Cos'è che non va con la vostra pa$$w0rd?

Lorrie Faith Cranor ha studiato migliaia di password reali per comprendere gli errori sorprendenti e molto comuni che gli utenti, e i siti protetti, commettono, compromettendo la sicurezza. Potreste chiedervi come abbia fatto a studiare migliaia di password reali senza compromettere la sicurezza degli utenti. Questa è già una storia di per sé. Sono dati segreti che vale la pena di conoscere, soprattutto se la vostra password è 123456...

Sono una professoressa di scienza
e ingegneria informatica

qui al Carnegie Mellon

e la mia ricerca si concentra
sull'accessibilità di privacy e sicurezza.

Così ai miei amici piace
farmi degli esempi

delle loro frustrazioni
con i sistemi informatici,

in particolare di quelle frustrazioni
che hanno a che fare

con l'inaccessibilità
di privacy e sicurezza.

Quindi le password sono qualcosa
di cui sento molto parlare.

Molte persone sono frustrate
dalle password,

ed è già abbastanza difficile

quando devi avere una password
davvero buona

che puoi ricordare

ma che nessun altro sarà
in grado di indovinare.

Ma che cosa fare
quando si hanno account

su centinaia di sistemi diversi

e si dovrebbe avere una password diversa

per ognuno di questi sistemi?

È dura.

Al Carnegie Mellon,
era molto facile per noi

ricordare le nostre password.

Il requisito per le password
fino al 2009

era che dovevi avere una password

con almeno un carattere.

Piuttosto semplice.
Ma poi le cose sono cambiate,

e alla fine del 2009
hanno annunciato

che avremmo avuto una nuova politica,

e questa nuova politica richiedeva

che le password avessero
almeno otto caratteri,

con una lettera maiuscola,
una minuscola,

una cifra, un simbolo,

non si poteva usare lo stesso carattere
più di tre volte,

e la parola non poteva trovarsi
in un dizionario.

Quando introdussero
questa nuova politica,

molte persone, colleghi e amici,

vennero da me e mi dissero:
"Wow,

adesso sì che è inutilizzabile!

Perché ci fanno questo,

e perché non glielo hai impedito?"

E io risposi: "Be', sapete una cosa?

Io non sono stata interpellata."

Ma mi incuriosii, e decisi
di andare a parlare

con i responsabili dei sistemi informatici

per scoprire che cosa li avesse spinti
a introdurre

questa nuova politica.

Dissero che l'università

aveva aderito a un consorzio
di università,

e uno dei requisiti per farne parte

era che dovevamo avere password
più efficaci

che rispondessero a dei nuovi requisiti,

e questi requisiti prevedevano
che le nostre password

dovessero avere molta entropia.

Ora, "entropia" è un termine complicato,

ma in pratica misura la forza
delle password.

Il fatto è che in realtà non c'è

una misura standard dell'entropia.

Il National Institute
of Standards and Technology

ha stabilito una serie di linee guida

che danno indicazioni generali

per misurare l'entropia,

ma non contengono niente
di troppo specifico,

e il motivo per cui hanno solo
indicazioni generiche

è che a quanto pare
non dispongono di dati attendibili

sulle password.

In effetti, il loro resoconto recita:

"Purtroppo, non abbiamo
a disposizione molti dati

sulle password scelte dagli utenti
secondo regole particolari.

Il NIST vorrebbe ottenere più dati

sulle password effettivamente scelte
dagli utenti,

ma gli amministratori dei sistemi
sono comprensibilmente restii

a rivelare le password a terzi."

Questo è un problema,
ma il nostro gruppo di ricerca

lo ha considerato come un'opportunità.

Ci siamo detti: "Beh, c'è bisogno
di dati validi per le password.

Forse possiamo raccogliere
dei dati attendibili

e fare davvero dei progressi".

La prima cosa che abbiamo fatto è stata

prendere una borsa piena
di barrette di cioccolata,

passeggiare per il campus

e parlare con gli studenti,
il corpo docenti e lo staff,

e chiedere loro informazioni

sulle loro password.

