PIN ke kartě má jen 4 číslice, i když by mohl mít 12. Za kuriózním důvodem stojí manželka vynálezce, která si více nezapamatovala

Globální bezpečnostní standard, který denně používáme, se zrodil u kuchyňského stolu v Británii šedesátých 60. let, a rozhodla o něm paměť jedné ženy.

Zdroj fotografie: pxHere

John Shepherd-Barron, skotský vynálezce a manažer tiskařské firmy La Rue, stál za prvním veřejně nasazeným bankomatem na světě. Když navrhoval systém ověření totožnosti, původně počítal se šestimístným kódem. Pamatoval si totiž své šestimístné armádní číslo a připadalo mu to přirozené. Jenže doma si sedl ke stolu s manželkou Caroline a požádal ji, ať si zkusí zapamatovat šest náhodných číslic. Nezvládla to. Čtyři ano. Shepherd-Barron to později popsal v rozhovoru pro BBC a sám přiznal, že právě tahle domácí zkouška rozhodla o délce PINu, která se pak rozšířila do celého světa. A co těch 12 číslic? Mezinárodní norma ISO 9564-1:2017 skutečně povoluje PIN o délce 4 až 12 číslic. Zároveň ale uvádí, že přidělený číselný PIN by z důvodů použitelnosti neměl přesáhnout šest číslic. Praxe tak zůstala přesně tam, kam ji v roce 1967 nasměrovala Caroline.

Bankomat, který bral papírové vouchery

Dne 27. června 1967 otevřela pobočka Barclays v Enfieldu v severním Londýně první veřejný bankomat. Dnešní plastovou kartu s čipem byste tam hledali marně. Zákazník vkládal do stroje speciální papírový voucher, zadal čtyřmístný PIN a automat mu vyplatil maximálně 10 liber. Budova je dnes památkově chráněná, organizace Historic England ji v roce 2023 zapsala na seznam právě kvůli této technologické premiéře.

Shepherd-Barronův tým tehdy řešil problém, který zní banálně: jak dát lidem přístup k hotovosti mimo otevírací hodiny banky. Bezpečnostní kryptografie byla v plenkách, a tak hlavní kritérium znělo jednoduše: kód si musí zapamatovat běžný člověk, ne agent tajné služby. Čtyři číslice tenhle test splnily.

Nikdo to za 58 let nezměnil

Odpověď není lenost, ale systémová setrvačnost podložená racionálním kalkulem. Norma ISO 9564-1 sice dovoluje až 12 číslic, ale Visa ve svém technickém průvodci pro terminály vyžaduje podporu 4, 5 a 6 číslic. Delší PINy jsou možné, nejsou však univerzálně garantované. Kdyby vám banka přidělila desetimístný kód, na řadě bankomatů v zahraničí byste ho jednoduše nezadali.

Navíc samotná délka PINu není jediná obranná linie:

• Omezené pokusy: po třech chybných zadáních bývá karta nebo PIN zablokován. Česká spořitelna i zahraniční banky jako HSBC tuto praxi veřejně popisují.
• Šifrování: PIN se šifruje okamžitě po zadání do klávesnice terminálu, ještě než opustí zařízení.
• Fyzická karta: útočník potřebuje nejen PIN, ale i samotnou kartu nebo její přesnou kopii.
• Monitoring: banky sledují podezřelé transakce a bankomaty kontrolují proti skimmingovým zařízením.

Náš výpočet ukazuje rozdíl v číslech: čtyřmístný PIN nabízí 10 000 kombinací, šestimístný milion. Při třech pokusech je šance náhodného uhodnutí 0,03 % u čtyřmístného a 0,0003 % u šestimístného kódu. Stokrát větší prostor pro kombinace zní lákavě, jenže v praxi tři pokusy a následná blokace dělají z obou variant dostatečně tvrdý oříšek pro náhodného zloděje.

Česko zůstává u čtyř číslic

Ve veřejně dostupných materiálech českých bank jsme nenašli oficiální nabídku šestimístného PINu k běžné platební kartě. MONETA Money Bank mluví o čtyřmístném PINu, Banka CREDITAS popisuje změnu jako volbu nového čtyřmístného kódu a Česká spořitelna uvádí, že PIN ke kartě je „nejčastěji čtyřmístný“. Pokud si PIN zapomenete, nemusíte panikařit, řada bank dnes umožňuje jeho zobrazení přímo v mobilní aplikaci nebo internetovém bankovnictví.

Jiná situace panuje v některých zemích. Švýcarská Viseca například standardně pracuje se šestimístným PINem. Její podpora řeší i to, co dělat, když zahraniční bankomat delší kód nepřijme: doporučuje zadat první čtyři číslice, a pokud to nefunguje, zkusit jiný automat nebo přepážku. Britská NatWest zase své klienty upozorňuje, že některé zahraniční bankomaty mohou vyžadovat šestimístný PIN, ale mají jednoduše zadat svůj běžný čtyřmístný.

Co vás ochrání víc než délka PINu

Policie ČR i Česká spořitelna se shodují na praktických zásadách, které mají větší dopad než přidání dvou číslic:

• Při zadávání PINu vždy zakrývejte klávesnici druhou rukou.
• Nepoužívejte bankomat, který vypadá poškozeně, má na sobě zvláštní nástavce nebo polepky.
• Vybírejte hotovost na frekventovaných a osvětlených místech.
• PIN nikdy nezaznamenávejte na kartu, do mobilu ani mezi doklady.
• Při podezření okamžitě kontaktujte banku nebo policii.

Jednorázové rozhodnutí z roku 1967, učiněné u kuchyňského stolu v britské domácnosti, přežilo téměř šest desetiletí ne proto, že by bylo dokonalé, ale proto, že se ukázalo jako dostatečné. Infrastruktura, normy i lidská paměť ho postupně zabetonovaly do podoby, kterou dnes považujeme za samozřejmost. Caroline Shepherd-Barronová si nemohla zapamatovat víc než čtyři číslice a svět se s tím naučil žít.