Zaključavanje uzorkom protiv PIN-a protiv Face ID-a: što je zapravo sigurnije?

Čini se da bi pitanje trebalo imati jedan odgovor, i gotovo da ga ima, sve dok se ne zapitaš od koga zapravo štitiš telefon. Neznanac koji ga pronađe u vlaku, kolega koji sjedi nasuprot tebe za ručkom i partner koji već zna tvoju lozinku tri su različita problema, a sva tri zaključavanja pred njima podbacuju u različitom redoslijedu. Slijedi poredak, istraživanje na kojem se temelji i dio koji je važniji od svega ostalog: koje zaključavanje pripada telefonu, a koje fotografijama unutar njega.

Pred nekim tko promatra kako otključavaš telefon, uzorak je daleko najslabiji od tri opcije. U jednom kontroliranom istraživanju prisluškivanja pogledom pri jednom promatranju, napadači su uspješno reproducirali uzorak nacrtan s vidljivom linijom traga u oko 64 posto slučajeva, dok je šesteroznamenkasti PIN podlegao u oko 11 posto slučajeva. Uzorak ostavlja i fizički trag: izvorno istraživanje napada mrljama uspjelo je obnoviti cijeli uzorak iz masnog traga na ekranu u 68 posto testova pri povoljnom osvjetljenju, a djelomično u 92 posto. Face ID promatraču ne otkriva ništa, zato pobjeđuje na papiru, a Apple procjenjuje vjerojatnost da se nasumično lice podudari s tvojim na otprilike jedan naprama milijun. Njegova je slabost drugačija. Radi dok spavaš i radi kad netko telefon prisloni tvom licu, a na iPhoneu je prečac do lozinke, a ne njezina zamjena, pa promatrana lozinka to poništava. Veličina mreže točaka također je važna. Gotovo svaka objavljena statistika o uzorcima opisuje mrežu tri sa tri, a mreža pet sa pet s minimumom od šest točaka nalazi se u posve drugom rasponu. Koristi Face ID s dugom lozinkom na samom uređaju i postavi zasebnu vjerodajnicu na aplikaciji koja čuva sve što ne bi dao neznancu.

Kratki poredak i pitanje koje ga mijenja

Ocijenjeno prema tome koliko dobro svako od njih podnosi promatranje, redoslijed je jasan: prvo Face ID, zatim dugi PIN, uzorak posljednji. Face ID promatraču ne otkriva ništa, jer vjerodajnica nikad ne napušta tvoje lice. PIN se unosi na malom području koje ruka može zakloniti, a svaka dodatna znamenka množi prostor pogađanja s deset. Uzorak je velik pokret nacrtan preko većeg dijela ekrana, obično sa svijetlom linijom koja prati prst, i jedini je od trojice koji osoba dva sjedala dalje jednostavno može zapamtiti. To u istraživanju nije mali učinak, to je razlika između bacanja novčića i male vjerojatnosti.

Zatim postavi drugačije pitanje. Tko zapravo otvara telefone bez dopuštenja? U velikoj većini slučajeva to nije neznanac s kamerom, nego netko tko je već u prostoriji: partner, cimer, kolega, rođak. Ta osoba obično zna tvoju lozinku, gledala te je kako otključavaš telefon stotinu puta i uopće ne treba nikakav napad. Pred njom je gornji poredak nebitan, jer sva tri zaključavanja već su otvorena. Jedino što i dalje drži jest druga vjerodajnica koju ta osoba nikad nije vidjela, na aplikaciji koja čuva materijal vrijedan zaštite. Naš vodič o zaključavanju pojedinačnih aplikacija pomoću Face ID-a na iPhoneu pokriva ugrađenu polovicu toga i vrijedi ga pročitati uz ovaj.

