quelle sécurité téléphonique peut être contournée ?

L’empreinte digitale et le Face ID de votre téléphone sont-ils vraiment plus sécurisés que votre code PIN ? Vérifiez les avantages et les inconvénients de la biométrie.

La biométrie dans un smartphone : de quoi s’agit-il ?

La sécurité biométrique sur votre téléphone regroupe toutes les méthodes qui utilisent des caractéristiques spécifiques de votre corps au lieu d’un mot de passe :

• empreinte digitale,
• scan du visage (Face ID et similaire),
• un jour peut-être aussi balayage de l’iris Si système vasculaire.

En théorie, cela semble parfait : vous n’oublierez pas de « prendre » votre doigt ou votre visage avec vous depuis chez vous. Ils ne peuvent pas non plus être « perdus » comme un code ou un morceau de papier avec un mot de passe.. Dans la pratique, cependant, les différences entre les empreintes digitales, le code PIN et la reconnaissance faciale sont bien plus intéressantes, tant en termes de sécurité que de commodité.

PIN, mot de passe, modèle – sécurité classique

Commençons par le plus simple : le code PIN et le mot de passe.

Le code PIN/mot de passe vous donne :

• possibilité de paramétrer une sécurité très forte (PIN long, mot de passe alphanumérique),
• réversibilité totale – vous pouvez toujours changer le code s’il y a un risque que quelqu’un le connaisse,
• une certaine « neutralité juridique » – Le code PIN et le mot de passe sont des informations que vous n’êtes pas obligé de divulguer dans de nombreuses situations, car vous êtes protégé par le droit de la défense. À leur tour, une empreinte digitale ou un scan du visage est un échantillon biométrique, c’est-à-dire une caractéristique de votre corps, que les services peuvent, dans certaines situations, tenter d’obtenir comme preuve plutôt que comme « un secret que vous révélez ».

Faiblesses :

• les gens définissent des codes PIN tels que 1111, 1234, dates de naissance,
• Le code PIN peut être consulté par-dessus l’épaule (ce qu’on appelle le surf sur l’épaule),
• avec un code trop simple, une attaque par force brute (tentatives multiples) devient réelle si le système n’a pas de limites raisonnables.

Empreinte digitale sur le téléphone – comment ça marche et est-ce plus sûr qu’un code PIN ?

Le lecteur d’empreintes digitales de votre téléphone ne stocke pas de « photo de votre doigt ». Lors de l’enregistrement d’une impression, le système crée modèle de fonctionnalité chiffrée (points caractéristiques de la ligne), qui est conservé dans une partie séparée et sécurisée du système du smartphone. L’image brute du doigt ne sort pas de ce module sécurisé.

Les plus grands avantages d’une empreinte digitale :

• déverrouillage très rapide – généralement 1 clic,
• fonctionne même lorsque vous avez un masque/chapeau/lunettes,
• il est difficile de « voir » le mot de passe,
• en combinaison avec un code PIN, cela augmente vraiment la sécurité (car vous saisissez le code moins souvent, donc quelqu’un peut le voir moins souvent).

Des inconvénients dont on parle rarement :

• vous pouvez « laisser » une empreinte sur une vitre, un téléphone, une poignée de porte – en théorie, elle peut être copiée (avec beaucoup de travail),
• un doigt blessé, mouillé ou fissuré peut soudainement cesser de fonctionner,
• en situation de contrainte physique quelqu’un peut simplement placer votre doigt sur le lecteur – n’a pas besoin de connaître le code PIN.

En pratique, les lecteurs modernes sont très bien conçus, et les chances que quelqu’un prenne la peine de faire une imitation hyperréaliste de votre doigt sont faibles pour un utilisateur ordinaire. D’un point de vue sécurité au quotidien une empreinte digitale est généralement plus sécurisée qu’un code PIN à 4 chiffresmais perd contre slogan fortsi l’on parle du scénario d’une « attaque très avancée, consommant beaucoup de temps et de ressources ».

Reconnaissance faciale : est-ce l’option « la plus sûre » ?

Tous les « scans du visage » ne fonctionnent pas de la même manière. Il convient de le rappeler dans le contexte de la sécurité.

• Identification du visage (Pomme) je systèmes 3D avancés certains smartphones Android utilisent des caméras et des projecteurs infrarouges qui créent une carte tridimensionnelle du visage. Il s’agit d’une biométrie « haut de gamme ».
• Le simple « déverrouillage du visage » dans les smartphones bon marché repose souvent uniquement sur l’analyse de l’image de la caméra 2D frontale – et un tel système peut être sujet à la fraude à l’aide de photos ou d’enregistrements.

Apple se vante de cela la probabilité que votre iPhone soit accidentellement déverrouillé par une autre personne (sans compter votre « jumeau ») est d’environ 1 sur 1 000 000tandis que pour Touch ID, c’était 1 sur 50 000. Ceci suggère que Une reconnaissance faciale 3D bien mise en œuvre peut être statistiquement « plus puissante » que la prise d’empreintes digitales.

