Sunt profesor de informatică aici la Carnegie Mwllon.
Cercetarea mea e axată pe confidențialitate și securitate utilizabile.
așa că prietenii mei îmi povestesc
despre frustrările lor legate de sistemele informatice,
îndeosebi cele legate
de confidențialitate și securitate neutilizabile.
Aud frecvent despre parole.
Pe mulți îi irită parolele.
Nu-i destul
că trebuie să ai o parolă grozavă
pe care ți-o poți aminti,
dar pe care nimeni altcineva n-o poate ghici.
Dar ce te faci când ai conturi
într-o sută de sisteme diferite
și trebuie să ai o parolă diferită
pentru fiecare?
E cumplit.
La Carnegie Mellon,
înainte era foarte ușor
să ne memorăm parolele.
Cerința pentru parolă până în 2009 inclusiv
era să ai o parolă
cu cel puțin un caracter.
Foarte simplu. Dar apoi lucrurile s-au schimbat,
și la sfârșitul lui 2009,
au anunțat că vor avea noi reguli,
iar aceste reguli noi cereau
ca parolele să aibă minim opt caractere,
cu literă mare, literă mică,
o cifră, un simbol,
nu puteai folosi același caracter mai mult de trei ori,
și nu era permis să existe în dicționar.
Când au implementat noile reguli,
multă lume, colegi și prieteni,
au venit și mi-au spus:
„Uff, e anevoios de folosit.
De ce ne fac asta,
și de ce nu i-ai oprit?"
Iar eu le-am răspuns:
„Nu m-au întrebat când le-au schimbat.”
Dar am fost curioasă și am decis să vorbesc
cu cei care răspundeau de sistemele informatice
să aflu ce i-a făcut să introducă
aceste noi reguli.
Au spus că universitatea noastră
a intrat într-un consorțiu de universități,
iar una din cerințele pentru a fi membru
era să avem parole mai puternice
care să se conformeze unor cerințe noi
care prevedeau ca parolele
să aibă o entropie mare.
Entropia e un termen complicat,
dar, în esență, măsoară puterea parolelor.
Dar, de fapt, nu exista
o măsurătoare standard pentru entropie.
Ei bine, Institutul Național de Standarde și Tehnologie
are un set de îndrumări
cu câteva reguli empirice
de măsurat entropia.
Dar nu au nimic explicit
și au doar reguli empirice
pentru că nu au studii serioase
despre parole.
De fapt, raportul lor afirma:
„Din păcate, nu avem multe date
despre parolele alese de utilizatori după reguli specifice.
INST ar dori să obțină mai multe date
despre parolele efectiv alese de utilizatori
dar administratorii de sistem sunt evident reticenți
să dezvăluie altora date referitoare la parolele."
Asta-i o problemă, dar grupul nostru de cercetare
a luat-o ca pe o oportunitate.
Am spus: „Ei bine, e nevoie de date despre parole bune.
Poate putem culege date despre parole bune
și să promovăm tiparul cel mai bun.
Primul lucru pe care l-am făcut,
am luat o pungă de bomboane,
ne-am plimbat prin campus și am stat de vorbă
cu studenții, profesorii și angajații
cerându-le informații
despre parolele lor.
Nu le-am spus: „Dă-ne parola ta".
Doar i-am întrebat despre parolele lor.
Cât e de lungă? Conține vreo cifră?
Are vreun simbol?
Și te-a deranjat că a trebuit să-ți alegi
una nouă săptămâna trecută?
Am obținut răspunsuri de la 470 studenți,
profesori și angajați
și, într-adevăr, ni s-a confirmat că noile dispoziții
erau enervante,
dar am descoperit că lumea spunea
că se simte mai în siguranță cu aceste parole noi.
Am constatat că majoritatea știau
că nu trebuie să-și noteze parola,
și doar 13% din ei și-o notaseră,
dar un număr alarmant de 80%
au spus că își reutilizează parola.
Ei bine, asta-i de fapt mai periculos
decât să-ți scrii parola
pentru că te face mult mai expus la atacuri.
Așa că, dacă simți nevoia,
scrie-ți parolele, dar nu le refolosi.
Am aflat și lucruri interesante
despre simbolurile pe care oamenii le folosesc la parole.
CMU permite 32 simboluri posibile,
dar după cum vedeți, doar un mic număr
sunt folosite de majoritatea oamenilor
așa că, de fapt, nu obținem securitate mare
în parolele noastre de la simboluri.
A fost un studiu interesant
și acum aveam date de la 470 de oameni,
dar, per total,
nu reprezintă destule date despre parole.
