O que está errado com sua $enh@?

Lorrie Faith Cranor estudou milhares de senhas reais para descobrir os erros surpreendentes e muito comuns que usuários e sites seguros cometem e comprometem a segurança. E como, você pergunta, ela estudou milhares de senhas sem comprometer a segurança de qualquer usuário? Isso é uma história por si só. São dados secretos que vale a pena saber, especialmente se sua senha for 123456...

Eu sou professora de ciência da computação
e engenharia aqui na Carnegie Mellon,

e minha pesquisa tem foco
em privacidade utilizável e segurança,

e meus amigos gostam de me dar exemplos

de suas frustrações
com sistemas de computadores,

especialmente frustrações relacionadas

a privacidade não utilizável e segurança.

E senhas são algo
de que escuto falar bastante.

Muitas pessoas
ficam frustradas com senhas,

e já é ruim o suficiente

quando temos que ter uma senha muito boa

que consigamos lembrar

mas ninguém mais consiga adivinhar.

Mas o que fazer quando se têm contas

em centenas de sistemas diferentes

e cada um desses sistemas

deve ter uma senha única?

É difícil.

Na Carnegie Mellon, eles costumavam

deixar muito fácil para que nós

lembrássemos nossas senhas.

A exigência para a senha até 2009

era somente que a senha

tinha que ter pelo menos um caractere.

Bem fácil. Mas então
eles mudaram as coisas,

E no final de 2009, foi anunciado

que teríamos uma nova política,

e essa nova política exigia

senhas que tivessem
pelo menos oito caracteres,

com uma letra maiúscula, letra minúscula,

um dígito, um símbolo,

não podia usar o mesmo caractere
mais de três vezes,

e não poderia estar num dicionário.

E quando essa nova política
foi implementada,

muitas pessoas, meus amigos e colegas,

chegaram até mim e disseram:

"Uau, agora é realmente não utilizável.

Por que estão fazendo isso conosco,

e por que você não os deteve?"

Eu disse: "Bem, quer saber?

Não me perguntaram."

Mas fiquei curiosa e decidi ir falar

com as pessoas responsáveis por nossos
sistemas de computadores

e descobrir o que os levou a introduzir

essa nova política,

e disseram que a universidade

tinha entrado em um consórcio
de universidades,

e uma das exigências para se tornar membro

era que tínhamos
que ter senhas mais seguras

que cumprissem algumas novas condições,

e essas condições eram que nossas senhas

tinham que ter muita entropia.

Entropia é um termo complicado,

mas basicamente ela mede
a força de senhas.

Acontece que não há exatamente

uma medida padrão de entropia.

O Instituto Nacional
de Padrões e Tecnologia

tem um conjunto de diretrizes

que têm umas regras práticas

para medir entropia,

mas não têm nada muito específico,

e a razão pela qual só têm regras práticas

é que, pelo jeito, eles não têm bons dados

sobre senhas.

De fato, seus relatórios dizem:

"Infelizmente, não temos muitos dados

sobre as senhas que os usuários usam
sob regras específicas.

O NIST gostaria de obter mais dados

sobre as senhas
que os usuários de fato usam,

mas os administradores de sistema
se recusam, compreensivamente,

a revelar dados
sobre as senhas para outros."

Esse é um problema,
mas nosso grupo de pesquisa

tomou isso como uma oportunidade.

Nós dissemos: "Bem, há necessidade
de bons dados sobre senhas.

Talvez possamos coletar
bons dados sobre senhas

e de fato fazer algum progresso
no estado da arte.

A primeira coisa que fizemos foi,

Pegamos uma sacola de doces,

caminhamos pelo campus,

conversamos com alunos,
professores e funcionários

e pedimos informações

sobre suas senhas.

Nós não dissemos: "Diga-nos sua senha."

Não, só fizemos perguntas
sobre suas senhas.

Quantos caracteres? Contém algum dígito?

Contém um símbolo?

E você ficou incomodado
por ter tido que criar

uma nova senha semana passada?

E reunimos respostas de 470 alunos,

professores e funcionários,

e, de fato, confirmamos
que a nova política

foi muito incômoda,

mas também descobrimos
que as pessoas disseram

que se sentem mais seguras
com essas senhas novas.

Descobrimos que muitas pessoas sabiam

que não deveriam anotar
suas senhas num papel

e somente 13% anotavam,

mas preocupantemente, 80% das pessoas

disseram que reutilizavam suas senhas.

E isso é, na verdade, mais perigoso

do que anotar sua senha num papel,

porque deixa você muito mais
suscetível a ataques.

Então se precisar,
anote suas senhas num papel,

mas não reutilize-as.

Também descobrimos coisas interessantes

sobre os símbolos
que as pessoas usam nas senhas.

