ฉันเป็นนักวิทยาการคอมพิวเตอร์ และศ.ด้านวิศวะ
ที่ ม.คาร์เนกีเมลลอน
งานวิจัยของฉันเน้นเรื่อง ระบบความเป็นส่วนตัวและ ความปลอดภัย
เพื่อนๆจึงชอบบอกฉัน
ถึงความขัดข้องใจของเขา กับระบบคอมพิวเตอร์
โดยเฉพาะความขัดข้องใจที่เกี่ยวกับ
ระบบความเป็นส่วนตัวและความปลอดภัย ที่ใช้ไม่ได้ผล
รหัสผ่าน จึงเป็นสิ่งที่ดิฉันได้รับฟังมามาก
คนจำนวนมากขัดข้องใจกับรหัสผ่าน
และมันก็แย่พออยู่แล้ว
เมื่อคุณต้องมีรหัสผ่านที่ดีจริงๆ
ที่คุณจำมันได้
แต่คนอื่นๆไม่สามารถเดาได้
แต่คุณจะทำอย่างไร เมื่อมีชื่อบัญชี
กับระบบต่างๆเป็นร้อย
และคุณก็ควรจะต้องมีรหัสผ่านที่ไม่เหมือนใคร
สำหรับระบบแต่ละระบบเหล่านั้น
มันเป็นเรื่องยาก
ที่คาร์เนกีฯ (CMU) เขาเคยทำเรืองนี้
ให้มันง่ายมาก สำหรับพวกเรา
ที่จะจำรหัสผ่าน
ตลอดมาจนถึงปี 2009 สิ่งที่ต้องมีในรหัสผ่าน
ก็แค่ คุณต้องใส่รหัสผ่าน
พร้อมตัวอักษรอย่างน้อยหนึ่งตัว
ดูง่ายมาก แต่แล้วพวกเขาก็เปลี่ยนสิ่งต่างๆ
และในปลายปี 2009 ก็ประกาศว่า
เรากำลังจะมีแผนการใหม่
และแผนการใหม่นี้จำเป็นต้อง
ใช้รหัสผ่าน ที่มีตัวอักษรอย่างน้อย แปดตัว
พร้อมด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก
ตัวเลขโดด สัญลักษณ์
คุณไม่สามารถใช้ตัวอักษรซ้ำกันเกินสามครั้ง
และไม่อนุญาตให้เป็นคำในพจนานุกรม
ค่ะ เมื่อพวกเขานำหลักการใหม่นี้ ไปใช้จริง
คนจำนวนมาก เพื่อนร่วมงานและเพื่อนๆ
ก็มาหาดิฉัน และบอกว่า "โอ้โห
ตอนนี้ มันใช้ไม่ได้ผลนะ
ทำไมเค้าถึงสร้างกฏให้เราแบบนี้?"
และทำไมคุณถึงไม่ห้ามเขาละ?"
ดิฉันบอกว่า "คุณรู้มั้ยละ
พวกเขาไม่ได้ถามฉันเลย"
แต่ดิฉันก็อยากรู้ จึงตัดสินใจไปพูด
กับคนที่รับผิดชอบระบบคอมพิวเตอร์ของเรา
และก็พบว่า อะไรที่ทำให้พวกเขาเริ่มนำ
หลักการใหม่นี้เข้ามาใช้
พวกเขาก็บอกว่า มหาวิทยาลัยนั้น
ได้เข้าไปเป็นสมาชิกของกลุ่มมหาวิทยาลัย
และข้อบังคับอย่างหนึ่งของการเป็นสมาชิก
ก็คือ เราต้องมีรหัสผ่านที่แข็งแรง
โดยมีข้อบังคับการตั้งรหัสผ่าน
และข้อบังคับเหล่านี้ ก็คือ รหัสผ่านของเรา
ต้องมีระดับเอนโทรปี (entropy) มากๆ
ค่ะ เอนโทรปี ค่อนข้างมีความซับซ้อน
โดยพื้นฐาน มันจะวัดความยากของรหัสผ่าน
แต่ข้อสำคัญก็คือ จริงๆแล้ว มันไม่มี
การวัดอย่างเป็นมาตรฐานของเอนโทรปี
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST)
