Return to Video

Wat is er mis met ons w@chtw00rd?

  • 0:01 - 0:04
    Ik ben professor in computerwetenschappen
    hier op Carnegie Mellon.
  • 0:04 - 0:08
    Mijn onderzoek richt zich op
    bruikbare privacy en beveiliging.
  • 0:08 - 0:11
    Mijn vrienden geven me graag voorbeelden
  • 0:11 - 0:13
    van hun frustraties met computersystemen.
  • 0:13 - 0:17
    Vooral frustraties die te maken hebben
  • 0:17 - 0:21
    met onbruikbare privacy en beveiliging.
  • 0:21 - 0:23
    Ik hoor dus veel over wachtwoorden.
  • 0:23 - 0:26
    Veel mensen zijn gefrustreerd
    door wachtwoorden.
  • 0:26 - 0:28
    Het is al erg genoeg
  • 0:28 - 0:31
    als je één goed wachtwoord moet hebben
  • 0:31 - 0:32
    dat je kunt onthouden,
  • 0:32 - 0:35
    maar dat niemand kan raden.
  • 0:35 - 0:37
    Maar wat moet je doen
    als je accounts hebt
  • 0:37 - 0:39
    voor honderden systemen
  • 0:39 - 0:41
    en je moet een uniek wachtwoord hebben
  • 0:41 - 0:44
    voor al die systemen?
  • 0:44 - 0:46
    Dat is lastig.
  • 0:46 - 0:48
    Op Carnegie Mellon maakten ze het
  • 0:48 - 0:49
    redelijk makkelijk voor ons
  • 0:49 - 0:51
    om onze wachtwoorden te onthouden.
  • 0:51 - 0:53
    De wachtwoordvereisten waren tot 2009
  • 0:53 - 0:56
    dat je gewoon een wachtwoord moest hebben
  • 0:56 - 0:58
    met minimaal 1 teken.
  • 0:58 - 1:01
    Nogal simpel.
    Maar toen veranderden ze dat.
  • 1:01 - 1:04
    Tegen het einde van 2009 verkondigden ze
  • 1:04 - 1:06
    dat we een nieuw beleid kregen.
  • 1:06 - 1:08
    Dit beleid eiste
  • 1:08 - 1:11
    dat wachtwoorden minimaal
    8 tekens moesten hebben,
  • 1:11 - 1:12
    met een hoofdletter, kleine letter,
  • 1:12 - 1:14
    een cijfer, een teken,
  • 1:14 - 1:16
    je mocht niet 3 dezelfde tekens hebben
  • 1:16 - 1:19
    en het mocht niet
    in het woordenboek staan.
  • 1:19 - 1:21
    Toen ze dat nieuwe beleid toepasten,
  • 1:21 - 1:24
    zeiden veel mensen, collega's
    en vrienden me:
  • 1:24 - 1:27
    "Poeh, dit is echt niet te doen.
  • 1:27 - 1:28
    Waarom doen ze ons dat aan
  • 1:28 - 1:29
    en waarom houd je ze niet tegen?"
  • 1:29 - 1:31
    Ik zei: "Weet je?
  • 1:31 - 1:32
    Ze hebben mij niets gevraagd."
  • 1:32 - 1:36
    Maar ik werd nieuwsgierig en ging praten
  • 1:36 - 1:38
    met onze systeembeheerders
  • 1:38 - 1:41
    en ontdekte waarom ze
  • 1:41 - 1:42
    dit beleid hadden bedacht.
  • 1:42 - 1:44
    Ze zeiden dat de universiteit
  • 1:44 - 1:46
    was gaan samenwerken
    met andere universiteiten
  • 1:46 - 1:49
    en dat een van de voorwaarden was
  • 1:49 - 1:51
    dat we veiligere wachtwoorden kregen
  • 1:51 - 1:53
    die voldeden aan nieuwe voorwaarden.
  • 1:53 - 1:56
    Die vereisten
    dat onze wachtwoorden
  • 1:56 - 1:57
    niet voorspelbaar mochten zijn.
  • 1:57 - 1:59
    Onvoorspelbaarheid
    is een ingewikkelde term.
  • 1:59 - 2:02
    Ze geeft de sterkte
    van het wachtwoord weer,
  • 2:02 - 2:06
    maar er is eigenlijk geen
    standaardmaat voor onvoorspelbaarheid.
  • 2:06 - 2:09
    Het National Institute
    of Standards and Technology
  • 2:09 - 2:10
    heeft een paar richtlijnen
  • 2:10 - 2:12
    met wat vuistregels
  • 2:12 - 2:14
    om onvoorspelbaarheid te meten,
  • 2:14 - 2:17
    maar ze hebben niets specifieks.
  • 2:17 - 2:19
    De reden dat ze alleen
    vuistregels hebben
