Return to Video

あなたのpa$$w0rdのどこがいけないの？

  • 0:01 - 0:04
    私は カーネギーメロン大学の
    コンピュータ科学と工学の教授です
  • 0:04 - 0:08
    ユーザビリティの高いプライバシー保護とセキュリティの研究をしています
  • 0:08 - 0:11
    ですので 私の友人は コンピュータシステムでの
  • 0:11 - 0:13
    フラストレーションの例を教えてくれます
  • 0:13 - 0:17
    特に うまく機能していない
  • 0:17 - 0:21
    プライバシーとセキュリティーに関してです
  • 0:21 - 0:23
    パスワードの話題を良く耳にします
  • 0:23 - 0:26
    多くの人がパスワードの事にもどかしさを感じています
  • 0:26 - 0:28
    自分が覚えることの出来る
  • 0:28 - 0:31
    それでいて 誰も思いつかない
  • 0:31 - 0:32
    とても良いパスワードを
  • 0:32 - 0:35
    ひとつ考えるだけでも十分大変なのに
  • 0:35 - 0:37
    百の異なるシステムのアカウントを持ち
  • 0:37 - 0:39
    各システムごとに
  • 0:39 - 0:41
    異なるパスワードを
  • 0:41 - 0:44
    持たなければならないと
    どうでしょう？
  • 0:44 - 0:46
    大変ですよね
  • 0:46 - 0:48
    カーネギーメロン大学では かつて簡単に
  • 0:48 - 0:49
    パスワードを覚えれるようになっていました
  • 0:49 - 0:51
    パスワードを覚えれるようになっていました
  • 0:51 - 0:53
    2009年までの パスワードに必要な条件は
  • 0:53 - 0:56
    最低1文字を使った
  • 0:56 - 0:58
    パスワードを持つことでした
  • 0:58 - 1:01
    簡単でしょ　　
    でも大学はこれを変更し
  • 1:01 - 1:04
    2009年の終わりに
  • 1:04 - 1:06
    新しいポリシーになることを発表しました
  • 1:06 - 1:08
    新しいポリシーの条件は
  • 1:08 - 1:11
    パスワードが最低8文字であること
  • 1:11 - 1:12
    大文字 小文字 を含むこと
  • 1:12 - 1:14
    数字 記号を含むこと
  • 1:14 - 1:16
    同じ文字を3回以上使用しないこと
  • 1:16 - 1:19
    そして 辞書にある単語ではないことでした
  • 1:19 - 1:21
    さて この新しいポリシーが実施された時
  • 1:21 - 1:23
    私の同僚や友人 大勢の人々が
  • 1:23 - 1:25
    私の所にやってきて こう言いました
  • 1:25 - 1:27
    「これこそ本当に使えない
  • 1:27 - 1:28
    何故こんなことをするんだ
  • 1:28 - 1:29
    止められなかったのかい？」
  • 1:29 - 1:31
    そして 私は こう言いました
  • 1:31 - 1:32
    「あのね 尋ねてくれなかったの」
  • 1:32 - 1:36
    ただ 私は興味を持ったので
  • 1:36 - 1:38
    コンピュータシステムの担当の方に
  • 1:38 - 1:41
    なぜ この新しいポリシーを 導入することになったのか
  • 1:41 - 1:42
    聞きに行くことにしました
  • 1:42 - 1:44
    そして 彼らは
  • 1:44 - 1:46
    大学がコンソーシアムに入り
  • 1:46 - 1:49
    加盟条件のひとつが
  • 1:49 - 1:51
    新しい条件を満たす パスワードの強化
  • 1:51 - 1:53
    だったと教えてくれました
  • 1:53 - 1:56
    パスワードが大きなエントロピーを
  • 1:56 - 1:57
    有するという条件です
  • 1:57 - 1:59
    さて エントロピーとは 分かりにくい単語ですね
  • 1:59 - 2:02
    基本的に パスワードのセキュリティーの
    強さを測る単語です
  • 2:02 - 2:04
    ですが 問題は エントロピーを測る
  • 2:04 - 2:06
    標準規格が無いことです
  • 2:06 - 2:09
    米国標準技術局 (NIST) には
  • 2:09 - 2:10
    エントロピーを測定するための
  • 2:10 - 2:13
    経験則を使った
  • 2:13 - 2:14
