Uuring: kuue numbrilised PIN-koodid ei ole turvalisuse osas paremad kui nelja numbrilised

Saksama-Ameerika uurijate meeskond koos vabatahtlikega uuris ja võrdles kuue- ja neljanumbriliste PIN-koodide turvalisust nutitelefonide lukustamiseks. Kui nutitelefon kaob või varastatakse, on mõistlik olla kindel, et teave on vähemalt kaitstud häkkimise eest. Kas see tõesti on nii?

Filipp Markert Horst Görtzi IT-turbe instituudist Bochumi Ülikoolist ja Maximilian Golla Max Plancki Instituudi turbe ja privaatsuse instituudist selgitasid, et praktikas mõjutab psühholoogia matemaatikat rohkem. Matemaatilisest vaatenurgast on kuue numbri PIN-koodide usaldusväärsus oluliselt kõrgem kui neljanumbriliste puhul. Kuid kasutajad eelistavad teatud numbrite kombinatsioone, mistõttu mõned PIN-koodid on sagedamini kasutusel ja see peaaegu tühistab erinevuse kuue- ja neljanumbriliste koodide keerukuse vahel.

Uuringus kasutasid katsealused Apple'i või Androidi seadmeid ning seadsid nelja- või kuue numbri PIN-koodid. Apple'i seadmetes alates iOS 9 versioonist on olemas must nimekiri keelatud numbriliste kombinatsioonide jaoks, mille valimine on automaatselt keelatud. Uurijatel olid käes mõlemad mustad nimekirjad (kuue- ja neljanumbriste koodide jaoks), samuti testisid nad kombinatsioonide genereerimist arvutis. Apple'ilt saadud neljanumbriliste PIN-koodide must nimekiri sisaldas 274 numbrit, kuuenumbriliste oma aga 2910.

Apple'i seadmete puhul antakse kasutajale 10 katset PIN-koodi sisestamiseks. Uurijate arvates ei ole sellisel juhul must nimekiri praktiliselt mõttekas. 10 katsega on õigesti numbrit, isegi kui see on väga lihtne (nt 123456), üsna keeruline arvata. Androidi seadmetes on 11 tunni jooksul võimalik sisestada 100 PIN-koodi ning sel juhul on must nimekiri usaldusväärsem viis, et hoida kasutajat lihtsa kombinatsiooni sisestamisest ja vältida nutitelefoni häkkimist numbrite proovimise teel.

Katses 1220 osalejat valisid iseseisvalt PIN-koode, samal ajal kui katse tegijad prooviksid neid 10, 30 või 100 katsega ära arvata. Koodide leidmine toimus kahe meetodi kaudu. Kui aktiveeriti must nimekiri, rünnati nutitelefone ilma mustas nimekirjas olevate numbriteta. Ilma musta nimekirja aktiveerimiseta algas koodi leidmine mustast nimekirjast (kuna need on kõige sagedamini kasutatud). Katse käigus selgus, et mõistlikult valitud 4-kohaline PIN-kood on piiratud sisestamise katsete arvuga piisavalt turvaline ja isegi veidi usaldusväärsem kui 6-kohaline.

Levinumad 4-kohalised PIN-koodid olid kombinatsioonid 1234, 0000, 1111, 5555 ja 2580 (see on digitaalnupuvajutuste vertikaalne veerg). Sügavam analüüs näitas, et ideaalne must nimekiri neljakohaliste PIN-koodide jaoks peaks sisaldama umbes 1000 kirjet ja veidi erinema sellest, mis on välja toodud Apple'i seadmete jaoks.

Lõpuks selgusid teadlased, et 4-kohalised ja 6-kohalised PIN-koodid on vähem turvalised kui paroolid, kuid usaldusväärsemad kui nutitelefonide graafilised lukustused (mallide järgi). Täielik uuringu aruanne esitatakse San Franciscos mai 2020 konverentsil IEEE Symposium on Security and Privacy.

Allikas: 3dnews.ru