Dansk sikkerhedsspecialist i frontalangreb mod Androids unlock-mekanisme

At forbinde fire prikker i den rigtige rækkefølge er en smart, men usikker måde at låse Android-telefoner op på. Flere forhold gør 'koden' nem at hacke, siger danske Secunias chef-sikkerhedsspecialist.

Det virker som et smart gimmick, når den nye HTC Desire-telefon med Android-styresystemet gør op med pinkode-tyranniet. Aldrig mere skal man kløjes i at huske fire cifre i den rigtige rækkefølge, for som ny unlock-mekaniske skal man i stedet forbinde fire prikker i et 3x3-grid i den rigtige rækkefølge.

Men metoden er usikker og nem at hacke. Chefsikkerhedsspecialist Carsten Eiram fra det danske sikkerhedsfirma Secunia beskriver i et nyt blogindlæg således, hvordan han ud fra ganske få overvejelser kunne 'hacke' sig ind på sin kollegas nye HTC Desire uden at kende mønsteret på forhånd.

»Kombinationen skal mindst bestå af fire prikker, men det er desværre ikke muligt at genbruge en prik. Dette reducerer antallet af forskellige måder at forbinde prikker på betydeligt. Når man tager i betragtning, at de fleste højrehåndede vil starte tegningen fra venstre side, og de fleste brugere vil vælge en gestus, der 'ligger i håndleddet,' var det ikke usandsynligt at gætte adgangskoden uden de store problemer ? det tog kun fem forsøg,« skriver Carsten Eiram i blogindlægget.

Samtidig gør han opmærksom på, at brugerens fedtfingre ofte er med til at afsløre det valgte mønster.

»Jeg kiggede på skærmen og noterede mig de afsatte mærker. Under normal brug trykker man på skærmen, trækker op og ned, eller trækker fra side til side. Der er god sandsynlighed for, at enhver anden fedtfingerstreg kan være fra unlock-mønsteret. Det viste sig også at være en simpel, men effektiv tilgang til at få adgang til telefonen. Glem ikke at tørre skærmen af efter brug!« lyder det gode råd fra Carsten Eiram.

Endelig noterer han sig en mere sofistikeret måde at lure et unlock-mønster på ? dog næppe en metode, potentielle hackere bør sætte deres lid til.

»Jeg fakede, at jeg var meget interesseret i telefonen, og da jeg blev præsenteret for skærmlåsen, spurgte jeg ind til, hvordan den mon fungerede. Telefonen ejer svarede: 'Årh, du skal bare forbinde de rigtige prikker med hinanden', mens han ubevidst lavde en gestus med sin finger, der svarede til det valgte mønster. Efterfølgende væddede jeg med ham, om jeg kunne skaffe mig adgang til hans telefon, hvilket han ikke troede jeg kunne ? han tog fejl,« lyder den lakoniske slutkommentar fra Carsten Eiram.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (22)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Christian Rasmussen

Jeg er for så vidt enig med Carsten Eiram i Desires unlock-mekanisme kan være nem at bryde og jeg som sådan også enig i, at mekanismen er nemmere at bryde end den gængse 4-cifrede pin kode.

Nu er jeg den lykkelige ejer af den omtalte telefon og jeg har da også indset at det er nemt at gennemskue mønsteret baseret på de fedtede streger hen over skærmen. Det har jeg taget til efterretning og benytter selv et mønster hvor alle 9 prikker bliver brugt. Selvom det ikke er muligt at "gebruge" prikker så er det dog muligt at krydse sporene over hinanden, hvilket gør fedtfinger-sporet noget sværere at gennemskue. Jeg erkender at det dog vil være trivielt at prøve alle kombinationsmulighederne såfremt man har tid til det.

Jeg undrer mig bare over hvor meget sværere det ville være end en almindelig pin kode nu hvor det er en touch telefon. Hvis der nu istedet var et almindeligt 0-9 tastatur så man skulle indtaste en god gammeldaws pin kode, så ville det jo også være trivielt at spore fedtpletterne - det er jo stadig en touch telefon.