    一連のガイドラインがあります
  • 2:14 - 2:17
    ですが それらは 具体的ではありません
  • 2:17 - 2:19
    ガイドラインが 経験側だけである理由は
  • 2:19 - 2:23
    彼らが パスワードの 十分な
    データを持っていないからです
  • 2:23 - 2:24
    彼らが パスワードの 十分な
    データを持っていないからです
  • 2:24 - 2:26
    実際 レポートには こう記されています
  • 2:26 - 2:29
    「残念ながら 特定の規則の下で選択された
  • 2:29 - 2:32
    パスワードのデータを多く持っておりません
  • 2:32 - 2:34
    NISTは ユーザーが実際選択した
  • 2:34 - 2:36
    パスワードのデータをより多く取得したいのですが
  • 2:36 - 2:39
    システム管理者は 当然の事ながら
  • 2:39 - 2:42
    他者にパスワードデータを公表するのに消極的です」
  • 2:42 - 2:45
    これが問題なのですが私たち研究グループは
  • 2:45 - 2:47
    それを良い機会と捉えました
  • 2:47 - 2:50
    「なるほど 質の良いパスワード データが
    必要とされている
  • 2:50 - 2:52
    おそらく 私達でデータを集めて
  • 2:52 - 2:55
    この分野の水準を高めることが出来るだろう」 と
  • 2:55 - 2:57
    そこで 私達が最初にしたことは
  • 2:57 - 2:58
    チョコレート バーを買ってきて
  • 2:58 - 2:59
    キャンパスを歩き回り
  • 2:59 - 3:02
    学生や教員たちと話をしたことでした
  • 3:02 - 3:04
    そして 彼らのパスワードに関する
  • 3:04 - 3:05
    情報を尋ねました
  • 3:05 - 3:08
    もちろん 「パスワードを教えて下さい」
    とは言いません
  • 3:08 - 3:11
    ただ パスワードについて質問したのです
  • 3:11 - 3:12
    どの位の長さか? 数字を含むか？
  • 3:12 - 3:13
    記号を含むか？
  • 3:13 - 3:15
    先週 新しいパスワードを
  • 3:15 - 3:18
    作らないといけないのを
    めんどくさいと思ったか？
  • 3:18 - 3:21
    こうして 学生 教員 職員 470人から
    結果を得ることができ
  • 3:21 - 3:22
    こうして 学生 教員 職員 470人から
    結果を得ることができ
  • 3:22 - 3:25
    新しいポリシーは 実際うっとうしく
    思われていること事を確認しました
  • 3:25 - 3:26
    新しいポリシーは 実際うっとうしく
    思われていること事を確認しました
  • 3:26 - 3:28
    しかし同時に 新しいパスワード規定を
  • 3:28 - 3:31
    より安全と感じたと
    言った人もいることが分かりました
  • 3:31 - 3:33
    多くの人が パスワードを
  • 3:33 - 3:36
    書き残すべきではないと理解していて
  • 3:36 - 3:38
    調査対象の13%の人だけが
    そうしていていました
  • 3:38 - 3:40
    しかしながら 不安なことに 80%の人が
  • 3:40 - 3:43
    パスワードを使い回していると答えたのです
  • 3:43 - 3:44
    実は こちらの方が パスワードを
  • 3:44 - 3:46
    書き残すより 危険なのです
  • 3:46 - 3:50
    なぜなら ハッカーの攻撃を受けやすく するからです
  • 3:50 - 3:53
    ですので もし どうしても 必要なのであれば
  • 3:53 - 3:55
    書き残してください 使い回さないでください
  • 3:55 - 3:57
    私達は また面白い事を発見しました
  • 3:57 - 4:00
    それは パスワードで使われる記号についてです
  • 4:00 - 4:02
    CMUでは 32種類の記号が使用可能ですが
  • 4:02 - 4:05
    ご覧の通り ほとんどの人が
  • 4:05 - 4:07
    ごく限られた記号を使用しています
  • 4:07 - 4:10
    ですので 実際は シンボルを使用することでの
  • 4:10 - 4:12
    パスワードの強化は あまり得られません
  • 4:12 - 4:15
    これは本当に興味深い調査でした
  • 4:15 - 4:17
