O que há de errado com a sua palavra-pa$$e?

Lorrie Faith Cranor estudou milhares de palavras-passe reais para descobrir os erros mais surpreendentes e mais comuns que os utilizadores — e "sites" seguros — fazem, comprometendo a sua segurança. E como é que ela estudou milhares de palavras-passe reais sem comprometer a segurança de nenhum utilizador? Essa é uma história em si. É informação secreta que vale a pena conhecer, especialmente se a sua palavra-passe é 123456...

Sou uma Professora de Engenharia e
Ciência Informática aqui na Carnegie Mellon,

e a minha investigação centra-se na
privacidade e segurança utilizáveis,

e, por isso, os meus amigos
gostam de me dar exemplos

das suas frustrações com
os sistemas informáticos,

especialmente as suas
frustrações relacionadas com

privacidade e segurança inutilizáveis.

Por isso, as palavras-passe são
algo de que eu oiço muito falar.

Muitas pessoas estão frustradas
com as palavras-passe,

e é suficientemente mau

quando temos que ter uma
palavra-passe realmente boa

que possamos memorizar

mas que mais ninguém
seja capaz de adivinhar.

Mas o que devemos fazer
quando temos contas

numa centena de sistemas diferentes

e é suposto termos uma palavra-passe única

para cada um desses sistemas?

É complicado.

Na Universidade de Carnegie Mellon,
costumavam fazer com que fosse

realmente fácil para nós

memorizarmos
as nossas palavras-passe.

O requisito para as
palavras-passe até 2009

era apenas que teríamos
que ter uma palavra-passe

com pelo menos um carácter.

Bastante simples.

Mas depois as coisas mudaram,
e no final de 2009, anunciaram

que iriam ter uma nova política

e essa política exigia

palavras-passe que tivessem
pelo menos oito caracteres,

com uma letra maiúscula,
uma letra minúscula,

um número, um símbolo,

não podíamos utilizar o mesmo
carácter mais do que três vezes,

e não poderia constar de um dicionário.

Quando eles implementaram
esta nova política,

muitas pessoas, os meus colegas e amigos,

vieram ter comigo e disseram:

"Uau, agora é que é realmente
inutilizável.

"Porque é que eles nos estão a fazer isto,

"e porque é que tu não os impedes?"

E eu disse: "Bem, sabem que mais?

"Eles não me perguntaram."

Mas fiquei curiosa e decidi ir falar

com as pessoas responsáveis pelos
nossos sistemas informáticos

e descobrir o que os levou a introduzir

esta nova política,

e eles disseram que a universidade

se tinha juntado a um
consórcio de universidades,

e que um dos requisitos da adesão

era que tínhamos que usar
palavras-passe mais fortes

que estivessem de acordo
com alguns novos requisitos,

e estes requisitos eram
de que nossas palavras-passe

teriam que ter muita entropia.

Entropia é um termo complicado,

mas basicamente mede
a força das palavras-passe.

Mas o que acontece é
que não há, na verdade,

uma medida padrão de entropia.

O Instituto Nacional de
Padrões e Tecnologia

tem um conjunto de diretrizes

que têm algumas regras gerais

para medir entropia,

mas não têm nada muito específico,

e a razão de terem apenas regras gerais,

é por não terem, na verdade,
quaisquer dados válidos

sobre palavras-passe.

Na verdade, o seu relatório afirma:

"Infelizmente, não temos muitos dados

"sobre as palavras-passe que
os utilizadores escolhem

"de acordo com regras específicas.

"O INPT gostaria de obter mais dados

"sobre as palavras-passe que os
utilizadores realmente escolhem,

"mas os administradores de sistema
estão compreensivelmente relutantes

"em revelar dados de palavras-passe
a outras pessoas. "

Portanto, isto é um problema,
mas o nosso grupo de investigação

entendeu-o como uma oportunidade.

Dissemos: "Bem, há uma necessidade
de bons dados sobre palavras-passe.

"Talvez possamos recolher alguns
bons dados sobre palavras-passe

"e, fazer avançar, de facto,
o conhecimento nesta área".

Então a primeira coisa que fizemos foi,

comprámos um saco de guloseimas

e andámos pelo "campus"

e falámos com estudantes,
professores e funcionários,

e pedimos-lhes informações

sobre as suas palavras-passe.

Não lhes dissemos:
"Dê-me a sua palavra-passe."

