而且是通过更可靠的保密制度来保密的。也就是说，银行把密码在银行的安全性，寄托在密文不被窃取的前提下(当然，这通常和互联网部分人所认为的不一样)来保密的。我们都知道，在大多数ATM中，只有数字键盘，10个字母，就算到10位长度，也不过100亿个组合，对于离线攻击来说，照样是小case。所以，当银行在技术上无法做到对抗离线攻击的时候，就只能用可靠的保密制度了：

1)、银行中只有极少数人能直接接触储户密码(密文)，而这些人的身份和操作全部会被记录在案，就算离职，这些信息也不会被清除。

2)、涉及存储及使用这些信息的电脑网络物理隔离，操作终端摄像头全程监控(别想着抄下来)，并且我们知道，银行使用的网络是专用的。

3)、攻击银行或者金融机构是属于犯罪行为，刑罚上不封顶(最高无期徒刑或者死刑)。

4)、高科技犯罪，没几个能玩，也没几个敢玩(一经发现，公安部直接全国乃至全球通缉)。因为，全世界都有银行，一但有一案件出现，将是全球支持的。而且没有几个扛得住层出不穷的审讯手法的。

5)、银行内部还预留部分资金以避免一但被窃无法追回后赔偿储户(一但攻击，储户能得保障)。

随着社会的发展，银行也与互联网链接实现网上银行等便利。我们都知道，在银行专网(ATM或者银行网点等)内使用全数字密码是可靠的。但一但与互联网相连后，单靠输入全数字密码来验证身份就不行了，必须要有一整套的安全措施来保障交易的安全，这就是USB Key。那么USB Key又是怎么保证的呢。

从技术角度看，U盾是用于网上银行电子签名和数字认证的工具，它内置微型智能卡处理器，基于PKI技术，采用1024位非对称密钥算法对网上数据进行加密、解密和数字签名，确保网上交易的保密性、真实性、完整性和不可否认性。它设备虽然小巧，但技术含量极高。该产品采用了目前国际领先的信息安全技术，核心硬件模块采用智能卡CPU芯片，内部结构由CPU及加密逻辑、RAM、ROM、EEPROM和I/O五部分组成，是一个具有安全体系的小型计算机。除了硬件，安全实现完全取决于技术含量极高的智能卡芯片操作系统COS，该操作系统就象DOS、WINDOWS等操作系统一样，管理着与信息安全密切相关的各种数据、密钥和文件，并控制各种安全服务。USBKey 具有硬件真随机数发生器，密钥完全在硬件内生成，并存储在硬件中，能够保证密钥不出硬件，硬件提供的加解密算法完全在加密硬件内运行。下面介绍下相关知识。

(一)、U盾的安全措施

1)、硬件PIN码保护

U盾采用了使用以物理介质为基础的个人客户证书，建立基于公钥PKI技术的个人证书认证体系(PIN码)。黑客需要同时取得用户的U盾硬件以及用户的PIN码，才可以登录系统。即使用户的PIN码泄露，U盾没有丢失，合法用户的身份就不会被仿冒，如果用户U盾丢失，其他人不知道用户的PIN码，这也是无法假冒合法用户的身份。

2、安全的密钥存放

U盾的密钥存储于内部的智能芯片中，用户无法从外部直接读取，对密钥文件的读写和修改都必须由U盾内部的CPU调用相应的程序文件执行，从而U盾接口的外面，没有任何一条指令能对密钥区的内容进行读取、修改、更新和删除，这样可以保证黑客无法利用非法程序修改密钥。

3)、双密钥密码体制

为了提高交易的安全，U盾采用了双钥密码体制保证安全性，在U盾初始化的时候，先将密码算法程序烧制在ROM中，然后通过产生公私密钥对的程序生成一对公私密钥，公私密钥产生后，密钥可以导出到U盾外，而私钥则存储于密钥区，不允许外部访问。进行数字签名时以及非对称解密运算时，凡是有私参与的密码运算只在芯片内部即可完成，全程私钥可以不出U盾介质，从而来保证以U盾为存储介质的数字证书认证在安全上无懈可击。

