Krav mot sin hensikt

Stadig flere onlinetjenester setter krav til brukernes passord, det være seg krav om både bokstaver og tall, miksing av store og små bokstaver, samt påkrevd utskiftning f.eks. hver tredje måned. Det jeg derimot ikke har noen forståelse for, er de som setter en makslengde på passordet, f.eks. til 8 tegn. I PHP – og helt sikkert andre språk – vil dette tyde på at passordet lagres i klartekst, ettersom hashing av passordene vil gi identisk lengde på hashene (henholdsvis 32 tegn med md5() og 40 tegn med sha1()), og med det avsløre en seriøs brist i sikkerhetsrutinene. Hva som er praksis i andre språk kan jeg ikke uttale meg om, men jeg har vanskelig for å se hvilke fordeler det gir å ikke tillatte passord opp mot f.eks. 20 tegn…?

Enlighten me, please.