Étude : pour la sécurité, les codes PIN à six chiffres ne sont pas mieux que ceux à quatre chiffres

Une équipe germano-américaine de chercheurs avec des bénévoles a examiné et comparé la sécurité des codes PIN à six et quatre chiffres pour verrouiller les smartphones. En cas de perte ou de vol d'un smartphone, il vaut mieux être sûr que les informations soient protégées contre les intrusions. Est-ce vraiment le cas ?

Philipp Markert de l'Institut de sécurité informatique Horst Görtz de l'Université de Bochum et Maximilian Golla de l'Institut de sécurité et de confidentialité Max Planck ont découvert que, dans la pratique, la psychologie prédomine sur les mathématiques. D'un point de vue mathématique, la fiabilité des codes PIN à six chiffres est nettement supérieure à celle des codes à quatre chiffres. Cependant, les utilisateurs préfèrent certaines combinaisons de chiffres, ce qui fait que certains codes PIN sont utilisés plus fréquemment et cela efface presque la différence de complexité entre les codes à six et quatre chiffres.

Dans l'étude, les participants ont utilisé des appareils Apple ou Android et ont installé des codes PIN à quatre ou six chiffres. Sur les appareils Apple à partir de la version iOS 9, une liste noire de combinaisons numériques interdites pour les codes PIN est apparue, dont le choix est automatiquement bloqué. Les chercheurs disposaient des deux listes noires (pour les codes à 6 et 4 chiffres) et ont effectué des essais de combinaison sur un ordinateur. La liste noire des codes PIN à 4 chiffres fournie par Apple contenait 274 numéros, tandis que celle des codes à 6 chiffres en comptait 2910.

Pour les appareils Apple, l'utilisateur a 10 tentatives pour entrer le code PIN. Selon les chercheurs, dans ce cas, la liste noire n'a pratiquement aucun sens. Il s'est avéré difficile de deviner le bon numéro en seulement 10 tentatives, même s'il est très simple (comme 123456). Pour les appareils Android, il est possible de faire jusqu'à 100 saisies de code PIN en 11 heures, et dans ce cas, la liste noire est déjà un moyen plus fiable d'empêcher l'utilisateur d'entrer une combinaison simple et d'éviter le déverrouillage du smartphone par essais successifs.

Dans l'expérience, 1220 participants ont choisi eux-mêmes des codes PIN, tandis que les expérimentateurs tentaient de les deviner en 10, 30 ou 100 essais. Les combinaisons étaient testées de deux manières. Si une liste noire était activée, les smartphones étaient attaqués sans utiliser les numéros de cette liste. Sans liste noire activée, le test commençait par le parcours des numéros de la liste noire (les plus fréquemment utilisés). Au cours de l'expérience, il a été découvert qu'un code PIN à 4 chiffres bien choisi est suffisamment sécurisé avec un nombre limité de tentatives et même légèrement plus fiable qu'un code à 6 chiffres.

Les codes PIN à 4 chiffres les plus courants se sont révélés être les combinaisons 1234, 0000, 1111, 5555 et 2580 (ceci est une colonne verticale sur le clavier numérique). Une analyse plus approfondie a montré que la liste noire idéale pour les PIN à quatre chiffres devrait contenir environ 1000 entrées et différer légèrement de celle qui a été déterminée pour les appareils Apple.

Enfin, les chercheurs ont découvert que les codes PIN à 4 et 6 chiffres sont moins sûrs que les mots de passe, mais plus fiables que le verrouillage graphique des smartphones (par motifs). Le rapport complet de l'étude sera présenté à San Francisco en mai 2020 lors de la conférence IEEE Symposium on Security and Privacy.

Source : 3dnews.ru