Was stimmt nicht mit Ihrem Pa$$w0rt?

Lorrie Faith Cranor untersuchte Tausende echter Passwörter, um überraschend verbreitete Fehler herauszufinden, die Nutzer – und "Secure Sites" – machen, die Sicherheit gefährden. Wie, werden Sie sich fragen, untersuchte sie Tausende von echten Passwörtern, ohne selbst die Sicherheit von Nutzern zu gefährden? Das ist eine Geschichte für sich. Das sind wissenswerte, geheime Daten, besonders wenn Ihr Passwort 123456 ist ...

Ich bin Professorin
für Technische Informatik

hier an der Carnegie Mellon,

und meine Forschung konzentriert sich
auf nützlichen Datenschutz.

Daher geben meine Freunde
mir gerne Beispiele

für ihren Frust mit Rechnersystemen,

vor allem in Bezug auf
unbrauchbaren Datenschutz.

Ich höre viel über Passwörter.

Viele Menschen sind
von Passwörtern genervt,

und das ist schlimm genug,

wenn man ein wirklich
gutes Passwort braucht,

das man sich merken kann,

aber das niemand anders erraten soll.

Was macht man, wenn man Konten
auf hundert verschiedenen Systemen hat

und ein individuelles Passwort
für jedes dieser Systeme haben sollte?

Das ist schwer.

An der Carnegie Mellon machten sie
es uns ziemlich einfach,

uns unsere Passwörter zu merken.

Bis 2009 war die Anforderung
an ein Passwort nur,

dass man ein Passwort brauchte

mit mindestens einem Zeichen.

Ziemlich einfach.

Aber dann änderten sie es,
und Ende 2009 gaben sie bekannt,

dass sie eine neue Richtlinie bekämen,

und die neue Richtlinie verlangte,

dass Passwörter mindestens
8 Zeichen lang sein mussten.

mit einem Groß-, einem Kleinbuchstaben,
einer Zahl und einem Symbol.

Man durfte dieselben Zeichen
nicht mehr als 3-mal nutzen,

und es durfte kein Wort
aus dem Wörterbuch sein.

Als sie die Richtlinie umsetzten,

kamen viele Leute,
meine Kollegen und Freunde,

auf mich zu und sagten:

"Wow, das ist wirklich unnütz.

Warum machen sie das mit uns?
Warum hast du sie nicht gestoppt?"

Und ich sagte: "Weißt du was?
Sie haben mich nicht gefragt."

Aber ich wurde neugierig und entschied,

mit den Verantwortlichen
für unsere Computersysteme zu reden

und herauszufinden,
was sie veranlasst hatte,

die neue Richtlinie einzuführen.

Sie meinten, die Universität

wäre einem Universitäts--
Verbund beigetreten,

und eine der Anforderungen
an die Mitgliedschaft war,

dass wir sichere Passwörter brauchten,

die den neuen Anforderungen entsprachen.

Die neuen Vorgaben besagten,

unsere Passwörter müssten
mehr Entropie haben.

Entropie ist ein komplizierter Begriff,

aber im Wesentlichen misst er
die Stärke von Passwörtern.

Es ist nur so, dass es tatsächlich
kein Richtmaß für Entropie gibt.

Das Nationale Institut für
Standards und Technologie

hat eine Reihe von Richtlinien
mit einigen Faustregeln,

um Entropie zu messen.

Aber es gibt nichts wirklich Konkretes.

Der Grund, warum sie
nur Faustregeln haben,

liegt an der fehlenden guten
Datenlage über Passwörter.

In ihrem Bericht heißt es sogar:

"Leider haben wir kaum Daten

zu den von Nutzern unter bestimmten
Bedingungen gewählten Passwörtern.

Das NIST würde gerne mehr Daten gewinnen,

über die von Nutzern gewählten Passwörter,

aber Systemadministratoren
zögern verständlicherweise,

anderen die Passwörter offenzulegen."

Das ist also ein Problem,

aber unsere Forschungsgruppe
sah es als Chance.

Wir sagten: "Es gibt einen Bedarf
für gute Passwort-Daten.

Vielleicht können wir
gute Passwort-Daten sammeln

und den Stand den Technik verbessern."

Als Erstes besorgten wir uns
eine Tüte Schokoriegel,

liefen über den Campus,

sprachen mit Studenten,
Dozenten und Mitarbeitern,

und fragten sie nach Informationen
zu ihren Passwörtern.

Wir sagten aber nicht:
"Geben Sie uns Ihr Passwort."

Nein, wir fragten sie etwas
über ihr Passwort.

Wie lang ist es?

Hat es eine Zahl, ein Symbol?

Waren sie verärgert als sie letzte Woche
ein neues erstellen mussten?

Wir erhielten Ergebnisse

von 470 Studenten,
Dozenten und Mitarbeiter,

und wir konnten bestätigen,
dass die neue Richtlinie

wirklich nervig war,

aber wir stellten auch fest,

dass Leute sich mit den neuen
Passwörtern sicherer fühlten.

Wir erfuhren, dass die
meisten Leute wissen,

dass sie ihr Passwort
nicht aufschreiben sollten,

nur 13 % davon machten das,

aber verstörende 80 % der Menschen sagten,

dass sie ihr Passwort wieder verwendeten.

Das ist aber sogar viel gefährlicher
als sein Passwort aufzuschreiben,

denn es macht es
für Angreifer viel anfälliger.

Wenn Sie müssen,

schreiben Sie Ihr Passwort auf,
aber benutzen Sie es nicht wieder.

Wir fanden auch interessante Dinge

über die in Passwörtern
verwendeten Symbole heraus.

Die CMU erlaubt 32 mögliche Symbole,

aber wie man sieht,
wird nur ein kleiner Anteil

von den Menschen genutzt.

Daher tragen die Symbole
in unseren Passwörtern

nicht viel zur Stärke bei.

Das war also eine wirklich
interessante Studie,

und jetzt hatten wir
Daten von 470 Personen,

aber im Großen und Ganzen,
sind das nicht viele Passwort-Daten.

Daher sahen wir uns danach um,

wo wir weitere Passwort-
Daten finden konnten.

Es zeigt sich, dass viele Leute
Passwörter stehlen,

und sie stellen diese Passwörter
dann oft ins Internet.

Wir erlangten Zugang

zu einigen der gestohlenen
Passworteinstellungen.

Das ist immer noch nicht
ideal für die Erforschung,

denn es ist nicht völlig klar,
woher all die Passwörter kamen

oder welche Richtlinien galten,
als die Leute diese Passwörter erstellten.

Wir wollten daher eine
bessere Datenquelle finden.

Wir entschieden eine Studie zu machen

und Menschen für unsere Studie
Passwörter erstellen zu lassen.

Wir nutzten einen Service namens
"Amazon Mechanical Turk".

Bei diesem Service kann man
eine kleine Aufgabe online einstellen,

für die man ca. 1 Minute,
einige Minuten, eine Stunde braucht,

und Leuten Cents oder
ein paar Dollar zahlt,

damit sie eine Aufgabe
für einen zu erledigen.

Man bezahlt über Amazon.com.

Wir zahlten Leuten etwa 50 Cents,

um ein Passwort nach
unseren Regeln zu erstellen

und eine Umfrage zu beantworten.

Dann bezahlten wir sie erneut,
um sich 2 Tage später wieder einzuloggen,

mit ihrem Passwort, und eine
andere Umfrage zu beantworten.

Wir machten das und
sammelten 5000 Passwörter.

Wir gaben den Leuten eine Menge
verschiedener Richtlinien,

um Passwörter zu erstellen.

Manche hatten eine
recht leichte Richtlinie,

wir nennen sie "Basic8".

Die einzige Regel war hier,

dass das Passwort mindestens
8 Zeichen haben muss.

Einige bekamen
eine viel strengere Richtlinie,

ganz ähnlich wie die CMU-Richtlinie,

bei der man 8 Zeichen brauchte,

die Groß-, Kleinbuchstabe,
Zahl, Symbol beinhalten,

und einen Wörterbuch-Test
bestehen mussten.

Eine andere getestete Richtlinie,

und es gab noch jede Menge,
war eine namens "Basic16".

Die einzige Anforderung hier war,

dass das Passwort mindestens
16 Zeichen haben musste.

Gut, wir hatten jetzt 5000 Passwörter

und damit hatten wir
viel genauere Informationen.

Wieder sahen wir, dass nur
eine kleine Anzahl von Symbolen

für die Passwörter genutzt wurde.

Wir wollten eine Vorstellung
von der Stärke der Passwörter bekommen,

die die Leuten erstellten.

Aber wie Sie vielleicht erinnern,

gibt es keine gute Maßeinheit
für Passwort-Stärke.

Wir beschlossen zu schauen,
wie lange es dauert,

bis wir die Passwörter knacken würden,

unter Verwendung der besten Knack-Tools,
die die bösen Jungs nutzen,

oder über die wir Informationen
in der Forschungsliteratur fanden.

Hier zeige ich Ihnen, wie böse Jungs
Passwörter knacken.

Sie klauen eine Passwort-Datei,

mit allen Passwörter
in verschlüsselter Form,

"Hash" genannt.

Sie raten dann,
was ein Passwort sein könnte,

lassen es durch eine Hash-Funktion laufen

und schauen, ob es zu den Passwörtern

auf der Liste gestohlener
Passwörter passt.

Ein dummer Angreifer wird jedes
Passwort nacheinander versuchen.

Sie fangen mit "AAAAA" an
und machen mit "AAAAB" weiter,

und es dauert ziemlich lange,
bis sie irgendein Passwort finden,

dass Leute wirklich benutzen.

Ein schlauer Angreifer andererseits
macht etwas viel Klügeres.

Sie schauen sich die Passwörter an,
die bekanntermaßen beliebt sind,

aus den gestohlenen Passwörtern,

und erraten diese zuerst.

Sie tippen also erst auf "Passwort",

dann tippen sie auf
"Ich liebe dich" und "Affe"

und "12345678",

denn diese Passwörter
nutzen die meisten Leute.

Wahrscheinlich haben einige
von Ihnen diese Passwörter.

Wir fanden also heraus,

indem wir all diese 5000
Passwörter sammelten

und testeten, wie stark sie waren,

erkannten wir, dass lange Passwörter
ziemlich stark waren.

Komplexe Passwörter
waren auch ziemlich stark.

Aber wenn wir uns
die Umfrage-Daten ansahen,

sahen wir, dass viele
wirklich frustriert waren

von den sehr komplexen Passwörtern.

Lange Passwörter waren viel brauchbarer

und manchmal waren sie sogar
stärker als komplexe Passwörter.

Das legt also nahe,

dass es statt den Leuten zu sagen,
sie sollten Symbole, Zahlen

und anderes Zeug in ihren
Passwörtern verwenden,

wohlmöglich besser wäre zu sagen,

man sollte lange Passwörter haben.

Es gibt aber ein Problem:

Einige Leute hatten lange Passwörter,
die nicht wirklich stark waren.

Man kann lange Passwörter erstellen,
die trotzdem von der Art sind,

die ein Angreifer leicht erraten kann.

Wir müssen also mehr tun als
nur "lange Passwörter" zu sagen.

Es gibt weitere Anforderungen,

und ein Teil unserer laufenden
Forschung untersucht,

welche weiteren Anforderungen
wir hinzufügen sollten,

um für sichere Passwörter zu sorgen,

die für die Menschen auch einfach
zu merken und zu tippen sind.

Um Leute zu stärkeren Passwörtern
zu bewegen,

könnte man als weiteren Ansatz
ein Passwort-Messgerät nutzen.

Hier ein paar Beispiele.

Vielleicht kennen Sie sie
aus dem Internet,

wenn Sie Passwörter erstellt haben.

Wir entschieden mit
einer Studie herauszufinden,

ob diese Passwort-Messgeräte
wirklich funktionieren.

Helfen Sie Menschen wirklich,
stärkere Passwörter zu finden,

und wenn ja, welche sind besser?

Also testeten wir Passwort-Checker,

die verschiedene Größen,
Formen, Farben hatten,

mit verschiedenen Worten daneben.

Wir testeten sogar einen,
der ein tanzender Hase war.

Wenn man ein besseres Passwort eintippt,

tanzt der Hase immer schneller.

Das war sehr lustig.

Wir fanden heraus,

dass Passwortstärke-
Anzeiger funktionieren.

(Gelächter)

Die meisten Passwort-Messer
waren tatsächlich effektiv.

Auch der tanzende Hase war sehr effektiv.

Aber die effektivsten
Passwort-Messer waren die,

die einen härter arbeiten ließen,

bis sie zustimmten und sagten,
dass man es gut gemacht hatte.

Wir stellten aber fest,

die meisten heute im Internet verfügbaren
Passwort-Messer sind zu leicht.

Sie sagen einem zu früh,
dass man es gut macht.

Würden sie nur ein bisschen mehr warten,
bevor sie eine positive Rückmeldung geben,

hätte man vermutlich bessere Passwörter.

Eine andere Methode für
bessere Passwörter ist vielleicht,

Merksätze statt Passwörter zu nutzen.

Das war ein xkcd-Comic
von vor einigen Jahren,

und der Zeichner schlägt vor,
dass wir alle Merksätze nutzen sollten.

Wenn man sich die zweite
Reihe des Comics ansieht,

sieht man wie der Zeichner vorschlägt,

dass der Merksatz
"Correct horse battery staple"

ein sehr starker Merksatz wäre
und sehr einfach zu merken ist.

Er sagt, dass Sie ihn sich
gerade schon gemerkt haben.

Wir beschlossen eine
Forschungsstudie zu machen,

um herauszufinden, ob es stimmte.

Jeder, dem ich erzählte,
dass ich eine Passwort-Studie machte,

verwies auf diesen Comic.

"Hast du das gesehen? Von xkcd.

Correct horse battery staple."

In einer Forschungsstudie
wollten wir sehen,

was wirklich passieren würde.

In unsere Studie nutzten
wir wieder Mechanical Turk,

und ließen den Computer
zufällige Wörter im Merksatz auswählen.

Wir machten das daher,
weil Menschen nicht gut darin sind,

zufällige Wörter auszuwählen.

Würden wir Menschen darum bitten,

würden sie nicht sehr
zufällige Dinge auswählen.

Wir testeten daher
verschiedene Bedingungen,

unter einer Bedingung wählte
der Rechner aus einem Wörterbuch

sehr gängige Wörter
aus dem Englischen aus.

So erhielt man Merksätze wie

"[Versuch dort drei kommen]."

Wir schauten das an und sagten:

"Das scheint nicht sehr einprägsam."

Dann versuchten wir Worte auszuwählen,

die aus bestimmten Teilen
der Sprache stammen,

z. B. Nomen-Verb-Adjektiv-Nomen.

Dann kommt man zu einer Art Satz.

Man erhält dann einen Merksatz wie:

"[Plan baut sicher Kraft]"

oder "[Ende bestimmt rote Droge]".

Diese erschienen etwas einprägsamer,

und vielleicht hätten Menschen
sie ein bisschen lieber.

Wir wollten sie mit
Passwörtern vergleichen,

daher ließen wir den Rechner
zufällige Wörter auswählen,

diese waren nett und kurz,
aber wie man sieht,

sehen sie nicht sehr einprägsam aus.

Dann probierten wir etwas aus,

"aussprechbares Passwort" genannt.

Hier wählt der Rechner zufällig Silben aus
und fügt sie zusammen,

dadurch erhält man etwas Aussprechbares

wie "tufritvi" und "vadasabi".

Das geht leicht von den Lippen.

Das sind zufällige Passwörter,

die vom Computer erzeugt wurden.

Wir fanden in der Studie
etwas Überraschendes heraus:

Merksätze waren gar nicht so gut.

Die Leute konnte sich die Merksätze

kaum besser merken
als zufällige Passwörter.

Da Merksätze länger sind,
tippten sie länger,

und beim Eintippen entstanden mehr Fehler.

Es gibt also keinen klaren
Sieg für Merksätze.

Tut mir leid, ihr xkcd-Fans.

Andererseits fanden wir heraus,

dass aussprechbare Passwörter
sehr gut funktionierten.

Daher erforschen wir gerade,

ob wir diesen Ansatz
noch verbessern können.

Eins der Probleme mit den
von uns durchgeführten Studien war,

dass sie alle mit
Mechanical Turk gemacht wurden.

Das sind keine echten Passwörter.

Das sind Passwörter,
die sie erstellt haben

oder die der Rechner für sie
für die Studie erzeugt hat.

Wir wollten wissen, ob Menschen
sich bei ihren echten Passwörtern

wirklich genauso verhalten würden.

Wir sprachen daher mit

den Informationssicherheitsbeauftragten
an der Carnegie Mellon

und baten sie, die echten Passwörter
von allen zu bekommen.

Kein Wunder, dass sie etwas zögerten,
sie mit uns zu teilen,

aber wir erarbeiteten
mit ihnen ein System,

wo sie alle echten Passwörter

für 25 000 CMU-Studenten,
-Dozenten und -Mitarbeiter

in einen gesicherten Rechner
in einem gesicherten Raum eingaben,

ohne Verbindung zum Internet,

und sie führten eine Code aus,
den wir schrieben,

um diese Passwörter zu analysieren.

Sie prüften unseren Code.

Sie führten den Code aus.

Wir sahen also tatsächlich
von niemandem das Passwort.

Wir erhielten interessante Ergebnisse,

und alle Tepper-Studenten
in den hinteren Reihen

wird das sehr interessieren.

Wir stellten fest, dass die von
Angestellten der Informatik-Fakultät

erstellten Passwörter
1,8-mal stärker waren,

als die der Angestellten
der Fakultät für Wirtschaft.

Wir haben auch noch einige andere
interessante demografische Informationen.

Es war interessant zu sehen,

dass, als wir die
Carnegie-Mellon-Passwörter

mit denen von Mechanical Turk
generierten Passwörtern verglichen,

es viele Parallelen gab.

Dies half dabei, unsere
Forschungsmethode zu bestätigen

und zu zeigen, dass
Sammeln von Passwörtern

mit den Mechanical-Turk-Studien

eine gültige Weise war,
Passwörter zu untersuchen.

Das sind also gute Neuigkeiten.

Zum Schluss möchte ich noch
über ein paar Erkenntnisse sprechen,

die ich während
des Sabbatical letztes Jahr

an der Carnegie Mellon-
Kunsthochschule gewann.

Ich machte unter anderem
eine Anzahl von Quilts,

und ich machte diesen Quilt hier.

Er nennt sich "Sicherheitspolster".

(Gelächter)

Dieser Quilt zeigt die 1000
gängigsten gestohlenen Passwörter

von der RockYou-Website.

Die Größe eines Passworts ist proportional
zur Häufigkeit seines Auftretens

im gestohlenen Datensatz.

Ich schuf diese Wortwolke,

ich ging alle 1000 Wörter durch

und teilte sie in lose
thematische Kategorien ein.

Und manchmal war es
ziemlich schwierig herauszufinden,

in welcher Kategorie sie sein sollten,
und kodierte sie nach Farbe.

Hier sind ein paar Beispiele
für die Schwierigkeit.

Etwa "Justin".

Ist das der Name des Nutzers,
des Freundes, des Sohns?

Vielleicht sind sie nur eine Bieber-Fan.

Oder "Prinzessin".

Ist das eine Spitzname?

Oder sind sie Disney-Prinzessinnen-Fans?

Oder vielleicht ist
das der Name ihrer Katze.

"iloveyou" erscheint häufig
in vielen verschiedenen Sprachen.

Es gibt viel Liebe in diesen Passwörtern.

Wenn man genau hinsieht,
sieht man auch Alltägliches.

Aber für mich war es
wirklich interessant zu sehen,

dass in den Passwörtern
viel mehr Liebe als Hass steckt.

Es gibt auch viele Tiere.

"Affe" ist das häufigste Tier

und das am 14. beliebteste
Passwort überhaupt.

Das war sehr seltsam für mich,

und ich fragte mich:
"Warum sind Affen so beliebt?"

In unserer letzten Passwort-Studie

fragten wir immer,
wenn wir jemanden fanden,

der ein Passwort mit
dem Wort "Affe" anlegte,

warum sie Affe im Passwort hatten.

Und wir fanden heraus --

wir fanden bisher 17 Menschen,
die das Wort "Affe" nutzen --

dass ein Drittel von ihnen
ein Haustier namens "Affe" hätten,

oder einen Freund,
dessen Spitzname "Affe" war.

Und ein Drittel von ihnen sagte,

dass sie Affen einfach mögen
und Affen wirklich süß sind.

Dieser Affe ist wirklich süß.

Letztendlich scheint es so,

wenn wir Passwörter erstellen,

nehmen wir etwas wirklich Einfaches
zum Tippen, ein gängiges Muster,

oder Dinge, die uns an
das Wort Passwort erinnern,

oder an das Konto, für das wir
das Passwort erstellt haben,

oder so etwas.

Oder wir denken an Dinge,
die uns glücklich machen,

und wir nehmen ein Passwort,

basierend auf Dingen,
die uns glücklich machen.

Obwohl dadurch das Tippen und Erinnern
Ihres Passwort mehr Spaß macht,

erleichtert es auch sehr,
Ihr Passwort zu erraten.

Ich weiß, dass viele
der TEDTalks inspirierend sind

und einen an nette,
fröhliche Dinge denken lassen,

aber wenn Sie Passwort erstellen,
versuchen Sie an etwas anderes zu denken.

Danke.