Une surface bleu marine sombre portant trois objets distincts alignés: un cube translucide bleu sarcelle dont la face supérieure présente une grille de cinq par cinq de petits points traversée par une ligne lumineuse reliant six d'entre eux, un plateau bas avec cinq tuiles arrondies identiques et vierges, et un cône étroit de lumière bleu sarcelle tombant sur un piédestal vide.

Schéma vs code PIN vs Face ID: lequel est vraiment le plus sûr?

La question semble appeler une seule réponse, et c'est presque le cas, jusqu'à ce qu'on se demande de qui on protège le téléphone. Un inconnu qui le trouve dans un train, un collègue assis en face de vous au déjeuner, et un partenaire qui connaît déjà votre code sont trois problèmes différents, et les trois verrouillages échouent face à eux dans un ordre différent. Voici le classement, la recherche qui le sous-tend, et la partie qui compte plus que tout le reste: quel verrouillage revient au téléphone, et lequel revient aux photos qu'il contient.

Face à quelqu'un qui vous observe déverrouiller le téléphone, le motif est de loin le plus faible des trois. Dans une étude contrôlée d'observation unique, les attaquants ont reproduit un motif tracé avec une ligne visible dans environ 64 pour cent des cas, tandis qu'un code PIN à six chiffres a cédé dans environ 11 pour cent des cas. Un motif laisse aussi une trace physique: la recherche originale sur l'attaque par traces de doigts a permis de récupérer le motif complet à partir du gras laissé sur l'écran dans 68 pour cent des tests avec un bon éclairage, et une partie du motif dans 92 pour cent des cas. Face ID ne révèle rien du tout à un observateur, ce qui explique pourquoi il l'emporte sur le papier, et Apple estime la probabilité qu'un visage aléatoire corresponde au vôtre à environ une chance sur un million. Sa faiblesse est différente. Il fonctionne pendant que vous dormez et il fonctionne quand quelqu'un vous met le téléphone devant le visage, et sur iPhone, c'est un raccourci vers le code plutôt qu'un remplacement, donc un code observé le neutralise. La taille de la grille compte aussi. Presque toutes les statistiques publiées sur les motifs décrivent une grille de trois par trois, et une grille de cinq par cinq avec un minimum de six points se situe dans une tout autre catégorie. Utilisez Face ID avec un code long sur l'appareil lui-même, et placez un identifiant distinct sur l'application qui conserve tout ce que vous ne remettriez pas à un inconnu.

Le classement bref, et la question qui le réordonne

À en juger par la résistance de chacun à l'observation, l'ordre est clair: Face ID en premier, un code PIN long en second, un motif en dernier. Face ID ne révèle rien à un observateur, car l'identifiant ne quitte jamais votre visage. Un code PIN se saisit dans une petite zone qu'une main peut couvrir, et chaque chiffre supplémentaire multiplie par dix l'espace de recherche. Un motif est un geste ample tracé sur la majeure partie de l'écran, généralement avec une ligne lumineuse qui suit le doigt, et c'est le seul des trois qu'une personne assise deux sièges plus loin peut simplement mémoriser. Dans la recherche, ce n'est pas un effet mineur, c'est la différence entre un tirage à pile ou face et un coup très risqué.

Posez-vous ensuite une autre question. Qui ouvre vraiment les téléphones sans permission? Ce n'est presque jamais un inconnu avec un appareil photo, c'est quelqu'un déjà présent dans la pièce: un partenaire, un colocataire, un collègue, un proche. Cette personne connaît généralement votre code, vous a vu déverrouiller le téléphone une centaine de fois, et n'a besoin d'aucune attaque. Face à elle, le classement ci-dessus ne compte pas, car les trois verrouillages sont déjà ouverts. La seule chose qui tient encore est un second identifiant qu'elle n'a jamais vu, sur l'application qui contient ce qui mérite d'être protégé. Notre guide sur le verrouillage d'applications individuelles avec Face ID sur iPhone couvre la moitié intégrée de cette solution, et vaut la peine d'être lu avec cet article.