Non abbiamo detto loro:
"Dateci le vostre password".

No, gli facevamo solamente
delle domande sulle loro password.

Quanto è lunga? Contiene una cifra?

Contiene un simbolo?

E ti ha dato fastidio doverne creare

una nuova la settimana scorsa?

Abbiamo raccolto risultati
da 470 studenti,

insegnanti e staff,

e ci è stato confermato
che la nuova politica

era davvero molto fastidiosa,

ma abbiamo anche scoperto
che le persone dicevano

di sentirsi più sicure
con queste nuove password.

Abbiamo scoperto
che la maggioranza sapeva

che le password
non si dovrebbero annotare,

e solo il 13 per cento lo aveva fatto,

ma, preoccupantemente,
l'80 per cento delle persone

ha dichiarato che stava riutilizzando
la propria password precedente.

Questo è di fatto molto più pericoloso

che annotare la propria password,

perché vi rende molto più
soggetti agli attacchi.

Perciò, se proprio dovete,
annotatevi la password,

ma non riutilizzatela.

Abbiamo anche scoperto
cose interessanti

sui simboli usati
dalle persone nelle password.

La CMU consente 32 simboli possibili,

ma come potete vedere,
c'è solo un piccolo numero

che viene usato dalla maggioranza
delle persone,

perciò non stiamo ottenendo
molta forza

dai simboli nelle nostre password.

È stato uno studio davvero interessante,

e ora abbiamo dati da 470 persone

ma, data la situazione,

non sono poi così tante le informazioni
raccolte sulle password

e quindi ci siamo guardati intorno

per vedere dove si potessero trovare
altri dati sulle password.

Succede che ci sono un sacco di persone

che se ne vanno in giro
a rubare le password

e spesso pubblicano queste password

su Internet.

Perciò siamo stati in grado
di accedere

ad alcuni set di password rubate.

Tuttavia non è ancora la cosa ideale
per una ricerca,

perché non è del tutto chiaro

da dove provengano
tutte queste password,

o quali politiche fossero
effettivamente in vigore

quando le persone avevano creato
quelle password.

Quindi volevamo trovare fonti
di informazioni migliori.

Così abbiamo deciso
che una possibilità

era fare uno studio e far sì
che alcune persone

creassero delle password
appositamente per il nostro studio.

Abbiamo usato un servizio chiamato
Amazon Mechanical Turk,

un servizio dove si può pubblicare

un lavoretto online che impiega un minuto,

qualche minuto, un'ora,

e pagare le persone un penny,
dieci centesimi, qualche dollaro

affinché svolgano un lavoro per voi,

e poi pagate il servizio
con Amazon.com.

Abbiamo pagato 50 centesimi a persona

perché creassero password
seguendo le nostre regole

e rispondendo a un sondaggio,

e poi li abbiamo pagati ancora
perché ritornassero

due giorni dopo ed effettuassero il login,

utilizzando le proprie password,
e rispondessero a un altro sondaggio.

L'abbiamo fatto, e abbiamo raccolto
5000 password.

Abbiamo dato ai partecipanti
diverse direttive

con cui creare le password.

Alcune persone avevano regole
molto semplici,

che noi chiamiamo Basic8,

e qui l'unica regola
era che la password

avesse almeno otto caratteri.

Poi altre persone avevano
una politica più difficile,

piuttosto simile a quella della CMU,

cioè una password
con otto caratteri

comprese una lettera maiuscola,
una minuscola, una cifra, un simbolo,

e controllo sul dizionario.

E una delle altre politiche
che abbiamo provato,

e ce ne sono state molte,

una di quelle che abbiamo testato
si chiamava Basic16,

e l'unico requisito

era che la password dovesse avere
come minimo 16 caratteri.

Ok, avevamo 5000 password,

e avevamo informazioni
molto più dettagliate.

Ancora, vediamo che c'è solo
un numero ridotto

di simboli che vengono davvero
usati dalle persone

nelle loro password.

