Un team di ricercatori tedeschi e americani con il coinvolgimento di volontari e ha confrontato la sicurezza dei codici PIN a sei e quattro cifre per bloccare gli smartphone. In caso di smarrimento o furto dello smartphone, è meglio avere la certezza che le informazioni siano protette da attacchi. È davvero così?
Philipp Markert dell'Istituto di Sicurezza IT Horst Görtz dell'Università Ruhr di Bochum e Maximilian Golla dell'Istituto di Sicurezza e Privacy Max Planck hanno scoperto che, nella pratica, la psicologia prevale sulla matematica. Dal punto di vista matematico, la robustezza dei codici PIN a sei cifre è significativamente superiore a quella di quelli a quattro cifre. Tuttavia, gli utenti tendono a preferire determinate combinazioni di numeri, quindi alcuni PIN vengono utilizzati più frequentemente, diminuendo quasi del tutto la differenza di complessità tra i codici a sei e a quattro cifre.
Nello studio, i partecipanti all'esperimento utilizzavano dispositivi Apple o Android e impostavano codici PIN a quattro o sei cifre. Negli dispositivi Apple dalla versione iOS 9 è stato introdotto un elenco nero di combinazioni numeriche vietate per i PIN, la cui scelta è automaticamente bloccata. I ricercatori avevano a disposizione entrambi gli elenchi neri (per i codici a 6 e 4 cifre) e testavano la combinazione di codici tramite computer. L'elenco nero per i PIN a 4 cifre fornito da Apple conteneva 274 numeri, mentre quello per i PIN a 6 cifre ne conteneva 2910.
Per i dispositivi Apple, all'utente vengono concesse 10 possibilità per inserire il PIN. Secondo i ricercatori, in questo caso l'elenco nero ha poco senso. Dopo 10 tentativi è risultato difficile indovinare il numero corretto, anche se molto semplice (come 123456). Per i dispositivi Android, in 11 ore è possibile effettuare 100 tentativi di inserimento del PIN, e in questo caso l'elenco nero è già un mezzo più affidabile per impedire all'utente di inserire combinazioni semplici e prevenire il furto dello smartphone tramite il tentativo di indovinare i numeri.
Nell'esperimento, 1220 partecipanti sceglievano autonomamente i PIN, mentre gli sperimentatori cercavano di indovinarli in 10, 30 o 100 tentativi. Il tentativo di indovinare le combinazioni avveniva in due modi. Se l'elenco nero era attivato, gli smartphone venivano attaccati senza utilizzare i numeri dell'elenco. Se l'elenco nero non veniva attivato, il tentativo di indovinare il codice iniziava con l'esame dei numeri dall'elenco nero (considerati i più utilizzati). Durante l'esperimento, si è scoperto che un PIN a 4 cifre ragionevolmente scelto, con un limite sul numero di tentativi, è sufficientemente sicuro e può risultare persino leggermente più affidabile di un PIN a 6 cifre.
I PIN a 4 cifre più comuni si sono dimostrati le combinazioni 1234, 0000, 1111, 5555 e 2580 (quest'ultima forma una colonna verticale sulla tastiera). Un'analisi più approfondita ha mostrato che un elenco nero ideale per i PIN a quattro cifre dovrebbe contenere circa 1000 voci e differire leggermente da quello sviluppato per i dispositivi Apple.
Infine, i ricercatori hanno scoperto che i PIN a 4 e 6 cifre sono meno sicuri delle password, ma più affidabili rispetto alla sblocco grafico degli smartphone (per schemi). Il sarà presentato a San Francisco nel maggio 2020 durante la conferenza IEEE Symposium on Security and Privacy.
Fonte: 3dnews.ru
