Bloqueig de patró vs PIN vs Face ID: quin és realment més segur?

La pregunta sembla que hauria de tenir una sola resposta, i gairebé la té, fins que et preguntes de qui protegeixes el telèfon. Un desconegut que el troba al tren, un company assegut davant teu a dinar i una parella que ja coneix el teu codi són tres problemes diferents, i els tres bloquejos hi fallen en un ordre diferent. A continuació hi ha la classificació, la recerca que la sustenta i la part que importa més que res: quin bloqueig pertoca al telèfon i quin pertoca a les fotos que hi ha dins.

Davant algú que et mira desbloquejar el telèfon, el patró és, de llarg, el més feble dels tres. En un estudi controlat d'espionatge visual d'una sola observació, els atacants van reproduir un patró dibuixat amb la línia visible al voltant del 64 per cent de les vegades, mentre que un PIN de sis xifres va caure al voltant de l'11 per cent de les vegades. Un patró també deixa un rastre físic: la recerca original sobre l'atac de les taques va recuperar el patró sencer a partir del greix dels dits a la pantalla en el 68 per cent de les proves amb bona il·luminació, i part del patró en el 92 per cent. Face ID no dona res a qui mira, per això guanya sobre el paper, i Apple xifra la probabilitat que una cara aleatòria coincideixi amb la teva en aproximadament una entre un milió. La seva feblesa és una altra. Funciona mentre dorms i funciona quan algú t'acosta el telèfon a la cara, i a l'iPhone és una drecera cap al codi, no un substitut, així que un codi vigilat l'anul·la. La mida del tauler també importa. Gairebé totes les xifres publicades sobre patrons descriuen una graella de tres per tres, i un tauler de cinc per cinc amb un mínim de sis punts es mou en un rang completament diferent. Fes servir Face ID amb un codi llarg al mateix dispositiu, i posa una credencial separada a l'aplicació que guarda qualsevol cosa que no donaries a un desconegut.

La classificació breu, i la pregunta que la capgira

Jutjat per com sobreviu cadascun a ser observat, l'ordre és clar: primer Face ID, després un PIN llarg, i el patró l'últim. Face ID no revela res a qui mira, perquè la credencial mai no surt de la teva cara. Un PIN s'introdueix en una zona petita que una mà pot tapar, i cada xifra addicional multiplica per deu l'espai de possibilitats. Un patró és un gest gran dibuixat sobre la major part de la pantalla, normalment amb una línia lluminosa que segueix el dit, i és l'únic dels tres que una persona asseguda dues cadires més enllà pot memoritzar simplement mirant. Això no és un efecte petit en la recerca, és la diferència entre cara o creu i una possibilitat remota.

Ara fes-te una altra pregunta. Qui obre realment els telèfons sense permís? Majoritàriament no és un desconegut amb una càmera, és algú que ja és a l'habitació: una parella, un company de pis, un col·lega, un familiar. Aquesta persona normalment coneix el teu codi, t'ha vist desbloquejar el telèfon cent vegades i no necessita cap atac. Davant d'ella, la classificació anterior no serveix de res, perquè els tres bloquejos ja estan oberts. L'única cosa que encara aguanta és una segona credencial que aquesta persona mai no ha vist, a l'aplicació que guarda allò que val la pena protegir. El nostre article sobre com bloquejar aplicacions individuals amb Face ID a l'iPhone cobreix la meitat integrada d'això, i val la pena llegir-lo juntament amb aquest.

Què delata cada bloqueig davant algú que mira

Els investigadors ho han mesurat, no ho han suposat. En un estudi d'espionatge visual d'una sola observació, un patró dibuixat amb la línia visible va ser reproduït amb èxit per l'observador en el 64 per cent de les vegades, mentre que un PIN de sis xifres va ser reproduït en l'11 per cent de les vegades. Desactivar la línia ajuda molt al patró, i tapar el teclat ajuda al PIN, però la diferència sobreviu a totes dues mesures. El motiu és la geometria. Un PIN és una seqüència de tocs petits en una graella densa, i una sola xifra mal llegida arruïna tota la deducció. Un patró és una forma contínua, i una forma és exactament allò que la memòria humana reté bé després d'una sola mirada.

Un patró també deixa proves després dels fets. El treball original sobre l'atac de les taques va fotografiar pantalles de telèfon amb il·luminació controlada i va recuperar el patró de desbloqueig complet a partir del rastre de greix en el 68 per cent de les proves, amb part del patró visible en el 92 per cent. Un teclat de PIN també s'embruta, però les taques no porten cap ordre, així que un atacant aprèn quines xifres però no la seqüència. Face ID no deixa res al vidre ni res a l'habitació. En canvi, funciona sempre que la teva cara és davant la càmera, fins i tot mentre dorms, cosa que és una feblesa real i específica, no teòrica. Apple ho mitiga exigint el codi després de reiniciar, després de 48 hores sense desbloquejar i després de cinc coincidències facials fallides, i incorporant la Protecció de dispositiu robat per al cas que un lladre ja t'hagi vist teclejar-lo.

L'aritmètica de fons, i per què la mida del tauler ho canvia

Totes les estadístiques de patrons citades habitualment descriuen la graella d'Android de tres per tres, on els camins de quatre a nou punts donen 389.112 possibilitats en total. Això és més que un PIN de quatre xifres, amb 10.000, i menys que un PIN de sis xifres, amb 1.000.000, i totes dues xifres exageren la dificultat real, perquè ni les eleccions de patrons ni les de PIN s'acosten a l'atzar. La gent comença els patrons a la cantonada superior esquerra molt més sovint del que permetria l'atzar i dibuixa lletres que ja coneix. La gent tria 1234, 0000 i anys de naixement. Un atacant que prova primer les opcions populars no recorre tot l'espai, només l'extrem més concorregut.