Volevamo anche farci un'idea
di quanto forti

fossero le password
che creava la gente

ma, come forse ricorderete, non esiste
un buon parametro

per misurare la forza di una password.

Perciò abbiamo deciso di vedere

quanto ci voleva per scoprire
queste password

usando i migliori
strumenti di violazione

che usano i cattivi
nel mondo informatico,

o di cui potevamo trovare informazioni

nei libri di ricerca.

Per darvi un'idea di come
facciano i cattivi

a violare le password:

rubano un file

che contiene tutte le password

in una forma confusa,
chiamata "hash",

e quello che fanno è indovinare

quale sia la password,

fare girare una funzione di hashing,

e verificare se corrisponde o meno

alle password elencate
nella loro lista di password rubate.

Un hacker stupido proverà
tutte le password in ordine.

Inizierà con AAAA
e proseguirà con AAAAB,

e questo richiede molto tempo

prima di trovare qualche password

che è probabile venga
realmente usata dagli utenti.

Gli hacker intelligenti, invece,

agiscono in modo molto più intelligente.

Guardano le password

che sono popolari

tra i set di password rubate,

e provano quelle per prime.

Inizieranno tirando a indovinare:
"password",

e poi "ti amo",
e "scimmia"

e "12345678",

perché sono queste le password

più ricorrenti.

In effetti, è probabile
che alcuni di voi le usi.

Quello che abbiamo scoperto

testando tutte le 5000 password
da noi raccolte

attraverso questi test
per vedere quanto fossero forti

è stato che le password più lunghe

erano piuttosto forti in realtà,

così come le password complesse.

Tuttavia, quando abbiamo analizzato
i dati dei sondaggi,

abbiamo visto che le persone
erano davvero frustrate

dalle password molto complesse,

e le password lunghe
erano molto più utilizzabili,

e in alcuni casi, erano

persino più forti
delle password complesse.

Questo perciò suggerisce che,

invece di dire alle persone
che devono

mettere tutti questi simboli e numeri

e altre cose da matti nelle loro passwrod,

sarebbe meglio dire loro

di creare password lunghe.

Ora, però ecco il problema:

alcune persone avevano password lunghe

che in realtà non erano molto forti.

Potete creare password lunghe

che però potrebbero comunque
essere scoperte

facilmente da un hacker.

Quindi non abbiamo solo bisogno
di password più lunghe.

Ci devono essere dei requisiti
in più,

e parte della nostra ricerca attuale
sta considerando

quali requisiti
dovremmo aggiungere

per creare password più forti

che siano anche facili

da ricordare e da digitare.

Un altro approccio per far sì
che le persone abbiano

password più forti è usare un misuratore
di robustezza della password.

Ecco alcuni esempi.

Forse li avete visti online

creando delle password.

Abbiamo deciso di condurre
uno studio per scoprire

se i misuratori di password funzionano
davvero oppure no.

Aiutano davvero le persone

ad avere password più forti,

e se sì, quali sono i migliori?

Perciò abbiamo testato
dei misuratori di password

diversi per dimensioni, forma, colore,

diversi per le parole vicine a loro,

e ne abbiamo anche testato uno
che era un coniglietto ballerino.

Quando si scrive una password buona,

il coniglietto balla
sempre più velocemente.

È piuttosto divertente.

Abbiamo scoperto che

i misuratori di password
funzionano davvero.

(Risate)

Gran parte dei misuratori di password
era davvero efficace,

così come il coniglietto di prima,

ma i misuratori di password
più efficaci in assoluto

erano quelli che ci facevano faticare

prima di darci l'ok e dirci

che stavamo facendo un buon lavoro,

e in effetti abbiamo scoperto
che la maggior parte

dei password meter online oggi

è troppo indulgente.

Vi dicono che state andando bene
troppo presto,

e se aspettassero solo un po' di più

prima di darvi un riscontro positivo,

probabilmente voi avreste
password migliori.

Un altro approccio per migliorare
le password, forse,

è usare le passphrase
al posto delle password.

