Niemiecko-amerykański zespół badaczy z udziałem wolontariuszy i porównał bezpieczeństwo sześciocyfrowych i czterocyfrowych kodów PIN do blokowania smartfonów. W przypadku zgubienia lub kradzieży smartfona lepiej mieć pewność, że przynajmniej informacje będą chronione przed włamaniem. Czy tak jest naprawdę?
Filip Markert z Instytutu Bezpieczeństwa IT Horsta Görtza Ruhr-Universität Bochum oraz Maximilian Golla z Instytutu Bezpieczeństwa i Prywatności imienia Maxa Plancka ustalili, że w praktyce psychologia przewyższa matematykę. Z matematycznego punktu widzenia, bezpieczeństwo sześciocyfrowych kodów PIN jest znacznie wyższe niż czterocyfrowych. Jednak użytkownicy preferują pewne kombinacje cyfr, dlatego niektóre kody PIN są używane częściej, co niemal całkowicie zaciera różnicę w złożoności między kodami sześciocyfrowymi i czterocyfrowymi.
W badaniu uczestnicy eksperymentów korzystali z urządzeń Apple lub Android i ustalali cztero- lub sześciocyfrowe kody PIN. Na urządzeniach Apple od wersji iOS 9 wprowadzono czarną listę zabronionych kombinacji cyfrowych dla kodów PIN, których wybór jest automatycznie zablokowany. Badacze mieli zarówno obie czarne listy (dla kodów 6- i 4-cyfrowych), jak i uruchamiali atak brute-force na komputerze. Czarna lista cztero-cyfrowych kodów PIN uzyskanych od Apple zawierała 274 numery, a sześciocyfrowych ― 2910.
Dla urządzeń Apple użytkownik ma 10 prób wprowadzenia kodu PIN. Według badaczy w takim przypadku czarna lista nie ma praktycznie sensu. Po 10 próbach trudno było zgadnąć poprawny numer, nawet jeśli był on bardzo prosty (np. 123456). Dla urządzeń Android w ciągu 11 godzin można wykonać 100 prób wprowadzenia kodu PIN, a w tym przypadku czarna lista staje się już bardziej niezawodnym środkiem, aby powstrzymać użytkownika od wprowadzenia prostej kombinacji i zapobiec włamaniu do smartfona poprzez przeszukiwanie numerów.
W eksperymencie 1220 uczestników samodzielnie wybierało kody PIN, a eksperymentatorzy próbowali je odgadnąć w 10, 30 lub 100 próbach. Dobór kombinacji odbywał się na dwa sposoby. Jeśli włączono czarną listę, smartfony były atakowane bez użycia numerów z tej listy. Bez włączonej czarnej listy dobór kodu zaczynał się od przebiegu numerów z czarnej listy (jako najbardziej używanych). W trakcie eksperymentu okazało się, że rozsądnie wybrany 4-cyfrowy kod PIN przy ograniczeniu liczby prób wprowadzania jest wystarczająco bezpieczny i nawet trochę bardziej niezawodny niż 6-cyfrowy.
Najbardziej powszechnymi 4-cyfrowymi kodami PIN okazały się kombinacje 1234, 0000, 1111, 5555 i 2580 (to pionowy słupek na klawiaturze numerycznej). Bardziej szczegółowa analiza pokazała, że idealna czarna lista dla czterocyfrowych PIN-ów powinna zawierać około 1000 wpisów i nieco różnić się od tej, która została opracowana dla urządzeń Apple.
W końcu badacze ustalili, że 4-cyfrowe i 6-cyfrowe kody PIN są mniej bezpieczne niż hasła, ale bardziej niezawodne niż graficzne zablokowanie smartfonów (według wzorców). Całość zostanie zaprezentowana w San Francisco w maju 2020 roku na konferencji IEEE Symposium on Security and Privacy.
Źródło: 3dnews.ru
