Een Duits-Amerikaans team van onderzoekers met de hulp van vrijwilligers en vergeleken de veiligheid van zes-cijferige en vier-cijferige PIN-codes voor het vergrendelen van smartphones. In het geval van verlies of diefstal van een smartphone is het beter om in ieder geval zeker te zijn dat de informatie beschermd is tegen inbraak. Is dat zo?
Filipp Markert van het IT-beveiligingsinstituut van Horst Gƶrtz aan de Ruhr-Universiteit Bochum en Maximilian Golla van het Instituut voor Beveiliging en Privacy van de Max Planck Stichting hebben vastgesteld dat psychologie in de praktijk zwaarder weegt dan wiskunde. Vanuit wiskundig oogpunt is de betrouwbaarheid van zes-cijferige PIN-codes aanzienlijk hoger dan die van vier-cijferige codes. Maar gebruikers verkiezen bepaalde cijfercombinaties, waardoor sommige PIN-codes vaker worden gebruikt en dit vrijwel het verschil in complexiteit tussen zes- en vier-cijferige codes uitwist.
In het onderzoek maakten de deelnemers gebruik van Apple- of Android-apparaten en stelden zij vier- of zes-cijferige PIN-codes in. Op Apple-apparaten, vanaf iOS 9, is er een zwarte lijst van verboden cijfercombinaties voor PIN-codes, waarvan de keuze automatisch is verboden. De onderzoekers beschikten over beide zwarte lijsten (voor 6- en 4-cijferige codes) en voeren een brute-force aanval uit op de combinaties met een computer. De zwarte lijst met 4-cijferige PIN-codes van Apple bevatte 274 nummers, terwijl de 6-cijferige 2910 bevatte.
Voor Apple-apparaten krijgt de gebruiker 10 pogingen om de PIN-code in te voeren. Volgens de onderzoekers heeft de zwarte lijst in dit geval bijna geen zin. Het bleek moeilijk om met 10 pogingen het juiste nummer te raden, zelfs als het een heel eenvoudig nummer is (zoals 123456). Voor Android-apparaten kunnen in 11 uur tijd 100 PIN-code-invoeringen plaatsvinden, en in dit geval is de zwarte lijst al een betrouwbaarder middel om te voorkomen dat de gebruiker een eenvoudige combinatie invoert en om te voorkomen dat de smartphone wordt gekraakt door het raden van nummers.
In het experiment kozen 1220 deelnemers zelf hun PIN-codes, terwijl de experimentatoren probeerden deze te raden met 10, 30 of 100 pogingen. De combinaties werden op twee manieren geprobeerd. Als de zwarte lijst werd ingeschakeld, werden smartphones aangevallen zonder gebruik te maken van nummers uit die lijst. Zonder ingeschakelde zwarte lijst begon de code-kraken met het doorlopen van nummers uit de zwarte lijst (als de meest gebruikte). Tijdens het experiment bleek dat een verstandig gekozen 4-cijferige PIN-code, bij beperking van het aantal invoerpogingen, redelijk veilig is en zelfs iets betrouwbaarder dan een 6-cijferige.
De meest voorkomende 4-cijferige PIN-codes bleken de combinaties 1234, 0000, 1111, 5555 en 2580 te zijn (dit is een verticale kolom op het numerieke toetsenbord). Een diepere analyse toonde aan dat de ideale zwarte lijst voor viercijferige PIN's ongeveer 1000 vermeldingen moet bevatten en iets af moet wijken van de lijst die is gegenereerd voor Apple-apparaten.
Ten slotte ontdekten de onderzoekers dat 4-cijferige en 6-cijferige PIN-codes minder veilig zijn dan wachtwoorden, maar betrouwbaarder dan de grafische vergrendeling van smartphones (op basis van patronen). Volledige zal in mei 2020 in San Francisco worden gepresenteerd op de IEEE Symposium on Security and Privacy.
Bron: 3dnews.ru