Questo è una vignetta xkcd
di un paio di anni fa,

e il disegnatore consiglia a tutti

di usare le passphrase,

e se guardate nella seconda fila
di questa vignetta,

vedrete che il disegnatore consiglia

la pass phrase:
"correct horse battery staple",

che sarebbe una chiave di accesso
molto forte

e molto facile da ricordare.

Dice, in effetti, che
ce la ricordiamo già.

E così abbiamo deciso di fare uno studio

per scoprire se era vero o no.

In realtà, tutte le persone con cui parlo

e a cui menziono la mia ricerca
sulle password,

mi parlano di questa vignetta.

"Oh, l'hai vista? L'xkcd.

'correct horse battery staple'".

Abbiamo fatto questa ricerca per vedere

che cosa sarebbe successo nella realtà.

Nel nostro studio abbiamo usato
ancora Mechanical Turk,

e abbiamo fatto scegliere
al computer le parole a caso

nella chiave di accesso.

Il motivo per cui l'abbiamo fatto

è che gli esseri umani
non sono molto bravi

a scegliere le parole a caso.

Se avessimo chiesto alle persone di farlo,

non avrebbero scelto casualmente.

Perciò abbiamo provato
diverse condizioni.

In una condizione, il computer sceglieva

da un dizionario delle parole più comuni

della lingua inglese,

così si ottenevano chiavi come:

"prova là albero venire".

L'abbiamo guardata,
e ci siamo detti:

"Beh, non sembra poi così tanto
facile da tenere a mente".

Poi abbiamo provato a scegliere

parti del discorso specifiche

come ad esempio
sostantivo-verbo-aggettivo-sostantivo.

Questa combinazione può anche
risultare in una specie di frase.

Quindi si possono ottenere chiavi
di accesso come

"piano costruisce sicuro potere"

o "fine determina farmaco rosso".

E queste ci sembravano
un po' più facili da ricordare,

e forse alla gente piacerebbero
anche di più.

Volevamo confrontarle
con le password,

e così abbiamo fatto scegliere
password a caso ai computer,

e queste erano belle e corte
ma, come potete vedere,

non sono molto facili da ricordare.

E poi abbiamo deciso di provare
le cosidette

password pronunciabili.

Il computer in questo caso
sceglie sillabe a caso

e le assembla

in modo da ottenere frasi
più o meno pronunciabili,

come "tufritvi" e "vadasabi".

Quest'ultima è una specie
di scioglilingua.

Queste sono alcune password casuali

generate dal nostro computer.

Ciò che abbiamo scoperto in questo studio
è che, sorprendentemente,

le passphrase non erano poi così valide.

Le persone non se le ricordavano meglio

in confronto a queste password
create a caso,

e dato che le passphrase sono più lunghe,

ci voleva più tempo per scriverle

e le persone facevano
più errori scrivendole.

Quindi le passphrase
non hanno proprio la meglio.

Ci dispiace, fan dell'xkcd.

D'altro canto, abbiamo scoperto

che le password pronunciabili

funzionavano sorprendentemente bene,

e così stiamo facendo ancora
qualche ricerca

per vedere se possiamo far funzionare
ancora meglio questo tipo di approccio.

Uno dei problemi

con alcuni degli studi
che abbiamo condotto

è che, siccome sono state fatte tutte

usando Mechanical Turk,

queste password non sono
quelle usate realmente dagli utenti.

Sono le password che hanno creato

o che il computer ha creato per loro
per il nostro studio.

E volevamo sapere se le persone

si sarebbero davvero comportate così

con le loro password reali.

Abbiamo parlato con l'ufficio per la
sicurezza delle informazioni

alla Carnegie Mellon

e abbiamo chiesto se potevamo avere
le password di tutti.

Ovviamente, erano un po' restii

a condividerle con noi,

ma noi siamo stati capaci di ideare

un sistema con loro

dove si mettono tutte le password vere

per 25 mila studenti,
corpo docenti e staff,

in un computer bloccato
in una stanza chiusa a chiave,

non connessa a internet,

e loro facevano passare il codice

sulle password che analizzavamo.