Cependant, Apple émet clairement une mise en garde importante : ces statistiques sont basées sur des personnes aléatoires dans la population. La probabilité s’aggrave considérablement pour les jumeaux, les frères et sœurs ayant une apparence similaire et les enfants de moins de 13 ans, car les traits de leur visage peuvent ne pas être suffisamment développés. Dans de telles situations, Apple recommande une sécurité supplémentaire sous la forme d’un code d’accès. Cela signifie que même si Face ID est statistiquement plus sécurisé pour la plupart des utilisateurs, son efficacité peut changer en fonction des caractéristiques anatomiques de l’utilisateur et de celles qui lui sont associées.

Avantages de la reconnaissance faciale :

• confort extrême – « vous le prenez et regardez »,
• travaille avec des gants / quand on a les mains pleines,
• dans la version 3D, il résiste aux photos et vidéos ordinaires,
• dans les systèmes Face ID, les données faciales sont stockées localement, dans un système sécurisé – elles ne vont pas dans le cloud.

Problèmes et limites :

• les solutions de déverrouillage du visage 2D bon marché peuvent être trompées avec une photo,
• avec un masque, une cagoule ou avec un changement d’apparence important, l’efficacité diminue,
• la même chose qu’avec une impression – dans une situation de contrainte, quelqu’un peut simplement « montrer son visage au téléphone ».

Biométrie vs PIN : qu’est-ce qui est « mieux » dans la vraie vie ?

La réponse la plus honnête est que l’idéal est de combiner la biométrie avec un code PIN ou un mot de passe fort, plutôt que de remplacer l’un par l’autre. Du point de vue de l’utilisation quotidienne, la biométrie – c’est-à-dire la reconnaissance des empreintes digitales ou du visage – gagne en termes de commodité. Vous déverrouillez votre téléphone d’une simple pression ou d’un simple coup d’œil, vous saisissez le code moins souvent, ce qui réduit le risque que quelqu’un regarde votre code PIN par-dessus votre épaule. En pratique, c’est la biométrie qui « gère » la plupart des déverrouillages dans la journée et rend la sécurité moins lourde.

Toutefois, votre code PIN ou votre mot de passe reste votre « dernière ligne de défense ». Ils sont nécessaires après un redémarrage de l’appareil, une modification des paramètres de sécurité ou plusieurs tentatives biométriques infructueuses. Vous pouvez toujours modifier le code si vous pensez que quelqu’un l’a connu, et dans de nombreuses situations, il est mieux protégé par la loi que les données biométriques – vous n’êtes pas toujours obligé de le divulguer.

La clé n’est donc pas tant de savoir si vous choisissez votre empreinte digitale ou votre visage, mais plutôt la force de votre code PIN et la manière dont ces méthodes fonctionnent ensemble. Un ensemble de code PIN à 4 chiffres « 1234 » plus une empreinte digitale donne un niveau de sécurité plutôt moyen. À son tour, un code PIN à 6 chiffres (ou plus), combiné à un bon lecteur d’empreintes digitales ou Face ID, offre un très haut niveau de protection à un utilisateur ordinaire – sans avoir à se soucier de saisir constamment un long mot de passe.

Quand la biométrie peut-elle être risquée ?

Bien que les fabricants présentent les empreintes digitales et Face ID comme étant « super sécurisés », il existe des scénarios dans lesquels il vaut au moins la peine d’être conscient des risques :

• situations dans lesquelles quelqu’un peut recourir à la force – un policier, un partenaire violent, un agresseur peuvent simplement saisir votre main ou votre visage et le mettre au téléphone ; Cependant, le code PIN nécessite une fourniture consciente d’informations ;
• pays/situations à haut risque – en matière de protection des données confidentielles (journalistes d’investigation, militants…), certaines organisations recommandent de désactiver la biométrie avant de franchir la frontière ou de manifester ;
• enfants et usage partagé – la biométrie est parfois « divisée ». Quelqu’un « ajoute » son doigt ou son visage « pour le rendre plus pratique », ce qui signifie en pratique deux touches équivalentes. Ce n’est pas toujours une option sûre.

C’est une bonne pratique utilisation consciente des modes sans échec – iOS et Android permettent de désactiver rapidement la biométrie (par exemple après plusieurs tentatives incorrectes, un appui long sur le bouton, etc.), afin que le déverrouillage ne nécessite qu’un code PIN.

Que choisir : empreinte digitale, Face ID ou PIN ?

Si je devais le résumer à quelques conseils pratiques :

• Ne donnez pas votre code PIN/mot de passe. La biométrie est une couche de commodité et ne remplace pas le code.
• Définir un code PIN plus fort – au moins 6 chiffres, de préférence un qui n’est pas une date de naissance ou un motif répétitif.
• Si vous avez le choix entre « Déverrouillage du visage 2D » et une empreinte digitale, choisissez l’empreinte digitale. La simple reconnaissance faciale basée sur une caméra est la moins fiable.
• Si vous disposez de Face ID / reconnaissance 3D + code PIN à 6 chiffres ou plus – pour 99% des utilisateurs, cet ensemble est largement suffisant.
• Faites attention à votre environnement. Si vous savez que vous pourriez vous retrouver dans une situation de contrainte, envisagez de désactiver temporairement la biométrie et de conserver votre code PIN.