Não, apenas lhes perguntámos
sobre as suas palavras-passe.

"É longa?"
"Tem algum número?"

"Tem algum símbolo?"

E: "Foi-lhe aborrecido ter que criar

"uma nova na semana passada?"

Assim conseguimos resultados
de 470 estudantes,

professores e funcionários,

e, de facto, confirmámos
que a nova política

era muito irritante,

mas também descobrimos
que as pessoas diziam

sentir-se mais seguras com
estas novas palavras-passe.

Descobrimos que a maior
parte das pessoas sabia

que não deveria anotar
as suas palavras-passe,

e apenas 13 por cento o fizeram,

mas estranhamente,
80 por cento das pessoas

afirmaram estar a reutilizar
as suas palavras-passe.

Na verdade, isto é mais perigoso

do que anotarmos a nossa palavra-passe,

porque isto nos torna muito
mais suscetíveis a ataques.

Então, se tiver que ser, anotem
as vossas palavras-passe,

mas não as reutilizem.

Também descobrimos algumas
coisas interessantes

sobre os símbolos que as pessoas
utilizam nas suas palavras-passe.

A CMU permite 32 símbolos possíveis,

mas como podem ver,
há apenas um número reduzido

que a maior parte das
pessoas está a utilizar,

por isso, não estamos a retirar
muita força

dos símbolos nas nossas palavras-passe.

Portanto, este foi um
estudo muito interessante,

e agora tínhamos dados de 470 pessoas,

mas em termos gerais,

não são muitos dados sobre palavras-passe,

e então olhámos à volta para ver

onde poderíamos encontrar
mais dados sobre palavras-passe?

Acontece que há muitas pessoas

por aí a roubar palavras-passe,

e muitas vezes publicam
essas palavras-passe

na Internet.

Assim nós conseguimos ter acesso

a alguns desses conjuntos
de palavras-passe roubadas.

No entanto, isto ainda não é
realmente ideal para a investigação,

porque não é inteiramente claro

de onde vieram todas estas palavras-passe,

ou exatamente quais eram
as políticas que estavam em vigor

quando as pessoas criaram
estas palavras-passe.

Então quisemos encontrar uma
melhor fonte de dados.

Decidimos então que uma
coisa que podíamos fazer

era fazer um estudo e ter pessoas

a criarem, de facto, palavras-passe
para o nosso estudo.

Assim utilizámos um serviço
chamado Amazon Mechanical Turk,

e este é um serviço onde podemos
publicar "on-line"

um pequeno trabalho
que demore um minuto,

alguns minutos, uma hora,

e pague às pessoas, uma moeda de
um centavo, dez centavos, alguns dólares,

para fazerem uma tarefa por nós,

e depois pagamos-lhes
através da Amazon.com

Então pagámos às pessoas 50 centavos

para criarem uma palavra-passe
seguindo as nossas regras

e respondendo a um questionário,

e depois pagámos-lhes
outra vez para voltarem

dois dias depois e fazerem o "login"

utilizando as suas palavras-passe
e respondendo a outro questionário.

Fizemos então isto e recolhemos
5000 palavras-passe,

e demos às pessoas
várias regras diferentes

para criarem as suas palavras-passe.

Então algumas pessoas
tinham uma política muito simples,

a que chamámos Basic8,

e aqui a única regra
era que a palavra-passe

tinha que ter pelo menos oito caracteres.

Depois algumas pessoas tinham
uma política muito mais rígida,

e esta era muito semelhante
à política da CMU,

que tinha quer ter oito caracteres

incluindo maiúsculas, minúsculas,
números, símbolos,

e passar por uma
verificação de dicionário.

E uma de outras políticas que tentámos,

e havia várias outras,

mas uma das que tentámos
era chamada Basic16.

e a única exigência aqui

era que a palavra-passe tinha
que ter pelos menos 16 caracteres.

Muito bem, então tínhamos
5000 palavras-passe,

e então tínhamos informação
muito mais detalhada.

Mais uma vez, vemos que há
apenas um pequeno número

de símbolos que as
pessoas estão a utilizar

nas suas palavras-passe.

Também queríamos ter
uma ideia do quão forte

eram as palavras-passe que
as pessoas estavam a criar,

mas como se devem lembrar,
não há uma boa medida

de força da palavra-passe.

