Gesto vs PIN vs Face ID: Čo je naozaj bezpečnejšie?

Otázka znie, akoby mala jednu odpoveď, a takmer ju má, kým sa nespýtate, pred kým vlastne telefón chránite. Cudzí človek, ktorý ho nájde vo vlaku, kolega sediaci oproti vám pri obede a partner, ktorý už váš kód pozná, sú tri odlišné problémy, a všetky tri zámky pred nimi zlyhávajú v inom poradí. Nasleduje poradie, výskum, na ktorom stojí, a časť dôležitejšia než čokoľvek z toho: ktorý zámok patrí na telefón a ktorý na fotky vnútri neho.

Proti niekomu, kto vás sleduje pri odomykaní, je gesto zo všetkých troch zďaleka najslabšie. V jednej kontrolovanej štúdii jednorazového sledovania cez rameno útočníci zopakovali gesto nakreslené s viditeľnou stopou zhruba v 64 percentách prípadov, zatiaľ čo šesťmiestny PIN padol zhruba v 11 percentách prípadov. Gesto navyše zanecháva fyzickú stopu: pôvodný výskum útoku rozmazaním obnovil celé gesto z mastnoty na obrazovke v 68 percentách testov pri priaznivom osvetlení a jeho časť v 92 percentách. Face ID pozorovateľovi neprezradí vôbec nič, a preto na papieri víťazí, pričom Apple udáva šancu, že sa náhodná tvár zhoduje s tou vašou, zhruba na jedna ku miliónu. Jeho slabina je iná. Funguje, aj keď spíte, a funguje aj vo chvíli, keď vám niekto telefón pridrží pred tvárou, a na iPhone je to skratka ku kódu, nie jeho náhrada, takže sledovaný kód ho zneplatní. Záleží aj na veľkosti mriežky. Takmer každé publikované číslo o gestách opisuje mriežku tri krát tri, zatiaľ čo mriežka päť krát päť s minimom šiestich bodiek sa pohybuje v úplne inom rozsahu. Na samotnom zariadení používajte Face ID s dlhým kódom a na aplikácii, ktorá ukrýva čokoľvek, čo by ste cudziemu človeku nezverili, nastavte samostatný prístupový údaj.

Stručné poradie a otázka, ktorá ho obracia

Podľa toho, ako dobre každý zámok prežije, keď ho niekto sleduje, je poradie jasné: najprv Face ID, potom dlhý PIN a napokon gesto. Face ID pozorovateľovi neprezradí nič, pretože prístupový údaj nikdy neopustí vašu tvár. PIN sa zadáva na malej ploche, ktorú možno zakryť rukou, a každá ďalšia číslica desaťnásobne znásobí priestor na uhádnutie. Gesto je veľké gesto ťahané cez väčšinu obrazovky, zvyčajne so svietiacou čiarou sledujúcou váš prst, a je jediné z troch, ktoré si človek o dve miesta ďalej dokáže jednoducho zapamätať. Vo výskume to nie je malý rozdiel, je to rozdiel medzi hodom mincou a takmer nemožnou šancou.

Potom si položte inú otázku. Kto vlastne otvára telefóny bez dovolenia? Väčšinou to nie je cudzí človek s kamerou, ale niekto, kto je už v miestnosti: partner, spolubývajúci, kolega, príbuzný. Tento človek zvyčajne váš kód pozná, videl vás telefón odomykať stokrát a nepotrebuje žiadny útok. Proti nemu je poradie vyššie bezvýznamné, pretože všetky tri zámky sú už otvorené. Jediné, čo stále drží, je druhý prístupový údaj, ktorý nikdy nevidel, na aplikácii, ktorá ukrýva materiál, o ktorý sa oplatí starať. Náš návod na zamykanie jednotlivých aplikácií pomocou Face ID na iPhone pokrýva tú vstavanú polovicu a oplatí sa ho čítať spolu s týmto článkom.

Čo ktorý zámok prezradí niekomu, kto sa pozerá

Výskumníci to zmerali namiesto toho, aby to len odhadovali. V štúdii jednorazového sledovania cez rameno pozorovateľ úspešne zopakoval gesto nakreslené s viditeľnou stopou zhruba v 64 percentách prípadov, zatiaľ čo šesťmiestny PIN zopakoval zhruba v 11 percentách prípadov. Vypnutie viditeľnej stopy gestu výrazne pomôže a zakrytie klávesnice pomôže PINu, ale rozdiel prežije oboje. Dôvod je geometria. PIN je postupnosť malých ťuknutí v hustej mriežke a jedna zle prečítaná číslica zničí celý odhad. Gesto je jeden súvislý tvar, a tvar je presne to, čo si ľudská pamäť dobre pamätá po jedinom pohľade.

Gesto po sebe navyše zanecháva dôkaz. Pôvodná práca o útoku rozmazaním odfotografovala obrazovky telefónov pri kontrolovanom osvetlení a obnovila celé odomykacie gesto zo stopy mastnoty v 68 percentách testov, pričom časť gesta bola viditeľná v 92 percentách. Klávesnica PINu sa tiež rozmazáva, ale rozmazané stopy nenesú poradie, takže útočník zistí, ktoré číslice, nie ich postupnosť. Face ID nezanechá nič na skle ani nič v miestnosti. Namiesto toho funguje kedykoľvek je vaša tvár pred kamerou, vrátane chvíle, keď spíte, čo je skutočná a konkrétna slabina, nie teoretická. Apple ju zmierňuje tým, že po reštarte, po 48 hodinách bez odomknutia a po piatich neúspešných pokusoch o rozpoznanie tváre vyžaduje kód, a ponúka funkciu Ochrana ukradnutého zariadenia pre prípad, keď vás zlodej už videl kód zadávať.

Matematika v pozadí a prečo ju mení veľkosť mriežky

Každá široko citovaná štatistika o gestách opisuje androidnú mriežku tri krát tri, kde cesty cez štyri až deväť bodiek dávajú spolu 389 112 možností. To je viac než štvormiestny PIN s 10 000 možnosťami a menej než šesťmiestny PIN s 1 000 000 možnosťami, pričom obe čísla skutočnú náročnosť nadhodnocujú, pretože ani voľby gest, ani voľby PINov nie sú zďaleka náhodné. Ľudia začínajú gestá v ľavom hornom rohu oveľa častejšie, než dovoľuje náhoda, a kreslia písmená, ktoré už poznajú. Ľudia volia 1234, 0000 a roky narodenia. Útočník, ktorý najprv skúša obľúbené voľby, neprechádza celý priestor možností, len jeho preplnený koniec.

Veľkosť mriežky je premenná, o ktorej nikto nehovorí, a tá zvyšok prebíja. Keď sa počítajú len cesty využívajúce šesť rôznych bodiek, mriežka päť krát päť ponúka 127 512 000 usporiadaní ešte pred uplatnením akéhokoľvek kresliaceho pravidla, oproti 1 000 000 pri šesťmiestnom PINe. Vaultaire práve z tohto dôvodu používa mriežku päť krát päť, vyžaduje aspoň šesť bodiek a aspoň dve zmeny smeru a upozorní vás, keď je tvar, ktorý ste práve nakreslili, sekvenčný rad, špirála alebo rozpoznateľné písmeno. Nič z toho nenapraví problém pozorovania, čo je vlastnosť kreslenia na skle pred ľuďmi, nie mriežky. Znamená to však, že gesto je slabou voľbou len vtedy, keď sa niekto pozerá, a silnou voľbou vtedy, keď sa nepozerá nikto.

Ktorý zámok patrí na ktoré dvere

Berte telefón a súkromný materiál v ňom ako dvoje samostatné dvere. Na telefóne používajte Face ID s dlhým kódom za sebou a zapnite Ochranu ukradnutého zariadenia, ktorá mimo vašich obvyklých miest vynucuje Face ID bez záložného kódu pre citlivé akcie. Táto kombinácia odpovie na cudzieho človeka, vreckára aj osobu, ktorá vás natočila pri odomykaní v kaviarni. Neodpovie však na osobu, ktorá kód už pozná, ani na chvíľu, keď odomknutý telefón podáte niekomu, aby si pozrel fotku, a on ďalej listuje. Na to potrebujete zámok, ktorý sa neotvorí len preto, že sa otvoril telefón.

To sú druhé dvere, a tu si gesto vydobýja svoje miesto. Vo Vaultaire sa gesto neporovnáva s uloženou kópiou, pretože žiadna uložená kópia na porovnanie neexistuje. Bodky, ktoré nakreslíte, sa serializujú a prejdú funkciou PBKDF2 so SHA-512 pri 600 000 iteráciách voči soli viazanej na zariadenie, uloženej v kľúčenke iOS, a výsledkom je kľúč AES-256, ktorý dešifruje súbory. Zle zadané gesto nevytvorí chybové hlásenie zo servera, vytvorí kľúč, ktorý nič neotvorí. Neexistuje účet, reset hesla ani kópia trezoru nikde inde, čo je aj dôvod, prečo sa pri nastavení vydáva obnovovacia fráza a prečo sa oplatí uchovávať ju mimo zariadenia. Náš výklad čo šifrovanie AES-256 skutočne chráni pokrýva stránku šifry a náš audit bezpečnostných tvrdení aplikácií pre trezor fotiek ukazuje, ako overiť, či daná aplikácia robí skutočne toto, alebo len skrýva priečinok. Vaultaire je zadarmo až do 5 trezorov.

Súvisiace návody

• Ako zamknúť aplikácie pomocou Face ID na iPhone
• Zabudnuté heslo trezoru fotiek
• Dá sa obísť zámok Face ID skrytého albumu
• Čo šifrovanie AES-256 skutočne chráni

Časté otázky

Dokáže mi niekto naozaj rozlúštiť gesto zo šmúh na obrazovke?

Áno, za správnych podmienok. Výskum, ktorý útok rozmazaním pomenoval, fotografoval obrazovky pri kontrolovanom osvetlení a uhloch kamery a obnovil celé gesto v 68 percentách testov, pričom jeho časť bola viditeľná v 92 percentách. Bežné držanie sklo rozmazáva a útok tým sťažuje a utretie obrazovky ho odstráni úplne, ale útok je reálny a týka sa len gest. Klávesnica PINu zanecháva stopy, ktoré prezradia, ktoré číslice používate, ale nie ich poradie.

Je Face ID na iPhone bezpečnejšie než kód?

Nejde o alternatívy. Face ID je rýchla cesta k rovnakému kódu a kód zostáva skutočným prístupovým údajom, a preto si ho iOS vyžiada po reštarte, po 48 hodinách bez odomknutia a po piatich neúspešných pokusoch o rozpoznanie tváre. Face ID je oveľa lepšie proti sledovaniu, pretože nie je čo pozorovať. Kód je lepší v prípade, keď vám niekto môže telefón nasmerovať pred tvár. Používajte oboje a kód volte dlhý.

Pomôže samostatné gesto trezoru, ak už niekto pozná kód môjho iPhonu?

Presne na to slúži. Človek, ktorý pozná váš kód, získa celý telefón: Fotky, Správy, skrytý album, iCloud na webe. Trezor s vlastným prístupovým údajom je jediná časť, ktorá sa s ostatnými neotvorí, pokiaľ gesto nikdy nenakreslíte pred ním a nikdy nepoužijete číslice kódu ako jeho tvar. Zvoľte niečo, čo ste pred tou osobou nikdy nezadávali, pretože skutočným útokom je tu dôverná znalosť.

Čo sa stane, ak gesto zabudnem?

V aplikácii, kde gesto odvodzuje šifrovací kľúč, nedokáže súbory obnoviť nič okrem samotného gesta alebo obnovovacej frázy vydanej pri nastavení. To je priamy dôsledok návrhu: žiadny server kópiu neuchováva, takže ju žiadna podpora nemôže resetovať. Frázu uchovávajte na papieri, mimo telefónu. Náš návod na zabudnuté heslo trezoru fotiek, odkazovaný nižšie, prechádza zostávajúce možnosti a to, ktorým sľubom obnovy neveriť.