Gesto vs PIN vs Face ID: Co je skutečně bezpečnější?

Otázka zní, jako by měla jednu odpověď, a skoro ji má, dokud se nezeptáte, před kým vlastně telefon chráníte. Cizí člověk, který ho najde ve vlaku, kolega sedící naproti vám u oběda a partner, který už váš kód zná, jsou tři různé problémy, a všechny tři zámky před nimi selhávají v jiném pořadí. Následuje pořadí, výzkum, na kterém stojí, a část důležitější než cokoli z toho: který zámek patří na telefon a který na fotky uvnitř něj.

Proti někomu, kdo vás sleduje při odemykání, je gesto ze všech tří zdaleka nejslabší. V jedné kontrolované studii jednorázového sledování přes rameno útočníci znovu vytvořili gesto nakreslené s viditelnou stopou zhruba v 64 procentech případů, zatímco šestimístný PIN padl zhruba v 11 procentech případů. Gesto navíc zanechává fyzickou stopu: původní výzkum útoku rozmazáním obrazovky obnovil celé gesto z mastnoty na obrazovce v 68 procentech testů při příznivém osvětlení a jeho část v 92 procentech. Face ID pozorovateli neprozradí vůbec nic, a proto na papíře vítězí, přičemž Apple udává šanci, že se náhodná tvář shoduje s tou vaší, zhruba na jedna ku milionu. Jeho slabina je jiná. Funguje, i když spíte, a funguje i ve chvíli, kdy vám někdo telefon přidrží před obličejem, a na iPhonu je to zkratka ke kódu, ne jeho náhrada, takže sledovaný kód ho zneplatní. Záleží i na velikosti mřížky. Téměř každé publikované číslo o gestech popisuje mřížku tři krát tři, zatímco mřížka pět krát pět s minimem šesti teček se pohybuje v úplně jiném rozsahu. Na samotném zařízení používejte Face ID s dlouhým kódem a na aplikaci, která ukrývá cokoli, co byste cizímu člověku nesvěřili, nastavte samostatný přístupový údaj.

Stručné pořadí a otázka, která ho obrací

Podle toho, jak dobře každý zámek přežije, když ho někdo sleduje, je pořadí jasné: nejdřív Face ID, pak dlouhý PIN a nakonec gesto. Face ID pozorovateli neprozradí nic, protože přístupový údaj nikdy neopustí váš obličej. PIN se zadává na malé ploše, kterou lze zakrýt rukou, a každá další číslice desetkrát znásobí prostor pro uhodnutí. Gesto je velké gesto tažené přes většinu obrazovky, obvykle se svítící čárou sledující váš prst, a je jediné ze tří, které si člověk o dvě místa dál dokáže prostě zapamatovat. Ve výzkumu to není malý rozdíl, je to rozdíl mezi hodem mincí a téměř nemožnou šancí.

Pak si položte jinou otázku. Kdo vlastně otevírá telefony bez svolení? Většinou to není cizí člověk s kamerou, ale někdo, kdo už je v místnosti: partner, spolubydlící, kolega, příbuzný. Tento člověk obvykle váš kód zná, viděl vás telefon odemykat stokrát a žádný útok nepotřebuje. Proti němu je pořadí výše bezvýznamné, protože všechny tři zámky jsou už otevřené. Jediné, co pořád drží, je druhý přístupový údaj, který nikdy neviděl, na aplikaci, jež ukrývá materiál, o který stojí za to se starat. Náš návod na zamykání jednotlivých aplikací pomocí Face ID na iPhonu pokrývá tu vestavěnou polovinu a stojí za přečtení spolu s tímto článkem.

Co který zámek prozradí někomu, kdo se dívá

Výzkumníci to změřili, místo aby to jen odhadovali. Ve studii jednorázového sledování přes rameno pozorovatel úspěšně zopakoval gesto nakreslené s viditelnou stopou zhruba v 64 procentech případů, zatímco šestimístný PIN zopakoval zhruba v 11 procentech případů. Vypnutí viditelné stopy gestu výrazně pomůže a zakrytí klávesnice pomůže PINu, ale rozdíl přežije obojí. Důvod je geometrie. PIN je sled malých klepnutí v hustě uspořádané mřížce a jedna špatně přečtená číslice zničí celý odhad. Gesto je jeden souvislý tvar, a tvar je přesně to, co si lidská paměť dobře pamatuje po jediném pohledu.

Gesto po sobě navíc zanechává důkaz. Původní práce o útoku rozmazáním vyfotografovala obrazovky telefonů při kontrolovaném osvětlení a obnovila celé odemykací gesto ze stopy mastnoty v 68 procentech testů, přičemž část gesta byla viditelná v 92 procentech. Klávesnice PINu se také rozmazává, ale rozmazané stopy nenesou pořadí, takže útočník zjistí, které číslice, ne jejich sled. Face ID nezanechá nic na skle ani nic v místnosti. Místo toho funguje kdykoli je váš obličej před kamerou, včetně chvíle, kdy spíte, což je skutečná a konkrétní slabina, ne teoretická. Apple ji zmírňuje tím, že po restartu, po 48 hodinách bez odemknutí a po pěti neúspěšných pokusech o rozpoznání obličeje vyžaduje kód, a nabízí funkci Ochrana odcizeného zařízení pro případ, kdy vás zloděj už viděl kód zadávat.

