Пароли графического ключа картинки

Xakep #252. Чемоданчик хакера

Многочисленные утечки данных не раз доказывали, что самые распространенные пароли (а также самые уязвимые), это всевозможные вариации на тему «password», «p@$$w0rd» и «1234567». Когда в 2008 году в Android появились графические ключи, казалось, они могут изменить ситуацию. Теперь становится ясно, что ситуация с графическими ключами мало отличается от ситуации с обычными паролями. Выпускница Норвежского университета естественных и технических наук Марте Лёге (Marte Løge) провела исследование данной темы, в ходе защиты магистерской диссертации. Свой доклад под названием «Скажи мне кто ты, и я скажу тебе, как выглядит твой графический пароль» Лёге зачитала на конференции PasswordsCon в Лас-Вегасе.

Так как графически ключи еще сравнительно молоды, и собрать большое количество примеров реальных ключей «из жизни» затруднительно, выборка у Лёге получилась небольшая – она проанализировала 4 000 Android lock Patterns (ALP). Тем не менее, полученные на выходе данные оказались небезынтересны.

«Люди предсказуемы. В случае графических паролей, мы наблюдаем тот же подход, которым люди руководствуются при создании PIN-кодов и обычных буквенно-числовых комбинаций», — рассказала Лёге на конференции. ALP может содержать не менее 4 узлов и не более 9, что суммарно дает 389,112 возможных комбинаций. Так же как в случае с обычными паролями, число комбинаций возрастает экспоненциально, вместе с длиной графического ключа.

В целом, основные собранные данные таковы:

• 44% ALP начинаются из верхнего левого узла
• 77% начинаются в одном из четырех углов экрана
• 5 – среднее число задействованных в графическом пароле узлов, то есть взломщику придется перебрать менее 8 000 комбинаций
• Во многих случаях графический пароль состоит за 4 узлов, а это уже менее 1,624 комбинаций
• Чаще всего ALP вводят слева направо и сверху вниз, что тоже значительно облегчает подбор

Лёге попросила опрошенных создать три разных ALP: для банковского приложения, для приложению для покупок и для разблокировки смартфона.
К сожалению, опрошенные мужчины и женщины, в подавляющем большинстве, создали ключи из 4-5 узлов. Наименее популярны у пользователей, по неясной причине, оказались пароли длиной 8 узлов, и даже пароли из максимальных 9 узлов набрали больше «голосов».
На иллюстрации ниже верхняя колонка – пароли мужчин, нижняя – пароли женщин:

Мужчины в целом придумывают более сложные и длинные пароли, чем женщины. Самые сложные пароли – у молодых мужчин. Иллюстрация ниже демонстрирует разницу в сложности паролей:

Однако количество узлов – не единственный важный фактор для создания надежного графического ключа. Специфическая последовательность соединения узлов также является ключевым моментом для такого пароля. Если присвоить узлам пароля числа, расположив их так же, как они расположены на клавиатуре обычного телефона, получится, что последовательность 1, 2, 3, 6 куда менее безопасна, чем 2, 1, 3, 6, которая меняет направление.
Мужчины и здесь выбирают более надежные комбинации, такие как последовательность 2, 3, 1. Женщины почти никогда не выбирают комбинации с пересечениями. Лёге отмечает, что людям, в целом, сложно запомнить паттерны высокой сложности.

Команда исследователей формализовала систему оценки сложности графических ключей еще в 2014 году, представив документ «Dissecting pattern unlock: The effect of pattern strength meter on pattern selection».
Опираясь на данную систему оценки надежности комбинаций, Лёге получила следующие цифры: самый ненадежный пароль среди опрошенных набрал 6,6 баллов, самый надежный – 46,8 баллов. Средняя надежность пароля составила 13,6 баллов.

Помимо прочего, графические ключи оказались подвержены той же «болезни», что и численно-буквенные пароли, в качестве которых пользователи часто используют обычные слова. Более 10% полученных Лёге паролей оказались обычным буквами, которые пользователи чертили на экране. Хуже того, почти всегда выяснялось, что это не просто буква, но первая буква имени самого опрошенного, его супруга(ги), ребенка и так далее. Если атакующий, пытается взломать смартфон и знает имя жертвы, все становится совсем просто.

