Исследование: для безопасности шестизначные PIN-коды не лучше, чем четырехзначные

Немецко-американская команда исследователей с привлечением добровольцев проверила и сравнила безопасность шестизначных и четырёхзначных PIN-кодов для блокировки смартфонов. В случае утери или кражи смартфона лучше быть уверенным хотя бы в том, что информация окажется защищённой от взлома. Так ли это?

Филипп Маркерт из Института ИТ-безопасности Хорста Гёрца Рурского университета Бохума и Максимилиан Голла из Института безопасности и конфиденциальности имени Макса Планка выяснили, что на практике психология довлеет над математикой. С математической точки зрения, надёжность шестизначных PIN-кодов существенно выше, чем четырёхзначных. Но пользователи предпочитают определённые комбинации цифр, поэтому некоторые PIN-коды используются чаще и это почти стирает разницу в сложности между шести- и четырёхзначными кодами.

В исследовании участники экспериментов использовали устройства Apple или Android и устанавливали четырех- или шестизначные PIN-коды. На устройствах Apple с версии iOS 9 появился чёрный список запрещённых цифровых комбинаций для PIN-кодов, выбор которых автоматически запрещён. Исследователи имели на руках как оба чёрных списка (для 6- и 4-значных кодов), так и запускали перебор комбинаций на компьютере. Чёрный список полученных от Apple 4-значных PIN-кодов содержал 274 номера, а 6-значных ― 2910.

Для устройств Apple пользователю даётся 10 попыток ввести PIN-код. По мнению исследователей, в таком случае чёрный список практически не имеет смысла. За 10 попыток оказалось сложно угадать правильный номер, даже если он очень простой (типа 123456). Для устройств Android за 11 часов можно совершить 100 вводов PIN-кода, и в данном случае чёрный список уже является более надёжным средством удержать пользователя от ввода простой комбинации и не допустить взлом смартфона путём перебора номеров.

В эксперименте 1220 участников самостоятельно выбирали PIN-коды, а экспериментаторы пытались угадать их за 10, 30 или 100 попыток. Подбор комбинаций проводился двумя способами. Если включался чёрный список, смартфоны атаковались без использования номеров из списка. Без включённого чёрного списка подбор кода начинался с перебора номеров из чёрного списка (как наиболее часто используемые). В ходе эксперимента выяснилось, что разумно выбранный 4-значный PIN-код при ограничении числа попыток ввода достаточно безопасен и даже немного надёжнее 6-значного.

Наиболее распространёнными 4-значными PIN-кодами оказались комбинации 1234, 0000, 1111, 5555 и 2580 (это вертикальный столбец на цифровой клавиатуре). Более глубокий анализ показал, что идеальный черный список для четырехзначных PIN должен содержать около 1000 записей и немного отличаться от того, который был выведен для устройств Apple.

Наиболее часто используемые комбинации PIN-кодов

Наконец, исследователи выяснили, что 4-значные и 6-значные PIN-коды менее безопасны, чем пароли, но более надёжны, чем графическая блокировка смартфонов (по шаблонам). Полный доклад по исследованию будет представлен в Сан-Франциско в мае 2020 года на конференции IEEE Symposium on Security and Privacy.

Источник: