Een donkerblauw oppervlak met drie afzonderlijke objecten op een rij: een doorschijnende blauwgroene kubus waarvan het bovenvlak een raster van vijf bij vijf kleine puntjes toont met een gloeiende lijn die er zes van doorloopt, een lage schaal met vijf identieke lege ronde tegels, en een smalle kegel blauwgroen licht die op een leeg voetstuk valt.

Patroonvergrendeling vs pincode vs Face ID: wat is echt veiliger?

De vraag klinkt alsof er een eenduidig antwoord op moet zijn, en dat klopt bijna, tot je vraagt tegen wie je de telefoon eigenlijk beschermt. Een vreemde die hem in de trein vindt, een collega die tegenover je zit tijdens de lunch, en een partner die je toegangscode al kent zijn drie verschillende problemen, en de drie vergrendelingen falen tegen hen in een andere volgorde. Hierna volgt de rangschikking, het onderzoek erachter, en het deel dat belangrijker is dan al de rest: welke vergrendeling op de telefoon thuishoort, en welke op de foto's erin.

Tegen iemand die toekijkt terwijl je ontgrendelt, is een patroon met ruime voorsprong de zwakste van de drie. In een gecontroleerd onderzoek naar shoulder surfing met een enkele observatie reproduceerden aanvallers een patroon dat met zichtbare spoorlijn was getekend ongeveer 64 procent van de keren, terwijl een zescijferige pincode ongeveer 11 procent van de keren werd gereproduceerd. Een patroon laat ook fysiek bewijs achter: het oorspronkelijke smudge attack onderzoek herstelde het volledige patroon uit vingervet op het scherm in 68 procent van de tests bij gunstige belichting, en een deel ervan in 92 procent. Face ID geeft een omstander helemaal niets, wat verklaart waarom het op papier wint, en Apple schat de kans dat een willekeurig gezicht overeenkomt met het jouwe op ongeveer een op een miljoen. De zwakte ervan ligt elders. Het werkt terwijl je slaapt en het werkt wanneer iemand de telefoon voor je gezicht houdt, en op iPhone is het een snelkoppeling naar de toegangscode in plaats van een vervanging ervan, dus een afgekeken toegangscode maakt het ongedaan. De grootte van het bord speelt ook mee. Vrijwel elke gepubliceerde patroonstatistiek beschrijft een raster van drie bij drie, en een raster van vijf bij vijf met een minimum van zes punten valt in een compleet ander bereik. Gebruik Face ID met een lange toegangscode op het toestel zelf, en zet een aparte inlogmethode op de app die alles bevat wat je niet aan een vreemde zou geven.

De korte rangschikking, en de vraag die haar omdraait

Beoordeeld op hoe goed elke methode meekijken doorstaat, is de volgorde duidelijk: Face ID eerst, een lange pincode tweede, een patroon laatst. Face ID onthult niets aan een toeschouwer, omdat de inloggegevens je gezicht nooit verlaten. Een pincode wordt ingevoerd in een klein gebied dat een hand kan afschermen, en elk extra cijfer vermenigvuldigt de gokruimte met tien. Een patroon is een groot gebaar dat over het grootste deel van het scherm wordt getekend, meestal met een heldere lijn die je vinger volgt, en het is de enige van de drie die iemand twee stoelen verderop simpelweg kan onthouden. Dat is geen klein effect in het onderzoek, het is het verschil tussen een muntworp en een verre gok.

Stel dan een andere vraag. Wie opent telefoons eigenlijk zonder toestemming? Overweldigend vaak is dat geen vreemde met een camera, maar iemand die al in de kamer is: een partner, een huisgenoot, een collega, een familielid. Die persoon kent meestal je toegangscode, heeft je de telefoon al honderd keer zien ontgrendelen, en heeft helemaal geen aanval nodig. Tegen hen is de rangschikking hierboven irrelevant, omdat alle drie de vergrendelingen al open staan. Het enige wat dan nog standhoudt, is een tweede inlogmethode die ze nog nooit hebben gezien, op de app die het materiaal bevat dat de moeite van het beschermen waard is. Onze handleiding over losse apps vergrendelen met Face ID op iPhone behandelt de ingebouwde helft daarvan, en is de moeite van het lezen waard naast deze.