  • 2:19 - 2:23
    is dat ze geen goede informatie hebben
  • 2:23 - 2:24
    over wachtwoorden.
  • 2:24 - 2:26
    Hun rapport zegt zelfs:
  • 2:26 - 2:29
    "Helaas hebben we niet veel gegevens
  • 2:29 - 2:32
    over welke wachtwoorden men kiest
    bij bepaalde regels.
  • 2:32 - 2:34
    NIST wil meer informatie hebben
  • 2:34 - 2:36
    over de wachtwoorden die men kiest,
  • 2:36 - 2:39
    maar systeembeheerders zijn
    natuurlijk terughoudend
  • 2:39 - 2:42
    om wachtwoordgegevens openbaar te maken."
  • 2:42 - 2:45
    Dat is dus een probleem,
    maar ons onderzoeksteam
  • 2:45 - 2:47
    vond dat een uitdaging.
  • 2:47 - 2:50
    We zeiden: "Er is behoefte aan
    goede wachtwoordgegevens.
  • 2:50 - 2:53
    We zouden ze kunnen verzamelen
  • 2:53 - 2:55
    en de kennis daarover verspreiden."
  • 2:55 - 2:58
    Eerst regelden we
    een grote zak snoeprepen,
  • 2:58 - 3:00
    en gingen over de campus wandelen
  • 3:00 - 3:02
    om studenten, professoren
    en medewerkers
  • 3:02 - 3:04
    naar informatie te vragen
  • 3:04 - 3:05
    over hun wachtwoorden.
  • 3:05 - 3:08
    We zeiden niet: "Geef me je wachtwoord."
  • 3:08 - 3:11
    We stelden vragen óver hun wachtwoord.
  • 3:11 - 3:14
    Hoe lang is het? Zit er een cijfer in?
    En een vreemd teken?
  • 3:14 - 3:15
    Was het vervelend
  • 3:15 - 3:18
    dat je er vorige week
    een nieuw moest aanmaken?
  • 3:18 - 3:22
    Zo kregen we gegevens over 470 studenten,
    professoren en medewerkers,
  • 3:22 - 3:26
    en zagen dat het nieuwe beleid
    inderdaad erg lastig was.
  • 3:26 - 3:28
    We vonden ook mensen
  • 3:28 - 3:31
    die het veiliger vonden
    met deze wachtwoorden.
  • 3:31 - 3:33
    Het bleek dat de meesten wisten
  • 3:33 - 3:36
    dat ze hun wachtwoord
    niet mochten noteren,
  • 3:36 - 3:38
    en slechts 13% deed dat.
  • 3:38 - 3:40
    80% zei echter
  • 3:40 - 3:43
    dat ze hun wachtwoord
    hergebruikten.
  • 3:43 - 3:44
    Dat is nog gevaarlijker
  • 3:44 - 3:46
    dan je wachtwoord opschrijven
  • 3:46 - 3:50
    omdat het gevoeliger is voor aanvallen.
  • 3:50 - 3:53
    Als het echt moet, schrijf het dan op
  • 3:53 - 3:55
    maar hergebruik het niet.
  • 3:55 - 3:57
    We vonden nog meer interessants
  • 3:57 - 3:59
    over de tekens die mensen gebruiken.
  • 4:00 - 4:02
    CMU staat 32 tekens toe,
  • 4:02 - 4:05
    maar je ziet dat de meesten
    er maar een paar gebruiken.
  • 4:07 - 4:09
    Dat maakt wachtwoorden
    niet veel sterker.
  • 4:12 - 4:15
    Dat was een interessant onderzoek.
  • 4:15 - 4:17
    We hadden nu gegevens over 470 mensen,
  • 4:17 - 4:21
    maar in verhouding was het niet veel.
  • 4:21 - 4:22
    We gingen kijken
  • 4:22 - 4:25
    of we nog meer wachtwoordgegevens
    konden vinden.
  • 4:25 - 4:27
    Het blijkt dat er veel mensen zijn
  • 4:27 - 4:29
    die wachtwoorden stelen
  • 4:29 - 4:33
    en ze dan op het internet zetten.
  • 4:33 - 4:35
    Zo kregen we toegang
  • 4:35 - 4:39
    tot een paar gestolen verzamelingen
    met wachtwoorden.
  • 4:39 - 4:41
    Dat is niet zo ideaal voor onderzoek
  • 4:41 - 4:43
    omdat niet helemaal duidelijk was
  • 4:43 - 4:45
    waar ze vandaan kwamen,
  • 4:45 - 4:48
    of welk beleid gold
  • 4:48 - 4:50
    toen men die wachtwoorden moest bedenken.
  • 4:50 - 4:53
    We wilden betere gegevensbronnen.
  • 4:53 - 4:55