4)、硬件实现加密算法

U盾内置CPU或智能卡芯片，可以实现数据摘要、数据加解密和签名的各种算法，加解密运算在U盾内进行，保证了用户密钥不会出现在计算机内存中。

(二)、U盾进行银行和持卡人身份的双向认证

1)、基于冲击-响应认证模式USB Key内置单向散列算法(RSA)，预先在USB Key和服务器中存储一个证明用户身份的密钥，当需要在网络上验证用户身份时，先由客户端向服务器发出一个验证请求。服务器接到此请求后生成一个随机数回传给PC上插着的USBKey，此为“冲击”。USB Key使用该随机数与存储在USBKey中的密钥进行RSA运算得到一个运算结果作为认证证据传送给服务器，此为“响应”。

与此同时，服务器使用该随机数与存储在服务器数据库中的该持卡人密钥进行RSA运算，如果服务器的运算结果与持卡人传回的响应结果相同，则认为客户端是一个合法用户。

2)、基于PKI的数字证书的认证式PKI(Public Key Infrastructure)即公共密钥体系，即利用一对互相匹配的密钥进行加密、解密。一个公共密钥(公钥，public key)和一个私有密钥(私钥，private key)。其基本原理是：由一个密钥进行加密的信息内容，只能由与之配对的另一个密钥才能进行解密。公钥可以广泛地发给与自己有关的通信者，私钥则需要十分安全地存放起来。每个用户拥有一个仅为本人所掌握的私钥，用它进行解密和签名;同时拥有一个公钥用于文件发送时加密。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。冲击响应模式可以保证用户身份不被仿冒，但无法保证认证过程中数据在网络传输过程中的安全。

而基于PKI的“数字证书认证方式”可以有效保证用户的身份安全和数据传输安全。数字证书是由可信任的第三方认证机构——数字证书认证中心(Certficate Authority,CA)颁发的一组包含用户身份信息(密钥)的数据结构，PKI体系通过采用加密算法构建了一套完善的流程，保证数字证书持有人的身份安全。而使用USB Key可以保障数字证书无法被复制，所有密钥运算在USB Key中实现，用户密钥不在计算机内存出现也不在网络中传播，只有USBKey的持有人才能够对数字证书进行操作，安全性有了保障。由于USB Key具有安全可靠，便于携带、使用方便、成本低廉的优点，加上PKI体系完善的数据保护机制，使用USB Key存储数字证书的认证方式已经成为目前主要的认证模式。

最后说明一下，不管安全措施如何完善，懂得安全知识才是最安全的，为此，给出以下建议。为了确保您的资金安全，建议您在日常生活和使用各类网络服务过程中，都要注意以下情况，谨防被别有用心的诈骗分子利用：

1)、预留的手机号码是核实您身份的重要工具。切勿将在银行办理业务时预留的手机号码设成他人的手机号码;

2)、切勿轻易将自己的Key盾、Key令交给他人使用，也不要将Key令的动态口令、银行发送的短信动态验证码透露给他人;

3)、切勿轻易向他人透露自己的身份信息和银行信息：包括银行账号、证件号码、网银/手机银行登录名、绑定银行卡或网银的手机号码、银行卡背后的三位数字、信用卡有效期等;

4)、切勿轻易向他人透露自己的各类密码，包括银行卡密码、存折密码、网银密码、手机银行密码等;

5)、如果有人通过电话、通讯软件服务(例如QQ、微信、旺旺、微博私信、论坛短信等)向您索要上述信息或安全认证工具，或将他人手机号码设置为您在银行办理业务时绑定的手机号码，请务必慎防诈骗，需妥善保管好个人资料，严防泄露;