    私達は 470人のデータを得たわけですが
  • 4:17 - 4:18
    世の中全体から見ると
  • 4:18 - 4:21
    そんなに多くのデータではありません
  • 4:21 - 4:22
    ですので どこで追加の
  • 4:22 - 4:25
    パスワードデータを見つける事が出来るか
    探し始めました
  • 4:25 - 4:27
    そして 世の中には
  • 4:27 - 4:29
    パスワードを盗む人達が大勢いて
  • 4:29 - 4:32
    彼らは 盗んだパスワードをよくインターネット上に
  • 4:32 - 4:33
    公開している事が分かりました
  • 4:33 - 4:35
    そこから 私たちは
  • 4:35 - 4:39
    盗まれたパスワードにアクセスすることが出来ました
  • 4:39 - 4:41
    ただ これらは研究には 理想的ではありません
  • 4:41 - 4:43
    なぜなら これらのパスワードが
  • 4:43 - 4:45
    どこから来たのか
  • 4:45 - 4:48
    また どの様なポリシーの下に
  • 4:48 - 4:50
    作られたのか 分からないからです
  • 4:50 - 4:53
    ですので 私達はもっと出所のはっきりした
    データが欲しかったのです
  • 4:53 - 4:55
    そこで 私達が出来るのは
  • 4:55 - 4:57
    研究用に 人々にパスワードを作ってもらうことでした
  • 4:57 - 5:00
    研究用に 人々にパスワードを作ってもらうことでした
  • 5:00 - 5:03
    そこで アマゾン メカニカル タークという
    サービスを使いました
  • 5:03 - 5:05
    これは 一分から数分 一時間 単位で
  • 5:05 - 5:08
    出来る小さな仕事を投稿し
  • 5:08 - 5:09
    1￠10￠ 数$ を支払い
  • 5:09 - 5:12
    タスクを実行してもらう
  • 5:12 - 5:13
    サービスです
  • 5:13 - 5:15
    報酬は アマゾンを経由して支払います
  • 5:15 - 5:18
    私達は ルールに従ったパスワードを作って
  • 5:18 - 5:20
    調査に答えてもらうのに
  • 5:20 - 5:22
    50￠ほど支払いました
  • 5:22 - 5:24
    そして またお金を払って2日後戻ってきてもらい
  • 5:24 - 5:26
    作ったパスワードでログインし
  • 5:26 - 5:29
    他の調査に答えてもらいました
  • 5:29 - 5:33
    これで 5千個のパスワードを集めました
  • 5:33 - 5:36
    また いくつかの異なるポリシーの下で
  • 5:36 - 5:37
    パスワードを作って貰いました
  • 5:37 - 5:39
    人によっては ベーシック8 と呼ばれる
  • 5:39 - 5:41
    とてもやさしいポリシーで
  • 5:41 - 5:43
    最低8文字のパスワードを作ることが
  • 5:43 - 5:47
    ルールというものでした
  • 5:47 - 5:49
    ある人は とても難解なポリシーを与えられました
  • 5:49 - 5:51
    これは CMUのポリシーととても似ていて
  • 5:51 - 5:53
    最低8文字でなければならず
  • 5:53 - 5:56
    大文字 小文字 数字 そして記号を含み
  • 5:56 - 5:58
    辞書の検査に 通らなければなりません
  • 5:58 - 5:59
    非常に多くの調査の中
  • 5:59 - 6:01
    試みたポリシーを一つ上げると
  • 6:01 - 6:03
    ベーシック16と呼ばれるもので
  • 6:03 - 6:05
    満たさなければならない条件は
  • 6:05 - 6:09
    最低16文字であるというだけです
  • 6:09 - 6:11
    こうして 5千のパスワードを獲得し
  • 6:11 - 6:15
    はるかに詳細な情報を得ることができました
  • 6:15 - 6:17
    再び 私達は パスワードに
  • 6:17 - 6:19
    ほんの少しの種類の記号しか
  • 6:19 - 6:21
    使われていない事を知りました
  • 6:21 - 6:24
    また 私達は 作られたパスワードの
  • 6:24 - 6:26
    セキュリティーの高さを 知りたかったのですが
  • 6:26 - 6:29
    ご存知の通り パスワードの性能を測る
  • 6:29 - 6:31