«Было очень забавно видеть, что люди используют ту же стратегию запоминания, к которой привыкли, используя численно-буквенные пароли. Тот же самый образ мысли», — рассказала Лёге. Выходит, если атакующим удастся собрать достаточно большое количество графических ключей, они смогут воспользоваться моделью Маркова, что значительно увеличит их шансы на успех. Лёге не стала фокусироваться на данном методе взлома в своем докладе из этических соображений.

В заключение Лёге дала ряд советов, как сделать ALP безопаснее. Во-первых, в графическом ключе стоит использовать большее количество узлов, что сделает пароль более сложным. Во-вторых, стоит добавить пересечений, так как они усложняют атакующим подбор комбинации и помогут запутать злоумышленника, если тот решил подсмотреть пароль через плечо жертвы. В-третьих, стоит отключить опцию «показывать паттерн» в настройках безопасности Android: если линии между точками не будут отображаться на экране, подсмотреть ваш пароль станет еще сложнее.

Практически у каждого из нас на мобильном устройстве и компьютере есть информация (фотографии, видео, заметки и т. д.) не предназначенная для посторонних глаз. Наиболее распространенным и эффективным методом защиты является ПИН-код и пароль, но как показывает практика, нам сложно запоминать цифровые или буквенно-цифровые комбинации вида "s3Wth15Uc", поэтому для ограничения доступа и безопасности многие используют графический ключ.

Многие задаются вопросом, что лучше графический ключ или ПИН-код? Но еще больше задаются вопросом: как поставить графический пароль? Как его убрать? Что делать если забыл графический пароль? Все особенности применения изображения в качестве пароля рассмотрим в данной статье.

Графический ключ что это?

Графический ключ — разновидность пароля для блокировки экрана (чаще всего мобильного устройства) в виде изображения. Как говориться: "те же яйца, только в профиль". Для того, чтобы снять блокировку с экрана и получить доступ к информации, необходимо нарисовать на экране определенную фигуру, которая ранее была установлена пользователям в качестве пароля.

Графический ключ может обеспечить более высокий уровень безопасности, чем текстовые пароли, потому что многие люди, для того чтобы запомнить пароль, используют простые слова, а не рекомендуемый беспорядок символов — так предполагали в 2008 году, когда Android впервые показали графический пароль.

Но исследование выпускницы Норвежского университета естественных и технических наук Марте Лёге доказывает, что люди предсказуемы и в случае применения графических паролей, наблюдается тот же подход, которым люди руководствуются при создании PIN-кодов и обычных буквенно-числовых комбинаций.

Преимущества и недостатки графического пароля

• легкость запоминания — пользователи испытывают определенные трудности с запоминанием сложных и случайных паролей. Безопасная кодовая комбинация должна быть не менее 8 символов, содержать в себе цифры, буквы верхнего и нижнего регистра, а так же символы. Зачастую данные рекомендации игнорируются — используются короткие и простые пароли, которые легко могут быть взломаны. Графические пароли (даже если они содержат множество элементов) пользователю намного легче воспроизвести и запомнить;
• стойкость к методам взлома — графический ключ сложнее взломать и подобрать, в то время, как пароль или ПИН-код возможно обойти путем применения автоматизированных атак и специального программного обеспечения для подбора кодовой комбинации;
• плечевой серфинг — разновидность атаки социальной инженерии. В данном контексте применяется в силу того, что графический пароль воспринимается лучше не только пользователем, но и злоумышленником случайно или специально подглядывающих за устройством во время ввода ключа. Неоднократно подтверждался тот факт, что увидеть беглым взглядом и запомнить короткий текстовый пароль сложнее, чем последовательность графических элементов. На портале anti-malware есть исследование, где описан способ обхода графического пароля на устройствах под управлением Android, где за основу берут траекторию движения пальца пользователя при разблокировки устройства;
• память — для хранения графического пароля требуется больше памяти, чем для текстовой комбинации;
• следы — графический ключ возможно подобрать после разблокировки телефона по наличию отпечатков пальцев на экране смартфона, что, в целом, доступно и при обычном текстовом пароле.

Виды графического ключа

• Графический ключ на основе воспоминания — наиболее широко принятая форма с которой мы встречаемся на своих мобильных устройствах. В этом случае, для того чтобы снять блокировку экрана, пользователю, предлагается воспроизвести то, что он создал или выбрал ранее на этапе регистрации (нарисовать фигуру, соединить точки, сделать нажатие в той или иной части экране и т.д.).
• Графический ключ на основе распознавания — форма не столь популярная среди массовой культуры, однако с ней можно встретиться в определенных программах и системах. Принцип работы заключается в следующем: пользователю предлагается выбрать определенное количество изображений из набора случайных изображений, генерируемых программой. С частичным примером подобной формы графического пароля можно ознакомиться в статье: «TRI-PIN — альтернативный PIN-код».

