Несмотря на важную роль PIN-кодов в мировой инфраструктуре, до сих пор не проводилось академических исследований о том, как, собственно, люди выбирают PIN-коды.
Исследователи из университета Кембриджа Sören Preibusch и Ross Anderson исправили ситуацию, опубликовав первый в мире количественный анализ сложности угадывания 4-циферного банковского PIN-кода.
Используя данные об утечках паролей из небанковских источников и онлайн анкетирование, учёные выяснили, что к выбору PIN-кодов пользователи относятся гораздо серьёзнее, чем к выбору паролей для веб-сайтов: большинство кодов содержат практически случайный набор цифр. Тем не менее, среди исходных данных присутствуют и простые комбинации, и дни рождения, — то есть, при некотором везении злоумышленник может просто угадать заветный код.
Отправной точкой исследования был набор 4-циферных последовательностей в паролях из базы RockYou (1.7 млн), и базы из 200 тысяч PIN-кодов от программы блокировки экрана iPhone (базу предоставил разработчик приложения Daniel Amitay). В графиках, построенных по этим данным, проступают интересные закономерности — даты, года, повторяющиеся цифры, и даже PIN-коды, заканчивающиеся на 69. На основе этих наблюдений учёные построили линейную регрессионную модель, которая оценивает популярность каждого PIN-кода в зависимости от 25 факторов, — например, является ли код датой в формате ДДММ, является ли он возрастающей последовательностью, и так далее. Этим общим условиям соответствуют 79% и 93% PIN-кодов в каждом из наборов.
Итак, пользователи выбирают 4-циферные коды на основе всего нескольких простых факторов. Если бы так выбирались и банковские PIN-коды, 8–9% из них можно было бы угадать всего за три попытки! Но, конечно, к банковским кодам люди относятся гораздо внимательнее. Ввиду отсутствия сколько-нибудь большого набора настоящих банковских данных, исследователи опросили более 1300 человек, чтобы оценить, насколько реальные PIN-коды отличаются от уже рассмотренных. Учитывая специфику исследования, у респондентов спрашивали не о самих кодах, а только о их соответствии какому-либо из вышеназванных факторов (возрастание, формат ДДММ, и т.д.).
Оказалось, что люди действительно гораздо тщательнее выбирают банковские PIN-коды. Примерно четверть опрошенных используют случайный PIN, сгенерированный банком. Более трети выбирают свой PIN-код, используя старый номер телефона, номер студенческого билета, или другой набор цифр, который выглядит случайным. Согласно полученным результатам, 64% владельцев карт используют псевдослучайный PIN-код, — это гораздо больше, чем 23-27% в предыдущих экспериментах с не-банковскими кодами. Ещё 5% используют цифровой паттерн (например, 4545), а 9% предпочитают паттерн на клавиатуре (например, 2684). В целом, злоумышленник с шестью попытками (три с банкоматом и три с платёжным терминалом) имеет меньше 2% шансов угадать PIN-код чужой карты.
| Фактор | Пример | RockYou | iPhone | Опрос |
|---|---|---|---|---|
| Даты | ||||
| ДДММ | 2311 | 5.26 | 1.38 | 3.07 |
| ДМГГ | 3876 | 9.26 | 6.46 | 5.54 |
| ММДД | 1123 | 10.00 | 9.35 | 3.66 |
| ММГГ | 0683 | 0.67 | 0.20 | 0.94 |
| ГГГГ | 1984 | 33.39 | 7.12 | 4.95 |
| Итого | 58.57 | 24.51 | 22.76 | |
| Клавиатурный паттерн | ||||
| смежные | 6351 | 1.52 | 4.99 | — |
| квадрат | 1425 | 0.01 | 0.58 | — |
| углы | 9713 | 0.19 | 1.06 | — |
| крест | 8246 | 0.17 | 0.88 | — |
| диагональная линия | 1590 | 0.10 | 1.36 | — |
| горизонтальная линия | 5987 | 0.34 | 1.42 | — |
| слово | 5683 | 0.70 | 8.39 | — |
| вертикальная линия | 8520 | 0.06 | 4.28 | — |
| Итого | 3.09 | 22.97 | 8.96 | |
| Цифровой паттерн | ||||
| заканчивается на 69 | 6869 | 0.35 | 0.57 | — |
| только цифры 0-3 | 2000 | 3.49 | 2.72 | — |
| только цифры 0-6 | 5155 | 4.66 | 5.96 | — |
| повторяющиеся пары | 2525 | 2.31 | 4.11 | — |
| одинаковые цифры | 6666 | 0.40 | 6.67 | — |
| убывающая последовательность | 3210 | 0.13 | 0.29 | — |
| возрастающая последовательность | 4567 | 3.83 | 4.52 | — |
| Итого | 15.16 | 24.85 | 4.60 | |
| Случайный набор цифр | 23.17 | 27.67 | 63.68 | |
Всё бы хорошо, но, к сожалению, существенная часть опрошенных (23%) выбирает PIN-код в виде даты, — и почти треть из них использует дату своего рождения. Это существенно меняет дело, ведь почти все (99%) респонденты ответили, что хранят в бумажнике с банковскими картами различные удостоверения личности, на которых эта дата напечатана. Если злоумышленник знает день рождения владельца карты, то при грамотном подходе вероятность угадывания PIN-кода взлетает до 9%.
В качестве решения авторы предлагают банкам запретить 100 самых популярных PIN-кодов, — в общем случае, это снизит вероятность угадывания до 0.2%.
P.S. На практике, разумеется, злоумышленнику гораздо проще подсмотреть ваш PIN-код, чем угадывать его. Но и от подглядывания можно защититься — даже, казалось бы, в безвыходном положении:
Автор: anmipo