    We wilden een onderzoek gaan doen
  • 4:55 - 4:58
    waarbij mensen
    wachtwoorden moesten bedenken
  • 4:58 - 5:00
    voor ons onderzoek.
  • 5:00 - 5:03
    We gebruikten een dienst
    die Amazon Mechanical Turk heet.
  • 5:03 - 5:07
    Daarmee kan je een kleine taak
    online zetten
  • 5:07 - 5:09
    die een paar minuten of een uur duurt,
  • 5:09 - 5:12
    en je betaalt een cent,
    tien cent, een paar dollar
  • 5:12 - 5:13
    om die taak te laten doen.
  • 5:13 - 5:15
    Je betaalt dan via Amazon.com.
  • 5:15 - 5:18
    We betaalden mensen ongeveer 50 cent
  • 5:18 - 5:20
    om een wachtwoord te bedenken
    volgens onze regels
  • 5:20 - 5:22
    en een enquête te doen.
  • 5:22 - 5:25
    We betaalden nogmaals
    als ze twee dagen later terugkwamen,
  • 5:25 - 5:28
    inlogden met hun wachtwoord
  • 5:28 - 5:29
    en nog een enquête invulden.
  • 5:29 - 5:33
    Zo verzamelden we 5.000 wachtwoorden,
  • 5:33 - 5:36
    met diverse wachtwoordvoorschriften.
  • 5:37 - 5:39
    Sommigen kregen een makkelijk beleid,
  • 5:39 - 5:41
    dat we Basic8 noemden.
  • 5:41 - 5:43
    De enige regel was dat je wachtwoord
  • 5:43 - 5:47
    minstens 8 tekens moest hebben.
  • 5:47 - 5:49
    Sommigen hadden een strenger beleid
  • 5:49 - 5:51
    dat erg lijkt op het beleid bij de CMU:
  • 5:51 - 5:53
    het moest 8 tekens hebben
  • 5:53 - 5:56
    met kleine en grote letters,
    cijfers en tekens
  • 5:56 - 5:58
    en voor de woordenboektest slagen.
  • 5:58 - 6:00
    We probeerden onder andere
  • 6:00 - 6:03
    het beleid Basic16.
  • 6:03 - 6:05
    Het enige voorschrift was
  • 6:05 - 6:09
    dat het minstens 16 tekens moest hebben.
  • 6:09 - 6:11
    Zo kregen we 5.000 wachtwoorden,
  • 6:11 - 6:13
    met veel nauwkeurigere gegevens.
  • 6:15 - 6:18
    We zien weer dat er maar een paar
    vreemde tekens werden gebruikt.
  • 6:21 - 6:23
    We wilden ook eens kijken
  • 6:23 - 6:26
    hoe sterk de wachtwoorden waren
    die men bedacht.
  • 6:27 - 6:31
    Maar je weet nog
    dat je dat niet kan meten.
  • 6:31 - 6:33
    We besloten te kijken
  • 6:33 - 6:35
    hoe snel je de wachtwoorden kon kraken
  • 6:35 - 6:39
    met de beste kraak-trucs
    die de boeven gebruiken,
  • 6:39 - 6:41
    of waar we iets over konden vinden
  • 6:41 - 6:42
    in de onderzoeksliteratuur.
  • 6:42 - 6:45
    Om je een idee te geven wat boeven doen
  • 6:45 - 6:47
    om wachtwoorden te kraken:
  • 6:47 - 6:49
    ze stelen een wachtwoordbestand
  • 6:49 - 6:51
    waar alle wachtwoorden in zitten
  • 6:51 - 6:54
    in een verhaspelde vorm, een 'hash',
  • 6:54 - 6:56
    en ze gokken wat een wachtwoord is,
  • 6:58 - 7:00
    gooien het door een verhaspelfunctie
  • 7:00 - 7:03
    en kijken of het klopt met de wachtwoorden
  • 7:03 - 7:06
    die ze op hun gestolen lijst hebben.
  • 7:06 - 7:08
    Een domme kraker
    probeert alle wachtwoorden.
  • 7:09 - 7:11
    Ze beginnen met AAAAA en dan AAAAB.
  • 7:13 - 7:17
    Het duurt dus wel even om
    de meest gebruikte paswoorden te vinden.
  • 7:19 - 7:22
    Slimme krakers echter
  • 7:22 - 7:23
    doen het veel slimmer.
  • 7:23 - 7:25
    Die kijken naar wachtwoorden
  • 7:25 - 7:27
    die bekend staan als veelgebruikt
  • 7:27 - 7:28
    uit die gestolen wachtwoorden
  • 7:28 - 7:29
    en proberen die eerst.
  • 7:29 - 7:32
    'password' proberen ze eerst uit.
