Какво не е на ред с pa$$w0rd-а ви?

Лори Феит Кранор изучава хиляди действащи пароли, за да установи неочакваните, често срещани грешки на потребители и защитени сайтове, излагащи на опасност сигурността. Вероятно ще попитате как така изучава хиляди действащи пароли, без да компрометира сигурността на който и да било потребител. Това само по себе си е история. Секретните данни си струват научаването, особено ако паролата ви е 123456...

Аз съм преподавател по компютърна наука
и инженерство тук в Карнеги Мелън

и моето изследване е фокусирано върху
прилаганите мерки за неприкосновеност и сигурност.

Мои приятели обичат да ми дават примери

с обезсърчението си от компютърните системи

и по-специално обезсърчението от

мерките за неприкосновеност
и сигурност.

Паролите са нещо, за което аз чувам много.

Много хора имат проблеми с тях

и не е много приятна ситуацията,

когато се налага да имат
наистина добра парола,

която да запомнят,

но никой да не може да я отгатне.

Но какво правите, когато имате акаунти

на сто различни системи

и се очаква да имате уникална парола

за всяка от тези системи?

Трудно е.

В Карнеги Мелън се опитаха да направят

много лесно

запомнянето на паролите.

Изискването за парола до 2009

беше просто да имате такава

от поне един знак.

Много лесно. Но го промениха.

В края на 2009 обявиха

че ще има нова политика,

която налага

паролите да са от поне 8 знака,

включващи главни и малки букви,

цифри и символи,

а един знак да не може да се
ползва повече от три пъти

и да не е дума от речника.

Когато започна прилагането
на новата политика,

много хора, колеги и приятели

дойдоха при мен с думите:

"Това наистина е неприложимо.

Защо ни го причиняват,

защо не ги спря?"

Отговярях им: "Знаете ли,

никой не ме попита."

Но проявих любопитство и отидох да поговоря

с отговарящите за компютърните системи,

където открих кое ги бе накарало да въведат

тази нова политика.

Казаха ми че университетът

се е присъединил към университетски консорциум

в който едно от изискванията за членство

било да имаме по-силни пароли,

което съответствало на някои нови изисквания,

а те били паролите

да са с голяма ентропия.

Ентропията е сложен термин,

но най-общо измерва силата на паролите.

Но истината е, че всъщност няма

стандартна мярка за ентропия.

Националният институт по стандарти и технологии

има комплект насоки,

даващи практически указания

за измерване на ентропията,

но в тях няма нищо специфично,

а причината да имат само
практически указания

е, че всъщност, оказва се,
нямат никаква информация

за паролите.

Докладите им казват:

"За съжаление нямаме много данни

за използваните от потребителите
пароли при определени правила.

Бихме искали да научим повече

за паролите, които потребителите избират,

но системните администратори,
разбираемо, не са склонни,

да разкриват данни за пароли."

Това е проблем, но
изследователската ни група

погледна на него, като на възможност.

Казахме си: "Има нужда от
добри данни за пароли.

Може би можем да съберем такива

и постигнем напредък по въпроса."

И така, първото нещо,
което направихме, бе

да вземем торба с бонбони,

да се разходим из кампуса,

и съберем от студенти,
преподаватели и персонал

информация

за паролите им.

Разбира се не казвахме
"Дайте ни паролата си."

Не, просто ги питахме за паролите им.

Колко дълга е? Има ли цифра?

Има ли символ?

Бяхте ли притеснен,
че трябва да измислите

нова миналата седмица?

Получихме резултати от 470 студенти,

преподаватели и персонал

и наистина потвърдихме,
че новата политика

е много досадна,

но от думите на хората
установихме също, че

те се чувстват по сигурни
с новите пароли.

Повечето хора знаеха,

че не бива да си записват паролите

и само 13% от тях не го спазват,

но, смущаващо, 80% от хората

казваха, че ги използват повторно.

Това всъщност е по-опасно,

отколкото записването,

защото те прави много
по-податлив на хакерите.

Така, че ако трябва,
запишете си паролата,

но не я използвайте повторно.

Открихме и някои интересни неща

за символите,
които хората ползват в пароли.

