Patrón vs PIN vs Face ID: ¿cuál es realmente más seguro?

La pregunta suena como si debiera tener una sola respuesta, y casi la tiene, hasta que te preguntas de quién estás protegiendo el teléfono. Un desconocido que lo encuentra en un tren, un compañero de trabajo sentado enfrente durante el almuerzo y una pareja que ya conoce tu código son tres problemas distintos, y los tres bloqueos fallan ante ellos en un orden diferente. A continuación va la clasificación, la investigación que hay detrás y la parte que importa más que todo lo demás: qué bloqueo corresponde al teléfono y cuál corresponde a las fotos que hay dentro.

Frente a alguien que te observa desbloquear el teléfono, el patrón es, con diferencia, el más débil de los tres. En un estudio controlado de observación única, los atacantes reprodujeron un patrón dibujado con la línea de trazo visible alrededor del 64 por ciento de las veces, mientras que un PIN de seis dígitos cayó alrededor del 11 por ciento de las veces. Un patrón también deja un rastro físico: la investigación original sobre el ataque de manchas recuperó el patrón completo a partir de la grasa de los dedos en la pantalla en el 68 por ciento de las pruebas con buena iluminación, y parte de él en el 92 por ciento. Face ID no le da nada a un observador, por eso gana sobre el papel, y Apple sitúa la probabilidad de que una cara aleatoria coincida con la tuya en aproximadamente una entre un millón. Su debilidad es otra distinta. Funciona mientras duermes y funciona cuando alguien te acerca el teléfono a la cara, y en el iPhone es un atajo hacia el código, no un sustituto, así que un código observado lo anula. El tamaño de la cuadrícula también importa. Casi todas las cifras publicadas sobre patrones describen una cuadrícula de tres por tres, y un tablero de cinco por cinco con un mínimo de seis puntos se sitúa en un rango completamente distinto. Usa Face ID con un código largo en el propio dispositivo, y pon una credencial aparte en la aplicación que guarde cualquier cosa que no le entregarías a un desconocido.

La clasificación breve, y la pregunta que la reordena

Si se juzga por lo bien que cada uno resiste a ser observado, el orden está claro: Face ID primero, un PIN largo segundo, un patrón al final. Face ID no revela nada a quien observa, porque la credencial nunca sale de tu cara. Un PIN se introduce en una zona pequeña que una mano puede tapar, y cada dígito adicional multiplica por diez el espacio de posibilidades. Un patrón es un gesto amplio que recorre la mayor parte de la pantalla, normalmente con una línea brillante que sigue el dedo, y es el único de los tres que una persona sentada dos asientos más allá puede memorizar sin más. En la investigación no es un efecto pequeño, es la diferencia entre lanzar una moneda al aire y una apuesta muy arriesgada.

Ahora hazte otra pregunta. ¿Quién abre realmente los teléfonos sin permiso? En la inmensa mayoría de los casos no es un desconocido con una cámara, es alguien que ya está en la habitación: una pareja, un compañero de piso, un colega, un familiar. Esa persona suele conocer tu código, te ha visto desbloquear el teléfono cien veces y no necesita ningún ataque. Frente a ella, la clasificación anterior no importa, porque los tres bloqueos ya están abiertos. Lo único que resiste es una segunda credencial que esa persona nunca ha visto, en la aplicación que guarda el material que merece protección. Nuestra guía sobre cómo bloquear aplicaciones individuales con Face ID en iPhone cubre la mitad integrada de eso, y merece la pena leerla junto con esta.

Qué revela cada bloqueo a quien te observa

Los investigadores lo han medido en lugar de suponerlo. En un estudio de observación única, un patrón dibujado con la línea de trazo visible fue reproducido con éxito por el observador alrededor del 64 por ciento de las veces, mientras que un PIN de seis dígitos se reprodujo alrededor del 11 por ciento de las veces. Desactivar la línea de trazo ayuda bastante al patrón, y tapar el teclado ayuda al PIN, pero la diferencia sobrevive a ambos ajustes. La razón es geométrica. Un PIN es una secuencia de toques pequeños en una cuadrícula densa, y un solo dígito mal leído arruina toda la suposición. Un patrón es una forma continua, y una forma es exactamente el tipo de cosa que la memoria humana retiene bien tras un solo vistazo.

Un patrón también deja pruebas después del hecho. El trabajo original sobre el ataque de manchas fotografió pantallas de teléfono con iluminación controlada y recuperó el patrón de desbloqueo completo a partir del rastro de grasa en el 68 por ciento de las pruebas, con parte del patrón visible en el 92 por ciento. Un teclado numérico también se mancha, pero las manchas no conservan un orden, así que un atacante averigua qué dígitos son, no la secuencia. Face ID no deja nada en el cristal ni en la habitación. Lo que hace en cambio es funcionar siempre que tu cara esté frente a la cámara, incluso mientras duermes, lo cual es una debilidad real y concreta, no teórica. Apple lo mitiga exigiendo el código tras un reinicio, tras 48 horas sin desbloqueo y tras cinco coincidencias faciales fallidas, y con Protección del dispositivo en caso de robo para el caso en que un ladrón ya te haya visto escribirlo.

La aritmética de fondo, y por qué el tamaño del tablero lo cambia

Todas las estadísticas de patrones ampliamente citadas describen la cuadrícula de tres por tres de Android, donde los trazos de cuatro a nueve puntos dan 389.112 posibilidades en total. Eso es más que un PIN de cuatro dígitos, con 10.000, y menos que un PIN de seis dígitos, con 1.000.000, y ambas cifras exageran la dificultad real, porque ni los patrones ni los PIN que elige la gente se acercan al azar. La gente empieza los patrones en la esquina superior izquierda con mucha más frecuencia de lo que permitiría el azar, y dibuja letras que ya conoce. La gente elige 1234, 0000 y años de nacimiento. Un atacante que prueba primero las opciones populares no recorre todo el espacio, solo la parte más concurrida de él.