  • 7:32 - 7:34
    Dan proberen ze 'I love you' en 'monkey'
  • 7:34 - 7:37
    en '12345678'
  • 7:37 - 7:40
    omdat het de meestgebruikte
    wachtwoorden zijn
  • 7:40 - 7:43
    Sommigen van jullie
    zullen die wachtwoorden gebruiken.
  • 7:46 - 7:50
    Door al onze 5.000 wachtwoorden
    te proberen,
  • 7:50 - 7:54
    en te testen hoe sterk ze waren,
  • 7:54 - 7:57
    zagen we dat de lange wachtwoorden
  • 7:57 - 7:58
    best wel sterk waren.
  • 7:58 - 8:01
    De ingewikkelde waren ook vrij sterk.
  • 8:01 - 8:04
    Maar als we keken
    naar de enquêtes,
  • 8:04 - 8:07
    zagen we dat men nogal gefrustreerd was
  • 8:07 - 8:09
    door deze ingewikkelde wachtwoorden.
  • 8:09 - 8:12
    De lange waren een stuk bruikbaarder
  • 8:12 - 8:14
    en soms waren ze zelfs sterker
  • 8:14 - 8:16
    dan de ingewikkelde wachtwoorden.
  • 8:16 - 8:19
    Dit geeft aan dat je niet moet zeggen
  • 8:19 - 8:22
    dat je al die tekens,
    cijfers en idiote dingen
  • 8:22 - 8:23
    in je wachtwoorden moet stoppen.
  • 8:23 - 8:28
    Je kunt beter lange wachtwoorden gebruiken.
  • 8:28 - 8:30
    Er is wel een probleem:
  • 8:30 - 8:32
    sommigen hadden lange wachtwoorden
  • 8:32 - 8:33
    die helemaal niet sterk waren.
  • 8:33 - 8:35
    Je kunt lange wachtwoorden maken
  • 8:35 - 8:39
    die nog steeds makkelijk
    te raden zijn door aanvallers.
  • 8:39 - 8:42
    We moeten dus niet alleen lange
    wachtwoorden voorschrijven.
  • 8:42 - 8:44
    Er moet nog iets bij.
  • 8:44 - 8:47
    We onderzoeken nog
  • 8:47 - 8:49
    welke extra voorschriften het moeten zijn
  • 8:49 - 8:52
    om sterkere wachtwoorden te krijgen
  • 8:52 - 8:57
    die makkelijk te onthouden
    en te typen zijn.
  • 8:57 - 9:00
    Een andere aanpak
    voor sterkere wachtwoorden
  • 9:00 - 9:01
    is een wachtwoordmeter.
  • 9:01 - 9:02
    Hier zijn wat voorbeelden.
  • 9:02 - 9:04
    Misschien heb je ze al gezien
  • 9:04 - 9:07
    toen je een wachtwoord moest maken.
  • 9:07 - 9:09
    We besloten te onderzoeken
  • 9:09 - 9:12
    of deze wachtwoordmeters echt werken.
  • 9:12 - 9:13
    Helpen ze echt
  • 9:13 - 9:15
    om sterkere wachtwoorden te maken?
  • 9:15 - 9:17
    Zo ja, welke zijn het best?
  • 9:17 - 9:19
    We hebben wachtwoordmeters getest
  • 9:19 - 9:22
    met verschillende lengtes,
    vormen, kleuren,
  • 9:22 - 9:23
    met allerlei woorden erbij.
  • 9:23 - 9:25
    Zelfs eentje met een dansend konijn.
  • 9:26 - 9:29
    Terwijl je een wachtwoord typt,
    danst het konijn steeds sneller.
  • 9:30 - 9:31
    Dat was lachen.
  • 9:33 - 9:35
    We zagen
    dat wachtwoordmeters werken.
  • 9:38 - 9:40
    (Gelach)
  • 9:40 - 9:43
    De meeste wachtwoordmeters waren effectief
  • 9:43 - 9:46
    en het dansend konijn
    was ook erg effectief,
  • 9:46 - 9:49
    maar de effectiefste wachtwoordmeters
  • 9:49 - 9:51
    waren die waar je harder moest werken
  • 9:51 - 9:54
    voordat je een opgestoken duim kreeg
    en geprezen werd.
  • 9:54 - 9:57
    We zagen dat de meeste wachtwoordmeters
  • 9:57 - 9:59
    op het internet
    te flauw zijn.
  • 9:59 - 10:01
    Ze zeggen te snel dat je het goed doet.
  • 10:01 - 10:03
    Als ze iets langer zouden wachten
  • 10:03 - 10:05
    voordat ze je postieve feedback gaven,
  • 10:05 - 10:08
    dan zou je waarschijnlijk
    betere wachtwoorden maken.