Então o que decidimos foi ver

quanto tempo levaria a
descobrir essas palavras-passe

utilizando as melhores
ferramentas para o efeito

que os "maus da fita" utilizam,

ou sobre as quais conseguimos
encontrar informação

na literatura da investigação.

Então, para vos dar uma ideia
da forma como os "maus da fita"

andam por aí a descodificar
palavras-passe,

eles roubam um ficheiro de palavras-passe

que contém todas as palavras-passe

numa espécie de forma baralhada,
chamada uma "hash",

e, por isso, o que eles fazem é:

dão um palpite sobre
qual é uma palavra-passe,

testam-na através de uma função "hash",

e vêem se corresponde

às palavras-passe que têm na sua
lista de palavras-passe roubadas.

Assim, um malfeitor idiota vai tentar
todas as palavras-passe por ordem.

Vai começar com AAAAA e passar para AAAAB,

e isto vai demorar imenso tempo

até que consiga alguma palavra-passe

que, de facto, seja provável
as pessoas terem.

Um malfeitor esperto, por outro lado,

faz algo muito mais inteligente.

Olha para as palavras-passe

que sejam entendidas como mais populares

nesses conjuntos de
palavras-passe roubadas,

e testa essas primeiro.

Então vai começar por
testar "palavra-passe,"

e depois vai testar
"I love you" e "macaco"

e "12345678",

porque essas são as palavra-passe

que é mais provável as pessoas terem.

De facto, alguns de vocês provavelmente
têm estas palavras-passe.

Então o que descobrimos

ao testar todas estas 5000
palavras-passe que recolhemos

através destes testes para
vermos o quão fortes elas eram,

descobrimos que as palavras-passe longas

eram de facto bastante fortes,

e as palavras-passe complexas
eram também bastante fortes.

No entanto, quando olhámos
para os dados do questionário,

vimos que as pessoas
estavam bastante frustadas

com as palavras-passe muito complexas,

e as palavras-passe longas
eram bastante mais utilizáveis,

e em alguns casos, elas eram

até mais fortes do que
palavras-passe complexas.

Então isto sugere que,

em vez de dizer às
pessoas que elas precisam

de colocar todos esses símbolos e números

e coisas loucas nas suas palavras-passe,

pode ser melhor apenas dizer às pessoas

para terem palavras-passe longas.

Ora aqui está o problema, ainda assim:

Algumas pessoas tinham
palavras-passe longas

que, na verdade, não eram muito fortes.

Podemos criar palavras-passe longas

que ainda são o tipo de coisa

que um malfeitor pode
facilmente adivinhar.

Então, temos que fazer mais do que
apenas considerar palavras-passe longas.

Têm que haver alguns
requisitos adicionais,

e uma parte da nossa investigação
em curso está a tentar perceber

que requisitos adicionais
devemos adicionar

para criar palavras-passe mais fortes

que sejam também fáceis para as pessoas

memorizarem e digitarem.

Outra abordagem para
levar as pessoas a ter

palavras-passe mais fortes é
utilizar um medidor de palavra-passe.

Aqui estão alguns exemplos.

Podem ter visto isto na Internet

quando estavam a criar palavras-passe.

Decidimos fazer um estudo para descobrir

se estes medidores de palavras-passe
de facto funcionavam.

Será que ajudam realmente as pessoas

a terem palavras-passe mais fortes,

e se sim, quais são os melhores?

Então testámos medidores
de palavras-passe que eram

diferentes tamanhos, formas, cores,

diferentes palavras junto deles,

e até testámos um que
era um coelho a dançar.

À medida que digitamos uma
palavra-passe melhor,

o coelho dança cada vez mais rápido.

Então, isto era muito divertido.

O que descobrimos

foi que os medidores de
palavras-passe funcionam mesmo.

(Risos)

A maioria dos medidores de
palavras-passe eram realmente eficazes,

e o coelho dançarino
também era muito eficaz,

mas os medidores de
palavras-passe mais eficazes

foram os que nos deram mais trabalho

até nos darem a sua aprovação e dizerem

que estávamos a fazer um bom trabalho.

e, de facto, descobrimos que a maioria

dos medidores de palavras-passe
que existem na Internet hoje em dia

são demasiado brandos.

Eles dizem-nos que estamos a fazer
um bom trabalho demasiado cedo,

e se simplesmente esperassem um pouco mais

antes de nos darem o
seu "feedback" positivo,

provavelmente teríamos
melhores palavras-passe.

