Patrón vs PIN vs Face ID: ¿cuál es realmente más seguro?

La pregunta suena como si debiera tener una sola respuesta, y casi la tiene, hasta que te preguntas de quién estás protegiendo el teléfono. Un desconocido que lo encuentra en un tren, un compañero de trabajo sentado enfrente durante el almuerzo y una pareja que ya conoce tu código son tres problemas distintos, y los tres bloqueos fallan ante ellos en un orden diferente. A continuación va la clasificación, la investigación que hay detrás y la parte que importa más que todo lo demás: qué bloqueo corresponde al teléfono y cuál corresponde a las fotos que hay dentro.

Frente a alguien que te observa desbloquear el teléfono, el patrón es, con diferencia, el más débil de los tres. En un estudio controlado de observación única, los atacantes reprodujeron un patrón dibujado con la línea de trazo visible alrededor del 64 por ciento de las veces, mientras que un PIN de seis dígitos cayó alrededor del 11 por ciento de las veces. Un patrón también deja un rastro físico: la investigación original sobre el ataque de manchas recuperó el patrón completo a partir de la grasa de los dedos en la pantalla en el 68 por ciento de las pruebas con buena iluminación, y parte de él en el 92 por ciento. Face ID no le da nada a un observador, por eso gana sobre el papel, y Apple sitúa la probabilidad de que una cara aleatoria coincida con la tuya en aproximadamente una entre un millón. Su debilidad es otra distinta. Funciona mientras duermes y funciona cuando alguien te acerca el teléfono a la cara, y en el iPhone es un atajo hacia el código, no un sustituto, así que un código observado lo anula. El tamaño de la cuadrícula también importa. Casi todas las cifras publicadas sobre patrones describen una cuadrícula de tres por tres, y un tablero de cinco por cinco con un mínimo de seis puntos se sitúa en un rango completamente distinto. Usa Face ID con un código largo en el propio dispositivo, y pon una credencial aparte en la aplicación que guarde cualquier cosa que no le entregarías a un desconocido.

La clasificación breve, y la pregunta que la reordena

Si se juzga por lo bien que cada uno resiste a ser observado, el orden está claro: Face ID primero, un PIN largo segundo, un patrón al final. Face ID no revela nada a quien observa, porque la credencial nunca sale de tu cara. Un PIN se introduce en una zona pequeña que una mano puede tapar, y cada dígito adicional multiplica por diez el espacio de posibilidades. Un patrón es un gesto amplio que recorre la mayor parte de la pantalla, normalmente con una línea brillante que sigue el dedo, y es el único de los tres que una persona sentada dos asientos más allá puede memorizar sin más. En la investigación no es un efecto pequeño, es la diferencia entre lanzar una moneda al aire y una apuesta muy arriesgada.

Ahora hazte otra pregunta. ¿Quién abre realmente los teléfonos sin permiso? En la inmensa mayoría de los casos no es un desconocido con una cámara, es alguien que ya está en la habitación: una pareja, un compañero de piso, un colega, un familiar. Esa persona suele conocer tu código, te ha visto desbloquear el teléfono cien veces y no necesita ningún ataque. Frente a ella, la clasificación anterior no importa, porque los tres bloqueos ya están abiertos. Lo único que resiste es una segunda credencial que esa persona nunca ha visto, en la aplicación que guarda el material que merece protección. Nuestra guía sobre cómo bloquear aplicaciones individuales con Face ID en iPhone cubre la mitad integrada de eso, y merece la pena leerla junto con esta.

Qué revela cada bloqueo a quien te observa

Los investigadores lo han medido en lugar de suponerlo. En un estudio de observación única, un patrón dibujado con la línea de trazo visible fue reproducido con éxito por el observador alrededor del 64 por ciento de las veces, mientras que un PIN de seis dígitos se reprodujo alrededor del 11 por ciento de las veces. Desactivar la línea de trazo ayuda bastante al patrón, y tapar el teclado ayuda al PIN, pero la diferencia sobrevive a ambos ajustes. La razón es geométrica. Un PIN es una secuencia de toques pequeños en una cuadrícula densa, y un solo dígito mal leído arruina toda la suposición. Un patrón es una forma continua, y una forma es exactamente el tipo de cosa que la memoria humana retiene bien tras un solo vistazo.

Un patrón también deja pruebas después del hecho. El trabajo original sobre el ataque de manchas fotografió pantallas de teléfono con iluminación controlada y recuperó el patrón de desbloqueo completo a partir del rastro de grasa en el 68 por ciento de las pruebas, con parte del patrón visible en el 92 por ciento. Un teclado numérico también se mancha, pero las manchas no conservan un orden, así que un atacante averigua qué dígitos son, no la secuencia. Face ID no deja nada en el cristal ni en la habitación. Lo que hace en cambio es funcionar siempre que tu cara esté frente a la cámara, incluso mientras duermes, lo cual es una debilidad real y concreta, no teórica. Apple lo mitiga exigiendo el código tras un reinicio, tras 48 horas sin desbloqueo y tras cinco coincidencias faciales fallidas, y con Protección del dispositivo en caso de robo para el caso en que un ladrón ya te haya visto escribirlo.

