Muster-Sperre vs. PIN vs. Face ID: Was ist wirklich sicherer?

Die Frage klingt, als sollte sie eine einzige Antwort haben, und fast hat sie das auch, bis Sie sich fragen, vor wem Sie das Telefon eigentlich schützen. Ein Fremder, der es im Zug findet, ein Kollege, der Ihnen beim Mittagessen gegenübersitzt, und ein Partner, der Ihren Code bereits kennt, sind drei verschiedene Probleme, und die drei Sperren versagen gegen sie in unterschiedlicher Reihenfolge. Es folgen die Rangliste, die Forschung dahinter, und der Teil, der mehr zählt als alles andere: welche Sperre auf das Telefon gehört, und welche auf die Fotos darin.

Gegen jemanden, der beim Entsperren zusieht, ist das Muster mit deutlichem Abstand das schwächste der drei. In einer kontrollierten Studie zur einmaligen Beobachtung gaben Angreifer ein mit sichtbarer Spurlinie gezeichnetes Muster in etwa 64 Prozent der Fälle korrekt wieder, während eine sechsstellige PIN in etwa 11 Prozent der Fälle fiel. Ein Muster hinterlässt zudem eine physische Spur: Die ursprüngliche Forschung zum Smudge-Angriff rekonstruierte das vollständige Muster aus dem Fettfilm der Finger auf dem Bildschirm in 68 Prozent der Tests bei günstiger Beleuchtung, und Teile davon in 92 Prozent. Face ID gibt einem Beobachter überhaupt nichts preis, weshalb es auf dem Papier gewinnt, und Apple beziffert die Wahrscheinlichkeit, dass ein zufälliges Gesicht mit Ihrem übereinstimmt, auf etwa eins zu einer Million. Seine Schwäche liegt woanders. Es funktioniert, während Sie schlafen, und es funktioniert, wenn jemand Ihnen das Telefon vor das Gesicht hält, und auf dem iPhone ist es eine Abkürzung zum Code und kein Ersatz dafür, sodass ein beobachteter Code es aushebelt. Auch die Rastergröße spielt eine Rolle. Fast jede veröffentlichte Musterzahl beschreibt ein Drei-mal-drei-Raster, und ein Fünf-mal-fünf-Raster mit einem Minimum von sechs Punkten liegt in einem völlig anderen Bereich. Nutzen Sie Face ID mit einem langen Code auf dem Gerät selbst, und schützen Sie die App, die alles enthält, was Sie einem Fremden nicht in die Hand geben würden, mit einem eigenen Zugangscode.

Die kurze Rangliste, und die Frage, die sie neu ordnet

Danach beurteilt, wie gut jede Methode einer Beobachtung standhält, ist die Reihenfolge klar: Face ID zuerst, eine lange PIN an zweiter Stelle, ein Muster zuletzt. Face ID verrät einem Beobachter nichts, weil die Zugangsdaten nie Ihr Gesicht verlassen. Eine PIN wird in einem kleinen Bereich eingegeben, den eine Hand abdecken kann, und jede zusätzliche Ziffer vervielfacht den Suchraum um den Faktor zehn. Ein Muster ist eine große Geste über den Großteil des Bildschirms, meist mit einer hellen Linie, die dem Finger folgt, und es ist als einziges der drei etwas, das eine Person zwei Plätze weiter sich einfach einprägen kann. In der Forschung ist das kein kleiner Effekt, sondern der Unterschied zwischen einem Münzwurf und einer sehr unwahrscheinlichen Chance.

Stellen Sie sich dann eine andere Frage. Wer öffnet Telefone tatsächlich ohne Erlaubnis? Überwiegend ist es kein Fremder mit einer Kamera, sondern jemand, der bereits im Raum ist: ein Partner, ein Mitbewohner, ein Kollege, ein Verwandter. Diese Person kennt meist Ihren Code, hat Sie das Telefon schon hundertmal entsperren sehen und braucht überhaupt keinen Angriff. Ihr gegenüber ist die obige Rangliste bedeutungslos, weil alle drei Sperren bereits offen sind. Das Einzige, was noch standhält, ist eine zweite Zugangssicherung, die diese Person noch nie gesehen hat, auf der App, die das schützenswerte Material enthält. Unsere Anleitung zum Sperren einzelner Apps mit Face ID auf dem iPhone deckt die eingebaute Hälfte davon ab, und es lohnt sich, sie zusammen mit diesem Artikel zu lesen.