Agora, uma outra abordagem para
melhores palavras-passe talvez

seja utilizar frases em vez de palavras.

Este foi um "cartoon" da
xkcd há alguns anos atrás.

e o cartunista sugere

que todos nós deveríamos
utilizar frases-passe,

e se olharem para a
segunda linha deste "cartoon",

podem ver que o cartunista está a sugerir

que a frase "correto
cavalo bateria agrafo"

seria uma palavra-passe muito forte

e algo muito fácil de memorizar.

Ele diz mesmo que, de facto,
nós já a memorizámos.

E então nós decidimos fazer um estudo

para descobrir se isto era ou não verdade.

Na verdade, todas as
pessoas com quem falámos,

a quem eu disse que estava a fazer
uma investigação sobre palavras-passe,

mencionaram este "cartoon".

"Oh, tu viste? Aquele xkcd.

"Correto cavalo bateria agrafo."

Então nós fizemos uma
investigação para ver

o que iria realmente acontecer.

Então no nosso estudo, utilizámos
a Mechanical Turk outra vez,

e tínhamos o computador a
escolher as palavras aleatórias

na frase-passe.

A razão por que fizemos isto

é que os humanos não são muito bons

a escolher palavras aleatórias.

Se pedíssemos a um humano para o fazer,

ele escolheria coisas que
não são muito aleatórias.

Por isso tentámos algumas
diferentes condições.

Numa das condições,
o computadores escolheu

de um dicionário de palavras muito comuns

da língua inglesa,

e então teríamos frases como

"tentar lá três vem."

E olhámos para isto e dissemos,

"Bem, isto realmente não parece
muito fácil de memorizar."

Então tentámos escolher palavras

que viessem de partes
específicas do discurso,

então que tal
substantivo-verbo-adjetivo-substantivo.

Isto resulta numa espécie de frase.

Então podemos ter uma frase-passe como

"plano constrói seguro poder"

ou "final determina vermelha droga."

E estas pareciam um
pouco mais memorizáveis,

e talvez as pessoas gostassem
um pouco mais destas.

Queríamos compará-las com palavras-passe,

e por isso tínhamos o computador
e escolher palavras-passe aleatórias,

que eram boas e curtas,
mas como podem ver,

não pareciam muito memorizáveis.

E depois decidimos tentar algo chamado

palavra-passe pronunciável.

Então, aqui o computador
escolhe sílabas aleatórias

e junta-as

então temos algo mais
ou menos pronunciável,

como "tufritvi" e "vadasabi."

Esta último enrola um pouco a língua.

Então estas eram palavras-passe aleatórias

geradas pelo nosso computador.

Então o que descobrimos neste
estudo foi que, surpreendentemente,

frases-passe não eram na
verdade assim tão boas.

As pessoas não tiveram muito
mais facilidade em memorizar

as frases-passe do que estas
palavras-passe aleatórias,

e porque as frases-passe eram mais longas,

demoravam mais tempo a digitar

e as pessoas cometiam
mais erros ao digitá-las.

Portanto, não temos realmente
uma vitória clara para frases-passe.

Desculpem, todos os fãs da xkcd.

Por outro lado, descobrimos

que as palavras-passe pronunciáveis

funcionavam surpreendentemente bem,

e, por isso, estamos mesmo
a fazer mais alguns estudos

para ver se podemos fazer com que esta
abordagem funcione ainda melhor.

Um dos problemas

com alguns dos estudos que fizemos

é que, por todos eles terem sido feitos

utilizando a Mechanical Turk,

estas não são as verdadeiras
palavras-passe das pessoas.

São as palavras-passe que elas criaram

ou que o computador criou
por elas para o nosso estudo.

E nós queríamos saber se as pessoas

realmente se comportariam da mesma forma

com as suas palavras-passe reais.

Então, falámos com o gabinete de
segurança informática da Carnegie Mellon

e pedimos-lhes se podíamos ter acesso
às palavras-passe reais de toda a gente.

Como seria de esperar, eles
estavam um pouco relutantes

em partilhá-las connosco,

mas conseguimos de facto criar

um sistema com eles

em que eles puseram
todas as palavras-passe reais

dos 25 000 estudantes, professores
e funcionários da CMU

num computador bloqueado,
numa sala trancada,

sem ligação à Internet,

e eles executaram o código que escrevemos

para analisar estas palavras-passe.

