Studie: Für die Sicherheit sind sechsstellige PIN-Codes nicht besser als vierstellige

Ein deutsch-amerikanisches Forschungsteam mit freiwilligen Teilnehmern überprüfte und verglich die Sicherheit von sechsstelligen und vierstelligen PIN-Codes zur Sperrung von Smartphones. Im Falle des Verlusts oder Diebstahls eines Smartphones ist es besser, sicherzustellen, dass die Informationen vor dem Zugriff durch Unbefugte geschützt sind. Ist das wirklich so?

Philipp Markert vom Horst-Görtz-Institut für IT-Sicherheit der Ruhr-Universität Bochum und Maximilian Golla vom Max-Planck-Institut für Sicherheit und Datenschutz fanden heraus, dass in der Praxis die Psychologie über der Mathematik steht. Mathematisch gesehen ist die Zuverlässigkeit von sechsstelligen PIN-Codes erheblich höher als die von vierstelligen. Doch die Nutzer bevorzugen bestimmte Zahlenkombinationen, weshalb einige PIN-Codes häufiger verwendet werden und dies den Unterschied in der Komplexität zwischen sechs- und vierstelligen Codes fast verwischt.

In der Studie verwendeten die Teilnehmer Apple- oder Android-Geräte und richteten vier- oder sechsstellige PIN-Codes ein. Auf Apple-Geräten mit iOS 9 wurde eine schwarze Liste verbotener Zahlenkombinationen für PIN-Codes eingeführt, deren Auswahl automatisch verboten ist. Die Forscher hatten sowohl die beiden schwarzen Listen (für 6- und 4-stellige Codes) als auch die Möglichkeit, Kombinationen am Computer durchzuprobieren. Die schwarze Liste der von Apple erhaltenen 4-stelligen PIN-Codes umfasste 274 Nummern, während es bei den 6-stelligen 2910 waren.

Für Apple-Geräte hat der Benutzer 10 Versuche, den PIN-Code einzugeben. Nach Meinung der Forscher hat die schwarze Liste in diesem Fall kaum Sinn. Es erwies sich als schwierig, die richtige Nummer innerhalb von 10 Versuchen zu erraten, selbst wenn sie sehr einfach ist (zum Beispiel 123456). Für Android-Geräte können innerhalb von 11 Stunden 100 PIN-Code-Eingaben vorgenommen werden, und in diesem Fall ist die schwarze Liste bereits ein zuverlässigeres Mittel, um den Nutzer davon abzuhalten, eine einfache Kombination einzugeben und einen Smartphone-Hack durch das Ausprobieren von Nummern zu verhindern.

In dem Experiment wählten 1220 Teilnehmer selbstständig PIN-Codes, während die Experimentatoren versuchten, diese in 10, 30 oder 100 Versuchen zu erraten. Die Kombinationen wurden auf zwei Arten ausgewählt. Wenn die schwarze Liste aktiviert war, wurden Smartphones ohne die Nummern aus dieser Liste angegriffen. Wenn die schwarze Liste nicht aktiviert war, begann das Erraten des Codes mit einer Durchsuchung der Nummern aus der schwarzen Liste (da diese am häufigsten verwendet wurden). Im Verlauf des Experiments stellte sich heraus, dass ein vernünftig gewählter 4-stelliger PIN-Code bei einer Begrenzung der Eingabemöglichkeiten ausreichend sicher ist und sogar etwas zuverlässiger als ein 6-stelliger.

Die häufigsten 4-stelligen PIN-Codes waren die Kombinationen 1234, 0000, 1111, 5555 und 2580 (das ist eine vertikale Spalte auf der Zifferntastatur). Eine tiefere Analyse zeigte, dass die ideale schwarze Liste für vierstellige PINs etwa 1000 Einträge enthalten sollte und sich ein wenig von der unterscheiden muss, die für Apple-Geräte erstellt wurde.

Schließlich fanden die Forscher heraus, dass 4-stellige und 6-stellige PIN-Codes weniger sicher sind als Passwörter, jedoch zuverlässiger als die grafische Sperre von Smartphones (nach Mustern). Der vollständige Bericht über die Forschung wird im Mai 2020 auf der IEEE Symposium on Security and Privacy in San Francisco vorgestellt.

Quelle: 3dnews.ru