Ce que chaque verrouillage révèle à un observateur

Les chercheurs ont mesuré cela plutôt que de le supposer. Dans une étude d'observation unique, un motif tracé avec la ligne visible a été reproduit avec succès par l'observateur environ 64 pour cent du temps, tandis qu'un code PIN à six chiffres a été reproduit environ 11 pour cent du temps. Désactiver la ligne de tracé aide considérablement le motif, et couvrir le clavier aide le code PIN, mais l'écart survit aux deux. La raison tient à la géométrie. Un code PIN est une séquence de petites frappes dans une grille dense, et un seul chiffre mal lu ruine toute la tentative. Un motif est une forme continue unique, et une forme est exactement le genre de chose que la mémoire humaine retient bien après un seul regard.

Un motif laisse aussi des preuves après coup. Les travaux originaux sur l'attaque par traces de doigts ont photographié des écrans de téléphone sous un éclairage contrôlé et récupéré le motif de déverrouillage complet à partir de la trace grasse dans 68 pour cent des tests, avec une partie du motif visible dans 92 pour cent des cas. Un clavier PIN se salit aussi, mais les traces ne conservent pas d'ordre, si bien qu'un attaquant apprend quels chiffres, pas la séquence. Face ID ne laisse rien sur le verre ni dans la pièce. Il fonctionne en revanche dès que votre visage est devant la caméra, y compris pendant votre sommeil, ce qui est une faiblesse réelle et précise plutôt que théorique. Apple l'atténue en exigeant le code après un redémarrage, après 48 heures sans déverrouillage, et après cinq échecs de correspondance faciale, et en proposant la Protection en cas de vol de l'appareil pour le cas où un voleur vous aurait déjà observé le taper.

L'arithmétique sous-jacente, et pourquoi la taille de la grille change tout

Presque toutes les statistiques de motifs largement citées décrivent la grille Android de trois par trois, où les tracés de quatre à neuf points donnent 389 112 possibilités au total. C'est plus qu'un code PIN à quatre chiffres, avec 10 000, et moins qu'un code PIN à six chiffres, avec 1 000 000, et les deux chiffres surestiment la difficulté réelle, car ni les motifs ni les codes PIN choisis par les gens ne sont proches du hasard. Les gens commencent leurs motifs dans le coin supérieur gauche bien plus souvent que le hasard ne le permettrait, et tracent des lettres qu'ils connaissent déjà. Les gens choisissent 1234, 0000 et des années de naissance. Un attaquant qui essaie d'abord les choix populaires ne parcourt pas tout l'espace, seulement sa partie la plus fréquentée.

La taille de la grille est la variable que personne ne mentionne, et elle domine tout le reste. En ne comptant que les tracés utilisant six points différents, une grille de cinq par cinq offre 127 512 000 combinaisons avant même l'application d'une règle de tracé, contre 1 000 000 pour un code PIN à six chiffres. Vaultaire utilise une grille de cinq par cinq précisément pour cette raison, exige au moins six points et au moins deux changements de direction, et vous avertit quand la forme que vous venez de tracer est une suite linéaire, une spirale ou une lettre reconnaissable. Rien de tout cela ne règle le problème de l'observation, qui tient au fait de tracer sur du verre devant des gens, pas à la grille. Cela signifie en revanche qu'un motif n'est le choix faible que lorsque quelqu'un observe, et un choix solide quand personne ne le fait.

Quel verrouillage convient à quelle porte

Traitez le téléphone et les données privées qu'il contient comme deux portes distinctes. Sur le téléphone, utilisez Face ID avec un code long derrière lui, et activez la Protection en cas de vol de l'appareil, qui impose Face ID sans recours possible au code pour les actions sensibles lorsque vous êtes loin de vos lieux habituels. Cette combinaison répond à l'inconnu, au pickpocket et à la personne qui vous a filmé en train de le déverrouiller dans un café. Ce qu'elle ne peut pas résoudre, c'est la personne qui connaît déjà le code, ni le moment où vous tendez le téléphone déverrouillé à quelqu'un pour lui montrer une photo et où cette personne continue de faire défiler. Pour cela, il faut un verrouillage qui ne s'ouvre pas simplement parce que le téléphone s'est ouvert.