A CMU permite 32 símbolos possíveis,

mas como podem ver,
só há uma pequena quantidade

que a maioria das pessoas usam,

então não temos muita força, na verdade,

dos símbolos em nossas senhas.

Esse estudo foi muito interessante,

e agora tínhamos dados de 470 pessoas,

mas no esquema das coisas,

isso não é quase nada
de dados sobre senhas,

e nós olhamos em volta para ver

onde poderíamos encontrar
mais dados sobre senhas?

E aparentemente, há muita gente

por aí roubando senhas,

e normalmente elas vão
e publicam essas senhas

na Internet.

E nós pudemos ter acesso

a alguns desses conjuntos
de senhas roubadas.

Ainda não é o ideal para a pesquisa,

porque não fica inteiramente claro

de onde todas essas senhas vieram,

ou que políticas exatamente
estavam em vigor

quando as pessoas criaram essas senhas.

E nós queríamos achar
uma fonte de dados melhor.

E decidimos que uma coisa
que podíamos fazer

é que podíamos fazer um estudo e
fazer as pessoas

criarem senhas para o nosso estudo.

E nós usamos um serviço chamado
Amazon Mechanical Turk,

E esse é um serviço onde você pode postar

uma pequena tarefa online
que demora um minuto,

alguns minutos, uma hora,

e pagar às pessoas cinco,
dez centavos, alguns dólares,

para realizar a tarefa para você,

e então você as paga
através da Amazon.com.

Nós pagamos às pessoas
cerca de 50 centavos

para criar uma senha
seguindo nossas regras

e responder uma pesquisa,

e então pagamos novamente
para que voltassem

dois dias depois e se logassem

usando sua senha
e respondessem outra pesquisa.

Nós fizemos isso e coletamos 5 mil senhas,

e demos às pessoas diferentes políticas

para criar senhas.

Alguns tinham uma política bem simples,

que chamamos de Basic8,

E nessa, a única regra era que a senha

tinha que ter pelo menos oito caracteres.

e algumas pessoas tiveram
uma política bem mais complexa,

que era muito similar à política da CMU.

que tinha que ter oito caracteres

incluindo maiúscula,
minúscula, dígito, símbolo,

e passar um teste de dicionário.

E uma outra política que tentamos,

e havia muitas outras,

mas uma das que tentamos
era chamada Basic16,

e a única exigência aqui

era que sua senha tinha que ter
pelo menos 16 caracteres.

Certo, e agora nós tínhamos 5 mil senhas,

e assim nós tínhamos informações
muito mais detalhadas.

Novamente, vemos que somente
um pequeno número

de símbolos estão sendo usados

nas senhas.

Também queríamos ter uma noção da força

das senhas que as pessoas estavam criando,

mas como vocês se lembram,
não há uma boa medida

da força de uma senha.

e o que decidimos fazer foi observar

quanto tempo demoraria
para quebrar uma senha

usando as melhores ferramentas de quebra

que os vilões estão usando,

ou sobre as quais conseguíamos
encontrar informações

na literatura de pesquisa.

Então para dar uma ideia de como os vilões

fazem para quebrar senhas,

eles roubariam um arquivo de senhas

que teria todas as senhas

numa forma embaralhada chamada de hash

e o que fariam é, eles chutariam

o que uma senha seria,

passariam-na por uma função hash

e verificariam se bate

com as senhas que eles têm
em sua lista roubada.

Um atacante burro tentaria
todas as senhas na ordem.

Começariam com AAAAA e depois AAAAB,

e isso demoraria muito

antes de conseguirem qualquer senha

que seja realmente provável
de ser usada por alguém

Um atacante esperto, por outro lado,

faz algo muito mais inteligente.

Eles olham para as senhas

que são conhecidamente populares

daqueles conjuntos de senhas roubadas,

e chutam aquelas primeiro.

Eles vão começar chutando "password",

e então vão chutar
"eu te amo" e "macaco",

e "12345678",

porque essas são as senhas

que são mais prováveis
de serem usadas por alguém.

De fato, alguns de vocês
até têm essas senhas.

E o que descobrimos

ao rodar essas 5 mil senhas coletadas

através desses testes para ver sua força,

descobrimos que as senhas longas

eram realmente bem fortes,

e as senhas complexas
eram bem fortes também.

Entretanto, quando olhamos
os dados da pesquisa,

vimos que as pessoas
ficavam muito frustradas

com as senhas muito complexas,

e as senhas longas
eram muito mais utilizáveis,

e em alguns casos, elas eram mesmo

até mais fortes do que
as senhas complexas.

E isso sugere que,

em vez de dizer às pessoas que precisam

pôr todos esses símbolos e números

e coisas loucas em suas senhas,

talvez seja muito melhor só dizer

para terem senhas longas.

