Dies wird als "Smudge Attack" bezeichnet.

Es hängt wirklich davon ab, wie oft Sie Ihr Telefon seit dem letzten Entsperren verwendet haben, aber das allgemeine Prinzip bleibt bestehen. Wenn Sie die Musterfunktion von Android-Handys verwenden, kann dies besonders offensichtlich sein.

Die University of Pennsylvania veröffentlichte ein Forschungspapier zu diesem Thema und kam im Grunde zu dem Schluss, dass sie das herausfinden könnten Passwort über 90 Prozent der Zeit.

Die Studie fand auch heraus, dass „Musterflecken“, die sich aus dem mehrmaligen Schreiben desselben Passworts ergeben, besonders erkennbar sind.

Außerdem:

„Wir haben gezeigt, dass in vielen Situationen eine vollständige oder teilweise Wiederherstellung des Musters möglich ist, selbst wenn das Rauschen durch simulierte Anwendungsnutzung oder Verzerrung durch zufälligen Kleidungskontakt verwischt wird.“

Dies ist zwar ein plausibles Risiko, Es ist keine besonders praktische Sicherheitslücke, da ein Angreifer physischen Zugriff auf Ihr Telefon benötigt. Die Verwendung eines PIN-Codes über einem Muster kann die Wahrscheinlichkeit, dass dies eine Bedrohung darstellt, verringern , hängt jedoch von der Stärke Ihrer PIN und der Sauberkeit Ihrer Hände / Ihres Bildschirms ab. Dieselben Forscher postulieren jedoch einen weiteren möglichen Angriff unter Verwendung der Wärmereste, die durch den Kontakt zwischen Ihren Fingern und dem Bildschirm entstehen, was insgesamt ein weiteres Problem darstellen würde.

Natürlich ist das Reinigen Ihres Bildschirms nach jedem Gebrauch praktisch (und nicht) zu schwierig) Verteidigung gegen diesen spezifischen Angriff. Ich würde erwarten, dass wenn Sie Ihr Telefon verwendet haben (z. B. zum Tätigen von Anrufen / Senden einer Nachricht / zum Surfen im Internet), die Muster / Codes auch ausreichend verschleiert werden. Nach der Untersuchung meines Bildschirms scheint dies der Fall zu sein.

Eine Möglichkeit, Verschmutzungsangriffe auf Smartphones zu mildern, ist die Anwendung WhisperCore. Es ordnet die Nummern vertikal an und fordert Sie dann auf, den Bildschirm zu löschen, um das Telefon zu entsperren und die ursprünglichen Flecken zu verschleiern.

Wenn Sie zum Sperren ein Muster verwenden Ihr Telefon, nachdem Sie das richtige Muster eingegeben haben, ist ein Bildschirm voller Sterne. Wischen Sie über die hervorgehobenen Sterne, um das Telefon zu entsperren, und verschleiern Sie dabei erneut das ursprüngliche Verschmutzungsmuster.

Natürlich dient die Anwendung grundsätzlich als obligatorische Erinnerung zum Löschen Ihres Bildschirms, aber Dies geschieht auf eine Weise, die es weniger ärgerlich macht, den Bildschirm jedes Mal zu löschen, wenn Sie Ihr Telefon entsperren.

Bildquelle: Android Police

Es gab ein Papier (wird versuchen, es zu finden), das eine sehr gute Erklärung für eine Sicherheitsverbesserung gab:

Verwenden Sie eine der Ziffern mindestens zweimal in einem Passcode von mehr mehr als 4 Stellen

Grundsätzlich ist die Option "Muster streichen" sehr leicht zu erkennen - selbst in einiger Entfernung kann mit der Schulter gesurft werden. In diesem Dokument finden Sie einige interessante Informationen zu Techniken.

Die meisten Benutzer entscheiden sich für eine 4-stellige PIN, wenn sie die verwenden Pin-Option, also ist es das, was die meisten Angreifer versuchen werden. Wenn Sie das Telefon gegen das Licht halten, können Sie den Pin ganz klar sehen. Wenn Sie jedoch eine 6-stellige PIN haben, bei der 2 der Ziffern zweimal verwendet werden, wird der Angriffsraum ziemlich schwierig, da der Angreifer nicht weiß, ob Sie eine 4-stellige PIN, eine 5 oder sogar mehr verwenden - sie beginnen wahrscheinlich mit einer 4 und sperren das Telefon eher, als hineinzukommen.

Dies wäre ein guter Grund für eine andere Methode zum Entsperren, bei der die Entsperraktion jedes Mal anders war. Anstelle der Zahlen 0-9, die wie folgt angeordnet sind:

  7 8 94 5 61 2 3 0  

werden sie möglicherweise wie folgt angezeigt:

  3 5 71 2 46 9 0 8  

Anstelle von Zahlen können Sie auch Formen verwenden. Anstatt nur die Formen oder Zahlen zu treffen, können Sie sie in das richtige Muster umordnen. Dies wäre jedoch weniger sicher, da das richtige Muster unmittelbar vor dem Entsperren angezeigt wird. Wenn das Ziel jedoch darin besteht, die Zahlen in der Matrix in eine Reihenfolge zu bringen, in der die Summen usw. bestimmter Zeilen korrekt sind, ist dies möglicherweise noch sicherer / weniger offensichtlich für diejenigen, die Sie beim Ausführen der Entsperrsequenz gesehen oder aufgezeichnet haben.