Wat elke vergrendeling prijsgeeft aan iemand die meekijkt

Onderzoekers hebben dit gemeten in plaats van geraden. In een onderzoek naar shoulder surfing met een enkele observatie werd een patroon dat met zichtbare spoorlijn was getekend door de waarnemer ongeveer 64 procent van de keren correct gereproduceerd, terwijl een zescijferige pincode ongeveer 11 procent van de keren werd gereproduceerd. De spoorlijn uitschakelen helpt een patroon aanzienlijk, en het toetsenblok afschermen helpt een pincode, maar het verschil blijft bij beide maatregelen bestaan. De reden is geometrisch. Een pincode is een reeks kleine tikken in een dicht raster, en één verkeerd gelezen cijfer verpest de hele gok. Een patroon is een aaneengesloten vorm, en een vorm is precies het soort ding dat het menselijk geheugen goed kan vasthouden na één keer kijken.

Een patroon laat ook achteraf sporen achter. Het oorspronkelijke smudge attack onderzoek fotografeerde telefoonschermen onder gecontroleerde belichting en herstelde het volledige ontgrendelingspatroon uit het vetspoor in 68 procent van de tests, met een deel van het patroon zichtbaar in 92 procent. Ook een pincodetoetsenblok wordt vies, maar de vegen dragen geen volgorde, dus een aanvaller ontdekt welke cijfers, niet de volgorde. Face ID laat niets achter op het glas en niets in de kamer. Wat het wel doet, is werken telkens wanneer je gezicht voor de camera is, ook tijdens je slaap, wat een echte en specifieke zwakte is en geen theoretische. Apple beperkt dit door de toegangscode te vereisen na een herstart, na 48 uur zonder ontgrendeling, en na vijf mislukte gezichtsherkenningen, en door Bescherming bij diefstal te leveren voor het geval een dief je al zag typen.

De rekensom eronder, en waarom de bordgrootte het verandert

Vrijwel elke veelgeciteerde patroonstatistiek beschrijft het Android raster van drie bij drie, waar paden van vier tot negen punten in totaal 389.112 mogelijkheden geven. Dat is meer dan een viercijferige pincode met 10.000 en minder dan een zescijferige pincode met 1.000.000, en beide getallen overschatten de werkelijke moeilijkheidsgraad, omdat noch patroonkeuzes noch pincodekeuzes ook maar in de buurt van willekeurig komen. Mensen beginnen patronen veel vaker in de linkerbovenhoek dan toeval zou toelaten en tekenen letters die ze al kennen. Mensen kiezen 1234 en 0000 en geboortejaren. Een aanvaller die eerst de populaire keuzes probeert, doorzoekt niet de hele ruimte, alleen het drukbezette deel ervan.

Bordgrootte is de variabele die niemand noemt, en die de rest overheerst. Alleen al de paden geteld die zes verschillende punten gebruiken, biedt een raster van vijf bij vijf 127.512.000 volgordes voordat er ook maar één tekenregel wordt toegepast, tegenover 1.000.000 voor een zescijferige pincode. Vaultaire gebruikt precies om die reden een raster van vijf bij vijf, vereist minstens zes punten en minstens twee richtingsveranderingen, en waarschuwt je wanneer de vorm die je net tekende een opeenvolgende reeks, een spiraal of een herkenbare letter is. Niets daarvan lost het observatieprobleem op, dat een eigenschap is van tekenen op glas voor de ogen van mensen en niet van het raster. Het betekent wel dat een patroon alleen de zwakke keuze is wanneer iemand toekijkt, en een sterke wanneer niemand dat doet.

Welke vergrendeling bij welke deur hoort

Behandel de telefoon en het privématerieel erin als twee aparte deuren. Gebruik op de telefoon Face ID met een lange toegangscode erachter, en zet Bescherming bij diefstal aan, die Face ID afdwingt zonder terugvaloptie naar de toegangscode voor gevoelige handelingen wanneer je buiten je gebruikelijke plekken bent. Die combinatie beantwoordt de vreemde, de zakkenroller en de persoon die je in een café zag ontgrendelen. Wat ze niet kan beantwoorden, is de persoon die de toegangscode al kent, of het moment waarop je de ontgrendelde telefoon aan iemand geeft om een foto te tonen en diegene blijft doorscrollen. Daarvoor heb je een vergrendeling nodig die niet opengaat alleen omdat de telefoon dat wel deed.