6)、如遇到有人通过电话、通讯软件服务向您推荐所谓“内部关系办理信用卡”、“内部关系办理贷款”或各种优惠条件特别诱惑的业务等不正常的银行服务，请不要办理。如需办理信用卡、贷款等银行业务，请移步到银行网点或联系客服热线咨询办理;

7)、如有人通过电话或其他方式要求您将钱转到或存入陌生来电指定的账户，需提高警惕，可能是诈骗圈套。

商业银行在其使用的银行卡号编码规则和磁条数据格式中加入自定义加密算法的卡片加密验证码(CVN)，该项密码校验技术被简称为CVV。该项技术与银行卡基本技术标准，如ISO7813识别卡标准(金融交易卡)、GB/T15120(记录技术)等兼容。CVV信息被存储在磁条银行卡的第二磁道中，根据银行卡号、第二磁道主帐号(PAN)、发卡银行标识代码、发卡机构标识代码、发卡网点标识代码、起始标记、结束标记、分隔符(SF)等信息，通过各银行自定义的特殊加密算法进行计算，每步计算都采用CVKA技术加密后，得到银行卡加密验证码(CVN)。各行加密算法和机密技术各不相同，因此犯罪分子利用获得的银行卡信息制作假卡后，在发卡行解密时能够被识别而无法使用。

为保障信用卡刷卡安全，多数银行提供了失卡保障服务。若卡片遗失，持卡人在第一时间向银行申请挂失，则银行对持卡人在挂失前一定时间内因被人盗刷信用卡而造成的损失进行赔偿。目前银行提供的失卡保障大多为48小时，也就是说银行对持卡人在挂失前48小时内因被人盗刷信用卡而造成的损失进行赔偿。不过，招行信用卡中心人士提醒，银行所提供的失卡保障，大多针对的是没有设置交易密码，仅凭客户签名进行交易的信用卡客户。

本地信用卡中心人士告诉记者，央行颁布的《银行卡管理条例》中,明确要求收单商户负担起核对信用卡签名的责任。“仅凭签名消费的信用卡丢失或被盗后,容易被人冒刷,但由于不用输入密码,所以不存在密码泄露的情况。同时由于不是本人签字,在追究责任时,笔迹专家很容易就能分辨出真伪,在确认不是本人签名之后,责任就转移到了刷卡的商家身上。商家将承担一定损失,个人是不需要承担责任。而使用密码进行的交易，均视为持卡人本人所为。因为银行无法识别信用卡是被盗刷还是道德风险，而凭密码消费交易的保密级别明显比仅凭签名消费高得多。对后者交易模式，由于从来不用输入密码，所以不存在密码泄露的情况”。

有网友表示，曾就信用卡是否设密码征求过律师意见，该律师称，持不设密码，只要消费凭单不由持卡人签署，而且没有重大过错，持卡人就完全不需要为盗刷负责。银行方面希望设置密码，是因为可以把原本该由银行承担的风险转嫁给用户。

使用信用卡，到底该不该设密码?记者在随机调查的15位持卡人中，正反观点各占一半。部分在境外交易的持卡人告诉记者，刷卡走VISA和MASTER通道，是不需要输密码的，只凭签名交易。而有些国外的POS机根本就没输密码的地方。而一些消费者则赞同信用卡设置密码。密码和签名双重保护，使用当然会更加安全。被盗刷还是小概率事件，而且向银行索赔程序也会比较繁琐，为什么不自己保护好用卡安全。

银行专业人士提醒，目前国内信用卡用卡环境还不很成熟，凭密码交易的持卡人需注意用卡时，尽量用手掩盖密码器，防止密码泄露。而使用无密码信用卡的持卡人，也应该进行多重防护，如短信提醒、交易金额限制等,并选择一些有失卡保障和异常交易监控的银行。拿到新卡后，一定要在卡背面签上自己的名字,而且字体笔迹最好有一定的特色,别人不容易模仿。这样可以有效地规避风险。