Studie: För säkerhet är sexsiffriga PIN-koder inte bättre än fyrsiffriga.

Ett tyskt-amerikanskt forskarteam med volontärer granskade och jämförde säkerheten hos sexsiffriga och fyrsiffriga PIN-koder för att låsa mobiltelefoner. I händelse av att mobiltelefonen förloras eller stjäls är det bäst att vara säker på att informationen är skyddad mot intrång. ÄR det verkligen så?

Filip Markert från Horst Görtz Institute for IT Security vid Ruhr-Universität Bochum och Maximilian Golla från Max Planck Institute for Security and Privacy upptäckte att psykologin på praktisk nivå överväger matematiken. Ur matematiskt perspektiv är säkerheten hos sexsiffriga PIN-koder avsevärt högre än för fyrsiffriga. Men användare föredrar vissa kombinationer av siffror, vilket gör att vissa PIN-koder används oftare och nästan utplånar skillnaden i komplexitet mellan sex- och fyrsiffriga koder.

I studien använde deltagarna Apple- eller Android-enheter och ställde in fyr- eller sexsiffriga PIN-koder. På Apple-enheter med iOS 9 introducerades en svart lista över förbjudna numeriska kombinationer för PIN-koder, vilka automatiskt blockerades. Forskarna hade tillgång till båda svarta listor (för 6- och 4-siffriga koder) och körde en beräkning av kombinationer på datorn. Den svarta listan för fyrsiffriga PIN-koder från Apple innehöll 274 nummer, medan den för sexsiffriga innehöll 2910.

För Apple-enheter ges användaren 10 försök att ange PIN-koden. Enligt forskarna är den svarta listan i sådana fall nästan meningslös. Det visade sig vara svårt att gissa rätt nummer på 10 försök, även om det är mycket enkelt (som 123456). För Android-enheter kan man under 11 timmar göra 100 inmatningar av PIN-koden, och i det här fallet är den svarta listan ett mer pålitligt sätt att avskräcka användaren från att skriva in en enkel kombination och förhindra att mobiltelefonen hackas genom att prova nummer.

I experimentet valde 1220 deltagare själva PIN-koder, medan experimentledarna försökte gissa dem med 10, 30 eller 100 försök. Kombinationerna testades på två sätt. Om en svartlista aktiverades, attackerades smartphones utan att använda nummer från listan. Utan aktiverad svartlista inleddes gissningen med att prova nummer från svartlistan (som de mest använda). Under experimentet visade det sig att en förnuftigt vald 4-siffrig PIN-kod, med begränsning av antalet inmatningsförsök, är tillräckligt säker och till och med något mer pålitlig än en 6-siffrig.

De mest förekommande 4-siffriga PIN-koderna visade sig vara kombinationerna 1234, 0000, 1111, 5555 och 2580 (detta är en vertikal kolumn på sifferknappsats). En djupare analys visade att den perfekta svarta listan för fyrsiffriga PIN-koder bör innehålla cirka 1000 poster och något skilja sig från den som togs fram för Apple-enheter.

Till slut kom forskarna fram till att 4-siffriga och 6-siffriga PIN-koder är mindre säkra än lösenord, men mer pålitliga än grafisk låsning av smartphones (av mönster). Den fullständiga rapporten om forskningen kommer att presenteras i San Francisco i maj 2020 på konferensen IEEE Symposium on Security and Privacy.

Källa: 3dnews.ru