Verificavano il nostro codice.

Facevano passare il codice.

E perciò non abbiamo mai visto

la password di nessuno.

Abbiamo ottenuto risultati interessanti,

e per voi studenti
del corso Tepper lì in fondo

saranno molto interessanti.

Così abbiamo scoperto
che le password create

dalle persone che frequentano
la facoltà di informatica

sono 1,8 volte più forti

rispetto a quelle
degli studenti di economia.

Abbiamo anche molte altre informazioni

demografiche interessanti.

L'altra cosa interessante
che abbiamo scoperto

è che quando abbiamo paragonato
le password della Carnegie Mellon

a quelle generate dal Mechanical Turk,

in realtà c'erano molte somiglianze,

e questo ci ha aiutato a convalidare
il nostro metodo di ricerca

e mostrare che, in realtà,
raccogliere le password

usando questi studi di Mechanical Turk

è davvero un modo valido
per studiare le password.

È una buona notizia.

Ok, vorrei concludere parlando

di alcune cose che ho scoperto durante

lo scorso anno sabbatico alla facoltà
di arte alla Carnegie Mellon.

Una delle cose che ho fatto

è stata cucire parecchie trapunte,

e questa l'ho fatta io.

Si chiama "Coperta di Sicurezza".

(Risate)

Questa trapunta ha le mille password

più frequenti rubate

dal sito web RockYou.

E le dimensioni delle password
sono proporzionali

alla frequenza con cui appaiono

tra i dati rubati.

Quello che ho fatto è stato
creare questa nuvola di parole,

analizzare tutte le mille parole,

e classificarle

in categorie tematiche ampie.

E, in alcuni casi,

è stato difficile capire

in quale categoria rientrassero,

e poi le ho codificate tramite dei colori.

Ecco alcuni esempi delle difficoltà
che ho riscontrato.

"justin".

È il nome dell'utente,

del suo ragazzo, di suo figlio?

Forse si tratta
di un fan di Justin Bieber.

O "principesssa".

È un soprannome?

L'utente è un fan
delle principesse Disney?

Oppure è il nome del suo gatto.

"Iloveyou" compare molte volte

in tante lingue diverse.

C'è molto amore in queste password.

Se guardate attentamente,
vedrete che c'è anche

del profano,

ma per me è stato davvero interessante

vedere che c'è molto più amore che odio

in queste password.

E c'erano anche gli animali,

molti animali,

e "scimmia" è l'animale più comune,

in generale la 14esima password
più comune.

Questo mi ha incuriosita,

e mi sono chiesta: "Perché le scimmie
sono così popolari?"

E così è nato il nostro ultimo studio
sulle password:

ogni volta che notavamo qualcuno

che creava una password contenente
la parola "scimmia",

gli abbiamo chiesto perché
l'avesse scelta.

E abbiamo scoperto che --

finora abbiamo trovato 17 persone

che hanno "scimmia"
nelle proprie password ‒-

abbiamo scoperto
che circa un terzo di loro

ha un animale domestico
che si chiama "scimmmia"

o hanno un amico il cui soprannome
è "scimmia",

e circa un terzo ha detto

che gli piacciono le scimmie

e che sono molto carine.

E quella è molto carina.

Perciò, alla fine dei conti, sembra che

quando creiamo delle password,

creiamo qualcosa di molto facile

da scrivere, un modello comune,

oppure pensiamo a cose
che ci ricordino la parola password,

l'account per cui
abbiamo creato la password,

o roba del genere.

Oppure ancora pensiamo
a cose che ci rendono felici,

e creiamo la nostra password

in base alle cose che ci rendono felici.

E mentre questo fa sì
che sia più divertente

scrivere e ricordarsi la propria password,

la rende anche più facile da indovinare.

So che molti discorsi TED

sono d'ispirazione

e che vi fanno pensare
a cose belle e felici,

ma quando create la vostra password

cercate di pensare a qualcos'altro.

Grazie.

(Applausi)