La aritmética de fondo, y por qué el tamaño del tablero lo cambia

Todas las estadísticas de patrones ampliamente citadas describen la cuadrícula de tres por tres de Android, donde los trazos de cuatro a nueve puntos dan 389.112 posibilidades en total. Eso es más que un PIN de cuatro dígitos, con 10.000, y menos que un PIN de seis dígitos, con 1.000.000, y ambas cifras exageran la dificultad real, porque ni los patrones ni los PIN que elige la gente se acercan al azar. La gente empieza los patrones en la esquina superior izquierda con mucha más frecuencia de lo que permitiría el azar, y dibuja letras que ya conoce. La gente elige 1234, 0000 y años de nacimiento. Un atacante que prueba primero las opciones populares no recorre todo el espacio, solo la parte más concurrida de él.

El tamaño del tablero es la variable que nadie menciona, y domina todo lo demás. Contando solo los trazos que usan seis puntos distintos, un tablero de cinco por cinco ofrece 127.512.000 combinaciones antes de aplicar ninguna regla de dibujo, frente a 1.000.000 de un PIN de seis dígitos. Vaultaire usa un tablero de cinco por cinco precisamente por esto, exige al menos seis puntos y al menos dos cambios de dirección, y te avisa cuando la forma que acabas de dibujar es una secuencia lineal, una espiral o una letra reconocible. Nada de eso resuelve el problema de la observación, que es una propiedad de dibujar sobre cristal delante de otras personas y no de la cuadrícula. Sí significa que un patrón solo es la opción débil cuando alguien observa, y una opción fuerte cuando nadie lo hace.

Qué bloqueo corresponde a cada puerta

Trata el teléfono y el material privado que contiene como dos puertas distintas. En el teléfono, usa Face ID con un código largo detrás, y activa Protección del dispositivo en caso de robo, que obliga a usar Face ID sin recurrir al código para las acciones sensibles cuando estás lejos de tus lugares habituales. Esa combinación responde al desconocido, al carterista y a la persona que te grabó desbloqueándolo en una cafetería. Lo que no puede responder es a la persona que ya conoce el código, ni al momento en que le das el teléfono desbloqueado a alguien para enseñarle una foto y esa persona sigue deslizando. Para eso necesitas un bloqueo que no se abra solo porque el teléfono lo haya hecho.

Esa es la segunda puerta, y ahí es donde un patrón se gana su lugar. En Vaultaire, el patrón no se compara con ninguna copia guardada, porque no existe ninguna copia guardada con la que compararlo. Los puntos que dibujas se serializan y se procesan mediante PBKDF2 con SHA-512 a 600.000 iteraciones, junto con una sal vinculada al dispositivo y guardada en el llavero de iOS, y el resultado es la clave AES-256 que descifra los archivos. Equivocarse de patrón no genera un mensaje de rechazo desde un servidor, genera una clave que no abre nada. No hay cuenta, ni restablecimiento de contraseña, ni ninguna copia de la bóveda en ningún otro lugar, que es la misma razón por la que se emite una frase de recuperación durante la configuración y merece la pena guardarla sin conexión. Nuestra explicación sobre qué protege realmente el cifrado AES-256 cubre el aspecto criptográfico, y nuestra auditoría de las afirmaciones de seguridad de las aplicaciones de bóveda cubre cómo comprobar si una aplicación concreta hace esto de verdad o simplemente esconde una carpeta. Vaultaire es gratis hasta 5 bóvedas.

Guías relacionadas

• Cómo bloquear aplicaciones con Face ID en iPhone
• Olvidaste la contraseña de tu bóveda de fotos
• Se puede burlar el bloqueo con Face ID del álbum oculto
• Qué protege realmente el cifrado AES-256

Preguntas frecuentes

¿Puede alguien deducir de verdad mi patrón a partir de las manchas de la pantalla?

Sí, en las condiciones adecuadas. La investigación que dio nombre al ataque de manchas fotografió pantallas con iluminación y ángulos de cámara controlados, y recuperó el patrón completo en el 68 por ciento de las pruebas, con parte de él visible en el 92 por ciento. El uso normal mancha el cristal y lo dificulta, y limpiar la pantalla lo elimina por completo, pero el ataque es real y solo se aplica a los patrones. Un teclado numérico deja marcas que revelan qué dígitos usas, pero no el orden.

¿Es Face ID más seguro que un código en el iPhone?

No son alternativas entre sí. Face ID es una vía rápida hacia ese mismo código, y el código sigue siendo la credencial subyacente, por lo que iOS lo pide tras un reinicio, tras 48 horas sin desbloqueo y tras cinco coincidencias faciales fallidas. Face ID es mucho mejor frente a la observación, porque no hay nada que observar. El código es mejor frente al caso en que alguien pueda apuntarte el teléfono a la cara. Usa ambos, y haz que el código sea largo.

¿Sirve de algo un patrón de bóveda aparte si alguien ya conoce mi código del iPhone?

Ese es precisamente su propósito principal. Una persona que conoce tu código accede a todo el teléfono: Fotos, Mensajes, el álbum oculto, iCloud en la web. Una bóveda con su propia credencial es la única parte que no se abre junto con el resto, siempre que nunca dibujes el patrón delante de esa persona y nunca reutilices los dígitos del código como forma del patrón. Elige algo que no hayas escrito delante de esa persona, porque la familiaridad es el verdadero ataque aquí.

¿Qué ocurre si olvido el patrón?

En una aplicación donde el patrón deriva la clave de cifrado, nada puede recuperar los archivos salvo el propio patrón o la frase de recuperación emitida al configurarlo. Es una consecuencia directa del diseño: ningún servidor guarda una copia, así que ningún proceso de soporte puede restablecerlo. Guarda la frase en papel, lejos del teléfono. Nuestra guía sobre contraseñas olvidadas de bóvedas de fotos, enlazada más abajo, repasa las opciones que quedan y de qué afirmaciones de recuperación desconfiar.