Kilka znaków zamiast całego hasła - jak to działa? Opcje

[NetBeans]

Cześć.
Pewnie większość z Was kojarzy metody logowania na stronach banków. Jest to wykonane w ten sposób, że musimy podać tylko kilka znaków naszego hasła (reszta jest zablokowana, tak jakby już były wpisane). Zastanawiam się w jaki sposób to działa. Zakładam, że hasła są hashowane, więc w jaki sposób porónywane są ciągi, skoro są niekompletne. Nie jest chyba możliwe, że system wie jakie znaki hasła mamy pod daną cyferką (widoczne na obrazku) i uzupełnia ciąg do porównania z hashem. Do tego "szare" pola są generowane losowo. Interesuje mnie zasada działania, nie proszę o żaden gotowy kod etc.
Pozdrawiam. (IMG:style_emoticons/default/smile.gif)

Wspomniany obrazek:
(IMG:http://i.imgur.com/Dbb16Z6.png)

[Damonsson]

Przy 0 znakach ok, szukałby w nieskończoność pewnie. Ale może właśnie dla przykładowo 12 znakowego hasła, gdyby mu podać 6 znaków w dobrej kolejności na dobrych pozycjach, dałoby radę jakoś to w normalnym czasie ogarnąć?

No bo jeśli działałoby to tak samo szybko jak dla 0 znaków, no to rzeczywiście wystarczyłoby poznać algorytm i podstawić same xxxxxxxxx i dostałby hasło algorytmem napisanym przez nas.

Nie chce mi się wierzyć, że banki trzymają hashe (wiadomo jakoś posolone, ale jednak brakujący element wejściowy ma tylko 1 znak, do reszty można dojść, jesli jest dostęp do bazy i kodu) jednego znaku, czy też hashe haseł składających się z 5 znaków tylko.

[redeemer]

Przy 0 znakach ok, szukałby w nieskończoność pewnie. Ale może właśnie dla przykładowo 12 znakowego hasła, gdyby mu podać 6 znaków w dobrej kolejności na dobrych pozycjach, dałoby radę jakoś to w normalnym czasie ogarnąć?

Zakładając, że możliwych znaków jest tylko 62 (duże i małe litery + cyfry). To w tym przypadku który podałeś musimy sprawdzić maksymalnie 56800235584 różnych haseł. Zakładając że do hashowania używamy SHA512 i sprawdzamy takie hasło używając w tym momencie najszybszego (chyba) "crackera" na GPU jakim jest oclhashcat na GPU AMD hd7970 (76 000 000 sha512/sec - dane ze strony programu) maksymalny czas wyniesie około 740 sekund. Gdy dodamy tylko jedną "niewiadomą" literkę ten czas wynosi już prawie 13 godzin.