มีคู่มืออยู่ชุดหนึ่ง
ที่เป็นข้อแนะนำทั่วๆไป
สำหรับการตั้งรหัสผ่าน
แต่พวกเขาไม่ได้เจาะจงอะไรมาก
และเหตุที่พวกเขาต้องมีข้อแนะนำ
กลายเป็นว่า ที่จริงเขาไม่มีข้อมูลเลย
เกี่ยวกับรหัสผ่านที่ดี
แท้จริงแล้ว รายงานของพวกเขาบอกว่า
"โชคร้าย ที่เราไม่มีข้อมูลมากนัก
บนรหัสผ่านของผู้ใช้ ที่ทำตามคำแนะนำ
NIST อยากจะได้ข้อมูลให้มากกว่านี้
ในเรื่องของรหัสผ่าน ที่ผู้ใช้มักจะเลือก
แต่ก็พอจะเข้าใจได้ว่าผู้บริหารระบบ ลังเล
ที่จะเปิดเผยข้อมูลรหัสผ่านกับผู้อื่น"
นี่จึงเป็นปัญหา แต่กลุ่มวิจัยของเรา
เห็นมัน เหมือนเป็นโอกาสอย่างหนึ่ง
เราพูดว่า "จำเป็นต้องมีข้อมูลรหัสผ่านที่ดี
บางที เราอาจจะรวบรวมรหัสผ่านที่ดีได้บ้าง
และเร่งพัฒนาให้ลํ้ายุคตรงนี้ได้จริง
ดังนั้นสิ่งแรกที่เราทำก็คือ
เราเอาทอฟฟี่มาหนึ่งถุง
และเดินไปรอบมหาลัย
พูดคุยกับนักศึกษา อาจารย์ และเจ้าหน้าที่
สอบถามพวกเขาให้ได้ข้อมูล
เกี่ยวกับรหัสผ่าน
ค่ะ เราไม่ได้พูดว่า "เอารหัสผ่านของคุณมา"
ไม่ค่ะ เราเพียงถามเรื่องรหัสผ่านของพวกเขา
ยาวขนาดไหนคะ มีตัวอักษรไหม?
มีสัญญลักษณ์รึเปล่า?
และคุณรำคาญใจไหม ที่ต้องสร้าง
รหัสผ่านใหม่ อาทิตย์ที่แล้วน่ะ?
เราจึงได้คำตอบจาก 470 คน ที่เป็นนักศึกษา
อาจารย์ และ เจ้าหน้าที่
ที่จริง เรายืนยันได้ว่าหลักการใหม่นั้น
เป็นที่น่ารำคาญมากๆ
และเรายังพบอีกว่า คนทั้งหลายพูดว่า
พวกเขารู้สึกปลอดภัยกว่า ในรหัสผ่านใหม่นี้
เราพบว่าคนส่วนใหญ่ทราบว่า
พวกเขาไม่ควรจะจดรหัสผ่านของเขาไว้
และก็มีเพียง 13 เปอร์เซ็นเท่านั้นที่ทำ
แต่ก็ไม่น่าพอใจที่ คน 80 เปอร์เซ็นต์
บอกว่า พวกเขาเอารหัสผ่านเก่า กลับมาใช้อีก
ค่ะ เรื่องนี้จริงๆ อันตรายยิ่งกว่า
การจดรหัสผ่านใว้เสียอีก
เพราะ มันทำให้โจรสามารถเจาะเข้าข้อมูลได้ง่าย
ดังนั้นถ้าคุณจะต้องทำ ก็ขอให้จดรหัสผ่านไว้
แต่อย่านำมันกลับมาใช้อีก
เรายังพบสิ่งที่น่าสนใจบางอย่างอีกด้วย
เกี่ยวกับสัญญลักษณ์ ที่ผู้คนใช้ในรหัสผ่าน
CMU จึงอนุญาตให้ใช้ สัญญลักษณ์ได้ 32 ตัว
แต่อย่างที่เห็น มีตัวเลขไม่กี่ตัวเท่านั้น
ที่คนส่วนใหญ่ใช้กันอยู่
จริงๆ เราจึงไม่ได้มีระดับความยากมากเท่าไหร่
จากสัญญลักษณ์ในรหัสผ่านของเรา
นี่จึงเป็นการวิจัยที่น่าสนใจอย่างมาก
ขณะนี้ เรามีข้อมูลจากคน 470 คน
แต่ในแบบแผนของสิ่งที่
จริงๆแล้ว ไม่ได้เป็นข้อมูลรหัสผ่านมากนัก
เราจึงมองไปรอบๆ
ที่เราจะหาข้อมูลรหัสผ่านเพิ่มขึ้นอีก
จึงกลายกลายเป็นว่า มีคนจำนวนมาก
เที่ยวไปขโมยรหัสผ่านเขาไปทั่ว
และบ่อยๆ ที่พวกเขานำรหัสผ่านเหล่านี้
ไปโพสต์ลงในอินเตอร์เน็ต
เราจึงสามารถเข้าไปถึง
กลุ่มรหัสผ่านที่ถูกขโมยมาเหล่านี้ได้บ้าง
แม้ว่า สิ่งนี้จริงๆแล้ว ยังไม่ดีที่สุด
สำหรับงานวิจัย เพราะมันไม่ชัดเจนทั้งหมดว่า
รหัสผ่านทั้งหมดนี้ มาจากที่ใด
หรือให้แน่ๆคือ เกณฑ์อะไรที่ถูกนำมาใช้
เมื่อผู้คนสร้างรหัสผ่านเหล่านี้ขึ้นมา
เราจึงต้องการจะหาแหล่งข้อมูลที่ดีกว่านี้
จึงตกลงใจว่า สิ่งหนึ่งที่เราทำได้
ก็คือ เราจะทำวิจัย โดยให้คน
สร้างรหัสผ่านจริงๆ เพื่อการวิจัยของเรา
เราจึงใช้โปรแกรม Amezon Mechanical Turk
เป็นโปรแกรมที่คุณสามารถโพสต์
งานอินเตอร์เน็ตเล็กๆ ที่ใช้เวลาสักนาที
หรือ2-3นาที หรือหนึ่งชั่วโมง
แล้วจ่าย 1,10 เซ็นต์ หรือ 2-3 ดอลล่าร์
เพื่อให้เขาทำงานชิ้นหนึ่งให้กับคุณ
แล้วจ่ายเงินโดยผ่านทาง Amazon.com
เราจึงจ่ายเงินให้คนไป ประมาณ 50 เซ็นต์
เพื่อให้สร้างรหัสผ่าน ตามกฎเกณฑ์ของเรา
และให้ตอบแบบสำรวจ
แล้วเราก็จ่ายให้พวกเขาอีก เพื่อให้กลับมา
สองวันหลังจากนั้น ให้เข้าสู่ระบบ (log in)
ใช้รหัสผ่านของเขา และตอบแบบสำรวจอีก 1ชุด
เราทำแบบนี้ และรวบรวมได้ 5,000 รหัสผ่าน
และเราให้หลักการต่างๆอีกมากมาย แก่ผู้คน
เพื่อใช้สร้างรหัสผ่าน
คนบางคนจึงมีหลักการที่ง่ายมากๆ
เราเรียกมันว่า Basic 8
มันมีกฏข้อเดียวที่ให้ใช้สร้างรหัส
คือต้องมีอักษรแปดตัวเป็นอย่างน้อย
แล้วก็ คนบางคนมีหลักการที่ยากกว่ามาก
และนี่เป็นหลักการที่เหมือนกันมากกับของ CMU
ซึ่งมันต้องมีแปดอักขระ
ทั้งอักษรตัวใหญ่ ตัวเล็ก ตัวเลข สัญญลักษณ์
และไม่มีในพจนานุกรม
หนึ่งในหลักอื่น ที่เราลองใช้
แล้วยังมีอื่นๆอีกเป็นพวง
แต่กฏหนึ่ง ที่เราลองใช้ ชื่อ Basic16
และข้อบังคับเพียงข้อเดียวนั้น
คือ รหัสต้องมีอย่างน้อยที่สุด 16 ตัวอักษร
ค่ะ ตอนนั้นเราจึงมีรหัสผ่าน 5,000 รหัส
และเราก็มีข้อมูลอย่างละเอียดเพิ่มขึ้นมาก
แต่ก็นั่นแหละ เราเห็นว่าเป็นเพียงจำนวนน้อย
ของสัญญลักษณ์ที่ผู้คนใช้กันอยู่จริง
ในรหัสผ่านของพวกเขา
เรายังต้องการทราบอีกด้วยว่า รหัสผ่าน
ที่ผู้คนสร้างขึ้นมานั้น แข็งแกร่งเพียงใด
แต่เมื่อคิดย้อนกลับไปว่า ไม่มีมาตรการที่ดี
ในเรื่องความแข็งแรงของรหัสผ่าน
ดังนั้นสิ่งที่เราตัดสินใจทำ ก็คือ ดูว่า
จะใช้เวลานานเท่าใด จึงจะเจาะรหัสเหล่านี้
โดยใช้เครื่องมือเจาะดีที่สุด
ที่หัวขโมยใช้กันอยู่
หรือที่เราสามารถหามาได้
จากเอกสารงานวิจัย
เพื่อให้คุณทราบว่า พวกคนแย่ๆพวกนั้น
ทำการเจาะรหัสผ่านได้อย่างไร
พวกเขาก็จะขโมยแฟ้มรหัสผ่าน
ซึ่งจะมีรหัสผ่านทั้งหมดอยู่
ในแบบที่คละกันอยู่ เรียกว่า แฮช (hash)
ดังนั้นสิ่งที่พวกเขาจะทำ ก็คือ จะทำการเดา
ดูว่า รหัสผ่านเป็นอะไร
โดยให้มันวิ่งผ่าน กระบวนการฟังก์ชั่นแฮช
และดูว่า มันจับคู่กันได้หรือไม่
กับรหัสผ่าน ที่เขามีอยู่ในรายการที่ขโมยมา
โจรงี่เง่า ก็จะลองรหัสผ่านทุกตัวตามลำดับ
จะเริ่มจาก AAAAA แล้วต่อไปที่ AAAAB
ทำแบบนี้ ก็จะใช้เวลานานมากทีเดียว
ก่อนจะได้รหัสผ่าน
ที่ผู้คนน่าจะใช้กันอยู่จริงมาก
ในทางกลับกัน โจรฉลาด
จะทำบางอย่างที่ฉลาดกว่ามากๆ
พวกเขาจะดูรหัสผ่าน
ที่รู้กันดีว่า เป็นที่นิยม
จากชุดรหัสผ่านที่โมยมาพวกนี้
และเขาก็จะเดาพวกนั้นก่อน
คือ พวกเขาจะเริ่ม ด้วยการเดา "รหัสผ่าน"
แล้วก็เดา "I love you" และ "monkey"
และ "12345678"
เพราะว่าพวกนี้เป็นรหัสผ่าน
ที่คนส่วนใหญ่น่าจะมี
จริงๆแล้ว บางท่านอาจมีรหัสผ่านพวกนี้ก็ได้
ดังนั้นสิ่งที่เราพบ
โดยการวิ่งทั้ง 5,000 คำที่รวบรวมได้นี้
ผ่านการทดสอบ เพื่อดูว่ามันยากในระดับไหน
เราพบว่ารหัสผ่านที่ยาวๆนั้น
จะค่อนข้างยาก
และรหัสผ่านที่ซับซ้อน ก็ค่อนข้างยากเช่นกัน
อย่างไรก็ตาม เมื่อเราดูข้อมูลที่สำรวจมา
เราเห็นว่า ผู้คนจะค่อนข้างอึดอัด
จากรหัสผ่านที่ซับซ้อนมากๆนั้น
และรหัสผ่านยาวๆนั้น ใช้ได้ดียิ่งกว่ากันมาก
และในบางกรณี จริงๆแล้ว
มันยากยิ่งกว่ารหัสผ่านที่ซับซ้อน
ดังนั้น สิ่งนี้จึงชี้แนะว่า
แทนที่จะบอกผู้คนว่า พวกเขาต้อง
เอาสัญญลักษณ์ และตัวเลขทั้งหมด
และสิ่งบ้าๆบอๆ ใส่เข้าไปในรหัสผ่าน
อาจจะดีกว่า เราแค่เพียงบอกผู้คน
ให้ใช้รหัสผ่านยาวๆ
แต่ตรงนี้ ก็ยังมีปัญหาอีก
บางคนมีรหัสผ่านที่ยาว
ซึ่งจริงๆแล้ว ไม่แข็งแกร่งมากเลย
คุณสามารถทำรหัสผ่านยาวๆ
ที่ยังคงเป็นประเภท
ที่โจรสามารถเดาได้โดยง่าย
เราจึงต้องทำมากกว่าแค่บอกว่า รหัสผ่านยาวๆ
มันต้องมีข้อบังคับเพิ่มเติม
งานวิจัยที่กำลังดำเนินอยู่ กำลังมองหา
ข้อบังคับเพิ่มเติม ที่ควรจะเพิ่มเข้ามา
เพื่อทำให้รหัสผ่านแข็งแกร่งขึ้น
ที่จะทำให้คนจำได้ง่าย
และพิมพ์ได้ง่ายอีกด้วย
อีกวิธีการหนึ่งที่จะให้คนมีรหัสผ่าน
ที่ยากขึ้น คือใช้ ตัววัดระดับความยาก
นี่เป็นบางตัวอย่าง
ซึ่งคุณอาจเคยเห็นมาแล้ว
ในอินเตอร์เน็ต เมื่อตอนคุณสร้างรหัสผ่าน
เราได้ตัดสินใจทำวิจัย เพื่อค้นพบว่า
พาสเวอร์ดมีเตอร์นั้น ใช้การได้จริงหรือไม่
มันช่วยผู้คนได้จริงไหม
ในการทำให้รหัสผ่านยากขึ้น
ถ้าจริง พาสเวอร์ดมีเตอร์ตัวไหนดีกว่ากัน
เราจึงทดสอบ พาสเวอร์ดมีเตอร์
ที่มีขนาด รูปร่าง สี ต่างๆกัน
คำที่ถัดจากมันต่างๆกัน
เราทำแม้กระทั่ง ตัวที่เป็นกระต่ายเต้นระบำ
เมื่อคุณพิมพ์รหัสผ่านที่ดีกว่า
เจ้ากระต่ายก็จะเต้นเร็วขึ้นๆ
มันจึงตลกดี
สิ่งที่เราพบ
ก็คือ พาสเวอร์ดมีเตอร์ ทำงานได้จริง
(เสียงหัวเราะ)
พาสเวอร์ดมีเตอร์ส่วนใหญ่ มีประสิทธิภาพจริง
และเจ้ากระต่าย ก็มีประสิทธิภาพมากด้วย
แต่พาสเวอร์ดมีเตอร์ ที่มีประสิทธิภาพที่สุด
คือ ตัวที่ทำให้คุณต้องคิดหนักมากขึ้น
ก่อนที่พวกมันจะชูนิ้วโป้งขึ้น และบอกว่า
รหัสนี้โอเคแล้ว
และจริงๆแล้ว เราพบว่า พาสเวอร์ดมีเตอร์
ส่วนมากที่ใช้กันในอินเตอร์เน็ต ในปัจจุบัน
อ่อนเกินไป
มันบอกคุณว่า รหัสนี้ดีแล้ว เร็วเกินไป
และถ้ามันจะแค่รอ ให้นานอีกสักนิด
ก่อนจะบอกคุณกลับไป ว่าดี
คุณก็น่าจะได้รหัสผ่านที่ดีกว่านั้น
อีกวิธีหนึ่งที่อาจจะให้พาสเวอร์ดที่ดีกว่า
คือ ใช้รหัสกลุ่มคำ (pass phrase) แทน
นี่เป็นการ์ตูนจากเว็บไซท์ xkcd สองปีก่อน
และนักเขียนการ์ตูนแนะนำว่า
เราทุกคนควรใช้รหัสกลุ่มคำ
และถ้าคุณดูที่แถวที่สองของการ์ตูนนี่
คุณจะเห็นว่า นักเขียนการ์ตูน กำลังแนะว่า
รหัสกลุ่มคำ "correct horse battery staple"
จะเป็นรหัสกลุ่มคำ ที่แข็งแกร่งมาก
และเป็นสิ่งที่จดจำได้ง่ายจริงๆ
เขาบอกว่า ที่จริงแล้ว คุณจำมันได้แล้วแหละ
เราจึงตกลงใจทำการศึกษาวิจัย
เพื่อค้นว่าพบ มันจริงหรือไม่
จริงๆแล้ว ทุกคนที่ดิฉันพูดคุยด้วย
เมื่อบอกว่า ฉันกำลังทำวิจัยเรื่องรหัสผ่าน
พวกเขาก็จะชี้ไปที่การ์ตูนนี่
"คุณเคยดูหรือยัง การ์ตูนของ xkcd
correct horse battery staple"
เราจึงทำการวิจัย เพื่อดูว่า
จริงๆมันจะเกิดอะไรขึ้น
วิจัยของเราจึงใช้ Mechanical Turk สำรวจอีก
เราได้ให้คอมพิวเตอร์สุ่มเลือกคำ
ในรหัสกลุ่มคำ
เหตุผลที่เราทำอย่างนี้
ก็คือ มนุษย์เรานั้น ไม่ถนัด
ในการสุ่มเลือกคำ
ถ้าขอให้มนุษย์เป็นคนเลือก
พวกเขาก็จะเลือก คำที่ไม่ค่อยโดนสุ่ม
เราจึงทดลองเงื่อนไขต่างๆกัน สองสามอย่าง
เงื่อนไขหนึ่ง ให้คอมพิวเตอร์หยิบคำ
คำสามัญมากๆ จากพจนานุกรม
ในภาษาอังกฤษ
คุณก็จะได้รหัสกลุ่มคำ อย่างเช่น
"try there three come"
เมื่อเราดูแล้ว เราก็พูดว่า
"ก็ จริงๆไม่ได้ดูน่าจะจดจำ ได้ดีนัก"
ดังนั้นเราจึงลองเลือกคำ
ที่มาจากคำชนิดต่างๆเจาะจงลงไป
เอาเป็นว่า คำนาม-กริยา-คุณศัพท์-นาม
ก็จะได้บางอย่าง ที่เหมือนกับประโยค
คุณก็จะได้รหัสกลุ่มคำ อย่างเช่น
"plan builds sure power"
หรือ "end determines red drug"
พวกนี้ดูเหมือนจะจำได้ ง่ายขึ้นอีกเล็กน้อย
และบางทีคนจะชอบมัน มากขึ้นอีกหน่อย
เราต้องการจะเปรียบเทียบพวกมัน กับรหัสผ่าน
เราจึงให้คอมพิวเตอร์ สุ่มเลือกรหัสผ่านมา
รหัสพวกนี้ดีและสั้น แต่ตามที่คุณเห็น
มันไม่น่าจดจำเท่าไหร่
เราจึงตกลงใจทำสิ่งที่เรียกว่า
รหัสผ่านที่พูดออกเสียงได้
ตรงนี้ คอมพิวเตอร์จึงสุ่มเลือกสระ
และเอามันมาวางรวมกัน
คุณจึงมีสิ่งที่ แบบว่า ออกเสียงได้
อย่างเช่น "tufrivi" และ "vadasabi"
เป็นแบบหนึ่งของการออกเสียงได้ง่ายๆ
เหล่านี้จึงเป็นรหัสผ่านแบบสุ่ม
ที่สร้างขึ้นมาจากคอมพิวเตอร์
น่าประหลาดใจ สิ่งที่เราพบจากการวิจัย ก็คือ
รหัสที่เป็นกลุ่มคำ จริงๆแล้วก็ไม่ได้ดีมาก
คนเราไม่ได้ถนัดการจำเป็นกลุ่มคำ
แต่จำรหัสที่สุ่ม ได้ดีกว่า
และเพราะว่ารหัสกลุ่มคำนั้น ยาวกว่า
เขาจึงใช้เวลาพิมพ์นานกว่า
และพวกเขาจะพิมพ์ผิดมากกว่า
ดังนั้น รหัสกลุ่มคำ จึงไม่ได้ดีเท่าที่ควร
ต้องขอโทษด้วยค่ะ สำหรับแฟนๆของ xkcd
ในทางกลับกัน เราได้พบว่า
รหัสคำที่ออกเสียงได้นั้น
ใช้ได้ดีอย่างน่าประหลาดใจ
เราจึงกำลังทำวิจัยเพิ่มเติม เพื่อดูว่า
เราจะทำให้วิธีนี้ ใช้ได้ดีขึ้นอีกได้หรือไม่
ดังนั้น ปัญหาหนึ่ง
ที่เกิดขึ้นระหว่างการวิจัย
ก็คือ การวิจัยเหล่านั้นทั้งหมด
ได้ใช้Mechanical Turk เป็นเครื่องมือ
ซึ่งไม่ใช่รหัสผ่านที่พวกเขาใช้จริง
มันเป็นรหัสผ่านที่พวกเขาสร้างขึ้นมา หรือ
สร้างโดยคอมเพื่อเป็นงานวิจัยของเรา
และเราต้องการรู้ว่าพวกเขา
จะเอาไปใช้สร้าง
รหัสผ่านจริงๆของพวกเขา หรือเปล่า
เราจึงไปสำนักความปลอดภัยข้อมูลที่ CMU
และถามว่า ขอรหัสผ่านจริง ของทุกคนได้ไหม
ไม่ประหลาดใจ พวกเขาไม่เต็มใจอยู่บ้าง
ที่จะแบ่งปันรหัสเหล่านั้นกับเรา
แต่จริงๆ เราก็สามารถคิดระบบหนึ่ง
มาใช้กับพวกเขาได้
โดยเราเอารหัสผ่านจริงทั้งหมด
ของนักศึกษา อาจารย์ และพนักงาน 25,000 คน
ไว้ในคอมพ์ที่ถูกล๊อกไว้ ในห้องใส่กุญแจ
และไม่เชื่อมกับอินเตอร์เน็ต
และเขาก็ส่งรหัส (code) เข้ามา ให้เราจด
เพื่อวิเคราะห์รหัสผ่านเหล่านั้น
เขาตรวจสอบบันทึกรหัสของเรา
พวกเขาก็ส่งรหัสนั้นมา
ดังนั้นเราจึงไม่เคยเห็น
รหัสผ่านของใครเลย
เราก็ได้ผลลัพท์ที่น่าสนใจออกมา
นักศึกษาคณะธุรกิจเท็พเพอร์ ที่นั่งข้างหลัง
จะสนใจอย่างมากในเรื่องนี้
เราได้พบว่า รหัสผ่านที่ถูกสร้างขึ้น
โดยคนที่อยู่ในภาควิชาวิทยาการคอมพิวเตอร์
จริงๆแล้ว ยากกว่า
รหัสผ่านของผู้ที่ในภาควิชาธุรกิจ 1.8 เท่า
เรามีเรื่องอื่นๆ ที่น่าสนใจจริงๆอีกมาก
รวมทั้งข้อมูลเกี่ยวกับสถิติจำนวนประชากร
สิ่งน่าสนใจอื่นๆที่เราได้พบ
คือ เมื่อเปรียบเทียบรหัสผ่านของ CMU
กับรหัสผ่านที่สร้างจาก Mechanical Turk
จริงๆก็มีสิ่งที่เหมือนกันอยู่มาก
จึงช่วยพิสูจน์ได้ว่าวิธีวิจัยของเราใช้ได้
และแสดงได้ว่า จริงๆแล้ว การรวบรวมรหัสผ่าน
โดยใช้ Mechanical Turk วิจัยนั้น
จริงๆ เป็นวิธีการศึกษารหัสผ่าน ที่ใช้ได้
นั่นจึงเป็นข่าวดี
ค่ะ ดิฉันอยากจะจบ ด้วยการพูดถึงเรื่อง
การได้รับความเข้าใจอย่างลึกซึ้ง
ในช่วงวันหยุดปีที่แล้ว ที่คณะศิลปศาสตร์ CMU
สิ่งหนึ่งที่ดิฉันทำ
ก็คือ ดิฉันได้ทำผ้านวมใว้หลายผืน
และดิฉันได้ทำผ้านวมผืนนี้
เรียกมันว่า "ผ้าห่มแห่งความปลอดภัย"
(เสียงหัวเราะ)
ผ้านวมนี้มีรหัสผ่าน ที่ใช้กันมากที่สุด
1,000 รหัส ที่ถูกขโมยไป
จากเว็บไซท์ RockYou
และขนาดของรหัสผ่านพวกนั้น เป็นสัดส่วน
กับการที่พวกมันปรากฎ บ่อยมากแค่ไหน
ในข้อมูลชุดที่ถูกขโมยนั้น
ฉันได้สร้างกลุ่มคำ (word cloud) นี้ขึ้น
และได้ตรวจดูทั้ง 1,000 คำนั้น
ได้จัดกลุ่มมันออกเป็น
หมวดหมู่อย่างหลวมๆ ตามเนื้อความ
และในบางกรณี
มันเหมือนกับว่า ยากที่จะคิดออกว่า
พวกมันควรอยู่ในหมวดหมู่ใด
แล้วดิฉันก็ใส่รหัสสีให้มัน
นี่เป็นบางตัวอย่าง เกี่ยวกับความยากนั้น
ค่ะ คำว่า "justin"
ใช่เป็นชื่อของผู้ใช้ หรือเพื่อนชาย
หรือลูกชายของพวกเขา หรือไม่
อาจเป็นแฟนเพลง จัสติน บีเบอร์
หรือคำว่า "princess"
ใช่ชื่อเล่นไหม?
เป็นแฟนหนังการ์ตูนดิสนีย์รึเปล่า?
หรืออาจจะเป็นชื่อแมวของพวกเขาก็ได้
"Iloveyou" ปรากฎขึ้นหลายครั้ง
ในภาษาต่างๆมากมาย
มีความรักอยู่มากมาย ในรหัสผ่านเหล่านี้
ถ้าคุณดูให้ดี คุณก็จะเห็นอีกด้วยว่า
มีสิ่งหยาบคายอยู่บ้างเหมือนกัน
มันน่าทึ่งมาก ที่เห็นว่า
ความรัก มีมากกว่าความเกลียดชัง
ในรหัสผ่านเหล่านี้
และก็มีพวกสัตว์
สัตว์มากมาย
และ "monkey" เป็นสัตว์สามัญที่สุด
รวมๆแล้ว เป็นรหัสที่นิยมที่สุดลำดับที่ 14
และเรื่องนี้ ดิฉันอยากรู้จริงๆ
และสงสัยว่า "ทำไมลิงจึงเป็นที่นิยมมากนัก?"
ดังนั้นในการวิจัยรหัสผ่านสุดท้ายของเรา
ครั้งใดที่เราตรวจจับได้ว่า คนบางคน
กำลังสร้างรหัสผ่านมีคำ "monkey" ในนั้น
เราก็ถามเขาว่า ทำไมจึงมี monkey ในรหัสผ่าน
และสิ่งที่เราค้นพบ
คิดว่าน่าจะประมาณ 17 คน
ที่มีคำว่า "monkey"
เราพบว่า หนึ่งในสามของพวกเขา บอกว่า
พวกเขามีสัตว์เลี้ยงชื่อ "monkey"
หรือมีเพื่อนชื่อเล่นว่า "monkey"
และราวหนึ่งในสามของพวกเขา บอกว่า
พวกเขาแค่ชอบลิง
และลิงนั้นก็แสนจะน่ารัก
และเจ้าหนุ่มนั่นก็น่ารักจริงๆด้วย
จึงดูเหมือนกับว่า ในตอนใกล้จะสิ้นสุดของวัน
เมื่อเราสร้างรหัสผ่านนั้น
เราจะสร้างรหัสที่ง่ายต่อการพิมพ์
ที่มีรูปแบบที่ธรรมดาๆ
หรือสิ่งที่ทำให้เราจำรหัสนั้นได้
หรือบัญชีเข้าใช้ ที่เราได้สร้างรหัสไว้
หรือคำว่า "whatever"
หรือเราคิดถึง สิ่งที่ทำให้เรามีความสุข
แล้วเราก็สร้างรหัสผ่านขึ้น
โดยส่วนใหญ่เป็นสิ่งที่ทำให้เรามีความสุข
และขณะที่กำลังสนุกกับการพิมพ์
และการจดจำรหัสผ่านของคุณ
คุณอาจจะทำให้มันง่ายขึ้นอีกมาก
ที่จะเดารหัสผ่านของคุณ
ค่ะ ฉันรู้ว่า TED Talks จำนวนมากนั้น
เป็นแรงบันดาลใจ
ทำให้คิดถึง สิ่งดีๆ มีความสุข
แต่ขณะที่คุณกำลังสร้างรหัสผ่าน
พยายามคิดถึงอย่างอื่นบ้างนะคะ
ขอบคุณค่ะ
(เสียงปรบมือ)