Il suono del clic della tastiera di iOS 10 rivela troppo?

Anche se simile alla spaccatura vecchio stile, questo attacco ha alcune limitazioni severe:

• Hai bisogno di prossimità fisica - devi sentire i suoni toccanti. Ciò significa che non può essere automatizzato.
• Mentre si diminuisce l'entropia della password non si ottiene la password completa. Affinché ciò sia utile, ti occorrono ulteriori informazioni, ad es. un hash trapelato (che ora è più veloce da decifrare dal momento che puoi restringere il dizionario) o un'altra password che si ritiene sia una variante disattivata (come password1 invece di solo password ).

A causa di queste due limitazioni posso solo vedere due scenari ragionevoli:

• Per obiettivi di valore estremamente elevato, l'invio di qualcuno che ascolta i suoni del tap potrebbe valerne la pena. Ma nessuno a leggerlo è così interessante ...
• Potrebbe essere potenzialmente utilizzato da un altro significativo o da un'altra persona che conosce già alcune password usate dalla vittima e non ha bisogno di scuse per essere nel raggio d'ascolto.

In conclusione sono con Apple su questo. L'aumento dell'usabilità probabilmente supera la minima perdita di sicurezza. Se ti dà fastidio, puoi sempre disattivare completamente il suono del rubinetto. Ma questo non è un consiglio sulla sicurezza che mi preoccuperei di dare a un utente normale.

E osserva che anche il vecchio suono di battitura consentirebbe a un ascoltatore di dedurre la lunghezza della password.

(Ripensandoci, avrebbero potuto disattivare i diversi suoni per i campi password e tenerli per tutto il resto. Sarebbe stato meglio, ma non avrei perso il sonno su di esso.)

Se qualcuno ha una ragione davvero buona e preziosa per prenderti di mira, potrebbe usarlo per limitare un attacco di forza bruta / maschera.

Per le persone normali, le probabilità che un password cracker (funzionante a scopo di lucro) trovi fisicamente te e il tuo telefono nel mondo reale, sono in grado di ascoltarti attentamente digitando la tua password e il tuo hash della password sono infinitesimali.

Se qualcuno ha una vera ragione per fare un sacco di scavi solo per prenderti, facendo una grossa somma di denaro - più di quanto farebbero cracking della password di qualcun altro che probabilmente sarà "12345" e prende meno di un minuto per rompere su un Commodore 64, nel senso che sanno che tu sei più prezioso della bionda 1234; dovresti semplicemente disattivare il suono della tastiera sul tuo telefono.

Tuttavia, se sei questa persona, probabilmente hai già disattivato l'audio della chiave in iOS9, in modo che nessuno possa dire per quanto tempo è stata la tua password.

La risposta tecnica è sì: la perdita di sicurezza da ciò è reale:

Dì che la tua password è "& Passw0rd5"

Con iOS9 saprei solo che la tua password è lunga 10 caratteri (che è troppo breve ma sto solo usando questo esempio per illustrare il mio punto). Devo supporre che tu abbia usato tutte le 4 "categorie" ASCII (maiuscole, minuscole, numeri e simboli). Questo renderebbe la tua password:

95 ^ 10 = 5.98736939E + 19 possibili

A seriamente cazzuto il computer per il controllo delle password controllerà fino a 350 miliardi di hash al secondo, quindi ci vorranno meno di 5,5 anni per rompere con la forza bruta (dizionario e altri attacchi , molto più veloce ma non è questo il punto dell'esempio).

Se avessi una registrazione di te che digiti la tua password in iOS10, sarei in grado di fare un attacco con maschera e portare i possibili a 3.28982945E + 15. Che, con lo stesso computer, ho potuto rompere questo in circa 5 ore.

Quindi, c'è una reale potenziale perdita di sicurezza, ma il mio esempio presuppone:

1. Hai una password molto breve e debole che protegge qualcosa di molto prezioso. Se la tua password fosse composta da 25 caratteri e molto strong, il mondo sarebbe ancora del tutto irrealizzabile da crackare anche con queste informazioni.
2. Un password cracker seriamente professionista richiede la tua password.
3. Ha ottenuto l'hash della tua password e
4. Ti ha anche trovato ed è stato in grado di essere abbastanza vicino a te per ottenere perfettamente il pattern della tua password dal suono.

Se il # 1 si applica a te, per l'amor di Dio, prendi una password sicura . Altrimenti, se ne valga la pena, disattivare l'audio della chiave sul telefono ed essere gentile con la tua squadra di sicurezza privata in modo che non ti vendano.

Felice di essere al servizio, signor Presidente.

Se sei una persona normale, goditi questa fantastica nuova funzione sul tuo iPhone che renderà la digitazione ancora più divertente.