Matematika v pozadí a proč ji mění velikost mřížky

Každá široce citovaná statistika o gestech popisuje androidí mřížku tři krát tři, kde cesty přes čtyři až devět teček dávají celkem 389 112 možností. To je víc než čtyřmístný PIN se 10 000 možnostmi a míň než šestimístný PIN s 1 000 000 možnostmi, přičemž obě čísla skutečnou obtížnost nadhodnocují, protože ani volby gest, ani volby PINů nejsou zdaleka náhodné. Lidé začínají gesta v levém horním rohu mnohem častěji, než dovoluje náhoda, a kreslí písmena, která už znají. Lidé volí 1234, 0000 a roky narození. Útočník, který nejdřív zkouší oblíbené volby, neprochází celý prostor možností, jen jeho přeplněný konec.

Velikost mřížky je proměnná, o které nikdo nemluví, a ta zbytek přebíjí. Když se počítají jen cesty využívající šest různých teček, mřížka pět krát pět nabízí 127 512 000 uspořádání ještě před uplatněním jakéhokoli kresebného pravidla, oproti 1 000 000 u šestimístného PINu. Vaultaire z přesně tohoto důvodu používá mřížku pět krát pět, vyžaduje alespoň šest teček a alespoň dvě změny směru a upozorní vás, když je tvar, který jste právě nakreslili, sekvenční řada, spirála nebo rozpoznatelné písmeno. Nic z toho nenapraví problém pozorování, což je vlastnost kreslení na skle před lidmi, ne mřížky. Znamená to ale, že gesto je slabou volbou jen tehdy, když se někdo dívá, a silnou volbou, když se nedívá nikdo.

Který zámek patří na které dveře

Berte telefon a soukromý materiál v něm jako dvoje samostatné dveře. Na telefonu používejte Face ID s dlouhým kódem za sebou a zapněte Ochranu odcizeného zařízení, která mimo vaše obvyklá místa vynucuje Face ID bez záložního kódu pro citlivé akce. Tato kombinace odpoví na cizího člověka, kapsáře i osobu, která vás natočila při odemykání v kavárně. Neodpoví ale na osobu, jež kód už zná, ani na chvíli, kdy odemknutý telefon podáte někomu, aby si prohlédl fotku, a on dál listuje. Na to potřebujete zámek, který se neotevře jen proto, že se otevřel telefon.

To jsou druhé dveře, a tady si gesto vydobývá svoje místo. Ve Vaultaire se gesto neporovnává s uloženou kopií, protože žádná uložená kopie k porovnání neexistuje. Tečky, které nakreslíte, se serializují a projdou funkcí PBKDF2 se SHA-512 při 600 000 iteracích proti soli vázané na zařízení, uložené v klíčence iOS, a výsledkem je klíč AES-256, který dešifruje soubory. Špatně zadané gesto nevytvoří chybové hlášení ze serveru, vytvoří klíč, který nic neotevře. Neexistuje účet, reset hesla ani kopie trezoru nikde jinde, což je i důvod, proč se při nastavení vydává obnovovací fráze a proč stojí za to ji uchovávat mimo zařízení. Náš výklad co šifrování AES-256 skutečně chrání pokrývá stránku šifry a náš audit bezpečnostních tvrzení aplikací pro trezor fotek ukazuje, jak ověřit, jestli daná aplikace dělá skutečně tohle, nebo jen skrývá složku. Vaultaire je zdarma až do 5 trezorů.

Související návody

• Jak zamknout aplikace pomocí Face ID na iPhonu
• Zapomenuté heslo trezoru fotek
• Dá se obejít zámek Face ID skrytého alba
• Co šifrování AES-256 skutečně chrání

Časté dotazy

Dokáže mi někdo opravdu rozluštit gesto ze šmouh na obrazovce?

Ano, za správných podmínek. Výzkum, který útok rozmazáním pojmenoval, fotografoval obrazovky při kontrolovaném osvětlení a úhlech kamery a obnovil celé gesto v 68 procentech testů, přičemž jeho část byla viditelná v 92 procentech. Běžné držení sklo rozmazává a útok tím ztěžuje a otření obrazovky ho odstraní úplně, ale útok je reálný a týká se jen gest. Klávesnice PINu zanechává stopy, které prozradí, které číslice používáte, ale ne jejich pořadí.

Je Face ID na iPhonu bezpečnější než kód?

Nejde o alternativy. Face ID je rychlá cesta ke stejnému kódu a kód zůstává skutečným přístupovým údajem, a proto si ho iOS vyžádá po restartu, po 48 hodinách bez odemknutí a po pěti neúspěšných pokusech o rozpoznání obličeje. Face ID je mnohem lepší proti sledování, protože není co pozorovat. Kód je lepší v případě, kdy vám někdo může telefon nastavit před obličej. Používejte obojí a kód volte dlouhý.

Pomůže samostatné gesto trezoru, když už někdo zná kód mého iPhonu?

Přesně k tomu slouží. Člověk, který zná váš kód, získá celý telefon: Fotky, Zprávy, skrytý album, iCloud na webu. Trezor s vlastním přístupovým údajem je jediná část, která se s ostatními neotevře, pokud gesto nikdy nenakreslíte před ním a nikdy nepoužijete číslice kódu jako jeho tvar. Zvolte něco, co jste před tou osobou nikdy nezadávali, protože skutečným útokem je tady důvěrná znalost.

Co se stane, když gesto zapomenu?

V aplikaci, kde gesto odvozuje šifrovací klíč, nedokáže soubory obnovit nic kromě samotného gesta nebo obnovovací fráze vydané při nastavení. To je přímý důsledek návrhu: žádný server kopii neuchovává, takže ji žádná podpora nemůže resetovat. Frázi uchovávejte na papíře, mimo telefon. Náš návod na zapomenuté heslo trezoru fotek, odkazovaný níže, probírá zbývající možnosti a to, kterým slibům obnovy nevěřit.