Was jede Sperre einem Beobachter verrät

Forscher haben das gemessen, statt es zu vermuten. In einer Studie zur einmaligen Beobachtung wurde ein mit sichtbarer Spurlinie gezeichnetes Muster vom Beobachter in etwa 64 Prozent der Fälle erfolgreich reproduziert, während eine sechsstellige PIN in etwa 11 Prozent der Fälle reproduziert wurde. Das Abschalten der Spurlinie hilft einem Muster erheblich, und das Verdecken des Tastenfelds hilft einer PIN, aber der Abstand bleibt in beiden Fällen bestehen. Der Grund liegt in der Geometrie. Eine PIN ist eine Folge kleiner Tipper in einem dichten Raster, und eine einzige falsch gelesene Ziffer ruiniert die gesamte Vermutung. Ein Muster ist eine einzige zusammenhängende Form, und eine Form ist genau das, was sich das menschliche Gedächtnis nach einem Blick gut merken kann.

Ein Muster hinterlässt außerdem im Nachhinein Spuren. Die ursprüngliche Arbeit zum Smudge-Angriff fotografierte Telefonbildschirme unter kontrollierter Beleuchtung und rekonstruierte das vollständige Entsperrmuster aus der Fettspur in 68 Prozent der Tests, mit einem sichtbaren Teil des Musters in 92 Prozent. Auch ein PIN-Tastenfeld verschmiert, doch die Schmierspuren tragen keine Reihenfolge, sodass ein Angreifer nur die Ziffern erfährt, nicht die Abfolge. Face ID hinterlässt weder auf dem Glas noch im Raum etwas. Stattdessen funktioniert es immer dann, wenn Ihr Gesicht vor der Kamera ist, auch während Sie schlafen, was eine reale und konkrete Schwäche ist, keine theoretische. Apple mildert das ab, indem der Code nach einem Neustart, nach 48 Stunden ohne Entsperrung und nach fünf fehlgeschlagenen Gesichtsabgleichen verlangt wird, und mit Diebstahlschutz für den Fall, dass ein Dieb Sie bereits beim Eintippen beobachtet hat.

Die Arithmetik dahinter, und warum die Rastergröße alles ändert

Fast jede weit verbreitete Musterstatistik beschreibt das Android-Raster mit drei mal drei Feldern, in dem Pfade von vier bis neun Punkten insgesamt 389.112 Möglichkeiten ergeben. Das ist mehr als eine vierstellige PIN mit 10.000 und weniger als eine sechsstellige PIN mit 1.000.000, und beide Zahlen überschätzen die tatsächliche Schwierigkeit, weil weder Musterwahl noch PIN-Wahl auch nur annähernd zufällig sind. Menschen beginnen Muster weit häufiger als der Zufall erlauben würde in der oberen linken Ecke und zeichnen Buchstaben, die sie bereits kennen. Menschen wählen 1234, 0000 und Geburtsjahre. Ein Angreifer, der zuerst die beliebten Optionen ausprobiert, arbeitet sich nicht durch den gesamten Raum, sondern nur durch dessen überfülltes Ende.

Die Rastergröße ist die Variable, die niemand erwähnt, und sie dominiert alles Übrige. Zählt man nur Pfade, die sechs unterschiedliche Punkte verwenden, bietet ein Fünf-mal-fünf-Raster 127.512.000 Anordnungen, bevor überhaupt eine Zeichenregel die Liste kürzt, gegenüber 1.000.000 bei einer sechsstelligen PIN. Vaultaire verwendet genau aus diesem Grund ein Fünf-mal-fünf-Raster, verlangt mindestens sechs Punkte und mindestens zwei Richtungswechsel, und warnt Sie, wenn die gerade gezeichnete Form eine fortlaufende Reihe, eine Spirale oder ein erkennbarer Buchstabe ist. Nichts davon behebt das Beobachtungsproblem, das eine Eigenschaft des Zeichnens auf Glas vor anderen Menschen ist, nicht des Rasters. Es bedeutet aber, dass ein Muster nur dann die schwache Wahl ist, wenn jemand zusieht, und eine starke, wenn niemand zusieht.

Welche Sperre zu welcher Tür gehört

Behandeln Sie das Telefon und das private Material darin als zwei getrennte Türen. Nutzen Sie auf dem Telefon Face ID mit einem langen Code dahinter, und schalten Sie den Diebstahlschutz ein, der bei sensiblen Aktionen Face ID ohne Rückgriff auf den Code erzwingt, wenn Sie sich fernab Ihrer gewohnten Orte befinden. Diese Kombination beantwortet den Fremden, den Taschendieb und die Person, die Sie beim Entsperren in einem Café gefilmt hat. Was sie nicht beantworten kann, ist die Person, die den Code bereits kennt, oder der Moment, in dem Sie jemandem das entsperrte Telefon geben, um ein Foto zu zeigen, und diese Person weiterwischt. Dafür brauchen Sie eine Sperre, die sich nicht schon deshalb öffnet, weil das Telefon es getan hat.