  • 10:08 - 10:12
    Een andere aanpak
    voor betere wachtwoorden is misschien
  • 10:12 - 10:15
    om zinnen te gebruiken
    in plaats van wachtwoorden.
  • 10:15 - 10:19
    Dit was een cartoon van xkcd
    van een paar jaar geleden.
  • 10:19 - 10:20
    De tekenaar suggereert
  • 10:20 - 10:22
    dat we zinnen moeten gebruiken.
  • 10:22 - 10:26
    Als je naar de tweede rij kijkt,
  • 10:26 - 10:27
    dan zie je dat de tekenaar aangeeft
  • 10:27 - 10:31
    dat de zin 'correct horse battery staple'
  • 10:31 - 10:33
    een erg sterk wachtwoord zou zijn
  • 10:33 - 10:35
    dat makkelijk te onthouden is.
  • 10:35 - 10:38
    Hij zegt dat je het al hebt onthouden.
  • 10:38 - 10:40
    We besloten uit te zoeken
  • 10:40 - 10:43
    of dat waar was.
  • 10:43 - 10:45
    Iedereen aan wie ik zeg
  • 10:45 - 10:47
    dat ik wachtwoordonderzoek doe,
  • 10:47 - 10:48
    wijst me op deze strip.
  • 10:48 - 10:50
    "Heb je die gezien? Van xkcd.
  • 10:50 - 10:51
    Correct horse battery staple."
  • 10:51 - 10:53
    We deden onderzoek
  • 10:53 - 10:55
    om te zien wat er zou gebeuren.
  • 10:55 - 10:58
    In ons onderzoek gebruikten we weer
    die Mechanische Turk.
  • 10:58 - 11:03
    We lieten de computer woorden kiezen
  • 11:03 - 11:04
    voor de wachtwoordzin.
  • 11:04 - 11:05
    De reden ervan was
  • 11:05 - 11:08
    dat mensen slecht zijn
    in willekeurige woorden kiezen.
  • 11:08 - 11:12
    Als we een mens laten kiezen,
    kiest hij niet willekeurig.
  • 11:12 - 11:14
    We kozen een paar voorwaarden.
  • 11:14 - 11:16
    Bij eentje koos de computer
  • 11:16 - 11:20
    uit een woordenlijst met
    normale Engelse woorden.
  • 11:20 - 11:21
    Dan krijg je zinnen als
  • 11:21 - 11:23
    "try there three come".
  • 11:23 - 11:28
    Dat leek ons niet makkelijk te onthouden.
  • 11:28 - 11:30
    Toen lieten we woorden kiezen
  • 11:30 - 11:33
    uit specifieke woordsoorten, bijvoorbeeld
  • 11:33 - 11:35
    substantief-werkwoord-adjectief-substantief.
  • 11:35 - 11:38
    Dan krijg je een soort zinnen.
  • 11:38 - 11:40
    Je krijgt dan een zin als
  • 11:40 - 11:41
    'plan builds sure power',
  • 11:41 - 11:44
    of 'end determines red drug'.
  • 11:44 - 11:47
    Deze leken wat makkelijker te onthouden.
  • 11:47 - 11:49
    Misschien wilde men die liever.
  • 11:49 - 11:52
    We wilden ze vergelijken met wachtwoorden.
  • 11:52 - 11:55
    We lieten de computer willekeurig
    woorden kiezen.
  • 11:55 - 11:57
    Deze waren kort en mooi, maar je ziet
  • 11:57 - 12:00
    dat ze niet makkelijk te onthouden zijn.
  • 12:00 - 12:03
    Toen probeerden we iets wat
    een 'uitspreekbaar woord' heet.
  • 12:03 - 12:05
    De computer neemt dan lettergrepen
  • 12:05 - 12:06
    en plakt ze aan elkaar.
  • 12:06 - 12:09
    Dan krijg je iets dat je kunt uitspreken,
  • 12:09 - 12:11
    zoals 'tufritvi' en 'vadasabi'.
  • 12:11 - 12:14
    Dat rolt zo van je tong.
  • 12:14 - 12:16
    Het waren willekeurige wachtwoorden
  • 12:16 - 12:19
    die uit de computer kwamen.
  • 12:19 - 12:22
    We ontdekten met dit onderzoek,
    gek genoeg,
  • 12:22 - 12:25
    dat wachtwoordzinnen niet zo goed zijn.
  • 12:25 - 12:28
    Mensen kunnen niet veel beter
    de wachtwoordzinnen onthouden
  • 12:28 - 12:31
    dan willekeurige wachtwoorden.
  • 12:31 - 12:34
    Omdat de wachtwoordzinnen langer zijn,