Dat is de tweede deur, en daar verdient een patroon zijn plaats. In Vaultaire wordt het patroon niet vergeleken met een opgeslagen kopie, omdat er geen opgeslagen kopie is om tegen te vergelijken. De punten die je tekent worden geserialiseerd en door PBKDF2 met SHA-512 gehaald met 600.000 iteraties, samen met een aan het toestel gebonden salt die in de iOS sleutelhanger staat, en het resultaat is de AES-256 sleutel die de bestanden ontsleutelt. Het patroon verkeerd tekenen levert geen afwijzingsbericht van een server op, het levert een sleutel op die niets opent. Er is geen account, geen wachtwoordherstel en nergens een kopie van de kluis, wat dezelfde reden is waarom bij het instellen een herstelzin wordt uitgegeven die het waard is offline te bewaren. Onze uitleg over wat AES-256 versleuteling werkelijk beschermt behandelt de cijferkant, en onze audit van beveiligingsclaims van kluisapps behandelt hoe je nagaat of een bepaalde app dit echt doet of alleen een map verbergt. Vaultaire is gratis voor tot 5 kluizen.

Gerelateerde handleidingen

Bronnen

Veelgestelde vragen

Kan iemand echt mijn patroon achterhalen uit vegen op het scherm?

Ja, onder de juiste omstandigheden. Het onderzoek dat de smudge attack zijn naam gaf, fotografeerde schermen met gecontroleerde belichting en camerahoeken en herstelde het volledige patroon in 68 procent van de tests, met een deel ervan zichtbaar in 92 procent. Gewoon gebruik vervaagt het glas en maakt het moeilijker, en het scherm schoonmaken verwijdert het helemaal, maar de aanval is echt en geldt alleen voor patronen. Een pincodetoetsenblok laat sporen achter die onthullen welke cijfers je gebruikt, zonder de volgorde te onthullen.

Is Face ID veiliger dan een toegangscode op iPhone?

Het zijn geen alternatieven voor elkaar. Face ID is een snel pad naar dezelfde toegangscode, en de toegangscode blijft de onderliggende inloggegevens, wat verklaart waarom iOS ernaar vraagt na een herstart, na 48 uur zonder ontgrendeling, en na vijf mislukte gezichtsherkenningen. Face ID is veel beter tegen meekijken, omdat er niets valt af te kijken. De toegangscode is beter voor het geval iemand de telefoon op je kan richten. Gebruik allebei, en maak de toegangscode lang.

Helpt een apart kluispatroon als iemand mijn iPhone toegangscode al kent?

Daar dient het vooral voor. Iemand die je toegangscode kent, krijgt de hele telefoon: Foto's, Berichten, het verborgen album, iCloud op het web. Een kluis met een eigen inlogmethode is het enige onderdeel dat niet met de rest meegaat, mits je het patroon nooit voor die persoon tekent en de cijfers van de toegangscode nooit hergebruikt als de vorm ervan. Kies iets dat je nog nooit hebt getikt waar die persoon bij was, want vertrouwdheid is hier de eigenlijke aanval.

Wat gebeurt er als ik het patroon vergeet?

In een app waar het patroon de versleutelingssleutel aflevert, kan niets de bestanden herstellen behalve het patroon zelf of de herstelzin die bij het instellen werd uitgegeven. Dat is een rechtstreeks gevolg van het ontwerp: geen enkele server bewaart een kopie, dus geen enkel ondersteuningsproces kan het resetten. Bewaar de zin op papier, uit de buurt van de telefoon. Onze handleiding over een vergeten wachtwoord voor de fotokluis, hieronder gelinkt, behandelt de overgebleven opties en welke herstelclaims je niet moet vertrouwen.

Download Vaultaire gratis