Университетът позолява
32 възможни символа,

но както виждате, повечето хора

използват малък брой от тях,

т. е. не получаваме много голяма сила

от символите в паролите ни.

Беше наистина интересно проучване,

имахме данни от 470 човека,

но в схемата на нещата

това не беше достатъчно

и трябваше да се огледаме, да видим

къде можем да намерим
още данни за паролите.

Оказа се, че много хора

се навъртат наоколо да крадат пароли

и често ги публикуват

в интернет.

Ние можахме да получим достъп

до някои от тези откраднати
комплекти пароли.

Те обаче, не ни вършеха
работа за изследването,

защото не беше напълно ясно

откъде идват паролите

или какви точно правила
са били в сила за тях

когато хората са ги създавали.

Искахме да намерим
по-добър източник на данни.

Решихме, че това,
което можем да направим

е да направим проучване,
карайки хората

да създават пароли за него.

И така използвахме услугата
Amazon Mechanical Turk.

Услуга, при която публикувате

някаква малка задача онлайн, отнемаща минута,

няколко минути, час,

срещу пени, 10 цента, няколко долара. Хората

свършват тази работа за вас

и вие им плащате през Amazon.com.

Плащахме по 50 цента на човек,

да създаде парола,
следвайки правилата ни

и да отговори на проучване,

след което им плащахме да се върнат

след два дни, да влязат

с паролата си и да отговорят
на друго проучване.

Направихме го, събрахме 5 000 пароли,

давайки на хората куп различни правила

по които да създават пароли.

Някои получиха много лесно правило,

което нарекохме Основни8

с единственото изискване паролата ви

да има поне осем знака.

Други хора получиха доста по-трудни правила,

подобни на университетските:

да са с осем знака,

включващи главна, малка, цифра и символ,

както и да минава проверката в речника.

Един друг вариант, който опитахме,

а ние имахме много,

но един, който опитахме,
наречен Основни16

беше с единственото изискване

паролата да има поне 16 знака.

И така, имахме 5000 пароли

и много по-подробна информация.

Отново виждаме, че броят на символите

които хората използват в паролите си

е малък.

Искахме също да разберем колко силни

са паролите, създавани от хората,

но вероятно помните,
че няма добър измерител

за това.

Това, което решихме да направим,
бе да видим

колко време ще отнеме разбиването им

с най-добрите за целта инструменти,

които лошите момчета ползват

или за които можехме да
намерим информация

в изследователската литература.

За да имате представа,
ето как лошите момчета

подхождат при разбиването на пароли:

Ще откраднат файл с пароли,

който ги съдържа

в кодирана форма,
наречена хаш [бъркотия].

След това ще направят предположение

каква е паролата,

ще го пуснат през хешираща функция

и ще видят дали съвпада

с паролите в откраднатия файл.

Тъп хакер би изпробвал всяка парола.

Ще започне с ААААА, ще премине на ААААB

и така това ще отнеме
наистина много време

преди да се получи някоя парола,

която хората е наистина
възможно да имат.

Хитрият хакер, от друга страна,

прави нещо много по-умно.

Подбира паролите

от откраднатия комплект,

които се знае, че са популярни

и започва да изпробва първо тях.

Ще се започне с
предположението "парола"

след това с "обичам те", "маймуна"

и "12345678",

защото това са паролите

които най-вероятно хората имат.

Някои от вас вероятно имат тези пароли.

Това, което открихме

когато пуснахме всичките
5 000 събрани пароли

през тестове,
за да видим колко са силни,

беше, че дългите пароли

са доста силни.

Сложните пароли - също.

Обаче, преглеждайки
данните от проучването

видяхме, че хората са
наистина обезсърчени

от твърде сложните пароли,

и използваха много повече
дълги пароли,

а в някои случаи те бяха

дори по-силни от сложните.

Това подсказва, че

вместо да се казва на хората, че трябва

да слагат всички тези символи, цифри

и дивотии в паролите си,

може би е по-добре да казваме на хората

да имат дълги пароли.

Ето го проблемът, обаче:

Някои хора имаха дълги пароли,

които не бяха много силни.

Може да правите дълги пароли,

които все още са от типа,

който един хакер лесно би познал.

Трябва ни нещо повече
от просто дълги пароли.

Трябва да има някакви
допълнителни изисквания.

Някои от продължаващите ни
изследвания търсят

какви още изисквания да добавим

за да направим така, че силните пароли,

да бъдат лесни

за запомняне и въвеждане.

Друг подход, да се накарат
хората да имат

по-силни пароли, е използването
на паролометър.

Ето няколко примера.

Сигурно сте ги виждали в интернет

когато сте създавали пароли.

Решихме чрез проучване, да установим

дали тези паролометри вършат работа.

Помагат ли наистина на хората

да имат по-силни пароли

и ако да, кои са по-добри?

Тествахме паролометри,

с различен размер, форма, цветове,

различни описания,

дори един,
представляващ танцуващо зайче.

Колкото по-добра е паролата

толкова по-бързо танцува зайчето.

Беше забавно.

Това, което установихме,

е ,че те наистина работят.

(Смях)

Повечето паролометри бяха ефективни,

танцуващото зайче - също,

но най-ефективните

бяха тези, каращи ви да се потрудите здраво

преди да ви покажат вдигнат палец

за това, че сте свършили добра работа.

Фактически, установихме, че повечето

от паролометрите в интернет днес

са твърде лековерни.

Казват ви, че се справяте
добре твърде рано,

и ако изчакат мъничко,

преди да ви дадат положителна
обратна връзка,

вероятно ще имате по-добри пароли.

Един друг подход за по-добри пароли,
може би,

е използването на фрази, вместо пароли.

Един комикс от xkcd.com
от преди няколко години

в който авторът му подсказва,

че всички трябва да използваме фрази

и ако погледнете втория ред на комикса,

може да видите че авторът предполага,

че фразата "правилно кон батерия скоба"

би била много силна парола

и нещо много лесно за запомняне.

Той казва, въщност,
че вие вече сте я запомнили.

Решихме да направим изследване

дали това е вярно или не.

На практика всеки с когото говорих,

казвайки, че правя изследване
върху паролите,

се сещаше за този комикс.

"О, виждали ли сте този XKCD:

"правилно кон батерия скоба"?

И така, направихме това изследване,
за да видим

какво би се случило.

За него отново използвахме
Mechanical Turk,

като накарахме компютъра
да подбере случайни думи

за паролата-фраза.

Причината да направим това

е, че хората не са много добри

в избора на случайни думи.

Карала съм хора да го правят.

Те избират думи,
които не са много случайни.

Опитахме няколко различни условия.

В единия случай компютърът избра

от речник с често срещани думи

в английския език,

Така бихте получили фрази като

"опитай там три ела".

Погледнахме и си казахме:

"Това не изглежда много запомнящо се."

След това опитахме да вземем думи,

идващи от специфични части на речта,
например

съществително-глагол-прилагателно-
съществително.

Това дава нещо, приличащо на изречение.

Така може да се получат фрази като

"план строи сигурна мощност"

или "край определя червено лекарство".

Това изглеждаше малко по запомнящо се

и може би хората
биха го харесали повече.

Искахме да ги сравним с паролите

и накарахме компютъра
да избере случайни пароли.

Те бяха хубави и кратки,
но както виждате,

не изглеждат много запомнящи се.

И тогава решихме да опитаме
нещо, наречено

произносима парола.

Тук компютърът подбира случайни срички

и ги събира

така че имате нещо произносимо

като "туфритви" и "вадасаби".

Този тип бърборене.

Това бяха случайни пароли,

генерирани от компютъра ни.

Това, което установихме с изненада беше,

че паролите фрази не са толкова добри.

Хората не ги запомняха по-лесно,

отколкото тези случайни пароли.

И тъй като фразите бяха по-дълги,

отнемаха повече време за изписване

и хората правеха повече грешки
при писането им.

Т.е. паролите-фрази не са
чисти победители.

Съжалявам, фенове на XKCD.

От друга страна установихме,

че произносимите пароли

работят изненадващо добре

и затова правим
допълнително изследване,

за да видим дали можем
да подобрим този подход.

Един от проблемите

при някои от проучванията ни

е, че поради използването

на Mechanical Turk,

това не бяха истинските
пароли на хората.

Това бяха пароли създадени от тях

или от компютъра за изследването ни.

Искахме да знаем дали хората

биха постъпили по същия начин

с истинските им пароли.

Обърнахме се към бюрото по сигурност
на информацията в Карнеги Мелън

с въпрос дали бихме могли да имаме
истинските пароли на всички.

Не е изненада, че те
не проявиха склонност

да ги споделят с нас,

но можахме да изработим

с тях система,

в която те сложиха
всички истински пароли

на 25 000 студенти,
преподаватели и персонал

в един заключен компютър,
в заключена стая,

без връзка с интернет,

и пуснаха кода, който бяхме написали

за анализ на тези пароли.

Те провериха кода

и го изпълниха,

така че ние никога не видяхме

чиято и да било парола.

Получихме някои интересни резултати.

Студентите от
[бизнес факултета] Тепер отзад

ще бъдат силно заинтригувани от тях.

Установихме, че паролите, създадени

от хора, числящи се към
факултета за компютърна наука

са 1.8 пъти по-силни

от тези, числящи се
към бизнес факултета.

Получихме и много друга интересна

демографска информация.

Друго интересно нещо, което установихме

при сравнаване паролите
на Карнеги Мелън

с генерираните от Mechanical Turk,

е, че имаше много прилики,

което потвърди
изследователския ни метод

и показа, че събирането на пароли

с Mechanical Turk

е валиден начин за изучаване на пароли.

Това беше добра новина.

Искам да приключа, разказвайки за

някои прозрения,
осенили ме през отпуска

миналата година
във факултета по изкуства.

Едно от нещата, които направих

бяха няколко покривала,

едно от които е това тук,

което нарекох "Одеяло на сигурността".

(Смях)

То има 1 000

най-често използвани пароли, откраднати

от сайта на RockYou.

Размерът на паролите е пропорционален

на честотата с която те се появяват

в откраднатия набор от данни.

Това, което направих е
този облак от думи.

Минах през всичките хиляда

и ги категоризирах в

свободни тематични категории.

В някои случаи

беше доста трудно да определя

в коя категория трябва да са.

След това им дадох цветен код.

Ето няколко примера за трудност.

"Джъстин"

Това името на потребителя ли е,

на приятеля или на сина?

Може би са били фенове на
Джъстин Бийбър.

Или "принцеса".

Това прозвище ли е?

Или са фенове на принцесата на Дисни?

Или може би това е името на котката им.

"Обичам те"се появява много пъти

на много езици.

Има изобилие от любов в тези пароли.

Ако гледате внимателно, ще видите и

някои ругатни,

но за мен беше наистина
интересно да видя,

че има много повече любов,
отколкото омраза

в тези пароли.

Има и животни.

Много животни.

"Маймуна" е най-често срещаното,

при това е 14-та най-популярна
парола изобщо.

Беше ми наистина любопитно.

Чудех се защо маймуните са
толкова популярни.

И така в последното ни
изследване на пароли,

всеки път, когато откриехме някой,

създаващ парола с думата
"маймуна" в нея,

го питахме защо я слага.

Това, което установихме -

засега сме намерили, мисля, 17 души,

които използваха думата "маймуна" -

е, че около една трета от тях

имат домашен любимец, наричан така

или приятел с прозвището "маймуна".

Около една трета казаха,

че просто харесват маймуни

защото са много мили.

Тази тук е наистина сладка.

Изглежда, че в края на краищата,

когато измисляме пароли,

ние или правим нещо лесно

за написване, общ модел,

или неща, които ни напомнят
за думата парола

или за акаунта, за който
създаваме паролата

или нещо такова.

Или мислим за неща,
които ни правят щастливи

и създаваме нашите пароли

въз основа на тях.

И докато това прави писането

и запомнянето на паролите забавно,

също така го прави лесно

за отгатване на паролата ви.

Аз зная, че много от тези TED беседи

вдъхновяват

и ви карат да мислите за хубави,
радостни неща,

но когато създавате паролата си

опитайте да мислите за нещо друго.

Благодаря ви.

(Аплодисменти)