此 PIN 易被猜中：智能手机解锁 PIN 码安全性分析
密码学与安全
2024-04-02 v3 人机交互
摘要
在本文中，我们提供了首个关于用户在智能手机上自选的 4 位与 6 位 PIN 码（n=1220）的综合研究，参与者被明确引导至设备解锁情境。我们发现，面对受限攻击者（10、30 或 100 次猜测，匹配智能手机解锁设置），使用 6 位 PIN 而非 4 位 PIN 几乎未带来安全性提升，且出人意料地甚至可能降低安全性。我们还研究了黑名单的效果，即选择时禁止一组“易猜”的 PIN 码。目前 iOS 使用了两个此类黑名单，分别针对 4 位（274 个 PIN）与 6 位（2910 个 PIN）。我们提取了这两个黑名单，并将其与另外四个黑名单比较，包括一个小型 4 位（27 个 PIN）、一个大型 4 位（2740 个 PIN），以及两个总是排除首选 PIN 的 4 位和 6 位安慰剂黑名单。我们发现，当前 iOS 使用的相对较小黑名单在受限猜测攻击下收益甚微或毫无益处。仅当黑名单规模大得多时才能观察到安全收益，而这又以增加用户挫败感为代价。我们的分析表明，约占 PIN 空间 10% 的黑名单可能在可用性与安全性之间提供最佳平衡。
引用
@article{arxiv.2003.04868,
title = {This PIN Can Be Easily Guessed: Analyzing the Security of Smartphone Unlock PINs},
author = {Philipp Markert and Daniel V. Bailey and Maximilian Golla and Markus Dürmuth and Adam J. Aviv},
journal= {arXiv preprint arXiv:2003.04868},
year = {2024}
}
备注
15+3 pages, 9 figures, 8+5 tables