    良い基準がありません
  • 6:31 - 6:33
    ですので ハッカーが使うクラッキングツールを使い
  • 6:33 - 6:35
    又は 研究資料から得られる情報 を使い
  • 6:35 - 6:37
    又は 研究資料から得られる情報 を使い
  • 6:37 - 6:39
    どの程度の時間で
  • 6:39 - 6:41
    パスワードを解読できるかを
  • 6:41 - 6:42
    測定の基準にすることにしました
  • 6:42 - 6:45
    さて ハッカーがどのようにパスワードを解読するか
  • 6:45 - 6:47
    少しお教えしましょう
  • 6:47 - 6:49
    彼らは 全てのパスワードが暗号化された
  • 6:49 - 6:51
    ハッシュと呼ばれる
  • 6:51 - 6:54
    パスワードファイルを盗み
  • 6:54 - 6:57
    パスワードを推測し それに対して
  • 6:57 - 6:58
    ハッシュ関数を実行し
  • 6:58 - 7:00
    その結果が
  • 7:00 - 7:02
    彼らが盗んだ
  • 7:02 - 7:06
    パスワード リストのハッシュと
    一致するか調べるのです
  • 7:06 - 7:09
    馬鹿なハッカーは 全てのパスワードを
    順番に試していきます
  • 7:09 - 7:13
    AAAAA から始まり AAAABを次に試すように
  • 7:13 - 7:15
    この作業は 実際誰かが使っていそうな
  • 7:15 - 7:17
    パスワードに辿り着くまでに
  • 7:17 - 7:19
    すごい時間を費やします
  • 7:19 - 7:22
    一方 賢いハッカーは
  • 7:22 - 7:23
    もっと賢い方法をとります
  • 7:23 - 7:25
    彼らは 盗んだパスワードの一覧から
  • 7:25 - 7:27
    よく使われているとされている
  • 7:27 - 7:28
    パスワードを調べます
  • 7:28 - 7:29
    最初にそれらを推測するのです
  • 7:29 - 7:32
    "password" を推測することから始め
  • 7:32 - 7:34
    "I love you" や "monkey"や
  • 7:34 - 7:37
    "12345678" などを推測するわけです
  • 7:37 - 7:38
    なぜなら 皆が使っている
  • 7:38 - 7:40
    可能性が高いパスワードがあるからです
  • 7:40 - 7:43
    実際に あなた方のうち何人かは
    これらのパスワードを使っているでしょう
  • 7:45 - 7:46
    さて ご説明したテストを
  • 7:46 - 7:50
    収集した5千のパスワードで実行して
  • 7:50 - 7:54
    セキュリティーの強度をチェックしたところ
  • 7:54 - 7:57
    長いパスワードは
  • 7:57 - 7:58
    実際 安全性が高いこと
  • 7:58 - 8:01
    そして 複雑なパスワードも
    安全性が高いことが分かりました
  • 8:01 - 8:04
    しかしながら 調査データを見ると
  • 8:04 - 8:07
    人々は複雑なパスワードに
  • 8:07 - 8:09
    苛立ちを感じていることがわかりました
  • 8:09 - 8:12
    そして 長いパスワードの方が より使いやすく
  • 8:12 - 8:13
    場合によっては
  • 8:13 - 8:16
    複雑なパスワードより 安全性が高い事がわかりました
  • 8:16 - 8:17
    これは パスワードに
  • 8:17 - 8:19
    記号や数字を入れたり
  • 8:19 - 8:20
    複雑な事をお願いするよりも
  • 8:20 - 8:23
    ただ 長いパスワードを作るように
  • 8:23 - 8:25
    お願いした方が良いかもしれないという事を
  • 8:25 - 8:28
    意味しています
  • 8:28 - 8:30
    ただ ここで問題があります
  • 8:30 - 8:32
    人によっては そんなに安全性の高くない
  • 8:32 - 8:33
    長いパスワードを使っていた事です
  • 8:33 - 8:35
    ハッカーが 簡単に推測できる
  • 8:35 - 8:37
    長いパスワードを作ることもできてしまうので
  • 8:37 - 8:39
    長いパスワードを作ることもできてしまうので
  • 8:39 - 8:42
    長いというだけではダメなのです
  • 8:42 - 8:44