Как установить графический ключ?

1. Перейдите в «Настройки» устройства:

1. Найдите раздел «Личные данные» и выберите пункт «Безопасность»:

1. Откройте меню настроек «Блокировка экрана»:

Здесь можете наблюдать список различных систем защиты для Вашего мобильного устройства. Доступны, как стандартные меры безопасности (пароль, ПИН-код, графический ключ), так и биометрическая аутентификация (голос, фейсконтроль).

1. Выберите пункт «Графический ключ»:

1. Открывается окно настроек графического ключа, где содержится 9 точек, которые необходимо соединить между собой (все девять или же только часть из них) и нажать кнопку «Продолжить»:

1. После этого открывается окно с точками повторно, где требуется подтвердить свой выбор и повторить графический ключ:

Таким образом, Вы включили графический пароль. Теперь разблокировать и получить доступ к устройству, возможно только путем ввода заданной графической последовательности.

Как убрать блокировку графическим ключом?

1. Как и в предыдущем случае, перейдите в «Настройки»:

1. Выберите раздел «Личные данные» и вкладку «Безопасность»:

1. Нажмите на вкладку «Блокировка экрана»:

1. Начертите установленный графический ключ:

1. После этого система защиты устройства будет отключена и Вы сможете изменить графический ключ или же использовать другие инструменты для безопасности данных.:

Как разблокировать забытый графический ключ?

Несмотря на то, что графический пароль легче установить и запомнить, нередко возникают такие ситуации, когда графический ключ оказывается забытый и разблокировать его не получается. В связи с этим возникает вопрос: «что делать если забыл графический ключ?».

К большому сожалению, в данном случае нет универсальных методов, способов и советов, т.к. все будет зависеть от Вашего устройства, установленной операционной системы и приложений. Чтобы разблокировать графический ключ без потери данных, попробуйте один из нижеперечисленных вариантов:

• если у Вас современный телефон на базе Android (не имеет значения, какой именно: Samsung, Lenovo, Honor, Huawei, Xiaomi, ZTE, Sony, HTC, Prestigio, Fly и т.д.) и Вам необходимо снять блокировку графическим ключом — воспользуйтесь Google аккаунтом. После того, как сделаете несколько неудачных попыток ввода пароля, Вам будет предложено указать логин и пароль от учетной записи — «Для разблокировки войдите с помощью своего аккаунта Google». Заполнив всю необходимую информацию — сможете войти на устройство и сменить графический ключ или же отключить его и заменить на иную форму защиты, например, пароль;
• обойти графический ключ возможно с помощью ПИН-кода или пароля. Метод схожий с предыдущим. После того, как несколько раз воспроизвели неверную графическую комбинацию, система предложит разблокировать устройство с помощью иного метода. Доступно не на всех устройствах и предварительно требуется установить кодовую комбинацию, как альтернативный метод разблокировки;
• снять забытый графический ключ возможно с помощью телефонного звонка на устройство, где после ответа будет возможность перейти в меню настроек графического ключа и отключить его. Такая же возможность будет после получения SMS-сообщения и Push-уведомления о низком заряде батареи. Данный метод актуальный для версии Android 2.2 и более ранних. Действия необходимо выполнять очень быстро, т.к. период времени для этого будет ограничен;
• для того чтобы разблокировать мобильное устройство (телефон или планшет), необходимо отправить СМС с текстом «1234 reset» на него с любого телефона. После получения сообщения, телефон автоматически перезагрузится, и для его снятия достаточно будет ввести любой ключ. Использовать этот метод можно только в том случае, если на телефоне предварительно установлено приложение «SMS Bypass»;
• Воспользоваться специализированными приложениями. Данный метод требует предварительных действий, т.е. до момента блокировки телефона графическим ключом. Наиболее популярные программы для снятия блокировки графическим паролем: SMS Bypass, Delete Lock, Pattern Unlock. С помощью их функционала можно получить удаленный доступ к устройству и производить изменения тех или иных параметров;
• один из наиболее доступных вариантов решения проблемы — обратиться в сервисный центр производителя Вашего смартфона, телефона или планшета, где сотрудники помогут обойти графический ключ и снять его;
• Разблокировать графический ключ с помощью сброса параметров и данных к заводским настройкам (воспользоваться функцией hard reset или factory rest). Данный способ стоит пробовать в последнюю очередь, т.к. не получить его выполнить без потери данных — с Вашего мобильного устройства будет удалена вся информация операционной системы: SMS-сообщения, контакты и установленные программы. При этом данные, которые находятся на карте памяти, а также SIM-карте — останутся в сохранности. Чтобы узнать, как выполняется сброс к заводским настройкам на Вашем мобильном устройстве — воспользуйтесь инструкцией, либо же запросом в любой поисковой системе: «hard reset» модель Вашего телефона"».

