Et tysk-amerikansk forskerteam med frivillige og sammenlignet sikkerheden ved sekscifrede og firecifrede PIN-koder til låsning af smartphones. I tilfælde af tab eller tyveri af en smartphone er det godt at kunne være sikker på, at informationen er beskyttet mod hacking. Er det virkelig tilfældet?
Filip Markert fra Horst Görtz Institut for IT-sikkerhed ved Ruhr-Universität Bochum og Maximilian Golla fra Max Planck Institut for sikkerhed og privatliv har opdaget, at psykologi ofte trumfer matematik. Matematikset er sekscifrede PIN-koders pålidelighed væsentligt højere end for firecifrede. Men brugerne foretrækker bestemte kombinationer af tal, hvilket betyder, at nogle PIN-koder bruges hyppigere, og det næsten udvisker forskellen i kompleksitet mellem seks- og firecifrede koder.
I undersøgelsen brugte deltagerne Apple- eller Android-enheder og oprettede fire- eller sekscifrede PIN-koder. På Apple-enheder fra iOS 9 er der en sortliste over forbudte digitale kombinationer af PIN-koder, hvis valg automatisk er forbudt. Forskerne havde begge sortlister (for 6- og 4-cifrede koder) til rådighed og kørte brute force kombinationer på en computer. Den sorte liste over de modtagne 4-cifrede PIN-koder fra Apple indeholdt 274 numre, mens den for 6-cifrede indeholdt 2910.
For Apple-enheder får brugeren 10 forsøg til at indtaste PIN-koden. Ifølge forskerne giver det i dette tilfælde næsten ingen mening med sortlisten. Det viste sig at være svært at gætte det rigtige nummer på 10 forsøg, selvom det er meget simpelt (som 123456). For Android-enheder kan man på 11 timer foretage 100 indtastninger af PIN-koden, og i dette tilfælde er sortlisten allerede et mere pålideligt middel til at forhindre brugeren i at indtaste en simpel kombination og forhindre, at smartphone'en bliver hacket ved hjælp af brute force metoden.
I eksperimentet valgte 1220 deltagere selv PIN-koder, mens experimentatorerne forsøgte at gætte dem på 10, 30 eller 100 forsøg. Kombinationerne blev analyseret på to måder. Hvis sortlistningen blev aktiveret, blev smartphones angrebet uden brug af numre fra listen. Uden aktivering af sortlisten begyndte kodegætteprocessen med at gennemgå numrene fra sortlisten (da de var de mest almindeligt anvendte). I løbet af eksperimentet blev det klart, at en fornuftigt valgt 4-cifret PIN-kode er forholdsvis sikker ved begrænsede indtastningsforsøg og endda lidt mere pålidelig end 6-cifrede koder.
De mest almindelige 4-cifrede PIN-koder var kombinationerne 1234, 0000, 1111, 5555 og 2580 (det er en lodret søjle på den numeriske tastatur). En dybere analyse viste, at den ideelle sortliste for 4-cifrede PIN-koder skulle indeholde omkring 1000 poster og være lidt forskellig fra den, der blev genereret til Apple-enheder.
Endelig fandt forskerne ud af, at 4-cifrede og 6-cifrede PIN-koder er mindre sikre end adgangskoder, men mere pålidelige end grafisk låsning af smartphones (baseret på mønstre). Den fulde vil blive præsenteret i San Francisco i maj 2020 på konferencen IEEE Symposium on Security and Privacy.
Kilde: 3dnews.ru
