Android 17 tem mudança importante para proteger a senha do celular de ladrões

O Android 17 vai reduzir drasticamente o número de tentativas permitidas para adivinhar o PIN ou a senha da tela de bloqueio. O limite máximo cai de 1,8 mil tentativas ao longo de cinco anos para apenas 20 no total. A mudança foi detalhada pelo engenheiro do Google Mishaal Rahman em publicação no X e confirmada na documentação oficial do Android Open Source Project (AOSP).

O Google já havia anunciado o reforço de segurança da tela de bloqueio durante o The Android Show: I/O Edition, em maio. Agora, definiram os números por trás da mudança, que já começou a valer na atualização QPR2 do Android 16 e segue no Android 17.era o limite antes

Nova política de limitação de taxa

O Android 16, na configuração mínima exigida pela Google, permitia até 10 tentativas erradas no primeiro minuto, 20 em seis minutos, 50 em 25 minutos, 110 em 24 horas e 1,8 mil ao longo de cinco anos. Essa política atendia ao requisito mínimo do “CDD 9.11”, documento que define as regras de compatibilidade do Android.

-
Entre no Canal do WhatsApp do Canaltech e fique por dentro das últimas notícias sobre tecnologia, lançamentos, dicas e tutoriais incríveis.
-

A partir do Android 16 QPR2, o limite passou para 6 tentativas no primeiro minuto, 7 em seis minutos, 8 em 25 minutos, 12 em 24 horas e 19 em cinco anos. Depois da vigésima tentativa incorreta, o sistema não aceita mais nenhum palpite.

O bloqueio também fica progressivamente mais longo. A quinta tentativa errada gera um minuto de espera. A nona leva a 90 minutos. A décima terceira resulta em quatro dias de bloqueio. A décima sétima chega a um ano, e a décima nona impõe nove anos de espera antes de uma nova tentativa.

Motivo da mudança

A Google justifica o endurecimento com base no comportamento real dos usuários. PINs e senhas não são escolhidos de forma aleatória na maioria dos casos, o que facilita ataques de força bruta — método de tentativa e erro, por exemplo, com “0001”, “0002”, “0003”, até acertar o código.

Um estudo citado pela própria documentação do Android, intitulado "This PIN Can Be Easily Guessed" (Este PIN pode ser adivinhado facilmente, em inglês), identificou taxa de sucesso de 16,2% para adivinhar PINs reais após 100 tentativas e de 35,5% para padrões de desenho. Invasores com acesso a dados pessoais da vítima, como data de nascimento, têm chances ainda maiores de sucesso.

A limitação é aplicada por um limitador de taxa dentro do ambiente de execução confiável (TEE) ou do elemento seguro (SE) do aparelho, por meio dos sistemas Gatekeeper ou Weaver. Em dispositivos que não recebem atualização desses componentes, a Google criou o SoftwareRateLimiter, um limitador secundário rodando no servidor do sistema que aplica a mesma política.

Recursos para não prejudicar quem esquece a senha

A política mais rígida vem acompanhada de ajustes pensados para o usuário real, que esqueceu sua senha. Em aparelhos com Weaver, entradas incorretas duplicadas deixam de contar para o limite de tentativas, e a tela de bloqueio exibe uma mensagem específica explicando por que aquele palpite repetido não foi contabilizado.

A contagem regressiva também ficou mais clara. Em vez de mostrar o tempo restante em segundos, o Android 17 exibe unidades maiores, como "tente novamente em 30 minutos" no lugar de "tente novamente em 1,8 mil segundos". A tela de bloqueio passa a exibir ainda um link curto, por padrão “g.co/android/unlock”, para facilitar a recuperação da conta a partir de outro dispositivo.

Apesar da novidade de segurança, algumas novidades ficaram de fora do Android 17. Confira 5 recursos prometidos para o sistema operacional que foram esquecidos no lançamento.

Leia a matéria no Canaltech.