Am căutat să vedem
unde am putea găsi date suplimentare despre parole.
Se pare că mulți oameni
care se ocupă cu furatul parolelor
deseori le postează
pe internet.
Așa că am putut accesa
parte din seturile de parole furate.
Totuși, nu e ideal pentru cercetare,
pentru că nu e clar
de unde provin aceste parole,
sau ce reguli funcționau
când utilizatorii au creat aceste parole.
Așa că am dorit să găsim surse mai bune de date.
Am decis că singurul lucru
era să facem un studiu în care utilizatorii
să creeze parole pentru accesarea studiului.
Am folosit un serviciu numit Amazon Mechanical Turk,
prin care poți posta online
o solicitare care durează un minut,
câteva minute, o oră,
și plătești contributorii un penny, zece cenți, câțiva dolari,
ca să ți-o facă,
iar apoi îi plătești prin Amazon.com.
Așa că am plătit oamenilor vreo 50 de cenți
ca să-și creeze o parolă după regulile noastre
și să răspundă la un chestionar,
iar apoi i-am plătit din nou să revină
peste două zile și să se logheze
folosind parola nou creată și să răspundă la un alt chestionar.
Așa am colectat 5000 parole
dând oamenilor o serie de instrucțiuni diferite
după care să-și creeze parolele.
Unii au avut instrucțiuni simple,
pe care le numim Basic8,
după care singura regulă era ca parola
să aibă cel puțin opt caractere.
Alții au avut instrucțiuni mai dificile,
asemănătoare instrucțiunilor CMU,
parola trebuia să aibă opt caractere
să includă literă mare, mică, cifră, simbol,
și să nu fie în dicționar.
Alte instrucțiuni pe care le-am încercat,
au fost multe altele,
dar cel pe care l-am încercat a fost Basic16,
singura cerință fiind
ca parola să aibă minim 16 caractere.
Acum aveam 5000 de parole,
și informații mult mai detaliate.
Din nou, vedem că există puține simboluri
pe care oamenii le folosesc
în parolele lor.
Am vrut de asemenea să ne facem o idee
cât de puternice erau parolele pe care le creau.
Dar, vă amintiți, nu există un mod exact de a măsura
puterea unei parole.
Așa că am decis să vedem
cât ar dura să spargem parolele
folosind cele mai bune programe
folosite de băieții răi,
sau despre care am putut găsi informații
în literatura de cercetare.
Să vă faceți idee cum procedează
băieții răi când sparg parolele:
fură un fișier de parole
care are toate parolele
într-o formă codificată, numit haș,
și încearcă să ghicească
parola,
o trec printr-o funcție de hașare
și văd dacă se potrivește
cu parolele de pe lista de parole furate.
Un atacator prost va încerca fiecare parolă la rând.
Va începe cu AAAAA și va trece la AAAAB,
și îi va lua o groază de timp
până să obțină o parolă
foarte probabil ca utilizatorii s-o aibă.
Un atacator deștept, pe de altă parte,
face ceva mult mai inteligent.
Se uită la parolele
despre care se știe că sunt des întâlnite
din seturile de parole furate,
și le ghicește întâi pe acelea.
Începe prin a ghici „parolă",
iar apoi vor ghici „te iubesc" și „maimuță"
și „12345678",
pentru că acestea sunt parolele
pe care foarte probabil le au utilizatorii.
De fapt, probabil că unii dintre dvs. aveți aceste parole.
Deci am aflat,
trecând cele 5000 de parole colectate
prin aceste teste pentru a vedea cât de puternice sunt,
am constatat că parolele lungi
erau chiar foarte puternice,
iar parolele complexe și ele.
Totuși, când ne-am uitat la datele studiului,
am văzut că utilizatorii erau foarte frustrați
din cauza parolelor complexe,
iar parolele lungi erau mai practice,
iar în unele cazuri, erau chiar
mai puternice decât parolele complexe.
Asta sugerează că,
în loc să le spunem utilizatorilor
să pună toate acele simboluri și numere
și aiureli în parolele lor,
ar fi mai bine dacă le-am spune
doar să aibă parole lungi.
Există totuși o problemă:
Unii utilizatori aveau parole lungi
care totuși nu erau foarte puternice.
Poți face parole lungi
pe care
un atacator le poate ghici cu ușurință.
Așa că trebuie mai mult decât doar să cerem parole lungi.
Trebuie să existe cerințe suplimentare.
O cercetare curentă studiază
cerințele suplimentare ce ar trebui adăugate
pentru parole mai puternice,
dar ușor pentru utilizatori
de reținut și de tastat.
