Co je s vaším he$lem?

Lorrie Faith Cranor se zabývala tisíci skutečnými hesly na to, aby odhalila překvapující a velmi častou chybu, kterou uživatelé — a zabezpečené stránky — ohrožují svoji bezpečnost. A jak, ptáte se, se mohla dostat k tisícům opravdových hesel, aniž by ohrozila zabezpečení dalších uživatelů? To je příběh sám o sobě. Je to tajná informace, kterou je radno znáti, zvláště pokud je vaše heslo 123456.

Jsem profesorkou informatiky a inženýrství,
tady na Carnegie Mellon,

a můj výzkum se zaměřuje na
ochranu a zabezpečení osobních údajů,

a tak mi mí přátelé rádi říkají

o svých potížích s informačními systémy,

jde především o obavy souvisejícími

s nepoužitelnou ochranou osobních údajů.

Hesla jsou něco, o čem slýchávám hodně.

Hodně lidí je frustrováno hesly,

a je dost špatné,

když máte mít jedno opravdu dobré heslo,

které si jste schopni pamatovat,

ale nikdo jiný ho nebude schopen uhodnout.

Ale co uděláte, když máte účty

na milionech různých systémech

a měli byste mít jedinečné heslo

pro každý z těchto systémů?

Je to těžké.

V Carnegie Mellon pro nás bývávalo

zapamatování hesla

vlastně docela jednoduché.

Požadavkem na heslo do roku 2009

bylo pouze mít heslo

s alespoň jedním znakem.

Docela jednoduché.
Ale pak se věci změnili

a na konci roku 2009 oznámili,

že se chystají mít novou zásadu,

a tato nová zásada požadovala

hesla, která byla dlouhá alespoň 8 znaků,

s velkým písmenem, malým písmenem,

číslovkou, symbolem,

nemohli jste použít
stejný znak více než třikrát,

a nebylo povoleno heslo ze slovníku.

Nyní když zavedli tuto novou zásadu,

hodně lidí, mých kolegů a přátel,

přišli za mnou a říkali: "Wow,

teď je to opravdu nepoužitelné.

Proč nám to dělají

a proč jsi je nezastavila?"

A já jsem řekla: "No, víte co?

Oni se mě nezeptali."

Ale začalo mne to zajímat
a rozhodla jsem se jít promluvit

s lidmi ve vedení naší počítačové sítě,

a zjistit, co je vedlo k zavedení

této nové politiky,

a oni řekli, že se univerzita

připojila ke spolku univerzit

a jedním z požadavků na členství

bylo, že musíme mít silnější heslo,

které splňuje některé nové podmínky,

a těmito podmínkami bylo,
že naše hesla

musí obsahovat hodně entropie.

Entropie je docela složitý termín,

ale v podstatě jde o měření síly hesel.

Ale jde o to, že vlastně není

žádné standardní měřítko entropie.

Národní úřad pro normalizaci a měření (UNM)

má směrnice,

které mají určitá pravidla

pro měření entropie,

ale nemají nic příliš specifického,

a důvod, proč mají pravidla jen tak od oka

je, že oni vlastně nemají žádná dobrá data

týkající se hesel.

Ve skutečnosti jejich zpráva uvádí:

"Bohužel, nemáme příliš dat týkající se hesel,

která si uživatelé vybírají za určitých podmínek.

UNM by rád získal více dat

ohledně hesel, která si uživatelé vybírají,

nicméně systémoví administrátoři
se pochopitelně zdráhají

odhalit hesla ostatním."

Tohle je problém,
ale naše výzkumná skupina

to viděla jako příležitost.

Řekli jsme: "No, je tady potřeba
získat data ohledně hesel.

Možná budeme moci sesbírat informace k heslům

a vlastně dopomoci dobrému stavu věcí.

Takže první věc, kterou jsme udělali,

vzali jsme tašku sladkých tyčinek,

a chodili jsme po kampusu

a mluvili se studenty, učiteli
a zaměstnanci,

a ptali se jich na informace

ohledně jejich hesel.

Neříkali jsme: "Dej nám svoje heslo."

Ne, my jsme se jen ptali na jejich hesla.