    何か 追加の条件が必要なのです
  • 8:44 - 8:47
    現在 私達が継続している研究のひとつは
  • 8:47 - 8:49
    どのような追加条件を付け加えると
  • 8:49 - 8:52
    簡単に覚えられて タイプできる
  • 8:52 - 8:54
    安全性の高いパスワードを
  • 8:54 - 8:57
    作れるかです
  • 8:57 - 8:59
    安全性の高いパスワードを作る事のできる
  • 8:59 - 9:01
    他の手段として パスワードメーターがあります
  • 9:01 - 9:02
    ここにいくつかの例を上げます
  • 9:02 - 9:04
    パスワードを作成するとき
  • 9:04 - 9:07
    インターネットでこれらを
    見たことがあるかもしれません
  • 9:07 - 9:09
    私達は これらのパスワードメーターが
  • 9:09 - 9:12
    実際 機能しているか調査することにしました
  • 9:12 - 9:13
    メーターは安全性の高い
  • 9:13 - 9:15
    パスワードを作るのを助けているのか
  • 9:15 - 9:17
    そうであれば どのメーターが良いのか？
  • 9:17 - 9:19
    私達は色々なパスワードメーターをテストしました
  • 9:19 - 9:22
    異なる大きさ 形 色
  • 9:22 - 9:23
    メーターの横の言葉が違うもの
  • 9:23 - 9:26
    ウサギが踊る メーターさえも テストしました
  • 9:26 - 9:28
    良いパスワードであればあるほど
  • 9:28 - 9:30
    ウサギのダンスが早くなります
  • 9:30 - 9:33
    これは結構面白かったかったですよ
  • 9:33 - 9:34
    調査の結果
  • 9:34 - 9:38
    パスワードメータは
    機能しているという事が分かりました
  • 9:38 - 9:40
    （笑）
  • 9:40 - 9:43
    ほとんどのパスワードメーターは 有効です
  • 9:43 - 9:46
    ウサギが踊るメータも効果的でした
  • 9:46 - 9:49
    しかし 最も効果的なパスワードメーターは
  • 9:49 - 9:51
    メーターがOKをだすまで
  • 9:51 - 9:53
    パスワードを考える努力を強制するというものでした
  • 9:53 - 9:54
    パスワードを考える努力を強制するというものでした
  • 9:54 - 9:56
    今日インターネット上にある
  • 9:56 - 9:58
    パスワードメーターのほとんどは優しすぎるのです
  • 9:58 - 9:59
    パスワードメーターのほとんどは優しすぎるのです
  • 9:59 - 10:01
    メーターは OKを 早く出しすぎているので
  • 10:01 - 10:03
    OKサインを出す前に
  • 10:03 - 10:05
    もう少し待つように設定されていたら
  • 10:05 - 10:08
    より良いパスワードになっていたことでしょう
  • 10:08 - 10:12
    良いパスワードを作るもうひとつの方法は
  • 10:12 - 10:15
    パス’ワード’の変わりにパス’フレーズ’を使うことです
  • 10:15 - 10:18
    これは 2年前の xkcd の漫画です
  • 10:18 - 10:20
    この漫画家は
  • 10:20 - 10:22
    パスフレーズを使うことを推薦しています
  • 10:22 - 10:26
    そして2行目を見ていただくと
  • 10:26 - 10:27
    漫画家はこう言っています
  • 10:27 - 10:31
    「correct horse battery staple」 は
    （正解 馬 バッテリー ホッチキス）
  • 10:31 - 10:33
    とても安全性の高いパスフレーズで
  • 10:33 - 10:35
    そしてとても覚えやすいものだと
  • 10:35 - 10:38
    実際 あなたはすでに覚えたでしょう と
    彼は言っています
  • 10:38 - 10:40
    そこで 私達はこれが本当かどうか
  • 10:40 - 10:43
    研究することにしました
  • 10:43 - 10:45
    実際 私がパスワードの研究をしていると話した人 皆が
  • 10:45 - 10:47
    実際 私がパスワードの研究をしていると話した人 皆が
  • 10:47 - 10:48
    この漫画の事を指摘しました
  • 10:48 - 10:50
    「おー xkcdの漫画 見たことある?