  • 12:34 - 12:35
    duurt het typen langer
  • 12:35 - 12:38
    en maakt men meer fouten.
  • 12:38 - 12:41
    Wachtwoordzinnen zijn dus niet
    duidelijk beter.
  • 12:41 - 12:45
    Sorry, xkcd-liefhebbers.
  • 12:45 - 12:46
    Maar we vonden wel
  • 12:46 - 12:48
    dat uitspreekbare wachtwoorden
  • 12:48 - 12:50
    verrassend goed werkten.
  • 12:50 - 12:52
    We doen nu nog meer onderzoek
  • 12:52 - 12:55
    om te zien of we het
    beter kunnen aanpakken.
  • 12:55 - 12:57
    Een van de problemen was
  • 12:57 - 12:59
    dat sommige van onze onderzoeken
  • 12:59 - 13:01
    met de Mechanische Turk
  • 13:01 - 13:02
    gedaan werden.
  • 13:02 - 13:04
    Het zijn geen echte wachtwoorden.
  • 13:04 - 13:07
    Het zijn de wachtwoorden die men,
    of de computer,
  • 13:07 - 13:09
    voor het onderzoek maakte.
  • 13:09 - 13:12
    We wilden weten of mensen
    hetzelfde deden
  • 13:12 - 13:15
    met hun echte wachtwoorden.
  • 13:15 - 13:18
    We overlegden met de IT-afdeling
    van Carnegie Mellon
  • 13:18 - 13:22
    en vroegen of we alle wachtwoorden
    mochten hebben.
  • 13:22 - 13:24
    Ze waren natuurlijk terughoudend
  • 13:24 - 13:25
    om ze met ons te delen,
  • 13:25 - 13:28
    maar we mochten een systeem uitwerken
  • 13:28 - 13:31
    waarbij ze alle echte wachtwoorden
  • 13:31 - 13:34
    van 25.000 studenten, professoren
    en medewerkers
  • 13:34 - 13:35
    in een gesloten computer stopten
  • 13:35 - 13:37
    in een afgesloten kamer zonder internet.
  • 13:37 - 13:39
    Ze lieten met een programma
  • 13:39 - 13:41
    deze wachtwoorden analyseren.
  • 13:41 - 13:43
    Ze checkten ons programma.
  • 13:43 - 13:44
    Ze lieten het draaien.
  • 13:44 - 13:48
    Op die manier konden we nooit
    de wachtwoorden zien.
  • 13:48 - 13:50
    We kregen interessante uitkomsten
  • 13:50 - 13:52
    en de Tepper-studenten daar achteraan
  • 13:52 - 13:55
    zullen het interessant vinden.
  • 13:55 - 13:58
    We ontdekten dat de mensen
  • 13:58 - 14:00
    van Computerwetenschappen
  • 14:00 - 14:03
    een 1,8 keer zo sterk wachtwoord hadden
  • 14:03 - 14:07
    als die van de business-school.
  • 14:07 - 14:09
    Er kwam ook veel interessante
  • 14:09 - 14:11
    demografische informatie uit.
  • 14:11 - 14:13
    Ook interessant was
  • 14:13 - 14:15
    dat tussen de wachtwoorden
    van Carnegie Mellon
  • 14:15 - 14:17
    en die van de Mechanische Turk
  • 14:17 - 14:20
    weinig verschil bestond.
  • 14:20 - 14:22
    Dat hielp de methode te valideren
  • 14:22 - 14:24
    en liet zien dat het verzamelen
    van wachtwoorden
  • 14:24 - 14:26
    met de Mechanische Turk
  • 14:26 - 14:29
    een geldige manier was
    om wachtwoorden te bestuderen.
  • 14:29 - 14:31
    Dat was dus goed nieuws.
  • 14:31 - 14:34
    Ik wil afsluiten met wat inzichten
  • 14:34 - 14:36
    die ik kreeg tijdens mijn sabbatical
  • 14:36 - 14:39
    afgelopen jaar op de
    kunstfaculteit van Carnegie Mellon.
  • 14:39 - 14:41
    Een van de dingen die ik deed,
  • 14:41 - 14:42
    was quilts maken.
  • 14:42 - 14:43
    Ik heb deze gemaakt.
  • 14:43 - 14:45
    Hij heet 'Veiligheidsdeken'.
  • 14:45 - 14:48
    (Gelach)
  • 14:48 - 14:53
    Deze heeft de duizend
    meest gestolen wachtwoorden
  • 14:53 - 14:56
    van de website van RockYou.
  • 14:56 - 14:58
    De grootte van het wachtwoord geeft aan