O altă abordare în determinarea utilizatorilor să aleagă
parole mai puternice e folosirea unui contor de parole.
Iată câteva exemple.
Poate le-ați văzut pe internet
când v-ați creat parole.
Am decis să facem un studiu să aflăm
dacă aceste contoare de parole chiar funcționează.
Chiar îi ajută pe utilizatori
să aleagă parole mai puternice,
și dacă da, care sunt mai bune?
Așa că am testat contoare de parole
cu diferite mărimi, forme, culori,
cu diferite cuvinte lângă ele,
am testat și unul cu un iepuraș care țopăia.
Cu cât parola era mai bună,
iepurașul țopăia mai repede.
Era foarte amuzant.
Am aflat că aceste contoare
chiar funcționează.
(Râsete)
Majoritatea contoarelor de parole au fost eficace,
iar iepurașul țopăitor a fost și el foarte eficace,
dar cele mai eficace contoare de parole
au fost cele care te făceau să muncești mai mult
până să-ți dea OK-ul și să spună
că ai făcut treabă bună.
De fapt am constatat că majoritatea
contoarelor de parole actuale de pe internet
sunt prea slabe.
Iți spun că ai făcut treabă bună prea devreme
și dacă ar aștepta doar puțin
înainte de reacția pozitivă
probabil ați avea parole mai bune.
O altă abordare pentru parole mai bune, poate,
e de a folosi expresii în loc de cuvinte.
Asta-i o bandă desenată xkcd de acum doi ani,
unde autorul propune
să folosim cu toții expresii parolă.
Dacă vă uitați la al 2-lea rând din banda desenată
îl vedeți pe autor sugerând
că expresia parolă „Corect cal baterie capsă"
ar fi o expresie parolă foarte puternică
și ceva foarte ușor de reținut.
El spune că de fapt deja v-ați amintit-o.
Am hotărât să facem o cercetare
pentru a afla dacă e adevărat sau nu.
De fapt, toți cu care am vorbit,
și cărora le-am menționat că fac o cercetare despre parole,
mi-au indicat această bandă desenată.
„O, ai văzut-o? Aia cu xkcd.
Corect cal baterie capsă."
Am făcut cercetarea pentru a vedea
ce s-ar întâmpla în realitate.
Așa că în studiul nostru am folosit din nou Mechanical Turk,
și am pus calculatorul să aleagă cuvinte la întâmplare
pentru expresia parolă
Am făcut asta
pentru că oamenii nu se pricep bine
să aleagă cuvinte la întâmplare.
Dacă i-am cere unui om s-o facă,
ar alege ceva care nu ar fi aleator.
Am încercat câteva variante diferite.
Într-o variantă, calculatorul a ales
dintr-un dicționar cu cuvinte foarte obișnuite
în limba engleză
așa că obțineai expresii ca
"încerca acolo trei veni".
Ne-am uitat la ea și am spus
„Asta nu pare ușor de reținut."
În continuare am ales cuvinte
care să fie părți de vorbire specifice,
cum ar fi substantiv-verb-adjectiv-substantiv.
Care să aducă ceva care să semene cu o propoziție.
Așa poți obține o parolă ca
"plan construiește sigură putere"
sau "scop determină drog roșu".
Astea păreau puțin mai ușor de memorat,
și poate oamenii le-ar agrea ceva mai mult.
Am vrut să le comparăm cu parole,
deci am cerut calculatorului să aleagă parole aleatorii.
Erau drăguțe și scurte, după cum vedeți,
nu par de loc ușor de memorat.
Apoi am decis să încercăm ceva numit
parolă pronunțabilă.
Calculatorul alege silabe aleatorii
și le unește
ca să obții ceva pronunțabil
cum ar fi „tufritvi" și „vadasabi".
Asta parcă se rostește ușor.
Astea au fost parole aleatorii
generate de calculatorul nostru.
Am aflat în acest studiu că, surprinzător,
expresiile parolă nu sunt de fapt chiar așa de bune.
Utilizatorii nu memorau mai bine
expresiile parolă decât aceste parole aleatorii,
și pentru că expresiile parolă sunt mai lungi,
a durat mai mult să le tasteze
și utilizatorii au făcut mai multe greșeli tastându-le.
Așa că balanța nu înclină clar în favoarea expresiilor parolă.
Cu părere de rău pentru fanii xkcd aici de față.
Pe de altă parte, am constatat
că parolele pronunțabile
au funcționat surprinzător de bine
așa că facem acum altă cercetare
să vedem dacă putem îmbunătăți acele abordări.