Jak je dlouhé? Obsahuje číslovku?

Obsahuje symbol?

A obtěžovalo vás vytvořit si

nové heslo minulý týden?

Tak jsme získali výsledky od 470 studentů,

učitelů a zaměstnanců,

a opravdu jsme potvrdili, že nová politika

byla velmi otravná,

ale také jsme zjistili, že lidé říkali,

že se cítili více bezpečně
s těmito novými hesly.

Zjistili jsme, že většina lidí věděla,

že by si neměli svoje heslo zapsat

a pouze 13 procent z nich to udělalo,

ale znepokojivě, 80 procent lidí

řeklo, že opětovně používají svá hesla.

A to je vlastně více nebezpečné

než zapsat si svoje heslo.

protože vás to dělá
více náchylnými k napadení.

Takže pokud musíte, zapište si svoje heslo,

ale nepoužívejte je opakovaně.

Také jsme zjistili nějaké zajímavě věci

ohledně symbolů , které lidé
ve svých heslech používají.

Univerzita dovoluje 32 možných symbolů,

ale jak můžete vidět,
je jen malé množství symbolů,

které lidé většinou používají,

takže vlastně nezískáváme moc síly

ze symbolů ve svých heslech.

Byla to velmi zajímavá studie

a nyní máme data od 470 lidí,

ale v souhrnu všech věcí,

to vlastně příliš dat o heslech není,

a tak jsme se porozhlédli kolem,

kde bychom mohli najít
dodatečná data o heslech?

Zdá se, že je zde mnoho lidí,

kteří hesla kradou,

a často tato hesla publikují

na internetu.

A my jsme byli schopní získat přístup

k některým z těchto kradených hesel.

Nicméně to stále není ideální pro výzkum,

protože není úplně jasné,

odkud se ta hesla vzala,

nebo jaké zásady zrovna platily,

když lidé ta hesla tvořili.

Tak jsme chtěli najít nějaký lepší zdroj dat.

Rozhodli jsme, že bychom mohli

udělat studii a přitom nechat lidi

vytvořit hesla pro naši studii.

Tak jsme použili službu zvanou
Amazon Mechanical Turk,

a to je služba, kde můžete publikovat

malý úkol online, který zabere minutu,

několik minut, hodinu,

a zaplatit lidem haléř,
10 centů, pár dolarů,

aby pro vás udělali úkol

a pak jim zaplatíte přes Amazon.com.

Tak jsme zaplatili lidem kolem 50 centů

za vytvoření hesla podle našich pravidel

a vyplnění dotazníku,

a pak jsme jim zaplatili
znovu, aby se vrátili

o dva dny později a přihlásili se

použitím jejich hesla
a vyplněním dalšího dotazníku.

Tak jsme to udělali a sesbírali 5000 hesel

a dali jsme lidem kupu různých pravidel

pro tvoření hesel.

Někteří lidé měli docela jednoduché pravidlo,

říkáme mu Basic8,

a tady jediná podmínka bylo, že vaše heslo

musí mít alespoň 8 znaků.

Pak někteří lidé měli hodně těžší zásadu,

a to bylo velmi podobné politice CMU,

a to, že musí mít 8 znaků

včetně velkého a malého písmena,
číslovku, symbol,

a musí projít testem slovníku.

A jedna z dalších zásad, kterou jsme zkusili,

a bylo jich mnohem více,

ale jednu z těch, co jsme zkusili se jmenuje Basic16,

a jejím jediným požadavkem

je mít heslo s alespoň 16 znaky.

Dobře, tak teď jsme měli 5000 hesel,

a tak jsme měli mnohem detailnější informace.

Znova vidíme, že je jen malé množství

symbolů, které lidé vlastně používají

ve svých heslech.

Také jsme chtěli vědět, jak silná

hesla lidé vytvářeli,

ale jak si možná vzpomenete,
neexistuje dobré měřítko

síly hesla.

Takže jsme se rozhodli podívat,

jak dlouho bude trvat nabourat tato hesla

použitím nejlepších nabourávacích nástrojů,

které ti zlí hoši používají,

nebo jsme mohli najít informace

ve výzkumné literatuře.

Tak abych vám udělala
představu o tom, jak se zlí hoši

nabourávají do hesel,

ukradnou soubor hesel,

který obsahuje všechna ta hesla

v takové zakódované podobě,
nazvané "hash",

a co udělají je, že si tipnou,

jaké to heslo je,

projedou to skrz "hash" funkci,

a uvidí, jestli to odpovídá

heslům, které mají
na jejich ukradeném seznamu hesel.

No a hloupý útočník zkusí každé heslo postupně.

Začnou s AAAAA, pokračují s AAAAB

a tohle zabere opravdu dlouho

než získají hesla,

která lidé s velkou pravděpodobností mají.

Chytrý útočník, na druhou stranu,

udělá něco mnohem chytřejšího.

Podívají se na hesla,

o kterých se ví, že jsou populární

z těch ukradených souborů hesel

a právě ty hádají jako první.

Takže začnou s hádáním "heslo",

a pak tipnou "miluji tě", a "opice",

a "12345678"

protože to jsou hesla,

která lidé nejpravděpodobněji mají.

A opravdu, někteří z vás
pravděpodobně mají tato hesla.

Takže co jsme našli

díky testování všech těch 5000 hesel,
co jsme sesbírali,

v těch testech, které ukazují sílu hesel,

zjistili jsme, že dlouhá hesla

jsou vlastně docela silná,

a komplexní hesla jsou taky celkem silná.

Nicméně, když jsme se podívali
na data výzkumu,

viděli jsme, že lidé jsou
opravdu frustrovaní

velmi komplexními hesly,

a dlouhá hesla byla mnohem více použitelná

a v některých případech,
byla vlastně

dokonce silnější než komplexní hesla.

Takže tohle naznačuje,

že na místo říkat lidem, že mají

dát všechny ty symboly a čísla

a šílené věci do svých hesel,

tak bychom lépe lidem jen řekli,

aby měli dlouhá hesla.

No ale tady je teď problém:

Někteří lidé měli dlouhá hesla,

která vlastně nebyla moc silná.

Můžete vytvořit dlouhá hesla,

která jsou stejně

útočníkem lehce uhodnutelná.

Takže musíme udělat víc,
než jen zadat dlouhá hesla.

Musí tam být nějaké dodatečné požadavky,

a některé z našich probíhajících
výzkumů zkoumají

jaké dodatečné požadavky
bychom měli přidat,

abychom udělali silnější hesla,

která budou pro lidi jednoduchá

na zapamatování i psaní.

Další přístup, jak lidi dostat k tomu, aby měli

silnější hesla, je užití heslo-metru.

Tady jsou nějaké příklady.

Možná jste je viděli na internetu,

když jste vytvářeli hesla.

My jsme se rozhodli udělali studii,
abychom zjistili,

jestli ty heslo-metry opravdu fungují.

Opravdu lidem pomáhají

mít silnější heslo,

a jestli ano,
které jsou lepší?

Tak jsme otestovali heslo-metry,
které měly

různé velikosti, tvary, barvy,

různá slova vedle nich,

a dokonce jsme otestovali ten,
co byl tančící králík.

Když napíšete lepší heslo,

králík tančí rychleji a rychleji.

Takže to bylo docela sranda.

Co jsme zjistili

bylo, že heslo-metry fungují.

(smích)

Většina heslo-metrů byla vlastně efektních,

a tančící králík byl taky hodně efektní,

ale heslo-metry, které byly nejvíce efektní,

byly ty, co vás přiměly pracovat pilněji

předtím než vám ukázaly
palec nahoru a řekly,

že děláte dobrou práci,

a ve skutečnosti jsme zjistili,
že většina

heslo-metrů na internetu

je dnes příliš slabá.

Řeknou vám,
že děláte dobrou práci příliš brzy,

a pokud by počkali jen chvilku předtím

než vám dají tu pozitivní zpětnou vazbu,

pravděpodobně byste měli lepší hesla.

Další přístup k lepším heslům je možná

užití frází namísto hesel.

toto byl xkcd kreslený vtip,
několik let starý,

a ten karikaturista navrhl,

že bychom všichni měli používat fráze,

a když se podíváte na druhý řádek
toho kresleného vtipu,

můžete vidět, že karikaturista navrhuje,

že fráze "Oprav koňské svorky baterie"

by byla velmi silnou frází

a něčím opravdu jednoduchým k zapamatování.

Říká, vlastně jste si to už zapamatovali.

A tak jsme se rozhodli udělat studii,

abychom zjistili,
jestli je to pravda nebo ne.

Ve skutečnosti, každý s kým mluvím,

komu zmíním, že dělám výzkum o heslech,

poukáží na tento kreslený vtip.

"Oh, viděla jsi to? Ten komix.

Oprav koňské svorky baterie."

Tak jsme udělali výzkumnou studii,
abychom viděli

co by se vlastně stalo.

Takže v naší studii jsme
zase použili Mechanical Turk,

a počítač nám vybral náhodná slova

do heslových frází.

Důvod, proč jsme to udělali

je, že lidé nejsou velmi dobří

ve vybírání náhodných slov.

Pokud bychom požádali člověka,
aby to udělal,

vybral by věci,
které by nebyly moc náhodné.

Tak jsme zkusili pár různých podmínek.

Za první podmínky počítač vybral

ze slovníku velmi běžných slov

anglického jazyka,

a tak byste narazili na fráze jako

"zkus tam tři přijít".

A my jsme se na to podívali a řekli:

"No, to opravdu nevypadá velmi zapamatovatelně."

Tak pak jsme zkusili vybírání slov,

které pocházeli ze specifických částí řeči,

takže co třeba podstatné jm.-sloveso-přídavné jm.-podstatné jm.

To přijde s něčím,
co už trochu vypadá jako věta.

Tak můžete dostat frázi jako

"plán buduje spolehlivou sílu"

nebo "konec určuje červenou drogu"

A tyto vypadají trochu víc zapamatovatelně,

a lidé by je asi měli trochu raději.

Chtěli jsme je porovnat s hesly

a tak jsme nechali počítač
vybrat náhodná hesla,

a ty byly pěkné a krátké, ale jak můžete vidět,

opravdu nevypadají moc zapamatovatelně.

A pak jsme se rozhodli
vyzkoušet něco nazvané

vyslovitelné heslo.

Tak tady počítač vybere náhodné slabiky

a dá je dohromady

tak, že máte něco nějak vyslovitelného,

jako "tufritvi" a "vadasabi".

Ten se nějak váli na jazyku.

Takže ta byla náhodná hesla, která byla

vygenerovaná počítačem.

Co jsme zjistili v této studii je, překvapivě,

že heslové fráze nebyly vlastně tak dobré.

Lidé opravdu nebyli lepší v pamatování

frází než těchto náhodných hesel,

a protože fráze jsou delší,

jejich napsání trvá déle

a lidé dělají více chyb, když je píší.

Takže to opravdu není
čistá výhra pro fráze.

Promiňte, všichni fanoušci komixu xkcd.

Na druhou stranu jsme zjistili,

že vyslovitelná hesla

fungují překvapivě dobře,

a tak už děláme další výzkum,

abychom zjistili, jestli můžeme
tento přístup udělat ještě lepším.

Jeden z problémů

s některými z našich studií

je, že protože jsou udělány

za pomoci Mechanical Turk,

nejsou to opravdová hesla lidí.

Jsou to hesla, která lidé vytvořili

nebo počítač vytvořil za ně
pro náš výzkum.

A my jsme chtěli vědět,

jestli by se lidé chovali stejně

se svými opravdovými hesly.

Tak jsme si promluvili s informační
bezpečností službou v Carnegie Mellon

a zeptali se jich, jestli bychom
mohli mít opravdová hesla všech.

Nepřekvapivě byli trochu zdráhaví

je s námi sdílet,

ale my jsme vlastně byli schopní s nimi

vypracovat systém,

kam vložili všechna reálná hesla

25000 studentů, učitelů a zaměstnanců,

do uzamčeného počítače
v uzamčené místnosti,

nepřipojeném k internetu

a oni na něm spustili kód,
který jsme napsali,

abychom zanalyzovali ta hesla.

Oni nahráli náš kód.

Spustili ten kód.

A tak jsme nikdy vlastně neviděli

ničí heslo.

Dostali jsme nějaké zajímavé výsledky,

a vás, studenty Tepper, vzadu,

to bude velmi zajímat.

Zjistili jsme, že hesla vytvořená

lidmi z fakulty počítačových věd

byla vlastně 1.8 krát silnější

než těch z ekonomické fakulty.

Máme také hodně dalších opravdu zajímavých

demografických informací.

Další zajímá věc, kterou jsme zjistili

je, že když srovnáme
hesla z Carnegie Mellon

s hesly vygenerovanými na Mechanical Turk,

bylo tam celkem hodně podobností,

a pomohlo to ověřit naši výzkumnou metodu

a ukázat, že sbírání hesel

za pomoci Mechanical Turk studí

je vlastně správná cesta ke zkoumání hesel.

A to byla dobrá zpráva.

Dobře, chtěla bych na závěr říct něco

o zkušenosti, kterou jsem získala loni

na roční vědecké dovolené
ve škole umění Carnegie Mellon.

Jedna z věcí, kterou jsem vytvořila,

bylo několik přikrývek,

a tohle je jedna z nich.

Jmenuje se "Bezpečnostní deka".

(Smích)

A tato deka obsahuje 1000

nejčastějších hesel ukradených

ze stránky RockYou.

A velikost hesel odpovídá tomu,

jak často se objevovala

v ukradené databázi.

A tak jsem vytvořila tento mrak slov

a prošla všech 1000 slov

a rozřadila je do

volných tematických kategorií.

A to bylo, v některých případech,

docela složité zjistit,

do jaké kategorie by měly patřit

a pak jsem je barevně označila.

Tady jsou některé obtížné příklady.

Třeba "justin".

Je to jméno uživatele,

jejich přítel, jejich syn?

Možná jsou jen fanouškem Justina Biebera.

Nebo "princezna".

Je to přezdívka?

Jsou fanoušci Disney princezen?

Nebo možná je to jméno jejich kočky.

"Miluji tě" se objevilo mnohokrát

v nespočtu různých jazycích.

V těchto heslech je hodně lásky.

Když se podíváte pozorněji, uvidíte, že jsou tam taky

určité vulgarismy,

ale bylo pro mě opravdu zajímavé vidět,

že je v těchto heslech

mnohem více lásky než nenávisti.

A jsou tam zvířata,

hodně zvířat,

a "opice" je nejčastější zvíře

a 14. nejpopulárnější heslo celkově.

A to mě opravdu zajímalo,

a říkala jsem si: "Proč jsou opice tak populární?"

A v naší poslední studii o heslech,

pokaždé, když jsme objevili někoho

používat heslo se slovem "opice",

zeptali jsme se jich,
proč měli opici ve svém hesle.

A co jsme zjistili -

našli jsme zatím 17 lidí, myslím,

co měli slovo "opice" -

zjistili jsme, že asi třetina z nich řekla,

že mají domácí zvíře jménem "opice"

nebo kamaráda, jehož přezdívka je "opice",

a asi třetina z nich řekla,

že prostě mají rádi opice

a že opice jsou roztomilé.

A ten malý je opravdu roztomilý.

Tak se zdá, že nakonec

když tvoříme hesla,

buď vytvoříme něco,
co je opravdu jednoduché

napsat, běžný vzorec,

nebo věci, co nám připomínají slovo heslo

nebo účet, pro který jsme heslo vytvořili,

nebo cokoliv.

Nebo myslíme na věci,
které nás dělají šťastnými,

a tvoříme hesla

založená na věcech,
co nás dělají šťastnými.

A zatímco to dělá psaní

a zapamatování vašeho hesla více zábavné,

taky je mnohem lehčí

vaše heslo uhodnout.

Vím, že hodně z těchto TED přednášek

je inspirativních

a že vás přimějí myslet na hezké, veselé věci,

ale když si tvoříte heslo,

snažte se myslet na něco jiného.

Děkuji.

(Potlesk)