Studie: Für die Sicherheit sind sechsstellige PIN-Codes nicht besser als vierstellige.

Ein deutsch-amerikanisches Forscherteam mit freiwilligen Teilnehmern untersuchte und verglich die Sicherheit von sechsstelligen und vierstelligen PIN-Codes zur Sperrung von Smartphones. Im Falle eines Verlusts oder Diebstahls des Smartphones sollte man zumindest sicher sein, dass die Informationen vor dem Zugriff geschützt sind. Ist das wirklich der Fall?

Philipp Markert vom Horst-Görtz-Institut für IT-Sicherheit der Ruhr-Universität Bochum und Maximilian Golla vom Max-Planck-Institut für Sicherheit und Privatsphäre stellten fest, dass in der Praxis die Psychologie über die Mathematik dominiert. Mathematisch gesehen ist die Zuverlässigkeit von sechsstelligen PIN-Codes wesentlich höher als die von vierstelligen. Doch Benutzer neigen dazu, bestimmte Ziffernfolgen zu bevorzugen, weshalb einige PIN-Codes häufiger verwendet werden, was den Unterschied in der Komplexität zwischen sechs- und vierstelligen Codes fast neutralisiert.

In der Studie verwendeten die Teilnehmer Apple- oder Android-Geräte und stellten vier- oder sechstellige PIN-Codes ein. Auf Apple-Geräten, beginnend mit iOS 9, wurde eine Liste verbotener Ziffern-Kombinationen für PIN-Codes eingeführt, deren Auswahl automatisch gesperrt ist. Die Forscher hatten sowohl die beiden schwarzen Listen (für 6- und 4-stellige Codes) als auch die Möglichkeit, Kombinationen am Computer durchzuprobieren. Die von Apple bereitgestellte schwarze Liste vierstelliger PIN-Codes enthielt 274 Nummern, während es bei den sechsstelligen 2910 waren.

Für Apple-Geräte hat der Benutzer 10 Versuche, um den PIN-Code einzugeben. Laut den Forschern macht in diesem Fall die schwarze Liste kaum Sinn. Nach 10 Versuchen ist es schwierig, die richtige Nummer zu erraten, selbst wenn sie sehr einfach ist (zum Beispiel 123456). Bei Android-Geräten können innerhalb von 11 Stunden 100 Eingaben des PIN-Codes vorgenommen werden, und in diesem Fall ist die schwarze Liste ein deutlich zuverlässigeres Mittel, um den Benutzer von einfachen Kombinationen abzuhalten und einen Zugriff auf das Smartphone durch das Ausprobieren von Nummern zu verhindern.

Im Experiment wählten 1.220 Teilnehmer selbstständig PIN-Codes, während die Forscher versuchten, diese in 10, 30 oder 100 Versuchen zu erraten. Die Kombination wurde auf zwei Arten ermittelt. Wenn die Blacklist aktiviert war, wurden Smartphones ohne Verwendung der Nummern aus der Liste angegriffen. Ohne aktivierte Blacklist begann das Erraten des Codes mit der Prüfung der Nummern aus der Blacklist (da diese am häufigsten verwendet werden). Im Verlauf des Experiments stellte sich heraus, dass ein sinnvoll ausgewählter 4-stelliger PIN-Code bei begrenzter Anzahl an Eingabeversuchen ausreichend sicher ist und sogar etwas zuverlässiger ist als ein 6-stelliger PIN-Code.

Die häufigsten 4-stelligen PIN-Codes waren die Kombinationen 1234, 0000, 1111, 5555 und 2580 (dies ist eine vertikale Spalte auf dem Ziffernblock). Eine tiefere Analyse ergab, dass die ideale Blacklist für 4-stellige PINs etwa 1.000 Einträge enthalten sollte und sich leicht von der für Apple-Geräte abheben sollte.

Schließlich stellten die Forscher fest, dass 4-stellige und 6-stellige PIN-Codes weniger sicher sind als Passwörter, aber zuverlässiger als die grafische Entsperrung von Smartphones (basierend auf Mustern). Der vollständige Bericht über die Forschung wird im Mai 2020 auf der IEEE Symposium on Security and Privacy in San Francisco vorgestellt.

Quelle: 3dnews.ru