  • 14:58 - 15:02
    hoe vaak het gestolen is.
  • 15:02 - 15:05
    Ik heb deze woordenwolk gemaakt
  • 15:05 - 15:07
    door alle 1000 woorden langs te gaan,
  • 15:07 - 15:11
    en in aparte thema's te groeperen.
  • 15:11 - 15:15
    Soms was het moeilijk
    om uit te vinden
  • 15:15 - 15:17
    in welke categorie ze moesten.
  • 15:17 - 15:18
    Daarna gaf ik ze een kleur.
  • 15:18 - 15:21
    Hier is een voorbeeld
    hoe lastig dat was:
  • 15:21 - 15:22
    'Justin'
  • 15:22 - 15:24
    Is dat de naam van de gebruiker?
  • 15:24 - 15:25
    Haar vriendje of haar zoon?
  • 15:25 - 15:28
    Misschien wel een Justin Bieber-fan.
  • 15:28 - 15:30
    Of 'princess'.
  • 15:30 - 15:32
    Is dat een koosnaam?
  • 15:32 - 15:34
    Zijn het fans van de Disney-prinses?
  • 15:34 - 15:37
    Of het is de naam van hun kat.
  • 15:37 - 15:39
    'Iloveyou' verschijnt vaak,
  • 15:39 - 15:41
    in allerlei talen.
  • 15:41 - 15:44
    Er zit veel liefde in deze wachtwoorden.
  • 15:44 - 15:48
    Als je goed oplet,
    vind je ook wat vulgariteit,
  • 15:48 - 15:50
    maar ik vond het erg interessant
  • 15:50 - 15:53
    dat er meer liefde dan haat
  • 15:53 - 15:55
    in deze wachtwoorden zat.
  • 15:55 - 15:56
    En er zijn dieren,
  • 15:56 - 15:58
    veel dieren.
  • 15:58 - 16:00
    'monkey' is het meestgebruikte dier.
  • 16:00 - 16:04
    Het op 14 na meestgebruikte wachtwoord.
  • 16:04 - 16:06
    Dat vond ik heel bijzonder.
  • 16:06 - 16:08
    Ik vroeg me af
    waarom apen zo populair zijn.
  • 16:08 - 16:13
    Telkens we tijdens ons laatste onderzoek
    iemand ontdekten
  • 16:13 - 16:16
    die een wachtwoord had met 'monkey' erin,
  • 16:16 - 16:19
    vroegen we waarom ze dat hadden.
  • 16:19 - 16:21
    We ontdekten --
  • 16:21 - 16:23
    we vonden tot nu toe 17 mensen
  • 16:23 - 16:25
    die het woord 'monkey' hadden --
  • 16:25 - 16:26
    We ontdekten dat een derde
  • 16:26 - 16:28
    een huisdier heeft dat 'monkey' heet.
  • 16:28 - 16:30
    of een vriend met koosnaam 'monkey'.
  • 16:30 - 16:33
    Een derde hield gewoon van apen.
  • 16:33 - 16:35
    en vond apen gewoon leuk.
  • 16:35 - 16:39
    Dit ventje is echt schattig.
  • 16:39 - 16:43
    Het komt erop neer dat we
    bij het maken van wachtwoorden
  • 16:44 - 16:47
    iets maken dat makkelijk te typen is,
  • 16:47 - 16:49
    een bekend patroon,
  • 16:49 - 16:51
    of iets dat herinnert
    aan het woord 'wachtwoord'
  • 16:51 - 16:55
    of aan het account waar we het voor maken
  • 16:55 - 16:57
    of 'watdanook'.
  • 16:57 - 17:00
    Of we denken aan dingen
    waar we blij van worden.
  • 17:00 - 17:01
    We baseren ons wachtwoord
  • 17:01 - 17:04
    op dingen waar we blij van worden.
  • 17:04 - 17:07
    Hoewel dat het typen en onthouden
  • 17:07 - 17:09
    van je wachtwoord leuker maakt,
  • 17:09 - 17:11
    wordt het wel een stuk makkelijker
  • 17:11 - 17:13
    om je wachtwoord te raden.
  • 17:13 - 17:14
    Ik weet dat TED Talks
  • 17:14 - 17:16
    vaak inspirerend zijn
  • 17:16 - 17:18
    en je doen denken aan fijne dingen,
  • 17:18 - 17:20
    maar als je je wachtwoord maakt,
  • 17:20 - 17:22
    probeer dan aan iets anders te denken.
  • 17:22 - 17:23
    Dank je wel.
  • 17:23 - 17:24
    (Applaus)
Title:
Wat is er mis met ons w@chtw00rd?
Speaker:
Lorrie Faith Cranor
Description:

Lorrie Faith Cranor heeft duizenden echte wachtwoorden bestudeerd en heeft verrassende, veelgemaakte fouten gevonden die gebruikers -- en beveiligde websites -- maken en de veiligheid in gevaar brengen. Je zult je afvragen hoe ze duizenden echte wachtwoorden heeft kunnen bestuderen zonder inbreuk op de veiligheid van de gebruikers. Dat is een verhaal op zich. Dat geheim moet je kennen, zeker als je wachtwoord 123456 is...
more » « less
Video Language:
English
Team:
closed TED
Project:
TEDTalks
Duration:
17:41

  • Rik Delaet

    Ik hen 'entropy' vertaald door 'onvoorspelbaarheid'.
    Verder de timing wat aangepast.

  • Els De Keyser

    Ik heb snoeprepen gemaakt van de repen, ik denk bij reep altijd eerst aan stof en pas dan bedenk ik dat ze daar in Nederland snoep mee bedoelen.

    3:18 De faculteit is de instelling zelf, faculty zijn de professoren; valse vrienden dus.

    'Vaker gebruiken' is bij ons niet hetzelfde als 'hergebruiken'. Een wachtwoord vaker is gewoon een verhoging van de frequentie (drie keer per dag ipv één keer), hergebruiken wijst op opnieuw gebruiken in een andere context.

    Er ontbrak een paar keer 'er'. Meestal gebeurt dat als de Engelse zinsstructuur wordt overgenomen, b.v. 4:01.

    11:30 Dit gaat niet over spreektaal, het gaat erom dat je ervoor zorgt dat het een soort zin wordt, doordat je uit verschillende woordsoorten kiest, in een bepaalde volgorde. Dat kon ik niet afleiden uit de vertaling.

    Voor klachten en opmerkingen over de aanpassingen: zoals gebruikelijk één adres, het mijne :-)

    Els

Dutch subtitles

Revisions

Our website uses cookies for analysis purposes.