La mida del tauler és la variable que ningú esmenta, i és la que domina la resta. Comptant només els camins que fan servir sis punts diferents, un tauler de cinc per cinc ofereix 127.512.000 ordenacions abans que cap regla de dibuix redueixi la llista, davant d'1.000.000 per a un PIN de sis xifres. Vaultaire fa servir un tauler de cinc per cinc precisament per això, exigeix com a mínim sis punts i com a mínim dos canvis de direcció, i t'avisa quan la forma que acabes de dibuixar és una seqüència, una espiral o una lletra reconeixible. Res d'això arregla el problema de l'observació, que és una propietat de dibuixar sobre vidre davant la gent, no de la graella. Sí que vol dir que un patró només és l'opció feble quan algú mira, i una opció forta quan ningú no mira.

Quin bloqueig pertoca a quina porta

Tracta el telèfon i el material privat que hi ha dins com dues portes separades. Al telèfon, fes servir Face ID amb un codi llarg al darrere, i activa la Protecció de dispositiu robat, que obliga a fer servir Face ID sense alternativa de codi per a accions sensibles quan ets fora dels teus llocs habituals. Aquesta combinació respon al desconegut, al carterista i a la persona que t'ha filmat desbloquejant-lo en un cafè. El que no pot respondre és la persona que ja coneix el codi, ni el moment en què dones el telèfon desbloquejat a algú perquè vegi una foto i aquesta persona segueix fent lliscar el dit. Per a això necessites un bloqueig que no s'obri només perquè el telèfon s'ha obert.

Aquesta és la segona porta, i és aquí on el patró es guanya el seu lloc. A Vaultaire, el patró no es compara amb cap còpia desada, perquè no hi ha cap còpia desada amb què comparar-lo. Els punts que dibuixes es serialitzen i passen per PBKDF2 amb SHA-512 a 600.000 iteracions, contra una sal lligada al dispositiu i guardada al clauer d'iOS, i el resultat és la clau AES-256 que desxifra els fitxers. Equivocar-se de patró no genera cap missatge de rebuig d'un servidor, genera una clau que no obre res. No hi ha cap compte, cap restabliment de contrasenya ni cap còpia del cofre enlloc més, i per això mateix es lliura una frase de recuperació durant la configuració, que val la pena guardar fora de línia. El nostre article sobre què protegeix realment el xifratge AES-256 cobreix la part del xifratge, i la nostra auditoria de les afirmacions de seguretat de les aplicacions de cofre explica com comprovar si una aplicació fa això de debò o només amaga una carpeta. Vaultaire és gratuïta fins a 5 cofres.

Guies relacionades

• Com bloquejar aplicacions amb Face ID a l'iPhone
• Has oblidat la contrasenya del cofre de fotos
• Es pot saltar el bloqueig de Face ID de l'àlbum ocult
• Què protegeix realment el xifratge AES-256

Preguntes freqüents

Realment pot algú esbrinar el meu patró a partir de les taques de la pantalla?

Sí, en les condicions adequades. La recerca que va batejar l'atac de les taques va fotografiar pantalles amb il·luminació i angles de càmera controlats, i va recuperar el patró complet en el 68 per cent de les proves, amb part del patró visible en el 92 per cent. L'ús normal embruta el vidre i ho dificulta, i netejar la pantalla ho elimina del tot, però l'atac és real i només s'aplica als patrons. Un teclat de PIN deixa marques que revelen quines xifres fas servir sense revelar-ne l'ordre.

És Face ID més segur que un codi a l'iPhone?

No són alternatives. Face ID és una via ràpida cap al mateix codi, i el codi continua sent la credencial de fons, per això iOS el demana després de reiniciar, després de 48 hores sense desbloquejar i després de cinc coincidències facials fallides. Face ID és molt millor davant l'observació, perquè no hi ha res a mirar. El codi és millor davant el cas que algú et pugui apuntar el telèfon a la cara. Fes servir tots dos, i fes que el codi sigui llarg.

Ajuda tenir un patró de cofre separat si algú ja coneix el codi del meu iPhone?

Aquesta és precisament la seva funció. Una persona que coneix el teu codi accedeix a tot el telèfon: Fotos, Missatges, l'àlbum ocult, l'iCloud a la web. Un cofre amb la seva pròpia credencial és l'única part que no s'obre amb la resta, sempre que no dibuixis mai el patró davant seu ni reutilitzis les xifres del codi com a forma del patró. Tria una cosa que no hagis teclejat mai davant d'aquesta persona, perquè aquí l'atac real és la familiaritat.

Què passa si oblido el patró?

En una aplicació on el patró genera la clau de xifratge, res no pot recuperar els fitxers excepte el mateix patró o la frase de recuperació que es lliura en la configuració. Això és una conseqüència directa del disseny: cap servidor guarda una còpia, així que cap procés de suport la pot restablir. Guarda la frase en paper, lluny del telèfon. La nostra guia sobre contrasenyes oblidades de cofres de fotos, enllaçada més avall, repassa les opcions que queden i quines promeses de recuperació cal desconfiar.