Un team di ricerca italo-americano con il coinvolgimento di volontari e confrontato la sicurezza dei codici PIN a sei e quattro cifre per il blocco degli smartphone. In caso di smarrimento o furto di uno smartphone, è meglio essere certi almeno del fatto che le informazioni siano protette da violazioni. È davvero così?
Philipp Markert dell'Istituto di Sicurezza IT Horst Görtz dell'Università Ruhr di Bochum e Maximilian Golla dell'Istituto di sicurezza e privacy Max Planck hanno scoperto che, nella pratica, la psicologia prevale sulla matematica. Da un punto di vista matematico, l'affidabilità dei codici PIN a sei cifre è significativamente superiore a quella dei codici a quattro cifre. Tuttavia, gli utenti tendono a preferire determinate combinazioni di numeri, quindi alcuni codici PIN vengono utilizzati più frequentemente, il che quasi annulla la differenza di complessità tra i codici a sei e quattro cifre.
Nello studio, i partecipanti agli esperimenti hanno utilizzato dispositivi Apple o Android impostando codici PIN a quattro o sei cifre. Sugli dispositivi Apple, a partire dalla versione iOS 9, è stato introdotto un elenco nero di combinazioni numeriche proibite per i PIN, la cui scelta è automaticamente vietata. I ricercatori avevano a disposizione entrambi gli elenchi neri (per i codici a 6 e 4 cifre) e hanno eseguito un attacco di forza bruta delle combinazioni su computer. L'elenco nero ricevuto da Apple per i codici PIN a 4 cifre conteneva 274 numeri, mentre per i codici a 6 cifre erano 2910.
Per i dispositivi Apple, all'utente vengono date 10 possibilità di inserire il codice PIN. Secondo i ricercatori, in questo caso l'elenco nero ha poco senso. Anche dopo 10 tentativi, risulta difficile indovinare il numero corretto, anche se è molto semplice (come 123456). Per i dispositivi Android, in 11 ore possono essere effettuate 100 immissioni di PIN, e in questo caso l'elenco nero si rivela un mezzo più affidabile per scoraggiare l'utente dall'inserire una combinazione semplice e prevenire il furto dello smartphone tramite attacco a forza bruta.
Nell'esperimento, 1220 partecipanti hanno scelto autonomamente i codici PIN, mentre gli sperimentatori hanno cercato di indovinarli in 10, 30 o 100 tentativi. L'individuazione delle combinazioni è stata effettuata in due modi. Se veniva attivata la blacklist, gli smartphone venivano attaccati senza utilizzare i numeri della lista. Senza la blacklist attivata, l'individuazione del codice iniziava con la verifica dei numeri presenti nella lista nera (essendo quelli più comunemente utilizzati). Durante l'esperimento è emerso che un PIN di 4 cifre scelto in modo ragionevole, con un numero limitato di tentativi, è sufficientemente sicuro e anche leggermente più affidabile rispetto a un PIN di 6 cifre.
I codici PIN a 4 cifre più comuni si sono rivelati essere le combinazioni 1234, 0000, 1111, 5555 e 2580 (quest'ultimo è una colonna verticale sulla tastiera numerica). Un'analisi più approfondita ha mostrato che la blacklist ideale per i PIN a quattro cifre dovrebbe contenere circa 1000 voci e differire leggermente da quella che è stata estratta per i dispositivi Apple.
Infine, i ricercatori hanno scoperto che i codici PIN a 4 e 6 cifre sono meno sicuri delle password, ma più affidabili rispetto al blocco grafico degli smartphone (basato su modelli). La relazione sarà presentata a San Francisco nel maggio 2020 durante la conferenza IEEE Symposium on Security and Privacy.
Fonte: 3dnews.ru