Jeg har ikke erfaring med hvorledes andre touch telefoner fungerer så jeg skal overhovedet ikke gøre mig klog på hvor vidt Desires mekanisme er hverken ringere eller bedre end hvad der ellers bliver brugt, men jeg tror dog på, mekanismen kan være ligeså sikker som alternativerne hvis man bruger den rigtigt.

Med venlig hilsen
Christian Rasmussen

Morten Wegelbye Nissen

Kan være jeg misforstår, men er den der "forbind nogle prikker" ikke til for at forhindre pocketcalls?
Altså tilsvarende Nokias menu + *, eller iPhones trække end finger mod højre. I min verden ikke noget der er hemmeligt.


234
1*5
Er min kombination, nu ved alle det.

Morten Wegelbye Nissen

Pointen var lidt.
Artiklen giver mig en oplevelse af at man har valgt at udskifte pin på SIM-kortet med en prikke kombination, hvilket ikke er tilfældet. ( har forsøgt at indstille til det )
Prikke kombinationen er for skærmlåsen, ikke for pinkode til simkortet.
Skærmlåsen er i min bog et tiltag mod pocketcalls[1] - og ikke en feature for at forhindre kollegaen i at låse den op[2].

[1] - pocketcalls er det fænomen som opstår når din telefon ringer til enten ham/hende der står øverest i din telefonbog.
[2] - jeg har engang fundet en taske, hvor jeg ikke kunne finde ejeren, fordi hun havde sat en kode på hendes mobil telefon.

Daniel Gertsen

Jeg ved 100% at den findes på både Magic, Tatoo, Hero, Legend og Desire.
Formentligt mange flere.

Denne feature er en del af "pakken" fra HTC, og findes også på telefoner der ikke kører Android som styresystem, eksempelvis Touch Diamond, Touch HD og Touch HD2.

Så under alle omstændigheder bør al reference mod Android fjernes fra artiklen, det er simpelthen ikke berettiget at svine Android til for dette.
Hvis nogen skal svines til, er det HTC, men jeg mener ikke nogen skal høre noget ondt for dette...

For mig er denne "kode" en måde at få pilfingre til at holde sig væk, og ikke rode rundt i mine SMS'er, billeder og lignende, hvis jeg skulle vende ryggen til et øjeblik.
Samtidig en måde at sikre jeg ikke ringer op til nogen fra lommen, hvilket dog ikke har været et problem, eftersom skærmen kun reagerer på fingre, og ikke eksempelvis nøgler.
(Med undtagelse af Tatoo, der reagerer på tryk, og ikke bare berøring.)

Der er så vidt jeg ved ingen der hævder at den er specielt sikker eller svær at bryde, men den er dog mere sikker end alle andre skærmlåse jeg har set til dato.
Specielt hvis folk har alkohol i blodet, kan den være svær at bryde hvis man ikke kender mønstret.

Den største sårbarhed ved dette mønster er efter min mening, at den er ret let at aflure, eftersom mønstret er tydeligt synligt mens det tegnes.
Det ville være smartere hvis der ikke kom nogen streg når man tegnede, men ok, så ville det måske være sværere at se om man havde ramt en prik korrekt.

Jeg forstår ikke hvorfor nogen skulle have lyst til at kritisere dette overhovedet, det skulle da lige være for at profilere sig som såkaldt "sikkerhedsspecialist".
Det eneste der kræves for at kalde det, er åbenbart at man kan indse det åbenlyse?

Man kan sige hvad man vil, men denne lås er betydeligt mere sikker end eksempelvis iPods løsning, eller alt andet jeg har set til Nokia, Sony Ericsson, Samsung...