Eles examinaram o nosso código.

Eles executaram o código.

E, por isso, nós realmente
nunca tivemos acesso

a palavras-passe de ninguém.

Conseguimos alguns
resultados interessantes,

e alguns de vós, estudantes
da Tepper, aí ao fundo,

vão ter muito interesse nisto.

Descobrimos que as palavras-passe criadas

por pessoas ligadas à
escola de ciências informáticas

eram na verdade 1,8 vezes mais fortes

do que as das pessoas
ligadas à Escola de Gestão.

Temos muitos outros interessantes

dados demográficos também.

Outra coisa interessante que descobrimos

é que quando comparámos as
palavras-passe da Carnegie Mellon

com as palavras-passe
geradas pela Mechanical Turk,

havia, na verdade, várias semelhanças,

e isto ajudou a validar o
nosso método de investigação

e a provar que recolher palavras-passe

utilizando os estudos da Mechanical Turk

é, de facto, uma forma válida
de estudar palavras-passe.

Isto foram boas notícias.

Ok, eu quero encerrar falando sobre

algumas ideias que adquiri
durante o meu período sabático

no ano passado, na Escola de Arte
da Carnegie Mellon.

Umas das coisas que fiz

foi uma série de colchas,

e eu fiz esta colcha aqui.

Chama-se "Manta de Segurança."

(Risos)

E esta colcha tem as 1000

palavras-passe mais
frequentemente roubadas

do "website" RockYou.

E o tamanho da palavra-passe
é proporcional

à frequência com que aparecem

no conjunto de dados roubados.

E o que eu fiz foi criar
esta "nuvem" de palavras,

e analisar por todas as 1000 palavras,

e categorizá-las em

categorias temáticas soltas.

E foi, em alguns casos,

foi relativamente difícil perceber

em que categoria elas se deviam inserir,

e depois codifiquei-as por cores.

Então, aqui estão alguns
exemplos da dificuldade.

Por exemplo, "justin."

Será o nome do utilizador,

do seu namorado, do seu filho?

Talvez seja um fã do Justin Bieber.

Ou "princesa."

Será uma alcunha?

Serão fãs das princesas da Disney?

Ou talvez seja o nome da sua gata.

"Iloveyou" aparece muitas vezes,

em várias línguas diferentes.

Há muito amor nestas palavras-passe.

Se olharem com atenção,
verão que também há alguns palavrões,

mas foi realmente interessante
para mim constatar

que há muito mais amor do que ódio

nestas palavras-passe.

E há animais,

muitos animais,

e "macaco" é o animal mais comum

e a 14.ª palavra-passe mais comum
em geral.

E achei isto realmente curioso,

e perguntei-me: "Porque é que
os macacos são tão populares?"

E então, no nosso último
estudo às palavras-passe,

cada vez que detetávamos alguém

a criar uma palavra-passe
com a palavra "macaco",

perguntámos-lhes porque tinham
macaco na sua palavra-chave.

E o que descobrimos

— descobrimos 17 pessoas
até agora, eu acho,

que têm a palavra "macaco" —

descobrimos que cerca de um
terço destas pessoas disse

ter um animal de estimação
chamado "macaco"

ou um amigo cuja alcunha é "macaco,"

e cerca de um terço destas pessoas disse

apenas gostar de macacos

e os macacos são realmente fofinhos.

Aquele amigo é mesmo fofinho.

Então, parece que, no final de contas,

quando criamos palavras-passe,

ou criamos algo que seja realmente fácil

de digitar, um padrão comum,

ou coisas que nos lembrem
da palavra palavra-passe

ou a conta para a qual
criámos a palavra-passe,

ou o que quer que seja.

Ou pensamos em coisas
que nos fazem felizes,

e criamos a nossa palavra-passe

baseada em coisas que nos fazem felizes.

E se isto torna o digitar

e o memorizar a nossa
palavra-passe mais divertido,

também torna muito fácil

adivinhar a nossa palavra-passe.

Eu sei que muitas destas palestras TED

são inspiradoras

e que nos fazem pensar em
coisas boas, coisas felizes,

mas quando estiverem a criar
a vossa palavra-passe,

tentem pensar em outra coisa.

Obrigada.

(Aplausos)