Padrão vs PIN vs Face ID: Qual É Realmente Mais Seguro?

A pergunta parece ter uma única resposta, e quase tem, até você perguntar de quem está protegendo o telefone. Um estranho que o encontra em um trem, um colega sentado à sua frente no almoço e um parceiro que já conhece o seu código são três problemas diferentes, e os três bloqueios falham diante deles em ordens diferentes. A seguir vem a classificação, a pesquisa por trás dela e a parte mais importante de tudo: qual bloqueio pertence ao telefone, e qual pertence às fotos guardadas nele.

Contra alguém observando você desbloquear o telefone, o padrão é, de longe, o mais fraco dos três. Em um estudo controlado de espionagem visual com uma única observação, os atacantes reproduziram um padrão desenhado com o traço visível em cerca de 64 por cento das vezes, enquanto um PIN de seis dígitos caiu em cerca de 11 por cento das vezes. Um padrão também deixa um registro físico: a pesquisa original sobre o ataque de manchas recuperou o padrão completo a partir da gordura dos dedos na tela em 68 por cento dos testes sob iluminação favorável, e parte dele em 92 por cento. O Face ID não entrega nada a quem observa, e é por isso que vence no papel, e a Apple estima a chance de um rosto aleatório coincidir com o seu em cerca de um em um milhão. Sua fraqueza é outra. Ele funciona enquanto você dorme e funciona quando alguém aponta o telefone para o seu rosto, e no iPhone ele é um atalho para o código, não um substituto dele, então um código observado o anula. O tamanho do tabuleiro também importa. Quase todo número de padrão publicado descreve uma grade três por três, e um tabuleiro cinco por cinco com um mínimo de seis pontos fica em uma faixa completamente diferente. Use o Face ID com um código longo no próprio aparelho, e coloque uma credencial separada no aplicativo que guarda tudo o que você não entregaria a um estranho.

A classificação resumida, e a pergunta que muda tudo

Avaliando quão bem cada um resiste a ser observado, a ordem é clara: Face ID em primeiro lugar, um PIN longo em segundo, e o padrão por último. O Face ID não revela nada a quem observa, porque a credencial nunca sai do seu rosto. Um PIN é digitado em uma área pequena que uma mão consegue cobrir, e cada dígito extra multiplica por dez o espaço de tentativas. Um padrão é um gesto grande, desenhado sobre a maior parte da tela, geralmente com uma linha brilhante seguindo o dedo, e é o único dos três que uma pessoa sentada duas cadeiras adiante consegue simplesmente memorizar. Isso não é um efeito pequeno na pesquisa, é a diferença entre cara ou coroa e uma aposta quase perdida.

Depois faça outra pergunta. Quem realmente abre telefones sem permissão? Na esmagadora maioria dos casos não é um estranho com uma câmera, é alguém que já está na sala: um parceiro, um colega de apartamento, um colega de trabalho, um parente. Essa pessoa geralmente já conhece o seu código, já viu você desbloquear o telefone centenas de vezes e não precisa de nenhum ataque. Contra ela, a classificação acima não importa, porque os três bloqueios já estão abertos. A única coisa que ainda resiste é uma segunda credencial que essa pessoa nunca viu, no aplicativo que guarda o material que vale a pena proteger. Nosso guia sobre como bloquear aplicativos individuais com Face ID no iPhone cobre a metade nativa dessa solução, e vale a pena ler junto com este.

O que cada bloqueio revela a quem está observando

Pesquisadores mediram isso, em vez de apenas supor. Em um estudo de espionagem visual com uma única observação, um padrão desenhado com o traço visível foi reproduzido com sucesso pelo observador em cerca de 64 por cento das vezes, enquanto um PIN de seis dígitos foi reproduzido em cerca de 11 por cento das vezes. Desligar o traço visível ajuda bastante o padrão, e cobrir o teclado ajuda o PIN, mas a diferença sobrevive aos dois casos. A razão é geométrica. Um PIN é uma sequência de toques pequenos em uma grade densa, e um único dígito lido errado arruína toda a tentativa. Um padrão é uma forma contínua, e uma forma é exatamente o tipo de coisa que a memória humana guarda bem depois de um único olhar.

Um padrão também deixa evidências depois do fato. O trabalho original sobre o ataque de manchas fotografou telas de telefone sob iluminação controlada e recuperou o padrão de desbloqueio completo a partir do rastro de gordura em 68 por cento dos testes, com parte do padrão visível em 92 por cento. Um teclado de PIN também acumula manchas, mas as manchas não indicam a ordem, então um atacante descobre quais dígitos, e não a sequência. O Face ID não deixa nada no vidro e nada na sala. Em vez disso, ele funciona sempre que seu rosto está diante da câmera, inclusive enquanto você dorme, o que é uma fraqueza real e específica, não apenas teórica. A Apple reduz esse risco exigindo o código após reiniciar, após 48 horas sem desbloqueio, e após cinco tentativas de reconhecimento facial malsucedidas, além de oferecer a Proteção Contra Roubo do Dispositivo para o caso de um ladrão já ter visto você digitar o código.

A aritmética por trás disso, e por que o tamanho do tabuleiro muda tudo

Toda estatística de padrão amplamente citada descreve a grade três por três do Android, em que trajetos de quatro a nove pontos somam 389.112 possibilidades no total. Isso é mais do que um PIN de quatro dígitos, com 10.000, e menos do que um PIN de seis dígitos, com 1.000.000, e os dois números exageram a dificuldade real, porque nem as escolhas de padrão nem as de PIN chegam perto de ser aleatórias. As pessoas começam padrões no canto superior esquerdo com muito mais frequência do que o acaso permitiria, e desenham letras que já conhecem. As pessoas escolhem 1234, 0000 e anos de nascimento. Um atacante que tenta primeiro as escolhas populares não está percorrendo todo o espaço possível, apenas a parte mais concorrida dele.

O tamanho do tabuleiro é a variável que ninguém menciona, e ela domina o restante. Contando apenas trajetos que usam seis pontos diferentes, um tabuleiro cinco por cinco oferece 127.512.000 combinações antes de qualquer regra de desenho reduzir a lista, contra 1.000.000 de um PIN de seis dígitos. O Vaultaire usa um tabuleiro cinco por cinco exatamente por esse motivo, exige pelo menos seis pontos e pelo menos duas mudanças de direção, e avisa quando a forma que você acabou de desenhar é uma sequência linear, uma espiral ou uma letra reconhecível. Nada disso resolve o problema da observação, que é uma característica de desenhar no vidro na frente de outras pessoas, não da grade em si. Isso significa que um padrão só é a escolha fraca quando alguém está observando, e é uma escolha forte quando ninguém está.

Qual bloqueio pertence a qual porta

Trate o telefone e o material privado guardado nele como duas portas separadas. No telefone, use o Face ID com um código longo por trás dele, e ative a Proteção Contra Roubo do Dispositivo, que exige o Face ID, sem opção de código alternativo, para ações sensíveis quando você está fora dos seus locais habituais. Essa combinação resolve o problema do estranho, do batedor de carteira e da pessoa que filmou você desbloqueando o telefone em um café. O que ela não resolve é a pessoa que já conhece o código, ou o momento em que você entrega o telefone desbloqueado para alguém ver uma foto e essa pessoa continua rolando a tela. Para isso você precisa de um bloqueio que não se abre só porque o telefone abriu.

Essa é a segunda porta, e é onde o padrão ganha o seu lugar. No Vaultaire, o padrão não é comparado a uma cópia armazenada, porque não existe cópia armazenada para comparar. Os pontos que você desenha são serializados e passam pelo PBKDF2 com SHA-512 em 600.000 iterações, junto com um salt vinculado ao aparelho e guardado no chaveiro do iOS, e o resultado é a chave AES-256 que decifra os arquivos. Errar o padrão não gera uma mensagem de rejeição de um servidor, gera uma chave que não abre nada. Não existe conta, não existe redefinição de senha e não existe cópia do cofre em nenhum outro lugar, e é o mesmo motivo pelo qual uma frase de recuperação é emitida na configuração e vale a pena guardar fora do telefone. Nosso guia sobre o que a criptografia AES-256 realmente protege cobre o lado da cifra, e nossa auditoria de alegações de segurança de aplicativos de cofre mostra como verificar se um aplicativo realmente faz isso ou apenas esconde uma pasta. O Vaultaire é gratuito para até 5 cofres.

Guias relacionados

• Como bloquear aplicativos com Face ID no iPhone
• Esqueceu a senha do seu cofre de fotos
• O bloqueio do álbum oculto por Face ID pode ser burlado
• O que a criptografia AES-256 realmente protege

Perguntas Frequentes

Alguém realmente consegue descobrir meu padrão pelas manchas na tela?

Sim, nas condições certas. A pesquisa que batizou o ataque de manchas fotografou telas com iluminação e ângulos de câmera controlados e recuperou o padrão completo em 68 por cento dos testes, com parte dele visível em 92 por cento. O manuseio comum borra o vidro e dificulta o ataque, e limpar a tela remove as manchas por completo, mas o ataque é real e se aplica só a padrões. Um teclado de PIN deixa marcas que revelam quais dígitos você usa, sem revelar a ordem.

O Face ID é mais seguro do que um código no iPhone?

Eles não são alternativas um ao outro. O Face ID é um caminho rápido para o mesmo código, e o código continua sendo a credencial de base, e é por isso que o iOS pede o código após reiniciar, após 48 horas sem desbloqueio, e após cinco tentativas de reconhecimento facial malsucedidas. O Face ID é muito melhor contra observação, já que não há nada para se ver. O código é melhor contra o caso em que alguém consegue apontar o telefone para o seu rosto. Use os dois, e escolha um código longo.

Um padrão separado no cofre ajuda se alguém já souber o meu código do iPhone?

É exatamente para isso que ele serve. Uma pessoa que conhece o seu código tem acesso ao telefone inteiro: Fotos, Mensagens, o álbum oculto, o iCloud pela web. Um cofre com credencial própria é a única parte que não se abre junto com o resto, desde que você nunca desenhe o padrão na frente dessa pessoa e nunca reaproveite os dígitos do código como formato do padrão. Escolha algo que você nunca digitou na frente dela, porque a familiaridade é o verdadeiro ataque aqui.

O que acontece se eu esquecer o padrão?

Em um aplicativo em que o padrão gera a chave de criptografia, nada consegue recuperar os arquivos além do próprio padrão ou da frase de recuperação emitida na configuração. Isso é uma consequência direta do design: nenhum servidor guarda uma cópia, então nenhum suporte consegue redefini-la. Guarde a frase em papel, longe do telefone. Nosso guia sobre senhas esquecidas de cofre de fotos, com link abaixo, mostra as opções que restam e quais promessas de recuperação não merecem confiança.