Android 17 scherpt de bescherming van smartphones tegen brute-force-aanvallen flink aan. Daarbij proberen criminelen of gespecialiseerde tools automatisch verschillende PIN-codes. Dit scenario speelt niet alleen bij dieven na de diefstal van een toestel; in sommige gevallen gebruiken ook opsporingsdiensten vergelijkbare methoden om in beslag genomen telefoons te ontgrendelen. Nu is daar veel minder ruimte voor.
In Android 16 stond het systeem 10 PIN-pogingen toe in de eerste minuut, 20 in de eerste zes minuten, 50 na 25 minuten, 110 binnen een dag en maximaal 1.800 pogingen over vijf jaar. Juist die langetermijnlimiet was belangrijk voor brute-force-tools: met genoeg tijd konden ze een merkbaar deel van populaire viercijferige combinaties testen.
In Android 17 zijn de limieten veel strenger. Er zijn nog maar zes pogingen in de eerste minuut, zeven na zes minuten, acht na 25 minuten, 12 binnen een dag en slechts 19 pogingen over vijf jaar. Na 20 verkeerde invoeren wordt de smartphone volledig vergrendeld. Voor automatisch raden maakt dit de aanval bijna zinloos: de tool loopt snel tegen de grens aan en kan niet verder.
Zelfs een viercijferige PIN heeft 10.000 mogelijke combinaties, maar met de nieuwe vertragingen en het harde plafond van 20 fouten wordt brute-forcing praktisch nutteloos. Google gaat ook zorgvuldiger om met normale gebruikersfouten: sinds Android 16 QPR2 telt het systeem meerdere keren dezelfde verkeerde PIN achter elkaar niet als afzonderlijke pogingen. Het vergrendelscherm toont daarnaast duidelijkere meldingen over resterende pogingen en wachttijden.
Toch vervangt de nieuwe bescherming de basisregels voor veiligheid niet. Zwakke PIN-codes zoals 1234, 0000 of een geboortejaar kunnen nog steeds in de eerste pogingen worden geraden, terwijl gedwongen ontgrendeling met gezicht of vingerafdruk een apart risico blijft. De conclusie is eenvoudig: na Android 17 is een lange en onvoorspelbare PIN nog belangrijker.