Što svako zaključavanje otkriva onome tko promatra

Istraživači su to izmjerili, a ne pretpostavili. U istraživanju prisluškivanja pogledom pri jednom promatranju, uzorak nacrtan s vidljivom linijom traga promatrač je uspješno reproducirao u oko 64 posto slučajeva, dok je šesteroznamenkasti PIN reproduciran u oko 11 posto slučajeva. Isključivanje linije traga znatno pomaže uzorku, a prekrivanje tipkovnice pomaže PIN-u, ali razlika opstaje u oba slučaja. Razlog je geometrija. PIN je niz malih dodira u gustoj mreži, a jedna pogrešno pročitana znamenka uništi cijelu pretpostavku. Uzorak je jedan neprekinuti oblik, a oblik je upravo ono što ljudsko pamćenje dobro zadržava nakon jednog pogleda.

Uzorak ostavlja trag i nakon toga. Izvorni rad o napadu mrljama fotografirao je ekrane telefona pod kontroliranim osvjetljenjem i obnovio potpuni uzorak otključavanja iz masnog traga u 68 posto testova, s dijelom uzorka vidljivim u 92 posto. Tipkovnica za PIN također se zamasti, ali mrlje ne nose redoslijed, pa napadač sazna koje znamenke, ali ne i njihov niz. Face ID ne ostavlja ništa na staklu i ništa u prostoriji. Umjesto toga, radi kad god je tvoje lice pred kamerom, uključujući dok spavaš, što je stvarna i specifična slabost, a ne teoretska. Apple to ublažava tako što zahtijeva lozinku nakon ponovnog pokretanja, nakon 48 sati bez otključavanja i nakon pet neuspjelih pokušaja prepoznavanja lica, te uvođenjem Zaštite od krađe uređaja za slučaj kad je lopov već gledao kako je upisuješ.

Aritmetika u pozadini i zašto je veličina mreže mijenja

Gotovo svaka često citirana statistika o uzorcima opisuje Androidovu mrežu tri sa tri, gdje putanje od četiri do devet točaka daju ukupno 389.112 mogućnosti. To je više od četveroznamenkastog PIN-a s 10.000 i manje od šesteroznamenkastog PIN-a s 1.000.000, a oba broja precjenjuju stvarnu težinu, jer ni izbori uzoraka ni izbori PIN-ova nisu ni blizu nasumični. Ljudi počinju uzorke u gornjem lijevom kutu mnogo češće nego što bi slučajnost dopustila i crtaju slova koja već poznaju. Ljudi biraju 1234, 0000 i godine rođenja. Napadač koji prvo isproba popularne izbore ne prolazi kroz cijeli prostor mogućnosti, nego samo kroz njegov najgušće naseljeni dio.

Veličina mreže varijabla je koju nitko ne spominje, a upravo ona dominira nad ostalim. Ako se broje samo putanje koje koriste šest različitih točaka, mreža pet sa pet nudi 127.512.000 poredaka prije nego što ih ijedno pravilo crtanja smanji, naspram 1.000.000 za šesteroznamenkasti PIN. Vaultaire upravo zato koristi mrežu pet sa pet, zahtijeva barem šest točaka i barem dvije promjene smjera te te upozorava kad je oblik koji si upravo nacrtao uzastopni niz, spirala ili prepoznatljivo slovo. Ništa od toga ne rješava problem promatranja, koji je svojstvo crtanja po staklu pred ljudima, a ne mreže. No znači da je uzorak slab izbor samo kad netko promatra, a snažan izbor kad nitko ne gleda.

Koje zaključavanje pripada kojim vratima

Tretiraj telefon i privatni sadržaj unutar njega kao dva odvojena vrata. Na telefonu koristi Face ID s dugom lozinkom iza njega i uključi Zaštitu od krađe uređaja, koja za osjetljive radnje kad si izvan uobičajenih mjesta nameće Face ID bez mogućnosti zamjene lozinkom. Ta kombinacija odgovara na neznanca, na džepara i na osobu koja te snimila dok si ga otključavao u kafiću. Ono na što ne može odgovoriti jest osoba koja već zna lozinku, ili trenutak kad otključani telefon daš nekome da pogleda fotografiju, a on nastavi listati. Za to ti treba zaključavanje koje se ne otvara samo zato što se otvorio telefon.

