Der vierstellige Zugangs-PIN für Smartphones ist alles andere als sicher. Das stellen zwei Hacker mit einer selbstgebauten Maschine unter Beweis.



Hacker lieben Herausforderungen. So haben Justin Engler und Paul Vines einen Roboter gebaut, der den Zugangs-Code von Smartphones knackt.

Ihren Eigenbau mit einem Materialwert von lediglich 200 US-Dollar nennen sie Robotic Reconfigurable Button Basher, oder kurz R2B2. Die angewendete Methode, ein System durch unermüdliches Ausprobieren zu knacken, wird als «Brute Force» bezeichnet. Pro Sekunde gibt der Roboter einen neuen Code ein und überprüft anhand der integrierten Kamera, ob der Sperrbildschirm freigeschaltet wird.

Das sei schnell genug, um ein herkömmliches Android-Smartphone in spätestens 20 Stunden zu knacken, hält das US-Magazin Forbes fest.

Hacker lieben Herausforderungen. So haben Justin Engler und Paul Vines einen Roboter gebaut, der den Zugangs-Code von Smartphones knackt.

Ihren Eigenbau mit einem Materialwert von lediglich 200 US-Dollar nennen sie Robotic Reconfigurable Button Basher, oder kurz R2B2. Die angewendete Methode, ein System durch unermüdliches Ausprobieren zu knacken, wird als «Brute Force» bezeichnet. Pro Sekunde gibt der Roboter einen neuen Code ein und überprüft anhand der integrierten Kamera, ob der Sperrbildschirm freigeschaltet wird.

Das sei schnell genug, um ein herkömmliches Android-Smartphone in spätestens 20 Stunden zu knacken, hält das US-Magazin Forbes fest.

iPhones sind sicherer
Nicht alle PIN-geschützten Geräte seien mit der Brute-Force-Methode zu knacken, räumte Engler ein. So sei etwa Apples mobiles Betriebssystem iOS durch eine sich automatisch verlängernde Zeitverzögerung abgesichert. Nach Fehlversuchen dauere es immer länger, bis erneut eine Eingabe möglich sei. Nach einer Handvoll Fehlversuchen sei die PIN-Eingabe für mehrere Stunden blockiert. Dies verunmögliche einen erfolgreichen Angriff.

Im Gegensatz dazu gelang es Engler und Vines, alle getesteten Android-Geräte zu knacken. Das habe mit der Voreinstellung des Systems zu tun. Nach fünf Fehlversuchen gab es lediglich eine Verzögerung von 30 Sekunden. So konnte der Roboter alle 35 Sekunden fünf neue Versuche starten.

Baupläne bald verfügbar
An der Hackerkonferenz Def Con in Las Vegas wollen die beiden Bastler nächsten Monat ihren elektromechanischen Code-Knacker vorstellen. Damit sollen sich auch andere Bildschirmsperren, wie zum Beispiel Muster aushebeln lassen.

Neben einem Arduino-Rechner, drei Servo-Motoren und einer einfachen Webcam haben sie einige Plastikteile verbaut, die mit einem 3D-Drucker hergestellt wurden. Die selber programmierte Brute-Force-Software läuft auf einem PC oder Mac, der via USB-Kabel verbunden ist.

Baupläne und Software sollen in Kürze im Internet veröffentlicht werden.


via