Для самых «маленьких и ленивых» доступно видео на YouTube-канале «Serg77oS», где Вы сможете узнать, как разблокировать графический ключ на мобильном устройстве с помощью функции сброса к заводским настройкам:

Вышеперечисленные методы являются наиболее доступными — не требующие специальных навыков и знаний. Если ни один из них не сработал — не расстраивайтесь. Еще больше вариантов и способов разблокировать телефон если забыли графический ключ Вы сможете найти в статье: «Множество способов разблокировать графический ключ Android». Выглядит, как нативная реклама, но по факту не является таковой. Автор сайта потратил массу времени и усилий для того, чтобы найти максимальное количество решения проблемы блокировки экрана забытым графическим ключом и будет здорово, если хотя бы один из перечисленных поможет Вам в решении возникших трудностей.

Примеры графических ключей

Еще в далеком 2013 году, пользователь eucariot на портале habrahabr провел весьма занимательное исследование на уязвимость графического пароля. По итогу он пришел к выводу, что, при определенных условиях, количество комбинаций графического пароля составит — 389488 возможных вариантов.

Несмотря на такое внушительное число последовательностей существует ряд наиболее популярных примеров графических ключей:

Если Вы используете изображение в качестве пароля и нашли сходство с одним из вышеперечисленных вариантов — подумайте о его замене на другой.

Мастерок.жж.рф

Хочу все знать

Если вы один из тех сотен миллионов, которые «пользуют» графический ключ, чтобы защитить свой девайс от несанкционированного доступа, то вам стоит пересмотреть меры безопасности и своё отношение к этому варианту.

Самый простой способ мне показали друзья — просто взяли мой телефон, посмотрели на экран под углом и увидели полоски движения пальца по точками. Потом за пару вариантов подобрали мой не сложный графический ключ.

На днях было выявлен более технологичный вариант взлома, причем программисты пришли к выводу, что сложный «узор» — вообще не спасение. Так что же это за вариант?

Что такое графический пароль? Заместо числового пароля вам предлагается выдумать замысловатую фигуру, которую надлежит оформить, проведя пальчиком по экрану через любые 9 точек. Cмартфон можно разблокировать, повторив изначально заданную фигуру. Если Федот не тот, теряешь право на вход.

Раньше на телефонах «стояли» пароли. Потом появились более замысловатые способы защиты от вторжения. Ожидалось счастье человечества. Но вот графический пароль есть, а счастья нет.

Специалисты по информационной безопасности из Ланкастерского университета, Университета Бата (Великобритания) и Северо-западного политеха (г. Сиань, КНР) научились с помощью алгоритмов компьютерного зрения подбирать графический ключ для разблокировки смартфонов на базе «Андроида».

Алгоритм компьютерного зрения — это когда сначала на видео записывается то, как пользователь водит пальцем по экрану, а потом программа анализирует движения пальцем, чтобы подобрать возможные варианты экранной «хореографии» и разлочить устройство.

Для проверки методики программисты попросили 120 человек придумать графический ключ. Добровольцы ухищрялись как могли: меняли направление движения пальца, рисовали сложные фигуры.

Однако положение их было ужасно! Для анализирующего алгоритма неважно, как быстро, или как замысловато сформирован «рисунок» ключа. Главное, что есть злоумышленник, есть видеокамера, и всё записано на видео. "Скормив" это видео программе с разработанным алгоритмом мы получаем варианты графического ключа.

Надо заметить, что программистам удалось разблочить телефон в 95% случаев, причём на это ушло не более 5 попыток. Для повышения безопасности исследователи советуют всякий раз прикрывать второй рукой экран смартфона при его разблокировке. Также можно прибегнуть к обманным движениям пальцами, чтобы запутать анализирующий алгоритм вора.

А вот еще есть ролики, как разблокировать смарт защищенный графическим ключом: