Što ne valja s vašom lo2!nk0m?

Lorrie Faith Cranor je proučavala tisuće pravih korisničkih lozinki kako bi otkrila iznenađujuće, česte greške koje korisnici i zaštićene stranice čine narušavajući sigurnost. A kako ih je proučavala, a da nije pritom narušila sigurnost niti jednog korisnika? To je prava priča. Tajni podaci koje je vrijedi znati, posebno ako je vaša lozinka 123456 ...

Ja sam profesorica računalne znanosti i
inženjerstva, ovdje, na Carnegie Mellonu.

Moje istraživanje se bavi primjenjivim
pravilima privatnosti i sigurnosti.

Prijatelji mi vole davati primjere

njihove frustriranosti
računalnim sustavima,

posebno kada frustriranost ima veze

s neprimjenjivim pravilima
privatnosti i sigurnosti.

Tako su lozinke česta tema.

Puno ljudi je frustrirano s lozinkama,

i dovoljno je zlo

imati jednu zbilja dobru lozinku

koju možeš zapamtiti,

a da je nitko neće pogoditi.

Ali što napraviti kada imaš
nekoliko korisničkih računa,

na stotinu različitih sustava

i trebao bi imati unikatnu lozinku

za svaki od tih sustava?

To je teško.

Na Carnegie Mellonu,

su nam olakšavali, zapravo

pamćenje naših lozinki.

Uvjet za prihvaćenu lozinku do 2009.

je bio da lozinka sadrži

barem jedan znak.

Jednostavno. Ali onda su
se pravila promijenila.

Krajem 2009. najavljena je

nova politika.

Ta nova politika je zahtijevala

lozinke duge minimalno osam znakova,

s velikim slovima, malim slovima

brojem, simbolom,

isti znak se ne smije
koristiti više od tri puta,

i riječ nije smjela biti iz rječnika.

Kada su implementirali tu novu politiku,

puno ljudi, mojih kolega i prijatelja,

me je pitalo:

"Ovo je zbilja neprimjenjivo.

Zašto nam to rade

i zašto ih ti nisi zaustavila?"

A ja sam rekla: "Znaš što?

Nisu me niti pitali."

Ali sam postala znatiželjna
i odlučila sam razgovarati

s ljudima zaduženim za računalne sustave

i otkriti što ih je navelo da uvedu

ovu novu politiku.

Rekli su mi da se sveučilište

pridružilo konzorciju sveučilišta,

a jedan od uvjeta za članstvo je

da članovi imaju jake lozinke.

Te lozinke su morale
odgovarati novim pravilima,

ta pravila su zahtijevala da naše lozinke

budu poprilično entropične.

Entropija je kompliciran termin,

ali u pravilu, mjeri jačinu lozinki.

Ali, stvar je u tome što ne postoji

standardna mjera entropije.

Nacionalni institut za
standarde i tehnologije

ima skup smjernica

koje sadrže nekoliko
odokativnih pravila

za mjerenje entropije,

ali nemaju nikakva specifična pravila.

Razlog za to je taj

što nemaju nikakvih pravih podataka

o lozinkama.

U njihovom izvještaju stoji:

"Nažalost, nemamo mnogo podataka

o lozinkama koje korisnici odabiru
pri određenim pravilima.

NIST bi želio prikupiti više podataka

o lozinkama koje korisnici odabiru,

ali sistemski administratori,
su razumljivo, nevoljni

otkriti podatke o lozinkama
trećim stranama."

Ovo je problem, ali naša
istraživačka skupina

je to vidjela kao mogućnost.

Rekli smo: "Postoji potreba
za dobrim podacima o lozinkama.

Možda mi možemo prikupiti te podatke.

I unaprijediti vrhunsku tehnologiju.

Prva stvar koju smo napravili je

da smo nabavili vreću čokoladica,

s kojim smo hodali po kampusu,

i razgovarali sa studentima,
profesorima i osobljem

i tražili ih informacije

o njihovim lozinkama.

Nismo ih tražili da
nam daju svoje lozinke.

Ne, mi smo ih samo pitali o njima.

Koliko su duge? Imaju li broj?

Imaju li simbol?

Smeta li vam što ste morali kreirati

novu prošli tjedan?

Dobili smo rezultate 470 studenata

profesora i osoblja,

i zaista se potvrdilo da
im je ova nova politika

jako zasmetala.

Također smo otkrili da

su se ljudi osjećali sigurnije
s novim lozinkama.

Otkrili smo da većina ljudi zna

da ne bi smjeli zapisivati lozinke,

i samo 13 posto njih to radi,

ali ono što je uznemirujuće 80 posto

njih koristi stare lozinke.

To je puno opasnije od

zapisivanja lozinke

jer vas čini podložnijim napadima.

Dakle, ako baš morate,
zapišite svoju lozinku,

ali, nemojte ponovno koristiti staru.

Otkrili smo i neke zanimljivih stvari

o simbolima koji se koriste.

CMU dopušta korištenje 32 moguća znaka,

ali kao što vidite, mali broj

njih se koristi.

Tako da lozinka ne dobiva puno

na snazi korištenjem simbola.

Ovo je bila jako zanimljiva studija,

i dobili smo podatke od 470 ispitanika,

ali generalno,

ne radi se o puno podataka.

Zato smo istraživali

gdje možemo pronaći još podataka.

Tako smo pronašli da postoji hrpa ljudi

koji kradu lozinke,

a onda ih često objavljuju

na Internetu.

Uspjeli smo pristupiti

nekima od tih ukradenih lozinki.

To nije baš idealna situacija
kada se radi o istraživanju

jer nije posve jasno

odakle potječu te lozinke

i pod kojim pravilima

su ih kreirali korisnici.

Zbog toga smo željeli
pronaći bolji izvor podataka.

Odlučili smo se je najbolji način

da napravimo studiju i zamolimo ljude

da kreiraju lozinke za našu studiju.

Koristili smo servis koji se zove
Amazon Mechanical Turk.

To je servis na kojem se objavljuju

jednostavni poslovi koji traju minutu,

nekoliko minuta ili sat,

i plaćaju peni, 10 centi
ili nekoliko dolara,

ljudima nakon što izvrše zadatak.

Plaćanje se odvija preko Amazona.

Mi smo ljudima plaćali oko 50 centi

za stvaranje lozinki pod
određenim pravilima

i sudjelovanje u anketi.

Ponovno smo im platili da se vrate

za dva dana i ulogiraju

koristeći lozinke i
odgovore na drugi upitnik.

Tako smo prikupili 5.000 lozinki

uz hrpu različitih politika i pravila

za stvaranje lozinki.

Neki ispitanicu su imali
jednostavna pravila,

nazvali smo ih Basic8,

gdje je jedino pravilo bilo da lozinka

ima najmanje osam znakova.

Drugi su morali poštovati
kompliciranije politike,

slične onima na CMU-u,

gdje je moralo biti osam znakova

uključujući velika i mala slova,
broj i simbol,

i proći provjeru rječnika.

Testirali smo još jednu politiku,

a bilo ih je puno više,

bila je Basic16,

s pravilom da

lozinka mora imati najmanje 16 znakova.

Dakle, skupili smo 5.000 lozinki,

imali smo detaljne informacije.

Ponovno smo uvidjeli da postoji mali

broj simbola koje korisnici koriste

u svojim lozinkama.

Isto tako, željeli smo dobiti ideju

koliko jake lozinke korisnici kreiraju.

Ali, ako se sjećate, ne postoji

pouzdana mjera jačine lozinke.

Zato smo odlučili otkriti

koliko vremena treba za
razbijanje lozinke,

koristeći najbolje
alate za razbijanje lozinki,

a koje koriste loši momci.

I one o kojima smo
mogli pronaći informacije

u literaturi.

Kako loši momci

razbijaju lozinke?

Oni kradu datoteke s lozinkama

koje sadrže sve lozinke

u šifriranom, haširanom obliku.

Tada pogađaju

koja je lozinka,

dešifriraju je pomoću hash funkcije

kako bi vidjeli poklapa li se

s lozinkama koje su prije ukradene.

Tako će glup napadač
probavati svaku lozinku po redu.

Početi će s AAAAA, pa nastavit s AAAAB,

i tako će proći puno vremena

prije nego uspije otkriti lozinku.

za koju je izgledno da ju ljudi koriste.

Pametan napadač,

je puno mudriji.

On provjerava nalaze li se

popularne lozinke

među ukradenim setovima lozinki.

Njih će prve pogađati.

Krenuti će s "password" (eng. lozinka),

nakon toga s "Volim te", "majmun"

i "12345678".

Jer su ovo lozinke koje

će koristiti najviše ljudi.

Zapravo, vjerojatno netko
od vas ih vjerojatno ima.

Što smo otkrili

testirajući tih 5000 lozinki
koje smo prikupili,

kako bismo otkrili koliko su jake,

jest to da su duge lozinke

poprilično jake,

isto kao i kompleksne.

Međutim, kada smo
proučavali podatke iz anketa,

otkrili smo frustriranost ljudi

kompleksnim lozinkama,

i duge lozinke su puno više primjenjive,

a u nekim slučajevima,

su i jače nego kompleksne.

Zaključak koji se nameće je da

umjesto zahtijevanja da

lozinke moraju sadržavati

sve te simbole, brojeve i lude stvari,

bolje bi bilo da zahtijevamo da

imaju duge lozinke.

Ali, u ovome je problem:

Neki ljudi su imali duge lozinke

koje zapravo i nisu baš jake.

Možeš kreirati dugu lozinku

koju će napadač svejedno

vrlo lako pogoditi.

Tako da trebamo puno više
od samo duge lozinke.

Moraju postojati još neki uvjeti

i istraživanje koje trenutno
provodimo promatra

koji su to dodatni uvjeti
koje moramo dodati

za jake lozinke,

koje će bit lako pamtljive

i koje će biti lako upisivati.

Jedan od pristupa je

korištenje lozinkomjera.

Evo nekih primjera.

Možda ste to vidjeli na Internetu

kada kreirate lozinke.

Istraživali smo

funkcioniraju li ti lozinkomjeri.

Pomažu li korisnicima

pri kreiranju jačih lozinki,

i ako da, koje su bolje?

Testirali smo te lozinkomjere

različitih veličina, oblika, boja

s različitim riječima,

čak smo i testirali onog koji
je u obliku zečića koji pleše.

Što je lozinka bolja

zeko pleše brže i brže.

Ovo je bilo zabavno.

Otkrili smo da

lozinkomjeri zbilja funkcioniraju.

(Smijeh)

Većina njih je zapravo vrlo učinkovita,

čak i zeko koji pleše je učinkovit,

ali oni koji su najučinkovitiji

su oni koji te natjeraju na razmišljanje

prije nego ti daju odobrenje

i pohvale te.

Saznali smo da je većina

lozinkomjera na Internetu danas

previše popustljiva.

Prerano će te pohvaliti,

a da pričekaju samo malo

s pozitivnom povratnom informacijom,

vjerojatno biste imali bolje lozinke.

Drugi pristup za kreiranje
boljih lozinki, je možda,

korištenje frazi umjesto lozinki.

Ovo je xkcd strip star nekoliko godina

gdje crtač predlaže

da bismo trebali
koristiti fraze kao lozinke,

i ako pogledate drugi red crteža,

vidjeti ćete crtačevu ideju

da bi fraza
"ispravan konj baterija spajalica"

bila vrlo jaka fraza-lozinka

i lako pamtljiva.

On kaže, zapravo,
da ste je već zapamtili.

Tako smo se odlučili za istraživanje

kako bismo otkrili je li to istina.

Zapravo, svi s kojima sam razgovarala,

a spomenula sam im istraživanje

su spomenuli taj strip.

"Vidjela si ga? Taj xkcd.

Ispravan konj baterija spajalica."

Proveli smo istraživanje

kako bismo vidjeli što bi se dogodilo.

Ponovno smo koristili Mechanical Turk,

a računalo je nasumice izabiralo riječi

za frazu-lozinku.

Razlog za to je taj

što ljudi nisu osobito dobri

u odabiru slučajnih i nasumičnih riječi.

Da smo ljude pitali da ih sami odaberu,

oni bi odabrali riječi koje
nisu nimalo nasumične.

Koristili smo nekoliko uvjetovanja.

U jednom je računalo odabiralo

iz rječnika vrlo čestih riječi

u engleskom jeziku,

pa smo dobili fraze-lozinke kao što je

"probati ondje tri dolaze".

Kada smo to vidjeli, pomislili smo

da se to ne čini baš jako pamtljivo.

Nakon toga smo odabirali riječi

koje dolaze iz specifičnih
dijelova govora,

i formu imenica-glagol-pridjev-imenica.

To je sada već izgledalo kao rečenica.

Fraze-lozinke su zvučale kao

"plan gradi sigurnu energiju"

ili "kraj određuje crveni lijek".

Ove su se činile više pamtljive,

možda će se ispitanicima više svidjeti.

Željeli smo ih usporediti s lozinkama,

imali smo računalo koje generira lozinke

koje, iako su bile kratke i drage,

nisu izgledale jako pamtljive.

Odlučili smo probati nešto što se zove

izgovorljiva lozinka.

Računalo odabire slučajne slogove

i slaže ih zajedno

tako da se dobije nešto
što je donekle izgovorljivo

kao "tufritvi" i "vadasabi".

Na tome se zbilja lomi jezik.

To su bile nasumične lozinke koje

je generiralo računalo.

Ono što smo otkrili bilo je iznenađujuće

fraze-lozinke nisu se iskazale.

Ispitanici nisu bolje pamtili

fraze-lozinke od onih nasumičnih lozinki.

A kako su bile i duže,

bilo je potrebno puno više
vremena za njihovo upisivanje

i ispitanici su radili više
greški dok su ih upisivali.

Tako da fraze-lozinke nisu pobijedile.

Žao mi je, xkcd fanovi.

S druge strane, otkrili smo

da su izgovorljive lozinke

funkcionirale jako dobro

tako da radimo još jedno istraživanje

kako bismo otkrili možemo
li tako riješiti bolje problem.

Jedan od problema

s tim istraživanjima je

taj što su rezultati dobiveni

pomoću Mechanical Turka,

odnosno, to nisu prave lozinke.

To su lozinke koje koje su
korisnici kreirali

ili je računalo generiralo
za potrebe istraživanja.

Mi smo željeli znati bi li se

ispitanici jednako ponašali

kada bi morali kreirati prave lozinke.

Zato smo razgovarali s Uredom
za informacijsku sigurnost na CMU-u

i pitali ih možemo li dobiti
prave lozinke korisnika.

Nije iznenađenje da nisu

željeli podijeliti ih s nama,

ali smo uspjeli smisliti

sustav s njima

u kojem su sve prave lozinke

25.000 studenata, profesora i osoblja,

pohranili u zaključano računalo,
u zaključanu sobu,

koja nije povezana na Internet,

i provukli kroz kod koji smo mi napisali

za analizu lozinki.

Oni su provjerili naš kod.

Oni su ubacili kod.

Tako da mi zapravo nismo vidjeli

ničiju lozinku.

Dobili smo zanimljive rezultate.

Studentima na Tepperu, koji sjede iza

će ovo biti jako zanimljivo.

Dakle, otkrili smo da su
lozinke koje su kreirali

studenti informatike

1,8 puta jače

od onih koje su kreirali
studenti ekonomije.

Također smo dobili puno zanimljivih

demografskih informacija.

Zanimljivo je otkriće da

kada smo usporedili lozinke sveučilišta

s onima s Mechanical Turka,

pronašli smo puno sličnosti.

To je potvrdilo naše istraživačke metode

i pokazalo da je prikupljanje lozinki

za istraživanje
koristeći Mechanical Turk

dobar način za proučavanje lozinki.

To su bile dobre vijesti.

U redu, željela bih zaključiti

s nekoliko stvari koje sam uvidjela
dok sam bila prošle godine

na slobodnoj godini na umjetničkom
odsjeku Carnegie Mellon-a.

Jedna od stvari koje sam napravila

je da sam napravila nekoliko popluna.

I ovaj ovdje.

Zove se "Sigurnosna dekica".

(Smijeh)

Taj poplun ima 1.000

lozinki koje se najčešće ukradu,

a nalaze se na stranici RockYou.

Veličina lozinke je proporcionalna

učestalosti njezina pojavljivanja

u setovima ukradenih lozinki.

Stvorila sam ovaj oblak riječi,

proučila svih tih 1.000 riječi,

i kategorizirala ih

u okvirne tematske kategorije.

U nekim slučajevima

je bilo teško odrediti

kojoj bi kategoriji trebali pripadati.

Isto tako sam im pridružila boju.

Ovo je nekoliko primjera onih teških.

Na primjer "justin".

Je li to ime korisnika,

korisnikova dečka ili sina?

Možda je korisnik
samo fan Justina Bibera.

Ili "princess".

Je li to nadimak?

Ili se radi o fanu princeza
iz Disneyjevih bajki.

Može biti i ime mačke.

"Volimte" se često pojavljuje

na različitim jezicima.

Puno je ljubavi u lozinkama.

Ako pažljivo promatrate,

vidjeti ćete i vulgarnosti.

Ali mi je zanimljivo vidjeti

da je puno više ljubavi nego mržnje

u lozinkama.

Također, tu su i životinje,

puno je životinja,

"majmun" je najčešća životinja

i 14. najpopularnija lozinka ukupno.

A to mi je bilo jako zanimljivo,

pitala sam se zašto su
majmuni toliko popularni.

Zato smo u zadnjem istraživanju,

svaki put kada bismo detektirali

kreiranje lozinke s riječi "majmun",

pitali ispitanika zašto njihova
lozinka ima majmuna u sebi.

i otkrili smo,

mislim da zasada imamo 17-tero njih,

s riječi "majmun" u lozinki.

Otkrili smo da trećina njih

ima ljubimca koji se zove "majmun",

ili prijatelja čiji je nadimak "majmun".

Trećina njih je rekla

da vole majmune

i da su im oni baš slatki.

Ovaj stvarno je sladak.

Tako, sve u svemu, čini se da

kada kreiramo lozinke,

mi ili smislimo nešto
što je vrlo jednostavno

za napisati, nekakav poznati uzorak,

ili nešto na što nas
podsjeća riječ lozinka,

ili račun za koji stvaramo lozinku.

ili kakogod.

Ili razmišljamo o stvarima
koje nas čine sretnima

pa kreiramo lozinke

bazirane na stvarima
koje nas čine sretnima.

Iako je time upisivanje

i prisjećanje lozinke, zabavnije,

također je i jednostavnije

tako pogoditi vašu lozinku.

Znam da je smisao TEDTalk-a

da vas inspiriraju

i da mislite o lijepim, stvarima
koje vas čine sretnim,

ali kada kreirate lozinku,

pokušajte razmišljati o nečemu drugome.

Hvala.

(Pljesak)