Das ist die zweite Tür, und dort verdient sich ein Muster seinen Platz. In Vaultaire wird das Muster nicht gegen eine gespeicherte Kopie geprüft, weil es keine gespeicherte Kopie gibt, gegen die geprüft werden könnte. Die von Ihnen gezeichneten Punkte werden serialisiert und mit PBKDF2 und SHA-512 bei 600.000 Iterationen gegen ein gerätegebundenes Salt im iOS-Schlüsselbund verarbeitet, und das Ergebnis ist der AES-256-Schlüssel, der die Dateien entschlüsselt. Ein falsches Muster erzeugt keine Ablehnungsmeldung von einem Server, sondern einen Schlüssel, der nichts öffnet. Es gibt kein Konto, kein Zurücksetzen des Passworts und keine Kopie des Tresors an anderer Stelle, aus demselben Grund wird bei der Einrichtung eine Wiederherstellungsphrase ausgegeben, die es wert ist, offline aufbewahrt zu werden. Unsere Erklärung dazu, was AES-256-Verschlüsselung tatsächlich schützt, behandelt die Verschlüsselungsseite, und unsere Prüfung der Sicherheitsversprechen von Tresor-Apps zeigt, wie man feststellt, ob eine bestimmte App das wirklich umsetzt oder nur einen Ordner versteckt. Vaultaire ist für bis zu 5 Tresore kostenlos.

Verwandte Anleitungen

• So sperren Sie Apps mit Face ID auf dem iPhone
• Passwort für den Foto-Tresor vergessen
• Lässt sich die Face ID Sperre des ausgeblendeten Albums umgehen
• Was AES-256-Verschlüsselung tatsächlich schützt

Häufig gestellte Fragen

Kann jemand mein Muster wirklich aus Fettflecken auf dem Bildschirm herausfinden?

Ja, unter den richtigen Bedingungen. Die Forschung, die dem Smudge-Angriff seinen Namen gab, fotografierte Bildschirme mit kontrollierter Beleuchtung und Kamerawinkeln und rekonstruierte das vollständige Muster in 68 Prozent der Tests, mit einem sichtbaren Teil in 92 Prozent. Normaler Gebrauch verschmiert das Glas und erschwert es, und das Reinigen des Bildschirms entfernt es vollständig, aber der Angriff ist real und betrifft nur Muster. Ein PIN-Tastenfeld hinterlässt Spuren, die verraten, welche Ziffern Sie verwenden, ohne die Reihenfolge zu verraten.

Ist Face ID sicherer als ein Code auf dem iPhone?

Es sind keine Alternativen zueinander. Face ID ist ein schneller Weg zu demselben Code, und der Code bleibt die zugrunde liegende Zugangssicherung, weshalb iOS ihn nach einem Neustart, nach 48 Stunden ohne Entsperrung und nach fünf fehlgeschlagenen Gesichtsabgleichen verlangt. Face ID ist gegenüber Beobachtung deutlich besser, weil es nichts zu beobachten gibt. Der Code ist besser für den Fall, dass jemand das Telefon auf Sie richten kann. Nutzen Sie beides, und wählen Sie einen langen Code.

Hilft ein separates Tresor-Muster, wenn jemand meinen iPhone-Code bereits kennt?

Genau dafür ist es in erster Linie gedacht. Eine Person, die Ihren Code kennt, erhält Zugriff auf das ganze Telefon: Fotos, Nachrichten, das ausgeblendete Album, iCloud im Web. Ein Tresor mit eigener Zugangssicherung ist der einzige Teil, der sich nicht zusammen mit dem Rest öffnet, vorausgesetzt, Sie zeichnen das Muster nie vor dieser Person und verwenden nie die Ziffern des Codes als seine Form. Wählen Sie etwas, das Sie vor dieser Person noch nie eingetippt haben, denn Vertrautheit ist hier der eigentliche Angriff.

Was passiert, wenn ich das Muster vergesse?

In einer App, in der das Muster den Verschlüsselungsschlüssel ableitet, kann nichts die Dateien wiederherstellen außer dem Muster selbst oder der bei der Einrichtung ausgegebenen Wiederherstellungsphrase. Das ist eine direkte Folge des Designs: Kein Server hält eine Kopie, also kann kein Support-Vorgang sie zurücksetzen. Bewahren Sie die Phrase auf Papier auf, fern vom Telefon. Unsere unten verlinkte Anleitung zu vergessenen Passwörtern für Foto-Tresore geht die verbliebenen Optionen durch und zeigt, welchen Wiederherstellungsversprechen Sie misstrauen sollten.