  • 10:50 - 10:51
    正解 馬 バッテリー ホッチキス」
  • 10:51 - 10:53
    そこで 実際どうなのか 調査しました
  • 10:53 - 10:55
    そこで 実際どうなのか 調査しました
  • 10:55 - 10:58
    調査には 再びメカニカル タークを使い
  • 10:58 - 11:03
    コンピュータに パスフレーズのランダムな単語を
  • 11:03 - 11:04
    選択させました
  • 11:04 - 11:05
    こうした理由は
  • 11:05 - 11:06
    人間はランダムに単語を選ぶのが
  • 11:06 - 11:08
    苦手だからです
  • 11:08 - 11:09
    人に これをお願いすると
  • 11:09 - 11:12
    そんなにランダムではない単語を選んでしまうのです
  • 11:12 - 11:14
    私達はいくつか違う条件を試しました
  • 11:14 - 11:16
    ひとつは コンピュータに
  • 11:16 - 11:18
    辞書の中から良く使われる英単語を
  • 11:18 - 11:20
    選択させるようにしました
  • 11:20 - 11:21
    この様なフレーズです
  • 11:21 - 11:23
    "try there three come"
  • 11:23 - 11:25
    私達は これを見て こう言いました
  • 11:25 - 11:28
    「うむ これはあまり覚えやすそうにないな」 と
  • 11:28 - 11:30
    そこで 私達は スピーチの特定の部分の
  • 11:30 - 11:33
    単語を使うことを試みました
  • 11:33 - 11:35
    すなわち 名詞‐動詞‐形容詞‐名詞 というような
  • 11:35 - 11:38
    何か 文章のようなもので
  • 11:38 - 11:40
    以下の様なパスフレーズです
  • 11:40 - 11:41
    "plan builds sure power" や
  • 11:41 - 11:44
    "end determines red drug" です
  • 11:44 - 11:47
    これらは 覚えやすそうで
  • 11:47 - 11:49
    人々に もう少し 好まれそうに見えました
  • 11:49 - 11:52
    私達は これらをパスワードと比較したかったので
  • 11:52 - 11:55
    コンピュータに ランダムな
    パスワードを選択させました
  • 11:55 - 11:57
    これらは とても短いですが
  • 11:57 - 12:00
    ご覧の通り 覚えやすそうには見えません
  • 12:00 - 12:01
    次に 私達は 発音できるパスワード
  • 12:01 - 12:03
    というものを試すことにしました
  • 12:03 - 12:05
    コンピュータがランダムな音節を選択し
  • 12:05 - 12:06
    それを 発音可能になるように組み立てます
  • 12:06 - 12:09
    それを 発音可能になるように組み立てます
  • 12:09 - 12:11
    "tufritive" や　"vadasabi"ように
  • 12:11 - 12:14
    発音しやすいようなものにするのです
  • 12:14 - 12:16
    これらが コンピュータによって作られた
  • 12:16 - 12:19
    ランダムなパスワードです
  • 12:19 - 12:22
    この研究で発見したことは 驚いたことに
  • 12:22 - 12:25
    パスフレーズは
    そんなに良いものではないということでした
  • 12:25 - 12:28
    人々は ランダムなパスワードよりも パスフレーズを
  • 12:28 - 12:31
    覚えることに関して
    そんなに長けてはいなかったのです
  • 12:31 - 12:34
    なぜなら パスフレーズは長く
  • 12:34 - 12:35
    入力に時間が掛かるので
  • 12:35 - 12:38
    タイプする時に間違ってしまうからです
  • 12:38 - 12:41
    ですので パスフレーズの
    圧勝というわけにはいきませんでした
  • 12:41 - 12:45
    xkcd ファンの皆さん ごめんなさい
  • 12:45 - 12:46
    一方 私達は 発音可能なパスワードが
  • 12:46 - 12:48
    驚くほど 上手く機能していることが 分かったので
  • 12:48 - 12:50
    意外に 上手く機能していることが 分かったので
  • 12:50 - 12:52
    この方法を さらに機能的にすることが出来るか
  • 12:52 - 12:55
    もう少し研究をすることにしました
  • 12:55 - 12:57
    私達が行なった
    いくつかの研究の中での 問題のひとつは
  • 12:57 - 12:59
    私達が行なった
    いくつかの研究の中での 問題のひとつは
  • 12:59 - 13:01
    これら研究全てで メカニカル タークが使われていて
  • 13:01 - 13:02
    これら研究全てで メカニカル タークが使われていて
  • 13:02 - 13:04
    実際のパスワードではないことです
  • 13:04 - 13:06
    メカニカルタークで作ったものか
