C'est ce qu'on appelle une "attaque de bavures"

Cela dépend vraiment de combien vous avez utilisé votre téléphone depuis que vous l'avez déverrouillé pour la dernière fois, mais le principe général est toujours valable. Si vous utilisez la fonction de modèle des téléphones Android, cela peut être particulièrement évident.

L’Université de Pennsylvanie a publié un document de recherche sur le sujet et a essentiellement conclu qu’elle pouvait comprendre le mot de passe plus de 90% du temps.

L'étude a également révélé que les «bavures de motifs», qui s'accumulent en écrivant le même mot de passe à plusieurs reprises, sont particulièrement reconnaissables.

De plus:

"Nous avons montré que dans de nombreuses situations, une récupération complète ou partielle des motifs est possible, même avec un" bruit "de maculage provenant de l'utilisation d'une application simulée ou une distorsion causée par un contact accidentel avec les vêtements,"

risque plausible, ce n'est pas une vulnérabilité particulièrement pratique car un attaquant a besoin d'un accès physique à votre téléphone. L'utilisation d'un code PIN sur un schéma peut réduire le risque que cela présente une menace, mais il existe toujours en fonction de la force de votre code PIN et de la propreté de vos mains / écran. Cependant, ces mêmes chercheurs postulent une autre attaque possible utilisant le résidu de chaleur laissé par le contact entre vos doigts et l'écran qui serait un tout autre problème.

Évidemment, nettoyer votre écran après chaque utilisation est une pratique (et non trop difficile) contre cette attaque spécifique. Je m'attendrais à ce que si vous avez utilisé votre téléphone (par exemple pour passer des appels / envoyer un message / tout type de navigation sur le Web), il masquerait également suffisamment les modèles / codes. Après avoir examiné mon écran, cela semble être le cas.

Une application appelée WhisperCore permet d’atténuer les attaques de bavures sur les téléphones intelligents. Il organise les numéros verticalement et vous demande ensuite d'essuyer l'écran afin de déverrouiller le téléphone, masquant les taches d'origine.

Si vous utilisez un motif pour verrouiller votre téléphone, une fois que vous avez entré le bon modèle, un écran plein d'étoiles. Faites glisser les étoiles en surbrillance pour déverrouiller le téléphone, en masquant à nouveau le motif de maculage d'origine.

Bien sûr, l'application fonctionne essentiellement comme un rappel obligatoire pour nettoyer votre écran, mais il le fait d'une manière qui rend moins ennuyeux le nettoyage de votre écran chaque fois que vous déverrouillez votre téléphone.

Source de l'image: Android Police

Il y avait un article (je vais essayer de le trouver) qui donnait une très bonne explication d'une amélioration de la sécurité:

En utilisant l'un des chiffres au moins deux fois, dans un code d'accès de plus à 4 chiffres

En gros, l'option "glisser un motif" est très facile à voir - même à distance, elle peut être surfée sur l'épaule. Jetez un œil à cet article pour obtenir des informations intéressantes sur les techniques.

La plupart des utilisateurs finissent par choisir une épingle à 4 chiffres s'ils utilisent le option pin, c'est donc ce que la plupart des attaquants essaieront, et tenir le téléphone à la lumière vous permet de voir la broche assez clairement. Si toutefois vous avez une broche à 6 chiffres où 2 des chiffres sont utilisés deux fois, l'espace d'attaque devient assez difficile, car l'attaquant ne sait pas si vous utilisez une broche à 4 chiffres, un 5 ou même plus - ils sont susceptibles de commencer avec un 4 et sont plus susceptibles de verrouiller le téléphone que d'y entrer.

Ce serait une bonne raison pour une autre méthode de déverrouillage qui rendrait l'action de déverrouillage différente à chaque fois. Par exemple, au lieu que les nombres 0-9 soient présentés comme suit:

  7 8 94 5 61 2 3 0  

, il pourrait les afficher sous la forme:

  3 5 71 2 46 9 0 8  

Au lieu de nombres, vous pouvez utiliser des formes. Au lieu de simplement frapper les formes ou les nombres, vous pouvez les réorganiser dans le bon modèle, bien que ce soit moins sûr car cela afficherait le bon modèle immédiatement avant qu'il ne soit déverrouillé; Cependant, si l'objectif était de mettre les nombres de la matrice dans un ordre où les sommes, etc. de certaines lignes étaient correctes, cela pourrait être encore plus sûr / moins évident pour ceux qui vous ont vu ou enregistré en train d'effectuer la séquence de déverrouillage.