Mas aqui há um problema:

Algumas pessoas tinham senhas longas

que não eram muito fortes, na verdade.

Você pode criar senhas longas

que ainda são o tipo de coisa

que um atacante adivinharia facilmente.

Então precisamos fazer mais
do que só pedir senhas longas.

Tem que haver algumas
exigências adicionais,

e algumas de nossas pesquisas atuais
estão observando

que exigências adicionais deveríamos impor

para gerar senhas mais fortes

que também serão fáceis para as pessoas

lembrarem e digitarem.

Outra abordagem
para fazer as pessoas terem

senhas mais fortes
é ter um medidor de senha.

Eis alguns exemplos.

Talvez vocês já
os tenham visto na Internet

enquanto criavam senhas.

Nós decidimos fazer
um estudo para descobrir

se esses medidores de senha
realmente funcionam.

Será que ajudam mesmo as pessoas

a terem senhas mais fortes,

e se sim, quais funcionam melhor?

Nós testamos medidores de senha

de diferentes tamanhos, formatos e cores,

diferentes palavras ao lado,

e até testamos um que era
um coelho dançando.

À medida que você digita
uma senha mais forte,

o coelho dança cada vez mais rápido.

Esse foi bem divertido.

O que descobrimos

foi que medidores de senha
realmente funcionam.

(Risos)

A maioria dos medidores
de senha foram eficientes,

e o coelho dançante
foi bem eficiente também,

mas os medidores de senha
que foram mais eficientes

foram os que exigiam mais trabalho

antes de dar um joinha e dizer

que estava fazendo um bom trabalho,

e descobrimos que a maioria

dos medidores de senha
na Internet hoje em dia

são suaves demais.

Eles dizem que está fazendo
um bom trabalho cedo demais,

e se esperassem só um pouquinho mais

antes de dar aquele feedback positivo,

vocês provavelmente
teriam senhas melhores.

E uma outra abordagem
para senhas melhores, talvez,

é usar frases em vez de palavras.

Esta é uma tirinha do xkcd
de alguns anos atrás,

e o cartunista sugere

que todos deveríamos usar
frases como senhas,

e se olharmos
para a segunda linha da tirinha,

vemos que o cartunista sugere

que a frase
"cavalo correto bateria grampo"

seria uma senha muito forte

e algo muito fácil de lembrar.

Ele diz, inclusive, que você já memorizou.

E assim decidimos fazer um estudo

para descobrir se isso é verdade ou não.

De fato, todos com que eu falo,

quando menciono que pesquiso senhas,

eles me indicam essa tirinha.

"Oh, você já viu? Aquele xkcd.

Cavalo correto bateria grampo."

Então nós fizemos o estudo para ver

o que de fato aconteceria.

Em nosso estudo, usamos
o Mechanical Turk de novo,

e fizemos o computador escolher
as palavras aleatórias

para a senha.

E nós fizemos assim

porque seres humanos não são muito bons

em escolher palavras aleatórias.

Se pedíssemos que um ser humano fizesse,

ele escolheria coisas
que não seriam muito aleatórias.

E nós tentamos algumas
condições diferentes.

Em uma condição, o computador escolheu

do dicionário de palavras muito comuns

no idioma inglês,

e obtivemos frases como

"tentar lá três vêm".

E nós observamos aquilo e dissemos:

"Bem, não parece muito memorável."

Então tentamos escolher as palavras

que seriam de classes
gramaticais específicas,

e que tal pronome-verbo-pronome-adjetivo.

Isso gera algo que seria
mais ou menos como uma sentença.

E podemos obter uma frase como

"plano constrói poder certo"

ou "fim determina droga vermelha".

E parecia um pouco mais memorável,

e talvez as pessoas gostariam mais destas.

Queríamos compará-las
com senhas de uma palavra,

e fizemos o computador
escolher palavras aleatórias,

e eram boas e curtas, mas como podem ver,

não parecem muito memoráveis.

e tentamos testar algo chamado

uma senha pronunciável.

Aqui o computador
escolhe sílabas aleatórias

e junta-as

para que tenhamos algo pronunciável,

como "tufritvi" e "vadasabi".

Essa enrola a língua um pouco.

Essas foram senhas de uma palavra

que foram geradas pelo computador.

O que descobrimos nesse estudo foi que,
surpreendentemente,

senhas de frases não eram
de fato tão boas.

As pessoas não lembram mais facilmente

as frases do que
essas palavras aleatórias,

e porque as frases são mais longas,

elas demoram mais para digitar

e as pessoas cometiam
mais erros ao digitá-las.

Então não é uma vitória clara
para as senhas de frases.

Desculpem-me os fãs de xkcd.