Thomas Bowley

"Den største sårbarhed ved dette mønster er efter min mening, at den er ret let at aflure, eftersom mønstret er tydeligt synligt mens det tegnes.
Det ville være smartere hvis der ikke kom nogen streg når man tegnede, men ok, så ville det måske være sværere at se om man havde ramt en prik korrekt."

Det er muligt at slå det synlige mønster fra, i hvert fald på en HTC Desire, derved kan andre ikke se stregen men kun dine bevægelser over skærmen.

Indstillinger ->
Sikkerhed ->
Brug synligt mønster [x]

Martin Troels Eberhardt

> Denne feature er en del af "pakken" fra HTC

Ikke korrekt. Det er IKKE en SenseUI/HTC feature, men en Android feature.

> Det ville være smartere hvis der ikke kom nogen streg når man tegnede, men ok, så ville det måske være sværere at se om man havde ramt en prik korrekt.

Så er det jo godt at der er en option der hedder "Brug synligt mønster" som kan slås fra.

Og hvis man nu ønsker lidt bedre sikkerhed, kan man jo bruge PIN lås til istedet. (På CyanogenMod 5.0.7-t3 anyways, ved ikke med almindelig Android 2.1)

Daniel Gertsen

Ikke korrekt. Det er IKKE en SenseUI/HTC feature, men en Android feature.

I så fald har Android enten ladet sig inspirere af HTC, eller HTC har vidst hvad Android ville komme med meget tidligt, og kopieret det - hvordan kan den ellers være på en HTC Touch Diamond fra 2008 Q3, der kører Windows Mobile 6?

Så er det jo godt at der er en option der hedder "Brug synligt mønster" som kan slås fra.

Smart, dén detalje havde jeg overset.
Det gør den en smule mere sikker.

Kristian Lund

Det er til at sørge for at din room-mate, arbejdskammerat eller lillesøster ikke bryder den op når du forlader den i fem minutter!

Mekanismen sørgee for at det vil tage lang tid (efter fem forsøg er den låst i en periode) at få åbnet telefonen - og mikrosekunder hvis du har "koden". Folk der har stjålet din telefon er den intet værd imod, men det er der egentlig intet andet end fuld harddisk-kryptering der er. Men det er rigtig fikst til at sørge for at man ikke lige får den åbnet på fem minutter mens du er væk.

PS: Enormt flovt ikke engang at have sat sig ind i at mønstret ikke behøver være synligt.

Christian Elbrandt

"Problemet er vel folk tror det er en reel kode, og derfor tror den er sikker at bruge."

Jeg synes problemet er at de mange smartphones ikke tilbyder en kode som er sikker at bruge!

Mange firmaer køber en smart HTC eller Iphone, så medarbejderen kan læse firma emails på telefonen.

Når så medarbejderen taber telefonen (der er tændt) kan firmaets fortrolige emails relativt nemt blive læst fordi de kun er beskyttet at en simpel skærmlås som så enten består af prikker eller en simpel tal-pinkode. Derudover kan brugeren også vælge helt at slå skræmlåsen fra som så gør det endnu nemmere at læse firmaets email, når telefonen tabes.

Firmaer burde istedet købe bruge Blackberry som kræver at stærkt password (bogtaver + tal) for at åbne skærmlåsen, og taster du det forkert 10 gange bliver enheden formatetet. (og nej, jeg har ingen aktier i BB :-) )

Peter Nielsen

Firmaer burde istedet købe bruge Blackberry som kræver at stærkt password (bogtaver + tal) for at åbne skærmlåsen, og taster du det forkert 10 gange bliver enheden formatetet.

I mit firma kan man fx. benytte smart phone devices, når man har lagt vores "firma sikkerhedspolitik" på devicen, som bl.a sikre et fornuftigt password og at enheden bliver formateret efter x gange forkert pwd.

Det er meget mere fleksibelt og vi er ikke bundet op på noget bestemt HW eller producent.

Log ind eller Opret konto for at kommentere