Una din problemele
unor studii pe care le-am făcut
este că toate sunt făcute
cu Mechanical Turk,
parolele nu sunt cele real folosite de utilizatori.
Sunt parole create de ei
sau de calculator pentru ei în scopul studiului.
Noi voiam să știm dacă utilizatorii
s-ar comporta similar
cu parolele lor reale.
Am vorbit la biroul de siguranța informațiilor de la Carnegie Mellon
și i-am întrebat dacă am putea avea parolele reale ale tuturor.
Cum era de așteptat, au fost cam reticenți
să ni le împărtășească.
Dar am putut elabora împreună
un sistem prin care
puneau toate parolele reale
ale celor 25.000 de studenți, profesori și angajați CMU
într-un calculator codificat într-un birou codificat,
care nu era conectat la internet
și i-au dat un cod pe care l-am scris noi
pentru a analiza aceste parole.
Ei ne-au verificat codul.
Ei au aplicat codul.
Astfel că noi n-am văzut niciodată
vreo parolă.
Am obținut rezultate interesante,
și voi, studenții de la Tepper,
veți fi foarte interesați de ele.
Am constatat că parolele create
de utilizatorii de la facultatea de informatică
au fost de 1,8 ori mai puternice
decât cele de la facultatea de business.
Avem și alte informații demografice
cu adevărat interesante.
Alt lucru interesant pe care l-am descoperit
comparând parolele de la Carnegie Mellon
cu cele generate de Mechanical Turk:
am găsit multe similarități.
Asta ne-a validat metoda de cercetare,
arătând că, realmente, colectarea parolelor
folosind studiile cu Mechanical Turk
e un mod valid de a studia parole.
Deci astea au fost vești bune.
Aș vrea să închei spunându-vă
despre noi perspective câștigate anul trecut sabatic
la facultatea de arte de la Carnegie Mellon.
Un lucru pe care l-am făcut,
am confecționat niște cuverturi
printre care și aceasta
numită „Pătura de siguranță."
(Râsete)
Cuvertura conține cele mai frecvente 1000
de parole furate
de pe site-ul RockYou.
Mărimea parolelor e proporțională
cu frecvența apariției lor
în baza de date furată.
Și am creat acest cloud de cuvinte
și am trecut prin toate cele 1000 de cuvinte
și le-am categorizat
în categorii tematice vagi.
Iar în unele cazuri
a fost dificil să-mi dau seama
în ce categorie ar trebui să fie,
și atunci le-am dat un cod de culori.
Iată câteva exemple de dificultate.
Deci „justin"
este numele utilizatorului,
al iubitului, al fiului?
Poate e un fan al lui Justin Bieber.
Sau parola „prințesă":
este o poreclă?
Sunt autorii fani ai prințesei Disney?
Sau poate e numele pisicii lor.
„teiubesc" apare de multe ori
în multe limbi diferite.
E multă dragoste în aceste parole.
Dacă vă uitați cu atenție,
vedeți că sunt și înjurături,
dar a fost interesant să văd
că e mai multă dragoste decât ură
în aceste parole.
Și sunt animale,
multe animale,
iar „maimuță" e animalul cel mai frecvent
și a 14-a cea mai utilizată parolă în general.
Asta mi s-a parut curios,
m-am întrebat: de ce sunt maimuțele atât de populare?
Așa că în ultimul nostru studiu despre parole,
de fiecare dată când am detectat pe cineva
care crease o parolă conținând cuvântul „maimuță",
i-am întrebat de ce a pus maimuța ca parolă.
Și ce am aflat --
am aflat 17 utilizatori până acum, cred,
care au cuvântul „maimuță" --
Aproximativ o treime au spus
că au un animal de companie numit „maimuță"
sau un prieten cu porecla „maimuță" ,
iar o treime din ei au spus
că le plac maimuțele
pentru că maimuțele sunt drăguțe.
Și tipul acela e chiar drăguț.
Așa că, până la urmă,
când creem parole,
fie creem ceva care e foarte ușor
de tastat, un model obișnuit,
sau lucruri care ne amintesc de cuvântul parolă
sau de contul pentru care am creat parola,
sau orice altceva.
Sau ne gândim la lucruri care ne fac fericiți,
și ne creem parola
pe baza lucrurilor care ne fac fericiți.
Asta face tastarea
și reținerea parolei mai distractive,
dar, pe de altă parte, și ghicirea
parolei e mai ușor de realizat.
Știu că multe prezentări TED
inspiră
și te fac să te gândești la lucruri frumoase, fericite,
dar când vă creați parola
încercați să vă gândiți la altceva.
Vă mulțumesc.
(Aplauze)