我已经在英国注册了一个新的往来账户，用于日常交易。该帐户带有支付（借记）卡。我认为银行机构对支付卡 PIN 的安全处理对于安全专业人士来说会很有趣，我想知道它是否不够好。
以下是通过邮寄方式发送的卡片随附的说明：
如何激活您的卡
当您收到 digipass [电子 OTP 代码生成器] 和 digipass PIN 后，登录您的网上银行
要检索您的六位数访问代码，请单击“帐户管理”，然后单击“卡”选项卡
使用您在申请中提供的手机号码，输入“{BANKNAME} PINACT”，然后输入您的访问代码，然后输入您卡号的最后四位数字（例如 {BANKNAME} PINACT 123456 7890）到 {SMS number}
您将通过短信收到借记卡 PIN
您已准备好使用您的卡（记得在背面签名）。首次使用时，您需要在 ATM 或商店内输入您的 PIN
我浏览了说明，并收到了这条短信：
您的卡已激活，您的 {bankname} 银行借记卡以 XXXX 结尾的 PIN 码为 YYYY。请阅读后删除此消息。
我认为安全是便利性与目标吸引力之间的平衡。在这种情况下，目标是为数以万计的客户提供支付卡的 PIN 码，通过公共电话系统在未加密的通道中发送。我还注意到，不鼓励在收到 PIN 时更改它们。
此外，一个人从网上银行网站（安全和加密）获得一次性安全码，以便通过 SMS（可拦截）获得永久 PIN 码，这似乎很奇怪。那不应该是相反的吗？
在英国，通常的做法是告知客户不要向“任何人，甚至警察”透露他们的支付卡 PIN。然而，这家银行通过明文通信渠道为所有客户的支付卡提供了 PIN 码（因此，通过扩展，警察可以实时访问英国所有未加密的通信）。
银行可能有以下三个缓解原因：
- 没有实体卡，PIN 码毫无用处，也不用于“持卡人不在场”交易
- 大多数卡提供商支持在 ATM 上更改 PIN
- 数以万计或数十万英国客户以这种方式获得了他们的 PIN 码，他们都没有因 SMS 拦截而被骗†
但是，我仍然不确定这里是否遵循了某些好的做法。我是否相信这种安全性可以得到改善，我是否建议使用 SMS 作为一次性代码和 (HTTPS) 银行 Web 应用程序来显示 PIN，从而提供更好的整体安全性？
†我实际上并不知道，我只是猜测银行可能会要求什么。