Lunghezza del PIN Mobile: Perché 6 Cifre sono lo Standard Moderno
Non esiste un mandato universale, ma 6 cifre è emerso come lo standard di fatto per i PIN dei dispositivi mobili, bilanciando resistenza al brute-force con memorabilità umana.
La Matematica: Entropia e Indovinabilità
| Lunghezza PIN | Combinazioni (0-9) | Entropia (bit) | Tempo Indovinamento Online (10/sec, nessun blocco) | Crack Offline (Hash) |
|---|---|---|---|---|
| 4 cifre | 10.000 | 13,3 | 16 min | Istantaneo |
| 6 cifre | 1.000.000 | 19,9 | 27 ore | Secondi |
| 8 cifre | 100.000.000 | 26,6 | 115 giorni | Minuti |
| Alfanumerico (6 char, 62^6) | 56,8B | 35,7 | 180 anni | Ore |
Perché Non Usare Solo 8+ Cifre?
- Tasso di Fallimento della Memoria: 4 cifre: ~2% dimenticano. 6 cifre: ~5%. 8 cifre: ~15%+ (NIST SP 800-63B).
- Comportamenti Compensatori: PIN lunghi dimenticati → scritti su post-it, salvati nell'app Note, riutilizzati su account — annullando il guadagno di entropia.
- Attrito di Inserimento: 8+ cifre su una tastiera 3×4 (o touchscreen) aumenta errori di inserimento, frustrazione, blocchi.
Cosa Ti Protegge Effettivamente: La Politica di Blocco
L'entropia conta solo se l'attaccante ha accesso offline all'hash (estrazione fisica, strumento forense). Su un telefono attivo:
- iOS: 6 tentativi → 1 min di ritardo → ... → 10 tentativi → cancellazione dati (se attivata). Secure Enclave lo applica a livello hardware. PIN a 6 cifre = efficacemente inattaccabile online.
- Android (Pixel/Samsung moderni): 5 tentativi → 30 sec → backoff esponenziale → ripristino alle impostazioni di fabbrica dopo ~15-30 fallimenti. Crittografia basata su file + Titan M2 / StrongBox.
Conclusione: Un PIN a 6 cifre casuale + limitazione dei tentativi applicata a livello hardware = criptograficamente sufficiente per la protezione sul dispositivo.
Gerarchia delle Migliori Pratiche
- Biometria Primaria (Face ID / Impronta Digitale): Alta entropia, zero carico di memorizzazione.
- PIN a 6 Cifre Casuale (Backup): Non anno di nascita, non 123456, non ripetuto. Usa un gestore password per generare/conservare.
- Password Alfanumerica (Alta Sicurezza): Se affronti minacce fisiche mirate (giornalista, attivista, dirigente). Usa un gestore password.
- Attiva Cancellazione Automatica / Cancellazione Remota: Trova il mio (iOS) / Trova il mio Dispositivo (Android).
La lunghezza da sola è una metrica di vanità. Casualità + limitazione dei tassi hardware + cancellazione remota è lo stack di sicurezza effettivo.