Möglicherweise für nur Sehbehinderte, könnte es die Zahlen laut vorlesen (über ihre Kopfhörer). Für Seh- und Hörbehinderte kann das Telefon auf bestimmte Weise vibrieren, wenn sie verschiedene Teile des Telefons berühren, um festzustellen, welche Nummer welche ist. Sobald sie wissen, an welcher Nummer der Code eingegeben werden soll, berühren sie etwas. Sie können die Zahlen auch in einer bestimmten Ausrichtung sperren lassen und nur nach einem festgelegten Zeitplan ändern, um es weniger schwierig zu machen, sich an die neue Ausrichtung zu erinnern, oder sie sogar vollständig sperren, obwohl dies anfällig für Verschmutzungsangriffe wäre.

Ich jedenfalls habe meinen Bildschirm auf meinem Hemd immer abgewischt, nachdem ich es speziell aus diesem Grund entsperrt habe (und weil ich die Fingerabdrücke als störend empfinde). Aber ja, dies ist ein großes Risiko, wenn Sie es entsperren und nicht Verwenden Sie es zumindest noch eine Weile, um die Markierungen durcheinander zu bringen.

Ein PIN-Code kann einigen helfen, aber Sie können möglicherweise immer noch die berührten Stellen sehen, was die Komplexität des Erraten des Kennworts erheblich verringern würde . Es ist immer noch eine gute Idee, den Bildschirm zu löschen, wenn sichtbare Markierungen vorhanden sind.

Ein weiterer guter Zähler wäre, wenn ein zweiter schneller Schritt hinzugefügt wird, um ein anderes Muster zu verfolgen, das das Erkennen des Musters vor dem Entsperren erschwert .

Ich habe meinen Bildschirm jedes Mal, wenn ich ihn einschalte, für einige Zeit abgewischt. Dies ist teilweise auf dieses Problem zurückzuführen und teilweise auf die Verbesserung der Lesbarkeit bei Blendung. Ich war sehr daran interessiert herauszufinden, dass es tatsächlich Forschungsergebnisse zu diesem Thema gibt.

Während Touchscreens besonders anfällig für das Problem sind, dass physische Rückstände geheime Informationen preisgeben (trotz der Verbesserungen, die beim oleophoben Bildschirm vorgenommen wurden Beschichtungen), das Problem kann auch bei anderen Eingabemethoden auftreten. Fingerabdrücke können auf der Oberfläche von (Hardware-) Tasten, Schaltern oder Tastaturen sichtbar sein, auch ohne die Verwendung spezieller Geräte.

Selbst wenn sie abgewischt werden, gibt es ein dauerhafteres Problem. Ich bin sicher, wir haben alle Text gesehen, der abgerieben wurde, eine Membranüberlagerung, die gerissen wurde, oder eine Beschichtung, die sich auf einer häufig verwendeten Schaltfläche abnutzt:

In einem Sicherheitskontext bedeutet diese Art von Problem wahrscheinlich, dass das Kennwort nicht oft genug geändert wird, aber ich habe echte Beispiele dafür gesehen. Offensichtlich muss es ausgetauscht werden, bevor diese Verschlechterung mit bloßem Auge sichtbar wird. In höheren Sicherheitseinstellungen reicht dies jedoch wahrscheinlich nicht aus. Zwei mögliche Abhilfemaßnahmen sind die Verwendung sehr langlebiger Tasten und das Ausgleichen der Anzahl der Tastendrücke vor oder nach der Eingabe des Passworts.

Ich verwende alle zehn Ziffern genau einmal in einem zehnstelligen Stift auf meinem Tablet im Vergleich zu einem Muster. Ich behalte auch nichts Besonderes auf meinem Tablet (der einzige Grund, warum das Passwort vorhanden ist, da eine PIN erforderlich ist, um VPN-Konfigurationsdetails mit Android zu speichern - ohne mein Benutzerpasswort).

Hinweis: Wenn Sie eine Permutation aller zehn Ziffern genau einmal verwenden, wird die Entropie erheblich reduziert. Die Anzahl der Permutationen: 10! = 3 628 800, was ungefähr einem 6,56 Zeichen langen Pin entspricht oder ungefähr 3000-mal einfacher ist als ein 10-stelliger zufälliger Pin.

Außerdem finde ich es ziemlich einfach, eine PIN auf einem Touchpad zu belauschen, wenn ich mein Tablet in einer U-Bahn pendle, finde aber, dass dies eine angemessene Verteidigung gegen Verschmutzungsangriffe ist.