Un code PIN a juste 10000 combinaisons possibles, alors qu'une empreinte digitale en a beaucoup plus.
S'il y a un code PIN à 4 chiffres, les gens pourraient simplement forcer ce code PIN au lieu de forcer des millions d'empreintes digitales, n'est-ce pas ?
Le verrouillage biométrique est faible, donc peu sûr - il ne sert qu'à faciliter la tâche de l'utilisateur.
Le code PIN peut être généré à partir d'un ensemble de 10 numéros - il peut être avec ou sans répétition.
Le mot de passe (sur Android d'usine) peut être généré à partir du jeu de caractères ASCII, y compris les chiffres, sans les caractères de contrôle - c < 32 || c > 127, ce qui donne 94 caractères imprimables.
Là encore, la longueur minimale de l'écran de verrouillage est de 4 et la longueur maximale de l'écran de verrouillage est de 16 (sous Android d'origine).
En outre, la politique de mot de passe par défaut est PASSWORD_POLICY_UNSPECIFIED (sur Android d'usine).
Cela étant dit, l'Android d'usine (AOSP) a une faible marge de sécurité ; il appartient uniquement à l'utilisateur de définir un mot de passe de qualité complexe afin d'atténuer les attaques en ligne (bruteforce).
Bien sûr, vous pouvez modifier les politiques avec l'application DPM (DevicePolicyManager) ou construire une ROM personnalisée.
En ce qui concerne votre question sur le forçage brutal, je vous suggère de lire le document suivant este