  • 13:06 - 13:09
    コンピュータが研究用に作った物なのです
  • 13:09 - 13:10
    私達は 一般の方々が実際
  • 13:10 - 13:12
    本当のパスワードで
  • 13:12 - 13:15
    同じような行動を取るか知りたいと思いました
  • 13:15 - 13:18
    そこで 私達は カーネギーメロンの
    情報セキュリティー オフィスに
  • 13:18 - 13:22
    学校 皆のパスワードを調査できないか尋ねました
  • 13:22 - 13:24
    予想通り 彼らは私達に見せることを
  • 13:24 - 13:25
    少し躊躇していましたが
  • 13:25 - 13:27
    何とか 彼らと共に あるシステムを
  • 13:27 - 13:28
    成立させました
  • 13:28 - 13:30
    大学の生徒 教員 職員
  • 13:30 - 13:33
    2万5千個のパスワードを 鍵をかけた部屋にある
  • 13:33 - 13:36
    ロックされたコンピュータに入れ
  • 13:36 - 13:37
    インターネットから遮断した上で
  • 13:37 - 13:39
    パスワードを解析する為に私達が書いた
  • 13:39 - 13:41
    コードを彼らに実行してもらいました
  • 13:41 - 13:43
    彼らは 私達のコードを検閲し
  • 13:43 - 13:44
    コードを実行しました
  • 13:44 - 13:46
    ですので 私達は実際に
  • 13:46 - 13:48
    誰のパスワードも見ていません
  • 13:48 - 13:50
    研究から 面白い結果を得ました
  • 13:50 - 13:52
    後ろにいる テッパーの学生には
  • 13:52 - 13:55
    とても興味深いものだと思います
  • 13:55 - 13:58
    コンピュータサイエンス学部に属している
  • 13:58 - 14:00
    学生が作ったパスワードは
  • 14:00 - 14:03
    経営学部の学生のものより
  • 14:03 - 14:07
    1.8倍安全性が高いことが分かりました
  • 14:07 - 14:09
    私達は また とても興味深い
  • 14:09 - 14:11
    人口学的情報も たくさん得ることができました
  • 14:11 - 14:13
    他に 発見した興味深いことは
  • 14:13 - 14:15
    メカニカルタークで作成されたパスワードと
  • 14:15 - 14:17
    カーネギーメロンのパスワードを比較したとき
  • 14:17 - 14:20
    それらはとても似ていたことです
  • 14:20 - 14:22
    これは 研究方法を実証する助けとなり
  • 14:22 - 14:24
    メカニカルタークを使ってパスワードを集める事は
  • 14:24 - 14:26
    研究に正当な方法である
  • 14:26 - 14:29
    ことを示していました
  • 14:29 - 14:31
    これは 良いニュースでした
  • 14:31 - 14:34
    さて 去年 私が大学の芸術学部で
  • 14:34 - 14:36
    研究休暇を取った時の事を
  • 14:36 - 14:39
    お話して終わりにしたいと思います
  • 14:39 - 14:40
    私がやった事のひとつは
  • 14:40 - 14:42
    たくさんのキルトを作った事です
  • 14:42 - 14:43
    ここにあるキルトも作りました
  • 14:43 - 14:45
    「セキュリティー ブランケット」といいます
  • 14:45 - 14:48
    (笑）
  • 14:48 - 14:51
    このキルトにはRockYou サイトから
  • 14:51 - 14:53
    盗まれたパスワードのうち最も頻度の高い
  • 14:53 - 14:56
    千個のパスワードが縫いこまれています
  • 14:56 - 14:58
    そして パスワードの大きさは
  • 14:58 - 15:00
    盗まれたデータセットの中に
  • 15:00 - 15:02
    現れる頻度に比例しています
  • 15:02 - 15:05
    私は これらの単語のワードクラウドを作り
  • 15:05 - 15:07
    千個全ての単語を見直し
  • 15:07 - 15:08
    大体のテーマ別のカテゴリーに 分類しました
  • 15:08 - 15:11
    大体のテーマ別のカテゴリーに 分類しました
  • 15:11 - 15:13
    時として
  • 15:13 - 15:15
    どのカテゴリーに属すか 判断するのが
  • 15:15 - 15:17
    難しい物もありました
  • 15:17 - 15:18
    そして 私は それらを色分けしました
  • 15:18 - 15:21
    これらが 難しかった例のいくつかです
  • 15:21 - 15:22
    例えば "justin"
  • 15:22 - 15:24
    これは ユーザーの名前でしょうか
  • 15:24 - 15:25
    彼氏 又は息子の名前でしょうか？
  • 15:25 - 15:28
    ジャスティン ビーバーのファンかもしれません
  • 15:28 - 15:30
    あるいは "princess"
  • 15:30 - 15:32
