क्या पिन कोड का अनुमान लगाना मुश्किल है?

वैश्विक बुनियादी ढांचे में पिन कोड की महत्वपूर्ण भूमिका के बावजूद, अभी तक कोई अकादमिक अध्ययन नहीं किया गया है कि वास्तव में लोग पिन कोड कैसे चुनते हैं।

कैम्ब्रिज यूनिवर्सिटी के शोधकर्ताओं सॉरेन प्रीबश और रॉस एंडरसन ने 4-अंकीय बैंकिंग पिन का अनुमान लगाने की कठिनाई का दुनिया का पहला मात्रात्मक विश्लेषण प्रकाशित करके स्थिति को ठीक किया।

गैर-बैंकिंग स्रोतों से पासवर्ड लीक और ऑनलाइन पूछताछ पर डेटा का उपयोग करते हुए, वैज्ञानिकों ने पाया कि उपयोगकर्ता वेबसाइटों के लिए पासवर्ड चुनने की तुलना में पिन कोड चुनने के बारे में अधिक गंभीर हैं: अधिकांश कोड में लगभग यादृच्छिक संख्या में सेट होते हैं। फिर भी, स्रोत डेटा के बीच दोनों सरल संयोजन और जन्मदिन हैं - अर्थात, कुछ भाग्य के साथ, एक हमलावर केवल कोव कोड का अनुमान लगा सकता है।

अध्ययन का प्रारंभिक बिंदु रॉक यू डेटाबेस (1.7 मिलियन) से पासवर्ड में 4-अंकीय अनुक्रमों का एक सेट था, और आईफोन स्क्रीन लॉक प्रोग्राम से 200 हजार पिन कोड का एक डेटाबेस (एप्लिकेशन डेवलपर डेनिएल अमिते द्वारा डेटाबेस प्रदान किया गया था)। इस डेटा पर निर्मित चार्ट में, दिलचस्प पैटर्न दिखाई देते हैं - दिनांक, वर्ष, दोहराए गए अंक और यहां तक ​​कि पिन कोड 69 में समाप्त होते हैं। इन टिप्पणियों के आधार पर, वैज्ञानिकों ने एक रेखीय प्रतिगमन मॉडल बनाया जो 25 के आधार पर प्रत्येक पिन कोड की लोकप्रियता का अनुमान लगाता है कारक, जैसे कि कोड एक डीडीएमएम तिथि है, चाहे वह एक बढ़ता हुआ क्रम हो, और इसी तरह। प्रत्येक सेट में 79% और 93% पिन कोड इन सामान्य स्थितियों के अनुरूप हैं।



इसलिए, उपयोगकर्ता केवल कुछ सरल कारकों के आधार पर 4-अंकीय कोड चुनते हैं। अगर बैंक पिन इस तरह से चुने जाते हैं, तो उनमें से 8-9% का अनुमान सिर्फ तीन प्रयासों में लगाया जा सकता है! लेकिन, निश्चित रूप से, लोग बैंक कोड के प्रति अधिक चौकस हैं। वास्तविक बैंकिंग डेटा के किसी भी बड़े सेट की कमी के कारण, शोधकर्ताओं ने 1300 से अधिक लोगों का साक्षात्कार किया कि यह आकलन करने के लिए कि पिन-कोड कितने वास्तविक हैं, जो पहले से ही माना जाता है। अध्ययन की बारीकियों को देखते हुए, उत्तरदाताओं को स्वयं कोड के बारे में नहीं पूछा गया था, लेकिन केवल उपरोक्त कारकों में से किसी के साथ उनके अनुपालन के बारे में (वृद्धि, डीडीएमएम प्रारूप, आदि)।