El tamaño del tablero es la variable que nadie menciona, y domina todo lo demás. Contando solo los trazos que usan seis puntos distintos, un tablero de cinco por cinco ofrece 127.512.000 combinaciones antes de aplicar ninguna regla de dibujo, frente a 1.000.000 de un PIN de seis dígitos. Vaultaire usa un tablero de cinco por cinco precisamente por esto, exige al menos seis puntos y al menos dos cambios de dirección, y te avisa cuando la forma que acabas de dibujar es una secuencia lineal, una espiral o una letra reconocible. Nada de eso resuelve el problema de la observación, que es una propiedad de dibujar sobre cristal delante de otras personas y no de la cuadrícula. Sí significa que un patrón solo es la opción débil cuando alguien observa, y una opción fuerte cuando nadie lo hace.

Qué bloqueo corresponde a cada puerta

Trata el teléfono y el material privado que contiene como dos puertas distintas. En el teléfono, usa Face ID con un código largo detrás, y activa Protección del dispositivo en caso de robo, que obliga a usar Face ID sin recurrir al código para las acciones sensibles cuando estás lejos de tus lugares habituales. Esa combinación responde al desconocido, al carterista y a la persona que te grabó desbloqueándolo en una cafetería. Lo que no puede responder es a la persona que ya conoce el código, ni al momento en que le das el teléfono desbloqueado a alguien para enseñarle una foto y esa persona sigue deslizando. Para eso necesitas un bloqueo que no se abra solo porque el teléfono lo haya hecho.

Esa es la segunda puerta, y es donde un patrón gana su lugar. En Vaultaire, la ruta de desbloqueo normal no compara su patrón con un hash de contraseña independiente. Los puntos que dibujas se serializan y se ejecutan. PBKDF2-HMAC-SHA512 durante 600.000 iteraciones con una sal en todo el dispositivo mantenida en el iOS Keychain. La clave de la bóveda resultante autentica el índice cifrado y desencapsula una clave maestra aleatoria independiente que se utiliza para AES-256-GCM cifrado de archivos. AES-GCM La autenticación también permite que alguien con datos de aplicaciones copiados pruebe las claves candidatas sin conexión, por lo que la solidez del patrón y el costo de cada suposición siguen siendo importantes. Vaultaire mantiene una base de datos de recuperación cifrada en Keychainy cifrado opcional CloudKit la copia de seguridad crea otra copia de texto cifrado; ninguno de los dos le proporciona al desarrollador una ruta de reinicio ni las claves necesarias para leer sus archivos. Nuestro explicador sobre que AES-256 el cifrado realmente protege cubre el lado cifrado, y nuestro auditoría de reclamaciones de seguridad de aplicaciones de bóveda cubre cómo verificar si alguna aplicación determinada está haciendo esto o simplemente oculta una carpeta. Vaultaire es gratuito para hasta 3 bóvedas.

Guías relacionadas

• Cómo bloquear aplicaciones con Face ID en iPhone
• Olvidaste la contraseña de tu bóveda de fotos
• Se puede burlar el bloqueo con Face ID del álbum oculto
• Qué protege realmente el cifrado AES-256

Preguntas frecuentes

¿Puede alguien deducir de verdad mi patrón a partir de las manchas de la pantalla?

Sí, en las condiciones adecuadas. La investigación que dio nombre al ataque de manchas fotografió pantallas con iluminación y ángulos de cámara controlados, y recuperó el patrón completo en el 68 por ciento de las pruebas, con parte de él visible en el 92 por ciento. El uso normal mancha el cristal y lo dificulta, y limpiar la pantalla lo elimina por completo, pero el ataque es real y solo se aplica a los patrones. Un teclado numérico deja marcas que revelan qué dígitos usas, pero no el orden.

¿Es Face ID más seguro que un código en el iPhone?

No son alternativas entre sí. Face ID es una vía rápida hacia ese mismo código, y el código sigue siendo la credencial subyacente, por lo que iOS lo pide tras un reinicio, tras 48 horas sin desbloqueo y tras cinco coincidencias faciales fallidas. Face ID es mucho mejor frente a la observación, porque no hay nada que observar. El código es mejor frente al caso en que alguien pueda apuntarte el teléfono a la cara. Usa ambos, y haz que el código sea largo.

¿Sirve de algo un patrón de bóveda aparte si alguien ya conoce mi código del iPhone?

Ese es precisamente su propósito principal. Una persona que conoce tu código accede a todo el teléfono: Fotos, Mensajes, el álbum oculto, iCloud en la web. Una bóveda con su propia credencial es la única parte que no se abre junto con el resto, siempre que nunca dibujes el patrón delante de esa persona y nunca reutilices los dígitos del código como forma del patrón. Elige algo que no hayas escrito delante de esa persona, porque la familiaridad es el verdadero ataque aquí.

¿Qué ocurre si olvido el patrón?

En Vaultaire, el patrón deriva una clave de bóveda que autentica el índice cifrado y desenvuelve su clave maestra aleatoria. La recuperación utiliza la frase para abrir un sobre de clave cifrada y también requiere la correspondiente clave local o cifrada. CloudKit registros de recuperación. Vaultaire no posee una clave de reinicio, por lo que el soporte no puede eludir esos requisitos. Guarda la frase en un papel, lejos del teléfono. Nuestra guía sobre contraseñas olvidadas de la bóveda de fotos, vinculada a continuación, explica las rutas de recuperación que quedan y las afirmaciones de las que debe desconfiar.