To su druga vrata, i tu uzorak zaslužuje svoje mjesto. U Vaultaireu se uzorak ne uspoređuje sa spremljenom kopijom, jer ne postoji spremljena kopija s kojom bi se uspoređivao. Točke koje nacrtaš serijaliziraju se i prolaze kroz PBKDF2 sa SHA-512 uz 600.000 iteracija, uz sol vezanu za uređaj koja se čuva u iOS privjesku za ključeve, a rezultat je AES-256 ključ koji dešifrira datoteke. Pogrešan uzorak ne proizvodi poruku o odbijanju s poslužitelja, nego proizvodi ključ koji ništa ne otvara. Ne postoji račun, ne postoji poništavanje lozinke i ne postoji kopija trezora nigdje drugdje, pa se zato pri postavljanju izdaje fraza za oporavak koju se isplati pohraniti izvan mreže. Naš vodič o tome što AES-256 šifriranje zapravo štiti pokriva stranu vezanu uz šifru, a naša provjera tvrdnji o sigurnosti aplikacija za trezor objašnjava kako provjeriti radi li neka aplikacija zapravo to ili samo skriva mapu. Vaultaire je besplatan do 5 trezora.

Povezani vodiči

• Kako zaključati aplikacije pomoću Face ID-a na iPhoneu
• Zaboravljena lozinka trezora fotografija
• Može li se zaobići zaključavanje Face ID-om na skrivenom albumu
• Što AES-256 šifriranje zapravo štiti

Često postavljana pitanja

Može li netko stvarno otkriti moj uzorak iz mrlja na ekranu?

Da, u pravim uvjetima. Istraživanje koje je nazvalo napad mrljama fotografiralo je ekrane pod kontroliranim osvjetljenjem i kutovima kamere te obnovilo potpuni uzorak u 68 posto testova, s dijelom uzorka vidljivim u 92 posto. Uobičajeno rukovanje razmazuje staklo i time otežava napad, a čišćenje ekrana ga potpuno uklanja, no napad je stvaran i odnosi se samo na uzorke. Tipkovnica za PIN ostavlja tragove koji otkrivaju koje znamenke koristiš, ali ne otkrivaju njihov redoslijed.

Je li Face ID sigurniji od lozinke na iPhoneu?

To nisu alternative. Face ID je brzi put do iste lozinke, a lozinka ostaje temeljna vjerodajnica, zato je iOS traži nakon ponovnog pokretanja, nakon 48 sati bez otključavanja i nakon pet neuspjelih pokušaja prepoznavanja lica. Face ID je mnogo bolji protiv promatranja, jer nema ništa za gledati. Lozinka je bolja u slučaju kad ti netko može prisloniti telefon licu. Koristi oboje, i neka lozinka bude duga.

Pomaže li zaseban uzorak trezora ako netko već zna moju lozinku za iPhone?

To mu je i glavna svrha. Osoba koja zna tvoju lozinku dobiva cijeli telefon: Fotografije, Poruke, skriveni album, iCloud na webu. Trezor sa svojom vjerodajnicom jedini je dio koji se ne otvara zajedno s ostalima, pod uvjetom da uzorak nikad ne nacrtaš pred njom i da nikad ne ponoviš znamenke lozinke kao njegov oblik. Odaberi nešto što nikad nisi upisao pred tom osobom, jer je ovdje pravi napad upravo poznatost.

Što se dogodi ako zaboravim uzorak?

U aplikaciji u kojoj uzorak izvodi ključ za šifriranje, ništa ne može obnoviti datoteke osim samog uzorka ili fraze za oporavak izdane pri postavljanju. To je izravna posljedica dizajna: nijedan poslužitelj ne čuva kopiju, pa je nijedan postupak podrške ne može poništiti. Frazu čuvaj na papiru, odvojeno od telefona. Naš vodič o zaboravljenim lozinkama za trezor fotografija, povezan niže, prolazi kroz preostale mogućnosti i objašnjava kojim tvrdnjama o oporavku ne treba vjerovati.