यह पता चला कि लोग वास्तव में बहुत सावधानी से बैंक पिन कोड चुनते हैं। लगभग एक चौथाई उत्तरदाता बैंक द्वारा उत्पन्न एक यादृच्छिक पिन का उपयोग करते हैं। एक तिहाई से अधिक एक पुराने फोन नंबर, छात्र कार्ड नंबर, या यादृच्छिक संख्या में दिखने वाले अन्य सेट का उपयोग करके अपना पिन चुनते हैं। परिणामों के अनुसार, 64% कार्डधारक एक छद्म यादृच्छिक पिन कोड का उपयोग करते हैं, जो गैर-बैंक कोड के साथ पिछले प्रयोगों में 23-27% से अधिक है। एक और 5% एक डिजिटल पैटर्न (जैसे 4545) का उपयोग करते हैं, जबकि 9% एक कीबोर्ड पैटर्न (जैसे 2684) पसंद करते हैं। सामान्य तौर पर, छह प्रयासों के साथ एक हमलावर (एक एटीएम के साथ तीन और एक भुगतान टर्मिनल के साथ) में किसी और के कार्ड के पिन कोड का अनुमान लगाने का 2% से कम मौका होता है।

फ़ैक्टर	उदाहरण	rockyou	iPhone	साक्षात्कार
दिनांक
DDMM	2311	5.26	1.38	3.07
DMGG	3876	9.26	6.46	5.54
MMDD	1123	10.00	9.35	3.66
MMGG	0683	0.67	0.20	0.94
YYYY	1984	33.39	7.12	4.95
कुल मिलाकर		58.57	24.51	22.76
कीबोर्ड पैटर्न
संबद्ध	6351	1.52	4.99	-
वर्ग	1425	0.01	0.58	-
कोणों	9713	0.19	1.06	-
पार	8246	0.17	0.88	-
विकर्ण रेखा	1590	0.10	1.36	-
क्षैतिज रेखा	5987	0.34	1.42	-
शब्द	5683	0.70	8.39	-
लंबवत रेखा	8520	0.06	4.28	-
कुल मिलाकर		3.09	22.97	8.96
डिजिटल पैटर्न
69 पर समाप्त होता है	6869	0.35	0.57	-
अंक केवल 0-3	2000	3.49	2.72	-
अंक केवल 0-6	5155	4.66	5.96	-
जोड़े को दोहराते हुए	2525	2.31	4.11	-
एक ही नंबर	6666	0.40	6.67	-
अवरोही क्रम	3210	0.13	0.29	-
बढ़ते क्रम	4567	3.83	4.52	-
कुल मिलाकर		15.16	24.85	4.60
संख्याओं का यादृच्छिक सेट		23.17	27.67	63.68

सब कुछ ठीक होगा, लेकिन, दुर्भाग्य से, उत्तरदाताओं (23%) का एक महत्वपूर्ण हिस्सा एक तारीख के रूप में एक पिन कोड का चयन करता है - और उनमें से लगभग एक तिहाई अपनी जन्मतिथि का उपयोग करते हैं। यह महत्वपूर्ण रूप से मामले को बदल देता है, क्योंकि उत्तरदाताओं के लगभग सभी (99%) ने उत्तर दिया कि वे विभिन्न पहचान पत्र रखते हैं, जिस पर यह तारीख बैंक कार्ड के साथ वॉलेट में मुद्रित होती है। यदि हमलावर कार्डधारक का जन्मदिन जानता है, तो सक्षम दृष्टिकोण के साथ, पिन कोड का अनुमान लगाने की संभावना 9% तक होती है।

एक समाधान के रूप में, लेखकों का सुझाव है कि बैंक सबसे लोकप्रिय पिन कोड में से 100 पर प्रतिबंध लगाते हैं - सामान्य स्थिति में, यह अनुमान लगाने की संभावना को 0.2% तक कम कर देगा।



PS व्यवहार में, ज़ाहिर है, किसी हमलावर के लिए यह अनुमान लगाने की तुलना में आपके पिन कोड की जासूसी करना बहुत आसान है। लेकिन आप अपने आप को झाँकने से बचा सकते हैं - यहाँ तक कि, यह एक निराशाजनक स्थिति में प्रतीत होगा: