• У Xiaomi появилось геймерское кресло за $150 (5 фото)

    Как шутят эксперты, в Xiaomi, видимо, согласны на производство всего подряд, лишь бы удовлетворять потребительский спрос. На сей раз компания из Китая анонсировала AutoFull е-sports — кресло, подходящее и геймерам, и офисным работникам.
    Читать дальше
  • Infento — развивающий вело-конструктор для детей (14 фото + видео)

    Infento — уникальный и занимательный конструктор, с помощью которого можно собрать около трёх десятков разных средств передвижения. Речь идёт о габаритной развивающей, реально применимой игрушке для детей и подростков. Подобно Lego Technic или железному конструктору советских времён, нобор помогает в создании всевозможных самокатов, трайк...
    Читать дальше
  • Анонсирован российский ноутбук для работы в экстремальных условиях (2 фото)

    Корпорация «Ростех» в рамках Международной промышленной выставки «Иннопром-2018», проходящей с 9 по 12 июля в Екатеринбурге, показала сверхзащищённый российский ноутбук, который работает в экстремальных условиях.
    Читать дальше
  • В России создана капсула спасения утопающих

    Always saved man overboard, или AS MOB, – аппарат, способный за одну минуту спасти человека, который тонет. Речь идёт о совместной разработке российских инженеров из Петербурга, Ярославля и Астрахани.
    Читать дальше
  • Гибридные смарт-часы с E-Ink экраном и кварцевым механизмом (9 фото + видео)

    Gligo — это 41 миллиметровые гибридные смарт-часы, снабжённые дисплеем на электронных чернилах и кварцевым японским механизмом. Расположенный под стрелками экран E-Ink отображает разнообразные пиктограммы, например, пропущенного сообщения, а также отрезки времени, занятые событиями из календаря.
    Читать дальше

Уязвимость графического пароля

1 апреля 2013 | Интересное, Apple, Android
Уязвимость графического пароля

На страницах жж нашёлся крайне любопытный пост о наболевшем - безопасности персональных данных на мобильных устройствах. Далее сохранён авторский текст. Предыстория: моя жена постоянно норовит как-нибудь мне напортачить: поставить будильник на 3 часа ночи, поменять мелодию звонка, снести настройки синхронизации, удалить свою смс и потом доказывать, что она этого не говорила. Шутки шутками, но в какой-то момент я решил: “Довольно!” — и поставил графический пароль на свой андроид.


Жена усмехнулась и сказала, что подберёт. Я посмеялся в ответ, на том и разошлись. Только теперь её волновал вопрос, как подобрать, а меня какова вероятность этого события.

Самая первая и логичная мысль придумать математический способ вычисления комбинаций.
Нужно задать начальные условия:
Направление имеет значение
Каждую точку можно пройти лишь однажды
Для соединения двух точек они должны быть в прямой видимости. То есть первая может быть соединена пальцем со второй, но не с третьей.
Количество точек: от 5 до 9. Назовём один росчерк, одно соединение — хопом. То есть у нас может быть от 4 до 8 хопов.

Попытки влоб просчитать варианты математически не увенчались успехом. Накладываемые условия не позволили выявить правила.

Следующий шаг: перебор. Не то чтобы я надеялся перебрать все десятки тысяч вариантов. Основная мысль была — найти закономерности.
Я потратил на рисование схем несколько часов. Но все закономерности упирались в симметрию и то, что все угловые точки равнозначны, как и все промежуточные (кроме центральной).

Уязвимость графического пароля


Уязвимость графического пароля


Но когда нас пугали трудности? Начал я всё-таки с одного хопа.

Уязвимость графического пароля



1 хоп — проще пареной репы — 56 вариантов,
2 хопа — ничего сложного — 320 вариантов
3 хопа — пришлось потрудиться — 1624 варианта
4 хопа — это было, кхм, утомительно — 7152 варианта
5 хопов — мама миа и вырванные волосы — результат неизвестен.

Дальше я уже решил не насиловать свой мозг и вспомнить давно забытое программирование.

Расчехлил турбопаскаль, стряхнул пыль с переменных и начал разрабатывать алгоритм. После 4 лет паузы и простеньких скриптов на баше мне потребовался целый вечер на отладку программы. Даром, что алгоритм родился минут за 20.

Уязвимость графического пароля


Вот вывод количества вариантов для каждого количество хопов. Как видно, с 1 по 4 цифра совпадает с практическими рассчётами, а при количестве хопов больше 8 — путей нет, что логично.

Уязвимость графического пароля



Паскаль имеет ограничение в 64 кБ на размер массива. Поэтому массив даже из Byte в несколько десятков тысяч элементов невозможен. Заморачиваться с динамическим выделением памяти или записями не хотелось, поэтому просчитать сами пути в подробностях можно только до 4 хопов:

Уязвимость графического пароля


UPD. при расчёте прежде не была учтена возможность проходить сквозь уже использованную точку. В новой версии баг исправлен.

Это результат для последовательности 11-22-31-32-12:

Уязвимость графического пароля


И вот долгожданный результат:

Уязвимость графического пароля


Итак, 389488 возможных вариантов. Даже если из них исключить 50% извращённых вариантов, которые не каждый человек, лишённый шизофрении, сможет с первого раза набрать (впрочем, зачем шизофренику андроид), остаётся 194744 вариантов.

Уязвимость графического пароля


Андроид даёт 20 попыток, после которых блокирует телефон.

Итак, 20/194744=,0001. То есть, вероятность 0,01%. Одна сотая процента!

“Ну-ну” — сказал я жене, показывая расчёты. “Ну-ну” — сказала мне жена, показывая разблокированный телефон.

Уязвимость графического пароля


Источник: livejournal
Понравился пост? Просоединяйтесь к нам в Facebook!

Написать комментарий


Включите эту картинку для отображения кода безопасности
обновить, если не виден код


Комментарии: 11

avatar
1 апреля 2013 12:43 Андрей
Пароль она тоже сможет подобрать?
+ -1
Ответить
avatar
1 апреля 2013 13:18 Killer
зная на что давить, подобрать комбинацию не составит труда
4*4 = всего 16 комбинаций
+ -1
Ответить
avatar
1 апреля 2013 13:11 Ваше имя
дисплей надо протирать!

+ 4
Ответить
avatar
1 апреля 2013 13:24 Роман Тяпочкин
Это с хабра
habrahabr . ru /post/174773/
+ -1
Ответить
avatar
1 апреля 2013 15:10 Андрей
2 Killer
Почему 16? 10,000 тысяч же.
+ -1
Ответить
avatar
1 апреля 2013 20:14 Killer
это ты как посчитал?
я отталкивался от того, что пароль - 4 цифры. и тебе известны какие именно! (если так же подсмотреть на пятна) останется только подобрать порядок. Итого вроде как только 16 комбинаций.
+ 0
Ответить
avatar
2 апреля 2013 06:40 Logorifmator9
Математику в школе учить надо было! Первой может быть любая из 4 цифр, второй - любая из оставшихся 3, третьей -любая из оставшихся двух, четвертой выбора нет. Итого: 4*3*2*1=24 комбинации. Не верите - проверьте на листочке, это проще и быстрее, чем кажется.
+ 2
Ответить
avatar
2 апреля 2013 06:44 Logorifmator9
А то по такой логике, если допустить, что пароль из 4 цифр, и известно, что каждая цифра от 0 до 9 (т.е. по сути, нам эти цифры не известны), то по вашей формуле будет 4*10 = всего 40 вариантов. Но думаю, ежу понятно, что вариантов так-то побольше. А точнее - 10*9*8*7=5040. (С учетом, что цифры не повторяются и порядок их ввода имеет значение)
+ 1
Ответить
avatar
2 апреля 2013 10:04 Killer
хватит воздух сотрясать. доказал, молодец!
+ -6
Ответить
avatar
2 апреля 2013 00:15 Антон
Капец.. бредовый пост. С самого начала были мысли "Какого все это просчитывать, если по жировым следам все понятно".. тоже мне
+ 1
Ответить
avatar
3 апреля 2013 23:39 Ваше имя
я когда от своей блокировал телефон давно понял как она сможет подсмотреть пароль...
+ 0
Ответить
В Вашем браузере отключен JavaScript. Для корректной работы сайта настоятельно рекомендуется его включить.