En mørk marineblå flade med tre adskilte genstande på en række: en gennemsigtig blågrøn terning, hvis overside har et gitter på fem gange fem prikker med en lysende linje trukket gennem seks af dem, en lav bakke med fem ens tomme afrundede fliser, og en smal kegle af blågrønt lys, der falder på en tom sokkel.

Mønsterlås mod PIN mod Face ID: hvad er egentlig sikrest?

Spørgsmålet lyder, som om det burde have ét svar, og det har det næsten, indtil du spørger, hvem du beskytter telefonen imod. En fremmed, der finder den i toget, en kollega, der sidder over for dig til frokost, og en partner, der allerede kender din kode, er tre forskellige problemer, og de tre låse svigter imod dem i hver sin rækkefølge. Herunder følger rangeringen, forskningen bag den, og den del, der betyder mere end alt andet: hvilken lås der hører til på telefonen, og hvilken der hører til billederne inde i den.

Over for nogen, der ser dig låse op, er et mønster det klart svageste af de tre. I et kontrolleret studie af shoulder surfing med et enkelt kig genskabte angriberne et mønster tegnet med synlig sporlinje omkring 64 procent af gangene, mens en seks cifret PIN-kode faldt omkring 11 procent af gangene. Et mønster efterlader også et fysisk spor: den oprindelige forskning i fedtpletangreb genskabte hele mønsteret ud fra fedtsporet på skærmen i 68 procent af testene under gunstig belysning, og en del af det i 92 procent. Face ID giver en iagttager slet intet at gå efter, hvilket er grunden til, at det vinder på papiret, og Apple sætter chancen for, at et tilfældigt ansigt matcher dit, til omkring én til en million. Dets svaghed er en anden. Det virker, mens du sover, og det virker, når nogen holder telefonen op mod dig, og på iPhone er det en genvej til koden og ikke en erstatning for den, så en overvåget kode ophæver det. Gitterets størrelse betyder også noget. Næsten alle offentliggjorte tal om mønstre beskriver et gitter på tre gange tre, og et gitter på fem gange fem med et minimum på seks prikker ligger i et helt andet område. Brug Face ID med en lang kode på selve enheden, og læg en separat kode på den app, der rummer alt, du ikke ville give en fremmed.

Den korte rangering, og spørgsmålet der vender den om

Bedømt på, hvor godt hver af dem klarer sig, når nogen ser med, er rækkefølgen klar: Face ID først, en lang PIN-kode dernæst, mønsteret sidst. Face ID viser intet til en, der ser med, fordi koden aldrig forlader dit ansigt. En PIN-kode tastes ind i et lille område, som en hånd kan dække, og hvert ekstra ciffer ganger gættemulighederne med ti. Et mønster er en stor bevægelse tegnet hen over det meste af skærmen, som regel med en lysende linje, der følger fingeren, og det er det eneste af de tre, som en person to sæder væk simpelthen kan huske udenad. Det er ikke en lille effekt i forskningen, det er forskellen mellem plat eller krone og en lang chance.

Stil så et andet spørgsmål. Hvem åbner faktisk telefoner uden lov? I overvældende grad er det ikke en fremmed med et kamera, det er nogen, der allerede er i rummet: en partner, en bofælle, en kollega, en slægtning. Den person kender som regel din kode, har set dig låse telefonen op hundrede gange, og har slet ikke brug for noget angreb. Over for dem er rangeringen ovenfor ligegyldig, fordi alle tre låse allerede er åbne. Det eneste, der stadig holder, er en anden kode, som den person aldrig har set, på den app, der rummer det materiale, det er værd at beskytte. Vores gennemgang af at låse enkelte apps med Face ID på iPhone dækker den indbyggede halvdel af det, og den er værd at læse sammen med denne.

Hvad hver lås afslører for en, der ser med

Forskere har målt det i stedet for at gætte. I et studie af shoulder surfing med et enkelt kig blev et mønster tegnet med synlig sporlinje genskabt korrekt af iagttageren i omkring 64 procent af gangene, mens en seks cifret PIN-kode blev genskabt i omkring 11 procent af gangene. At slå sporlinjen fra hjælper mønsteret betragteligt, og at dække tastaturet til hjælper PIN-koden, men forskellen holder i begge tilfælde. Grunden er geometri. En PIN-kode er en række små tryk i et tæt gitter, og ét fejllæst ciffer ødelægger hele gættet. Et mønster er én sammenhængende form, og en form er netop den slags, som menneskets hukommelse er god til at fastholde efter et enkelt kig.

Et mønster efterlader også spor bagefter. Det oprindelige arbejde om fedtpletangreb fotograferede telefonskærme under kontrolleret belysning og genskabte hele oplåsningsmønsteret ud fra fedtsporet i 68 procent af testene, med en del af mønsteret synligt i 92 procent. Et PIN-tastatur smører også til, men smørerne bærer ikke en rækkefølge, så en angriber lærer hvilke cifre, men ikke deres orden. Face ID efterlader intet på glasset og intet i rummet. Det, det gør i stedet, er at virke, hver gang dit ansigt er foran kameraet, også mens du sover, hvilket er en reel og konkret svaghed frem for en teoretisk. Apple afbøder det ved at kræve koden efter en genstart, efter 48 timer uden oplåsning, og efter fem mislykkede ansigtsgenkendelser, og ved at levere Beskyttelse af stjålet enhed til det tilfælde, hvor en tyv allerede har set dig taste den ind.

Regnestykket bagved, og hvorfor gitterets størrelse ændrer det

Stort set alle bredt citerede mønstertal beskriver Androids gitter på tre gange tre, hvor forløb på fire til ni prikker giver 389.112 muligheder i alt. Det er mere end en fire cifret PIN-kode med 10.000 og mindre end en seks cifret PIN-kode med 1.000.000, og begge tal overdriver den reelle sværhedsgrad, fordi hverken mønstervalg eller PIN-valg er i nærheden af tilfældige. Folk starter mønstre i øverste venstre hjørne langt oftere, end tilfældighed ville tillade, og tegner bogstaver, de allerede kender. Folk vælger 1234 og 0000 og fødselsår. En angriber, der først prøver de populære valg, arbejder sig ikke gennem hele rummet af muligheder, kun gennem den overfyldte ende af det.

Gitterets størrelse er den variabel, ingen nævner, og den overtrumfer alt det andet. Hvis man kun tæller forløb, der bruger seks forskellige prikker, giver et gitter på fem gange fem 127.512.000 rækkefølger, før nogen tegneregel skærer listen ned, mod 1.000.000 for en seks cifret PIN-kode. Vaultaire bruger et gitter på fem gange fem netop af den grund, kræver mindst seks prikker og mindst to retningsskift, og advarer dig, når formen, du lige har tegnet, er et fortløbende forløb, en spiral eller et genkendeligt bogstav. Intet af det løser observationsproblemet, som er en egenskab ved at tegne på glas foran folk snarere end ved gitteret. Det betyder dog, at et mønster kun er det svage valg, når nogen ser med, og et stærkt valg, når ingen gør.

Hvilken lås hører til hvilken dør

Behandl telefonen og det private materiale i den som to adskilte døre. På telefonen skal du bruge Face ID med en lang kode bag ved, og slå Beskyttelse af stjålet enhed til, som tvinger Face ID frem uden mulighed for at bruge koden i stedet ved følsomme handlinger, når du er væk fra dine sædvanlige steder. Den kombination svarer på den fremmede, lommetyven og den person, der filmede dig låse den op på en café. Det, den ikke kan svare på, er den person, der allerede kender koden, eller det øjeblik, hvor du rækker den oplåste telefon til nogen for at vise et billede, og de bliver ved med at scrolle. Til det har du brug for en lås, der ikke åbner, bare fordi telefonen gjorde.

Det er den anden dør, og det er der, mønsteret gør sig fortjent til sin plads. I Vaultaire tjekkes mønsteret ikke op mod en gemt kopi, fordi der ikke findes nogen gemt kopi at tjekke op mod. De prikker, du tegner, serialiseres og køres gennem PBKDF2 med SHA-512 ved 600.000 iterationer, sammen med et enhedsbundet salt, der ligger i iOS' nøglering, og resultatet er den AES-256 nøgle, der dekrypterer filerne. At tegne mønsteret forkert giver ikke en afvisningsbesked fra en server, det giver en nøgle, der ikke åbner noget. Der er ingen konto, ingen nulstilling af adgangskode og ingen kopi af boksen noget andet sted, hvilket er samme grund til, at en gendannelsessætning udstedes ved opsætningen og er værd at gemme uden for nettet. Vores forklaring på hvad AES-256-kryptering egentlig beskytter dækker krypteringssiden, og vores gennemgang af sikkerhedspåstande fra boksapps dækker, hvordan du tjekker, om en given app rent faktisk gør dette eller bare skjuler en mappe. Vaultaire er gratis for op til 5 bokse.

Relaterede guides

Kilder

Ofte stillede spørgsmål

Kan nogen virkelig regne mit mønster ud fra smøremærker på skærmen?

Ja, under de rette forhold. Forskningen, der navngav fedtpletangrebet, fotograferede skærme under kontrolleret belysning og kameravinkler og genskabte hele mønsteret i 68 procent af testene, med en del af det synligt i 92 procent. Almindelig håndtering smører glasset til og gør det sværere, og rengøring af skærmen fjerner det helt, men angrebet er reelt, og det gælder kun for mønstre. Et PIN-tastatur efterlader mærker, der afslører hvilke cifre du bruger, uden at afsløre rækkefølgen.

Er Face ID sikrere end en kode på iPhone?

De er ikke alternativer til hinanden. Face ID er en hurtig vej til den samme kode, og koden forbliver den underliggende legitimation, hvilket er grunden til, at iOS beder om den efter en genstart, efter 48 timer uden oplåsning, og efter fem mislykkede ansigtsgenkendelser. Face ID er langt bedre mod observation, fordi der ikke er noget at se på. Koden er bedre i det tilfælde, hvor nogen kan pege telefonen mod dig. Brug begge, og gør koden lang.

Hjælper et separat boksmønster, hvis nogen allerede kender min iPhone-kode?

Det er lige præcis, hvad det er til. En person, der kender din kode, får hele telefonen: Billeder, Beskeder, det skjulte album, iCloud på nettet. En boks med sin egen kode er den eneste del, der ikke åbner sammen med resten, forudsat at du aldrig tegner mønsteret foran den person og aldrig genbruger cifrene fra koden som mønsterets form. Vælg noget, du ikke har tastet foran den person, for her er fortrolighed det reelle angreb.

Hvad sker der, hvis jeg glemmer mønsteret?

I en app, hvor mønsteret udleder krypteringsnøglen, kan intet genskabe filerne undtagen selve mønsteret eller den gendannelsessætning, der udstedes, når du sætter det op. Det er en direkte konsekvens af designet: ingen server ligger inde med en kopi, så ingen supportproces kan nulstille det. Gem sætningen på papir, væk fra telefonen. Vores guide om glemte adgangskoder til fotobokse, som der linkes til nedenfor, gennemgår de muligheder, der er tilbage, og hvilke løfter om gendannelse man ikke skal stole på.

Hent Vaultaire gratis