מחקר: מספרי PIN בני שש ספרות אינם טובים יותר לאבטחה מאשר מספרי PIN בני ארבע ספרות

צוות מחקר מתנדבים גרמני-אמריקאי בָּדוּק והשוו את האבטחה של קודי PIN בני שש ספרות וארבע ספרות עבור נעילת סמארטפון. אם הטלפון החכם שלך אבד או נגנב, עדיף לפחות להיות בטוח שהמידע יהיה מוגן מפני פריצה. האם זה כך?

פיליפ מרקרט ממכון הורסט גורץ לאבטחת IT באוניברסיטת רוהר בוכום ומקסימיליאן גולה ממכון מקס פלנק לאבטחה ופרטיות גילו שבפועל הפסיכולוגיה שולטת במתמטיקה. מנקודת מבט מתמטית, האמינות של קודי PIN בני שש ספרות גבוהה משמעותית מזו של ארבע ספרות. אבל משתמשים מעדיפים שילובים מסוימים של מספרים, כך שקודי PIN מסוימים משמשים לעתים קרובות יותר וזה כמעט מוחק את ההבדל במורכבות בין קודים בני שש וארבע ספרות.

במחקר, המשתתפים השתמשו במכשירי אפל או אנדרואיד והגדירו קודי PIN בני ארבע או שש ספרות. במכשירי אפל החל מ-iOS 9, הופיעה רשימה שחורה של שילובים דיגיטליים אסורים עבור קודי PIN, שהבחירה בהם אסורה אוטומטית. לחוקרים היו שתי רשימות שחורות בהישג יד (עבור קודים בני 6 ו-4 ספרות) והריצו חיפוש של שילובים במחשב. הרשימה השחורה של קודי PIN בני 4 ספרות שהתקבלו מאפל הכילה 274 מספרים, ומספרים בני 6 ספרות - 2910.

עבור מכשירי אפל, המשתמש מקבל 10 ניסיונות להזין את ה-PIN. לטענת החוקרים, במקרה זה אין היגיון ברשימה השחורה. לאחר 10 ניסיונות, התברר שקשה לנחש את המספר הנכון, גם אם הוא פשוט מאוד (כמו 123456). עבור מכשירי אנדרואיד, ניתן לבצע 11 הזנת קוד PIN ב-100 שעות, ובמקרה זה, הרשימה השחורה היא כבר אמצעי אמין יותר למנוע מהמשתמש להזין שילוב פשוט ולמנוע פריצת הסמארטפון על ידי מספרי כוח גס.

בניסוי, 1220 משתתפים בחרו באופן עצמאי קודי PIN, והנסיינים ניסו לנחש אותם ב-10, 30 או 100 ניסיונות. בחירת השילובים בוצעה בשתי דרכים. אם הרשימה השחורה הופעלה, הותקפו סמארטפונים ללא שימוש במספרים מהרשימה. ללא הרשימה השחורה מופעלת, בחירת הקוד החלה בחיפוש במספרים מהרשימה השחורה (כאלה הנפוצים ביותר). במהלך הניסוי התברר שקוד PIN בן 4 ספרות שנבחר בחוכמה, תוך הגבלת מספר ניסיונות הכניסה, הוא די בטוח ואפילו מעט אמין יותר מקוד PIN בן 6 ספרות.

קודי ה-PIN בני 4 הספרות הנפוצים ביותר היו 1234, 0000, 1111, 5555 ו-2580 (זו העמודה האנכית בלוח המקשים הנומרי). ניתוח מעמיק יותר הראה שהרשימה השחורה האידיאלית עבור מספרי PIN בני ארבע ספרות צריכה להכיל כ-1000 ערכים ולהיות שונה מעט מזו שנגזרה עבור מכשירי אפל.

לבסוף, החוקרים מצאו כי קודי PIN בני 4 ו-6 ספרות הם פחות מאובטחים מסיסמאות, אך מאובטחים יותר ממנעולי סמארטפון מבוססי דפוס. מלא דו"ח מחקר יוצג בסן פרנסיסקו במאי 2020 בסימפוזיון IEEE בנושא אבטחה ופרטיות.

מקור: 3dnews.ru