    ニックネームでしょうか？
  • 15:32 - 15:34
    ディズニー プリンセスのファンでしょうか？
  • 15:34 - 15:37
    ひょっとしたら 猫の名前かもしれません
  • 15:37 - 15:39
    「Iloveyou」 は 色々な言語で
  • 15:39 - 15:41
    よく見受けられました
  • 15:41 - 15:44
    パスワードには愛が込められているのです
  • 15:44 - 15:46
    注意深く見ていると みだらな言葉が
  • 15:46 - 15:48
    使われているのも見受けられます
  • 15:48 - 15:50
    でも 憎しみよりも はるかに多くの
  • 15:50 - 15:53
    愛の言葉が パスワードに使われていることは
  • 15:53 - 15:55
    とても興味深いことです
  • 15:55 - 15:56
    そして 動物
  • 15:56 - 15:58
    多くの動物の名前が使われています
  • 15:58 - 16:00
    「monkey」 (サル）は最もよく使われる動物で
  • 16:00 - 16:04
    全体の人気パスワードの中でも14位に入ります
  • 16:04 - 16:06
    私はこれをとても興味深く思い
  • 16:06 - 16:08
    「なぜ サルがこんなにも人気なのか？」
    と疑問に思いました
  • 16:08 - 16:12
    ですので 最後の研究に
  • 16:12 - 16:13
    "monkey" と
  • 16:13 - 16:16
    パスワードに入れた人を探し
  • 16:16 - 16:19
    なぜ サルをパスワードに入れたのか
    尋ねることにしました
  • 16:19 - 16:21
    そして分かったことは
  • 16:21 - 16:23
    －今のところ 「サル」の単語を使ったと思われる
  • 16:23 - 16:24
    人を17人を見つけました－
  • 16:24 - 16:26
    約1/3の人はペットに“サル"と名付けた
  • 16:26 - 16:28
    約1/3の人はペットに“サル"と名付けた
  • 16:28 - 16:30
    又は　“サル"　というあだ名の友達がいる
    ということでした
  • 16:30 - 16:32
    そして 他の約1/3は
  • 16:32 - 16:33
    サルが好きで 可愛いいと
  • 16:33 - 16:35
    思っている言っていました
  • 16:35 - 16:39
    彼は 本当に可愛いですね
  • 16:39 - 16:42
    結局のところ
  • 16:42 - 16:44
    私達はパスワードを作るとき
  • 16:44 - 16:46
    入力するのがとても簡単なもの
  • 16:46 - 16:49
    ありがちなパターン
  • 16:49 - 16:51
    "password"という単語や
  • 16:51 - 16:55
    あるいはアカウント名を連想するもの
  • 16:55 - 16:57
    など脆弱なものを選んでしまうのです
  • 16:57 - 17:00
    もしくは 私達を幸せにしてくれるものを思い浮かべ
  • 17:00 - 17:01
    それをもとに
  • 17:01 - 17:04
    パスワードを作ります
  • 17:04 - 17:06
    こういったパスワードは
  • 17:06 - 17:09
    覚えやすくて入力するのも楽しいのですが
  • 17:09 - 17:11
    同時に簡単に破られてしまいます
  • 17:11 - 17:13
    同時に簡単に破られてしまいます
  • 17:13 - 17:14
    ですので TED Talksの多くは
  • 17:14 - 17:16
    とても感動的で 私達に 素敵で
  • 17:16 - 17:18
    幸せな事を考えさせてくれますが
  • 17:18 - 17:20
    パスワードを作るときは
  • 17:20 - 17:22
    他の事を考えて作るようにしてください
  • 17:22 - 17:23
    ありがとうございました
  • 17:23 - 17:24
    （拍手）
Title:
あなたのpa$$w0rdのどこがいけないの？
Speaker:
ローリー・フェイス・クレイナー
Description:

ローリー・フェイス・クレイナーは、ユーザー（そしてセキュリティーで保護されたウェブサイト） がよく犯してしまう、セキュリティを低下させる意外な誤ちを解明するため 、数千もの実際のパスワードを調査しました。彼女はどのようにして実ユーザーのセキュリティを危険にさらすことなく、実際のパスワードを調査することができたのでしょうか？ それ自体面白い話です。もしあなたのパスワードが 123456 であるなら、これは特に知る価値のある秘密の情報でしょう・・・。
more » « less
Video Language:
English
Team:
closed TED
Project:
TEDTalks
Duration:
17:41

  • Shuichi Sakai

    Google Spreadsheetで共有した変更の他に、長すぎるものは改行を入れて2行にしましたのでご了承ください。

Japanese subtitles

Revisions Compare revisions

Our website uses cookies for analysis purposes.