Peut-être pour les personnes malvoyantes seulement, il pourrait lire les chiffres à voix haute (à travers leurs écouteurs). Pour ceux qui sont malvoyants et malentendants, le téléphone peut vibrer d'une certaine manière lorsqu'ils touchent différentes parties du téléphone pour déterminer quel numéro est lequel, puis ils touchent quelque chose une fois qu'ils savent quel numéro est l'endroit où entrer le code. Vous pouvez également le faire verrouiller les nombres dans une certaine orientation et ne changer que selon un calendrier prédéterminé pour qu'il soit moins difficile de se souvenir de la nouvelle orientation, ou même de le verrouiller complètement, même si cela serait susceptible d'attaques de bavures.

Pour ma part, j'ai toujours essuyé mon écran sur ma chemise après l'avoir déverrouillée spécifiquement à cause de cela (et parce que je trouve les marques de glissement de doigt ennuyeuses.) Mais oui, c'est très risqué si vous le déverrouillez et ne le faites pas au moins continuez à l'utiliser pendant un certain temps pour gâcher les marquages.

Un code PIN pourrait aider certains, mais vous pourrez peut-être encore voir les points touchés, ce qui réduirait considérablement la complexité de deviner le mot de passe . C'est toujours une bonne idée d'essuyer l'écran s'il y a des marques visibles.

Un autre bon contre pour cela serait s'ils ajoutaient une deuxième étape rapide pour tracer un autre modèle qui rendrait la reconnaissance du modèle plus difficile avant de déverrouiller .

J'ai essuyé mon écran chaque fois que je l'allume depuis un certain temps. C'est en partie à cause de ce problème et en partie pour augmenter la lisibilité en présence d'éblouissement. J'ai été très intéressé de découvrir qu'il existe des recherches réelles sur le sujet.

Alors que les écrans tactiles sont particulièrement sujets au problème des résidus physiques révélant des informations secrètes (malgré les améliorations qui ont été apportées à l'écran oléophobe revêtements), le problème peut également survenir avec d'autres méthodes de saisie . Les empreintes digitales peuvent être visibles sur la surface des boutons (matériels), des commutateurs ou des claviers, même sans l'utilisation d'équipement spécialisé.

Même si elles sont effacées, cependant, il y a un problème plus permanent. Je suis sûr que nous avons tous vu du texte qui a été effacé, une superposition de membrane déchirée ou un placage qui s'use sur un bouton fréquemment utilisé:

Dans un contexte de sécurité, ce type de problème signifie probablement que le mot de passe n'est pas changé assez souvent, mais j'en ai vu de vrais exemples. Il faut évidemment la changer avant que cette dégradation ne devienne visible à l'œil nu. Dans des paramètres de sécurité plus élevés, cependant, ce n'est probablement pas suffisant. Deux solutions possibles consistent à utiliser des boutons très durables et à égaliser le nombre de pressions sur chaque bouton avant ou après la saisie du mot de passe.

J'utilise les dix chiffres exactement une fois dans une broche à dix chiffres sur ma tablette, par opposition à un motif. Je ne garde rien non plus de valeur particulière sur ma tablette (la seule raison pour laquelle le mot de passe est là car un code PIN est obligatoire pour enregistrer les détails de configuration VPN avec Android - sans compter mon mot de passe utilisateur).

Remarque: l'utilisation d'une permutation des dix chiffres exactement une fois réduit considérablement l'entropie. Le nombre de permutations: 10! = 3 628 800, ce qui équivaut à peu près à une broche de 6,56 caractères, soit environ 3000 fois plus facile qu'une broche aléatoire à 10 chiffres.

De plus, je trouve qu'il est assez facile d'écouter un code PIN sur un pavé tactile lorsque j'utilise ma tablette pour me déplacer dans le métro, mais je trouve que c'est une défense raisonnable contre les attaques de bavures.