C'est la seconde porte, et c'est là qu'un motif trouve sa place. Dans Vaultaire, le motif n'est pas comparé à une copie stockée, car il n'existe aucune copie stockée à laquelle le comparer. Les points que vous tracez sont sérialisés puis passés par PBKDF2 avec SHA-512 à 600 000 itérations, avec un sel lié à l'appareil conservé dans le trousseau iOS, et le résultat est la clé AES-256 qui déchiffre les fichiers. Se tromper de motif ne produit pas un message de rejet venant d'un serveur, cela produit une clé qui n'ouvre rien. Il n'y a ni compte, ni réinitialisation de mot de passe, ni copie du coffre ailleurs, ce qui explique aussi pourquoi une phrase de récupération est fournie lors de la configuration et mérite d'être conservée hors ligne. Notre article sur ce que le chiffrement AES-256 protège réellement couvre le côté cryptographique, et notre audit des promesses de sécurité des applications coffre-fort explique comment vérifier si une application donnée fait vraiment cela ou se contente de cacher un dossier. Vaultaire est gratuit jusqu'à 5 coffres.

Guides associés

Sources

Questions fréquentes

Quelqu'un peut-il vraiment retrouver mon motif à partir des traces sur l'écran?

Oui, dans les bonnes conditions. La recherche qui a donné son nom à l'attaque par traces a photographié des écrans sous un éclairage et des angles de caméra contrôlés, et a récupéré le motif complet dans 68 pour cent des tests, avec une partie visible dans 92 pour cent des cas. Une manipulation ordinaire salit le verre et complique la tâche, et nettoyer l'écran l'élimine entièrement, mais l'attaque est réelle et ne s'applique qu'aux motifs. Un clavier PIN laisse des traces qui révèlent quels chiffres vous utilisez sans révéler l'ordre.

Face ID est-il plus sûr qu'un code sur iPhone?

Ce ne sont pas des alternatives. Face ID est une voie rapide vers ce même code, et le code reste l'identifiant sous-jacent, ce qui explique pourquoi iOS le redemande après un redémarrage, après 48 heures sans déverrouillage, et après cinq échecs de correspondance faciale. Face ID est bien meilleur contre l'observation, puisqu'il n'y a rien à observer. Le code est meilleur dans le cas où quelqu'un peut pointer le téléphone vers votre visage. Utilisez les deux, et choisissez un code long.

Un motif de coffre distinct aide-t-il si quelqu'un connaît déjà mon code iPhone?

C'est précisément à cela qu'il sert. Une personne qui connaît votre code accède à tout le téléphone: Photos, Messages, l'album masqué, iCloud sur le web. Un coffre avec son propre identifiant est la seule partie qui ne s'ouvre pas avec le reste, à condition de ne jamais tracer le motif devant cette personne et de ne jamais réutiliser les chiffres du code comme forme du motif. Choisissez quelque chose que vous n'avez jamais tapé devant cette personne, car c'est la familiarité qui constitue la vraie attaque ici.

Que se passe-t-il si j'oublie le motif?

Dans une application où le motif dérive la clé de chiffrement, rien ne peut récupérer les fichiers hormis le motif lui-même ou la phrase de récupération fournie lors de la configuration. C'est une conséquence directe de la conception: aucun serveur ne conserve de copie, donc aucun processus d'assistance ne peut le réinitialiser. Conservez la phrase sur papier, loin du téléphone. Notre guide sur les mots de passe oubliés de coffres photo, lié ci-dessous, passe en revue les options qui restent et les promesses de récupération à ne pas croire.

Télécharger Vaultaire gratuitement