Por outro lado, nós descobrimos

que senhas pronunciáveis

funcionavam muito bem,

e estamos pesquisando mais a fundo

para ver se conseguimos tornar
essa abordagem ainda melhor

Um dos problemas

com alguns desses estudos que fizemos

é que por serem todos feitos

usando o Mechanical Turk,

essas não são senhas reais.

São a senha que eles criaram

ou o computador criou para elas
para o nosso estudo.

E queríamos saber se as pessoas

se comportariam mesmo assim

com suas senhas reais.

Nós conversamos com o pessoal de segurança
da informação na Carnegie Mellon

e perguntamos se poderiam nos dar
todas as senhas reais das pessoas.

Não surpreendentemente,
eles foram um pouco relutantes

em compartilhá-las conosco,

mas conseguimos criar

um sistema com eles

onde eles colocavam todas as senhas reais

dos 25 mil alunos, professores
e funcionários da CMU,

em um computador bloqueado
numa sala trancada,

não conectado à Internet,

e eles executavam código
que nós tínhamos escrito

para analisar as senhas.

eles auditaram nosso código.

eles executaram o código.

E assim nós nunca vimos

a senha de ninguém.

Tivemos resultados interessantes,

e os alunos de administração aí no fundo

ficariam muito interessados nisso.

Nós descobrimos que as senhas criadas

pelas pessoas afiliadas à escola
de ciência da computação

eram 1,8 vezes mais fortes

do que os afiliados
à escola de administração.

Temos muitas outras informações

demográficas interessantes também.

Outra coisa interessante que descobrimos

foi que quando comparamos
as senhas de Carnegie Mellon

com as senhas geradas
pelo Mechanical Turk,

havia, na verdade, muitas similaridades,

e isso ajudou a validar
nosso método de pesquisa

e mostrar que coletar senhas

usando esses estudos com o Mechanical Turk

é mesmo um método válido
de estudar senhas.

Essas eram notícias boas.

Certo, gostaria de concluir falando

de algumas ideias que tive
no meu período sabático

ano passado na escola de arte
de Carnegie Mellon.

Uma das coisas que eu fiz,

eu fiz uma série de colchas,

e eu fiz esta colcha aqui.

Chama-se "Cobertor da Segurança".

(Risos)

E essa colcha contém

as 1.000 senhas mais frequentes roubadas

do site RockYou.

E o tamanho da senha é proporcional

à frequência com que apareceram

no conjunto de dados roubado.

E o que eu fiz foi criar
essa nuvem de palavras,

e eu passei por todas as 1.000 palavras,

e classifiquei-as

em categorias temáticas vagas.

E foi, em alguns casos,

foi um pouco difícil definir

em que categoria elas estariam,

e então eu as colori.

Aqui vão alguns exemplos da dificuldade.

Então "justin".

Será que é o nome do usuário,

seu namorado, seu filho?

Talvez sejam fãs do Justin Bieber.

Ou "princesa".

Será que é um apelido?

Será que são fãs das princesas da Disney?

Ou talvez seja o nome do gato.

"euteamo" aparece muitas vezes

em muitas línguas diferentes.

Há muito amor nessas senhas.

Se olharem atentamente,
verão que também há

profanidades,

mas achei muito interessante ver

que há muito mais amor do que ódio

nessas senhas.

E há animais,

muitos animais,

e "macaco" é o animal mais comum

e a 14ª senha mais comum no geral.

E achei isso muito curioso,

e me perguntei: "Por que será
que macacos são tão populares?"

Então em nosso último estudo sobre senhas,

sempre que detectávamos alguém

criando uma senha contendo
a palavra "macaco",

nós perguntamos por que
eles tinham "macaco" na senha.

E o que descobrimos;

encontramos 17 pessoas até agora, acho,

que têm a palavra "macaco";

nós descobrimos
que cerca de um terço disse

que tem um bichinho chamado "macaco"

ou um amigo cujo apelido é "macaco",

e cerca de um terço disse

que gostam de macacos

e macacos são muito fofos.

Este cara é muito fofo.

Parece-me que no final das contas,

quando criamos senhas,

ou criamos algo que é muito fácil

de digitar, um padrão comum,

ou coisas que nos lembrem da palavra senha

ou a conta para a qual criamos a senha,

ou tanto faz.

Ou pensamos em coisas
que nos fazem felizes,

e criamos nossas senhas

baseados em coisas que nos fazem felizes.

E enquanto isso faz com que digitar

e lembrar da senha seja mais divertido,

também faz com que seja muito mais fácil

adivinhar a senha.

Eu sei que muitas destas palestras TED

são inspiradoras

e nos fazem pensar
em coisas boas e felizes,

mas quando estiver criando sua senha,

tente pensar em outra coisa.

Obrigada.

(Aplausos)