Ce problemă are parola ta?

Lorrie Faith Cranor a studiat mii de parole pentru a înțelege greșelile surprinzătoare, foarte frecvente pe care le fac utilizatorii care le compromit securitatea. Și cum, vă puteți întreba, a studiat ea mii de parole reale fără a compromite securitatea vreunui utilizator Sunt date secrete pe care merită să le cunoști, mai ales dacă parola ta este 123456....

Sunt profesor de informatică
aici la Carnegie Mwllon.

Cercetarea mea e axată pe confidențialitate
și securitate utilizabile.

așa că prietenii mei îmi povestesc

despre frustrările lor
legate de sistemele informatice,

îndeosebi cele legate

de confidențialitate și securitate
neutilizabile.

Aud frecvent despre parole.

Pe mulți îi irită parolele.

Nu-i destul

că trebuie să ai o parolă grozavă

pe care ți-o poți aminti,

dar pe care nimeni altcineva
n-o poate ghici.

Dar ce te faci când ai conturi

într-o sută de sisteme diferite

și trebuie să ai o parolă diferită

pentru fiecare?

E cumplit.

La Carnegie Mellon,

înainte era foarte ușor

să ne memorăm parolele.

Cerința pentru parolă până în 2009 inclusiv

era să ai o parolă

cu cel puțin un caracter.

Foarte simplu.
Dar apoi lucrurile s-au schimbat,

și la sfârșitul lui 2009,

au anunțat că vor avea noi reguli,

iar aceste reguli noi cereau

ca parolele să aibă minim opt caractere,

cu literă mare, literă mică,

o cifră, un simbol,

nu puteai folosi același caracter
mai mult de trei ori,

și nu era permis să existe în dicționar.

Când au implementat noile reguli,

multă lume, colegi și prieteni,

au venit și mi-au spus:

„Uff, e anevoios de folosit.

De ce ne fac asta,

și de ce nu i-ai oprit?"

Iar eu le-am răspuns:

„Nu m-au întrebat când le-au schimbat.”

Dar am fost curioasă
și am decis să vorbesc

cu cei care răspundeau
de sistemele informatice

să aflu ce i-a făcut să introducă

aceste noi reguli.

Au spus că universitatea noastră

a intrat într-un consorțiu de universități,

iar una din cerințele pentru a fi membru

era să avem parole mai puternice

care să se conformeze unor cerințe noi

care prevedeau ca parolele

să aibă o entropie mare.

Entropia e un termen complicat,

dar, în esență, măsoară puterea parolelor.

Dar, de fapt, nu exista

o măsurătoare standard pentru entropie.

Ei bine, Institutul Național
de Standarde și Tehnologie

are un set de îndrumări

cu câteva reguli empirice

de măsurat entropia.

Dar nu au nimic explicit

și au doar reguli empirice

pentru că nu au studii serioase

despre parole.

De fapt, raportul lor afirma:

„Din păcate, nu avem multe date

despre parolele alese de utilizatori
după reguli specifice.

INST ar dori să obțină mai multe date

despre parolele efectiv alese de utilizatori

dar administratorii de sistem
sunt evident reticenți

să dezvăluie altora
date referitoare la parolele."

Asta-i o problemă,
dar grupul nostru de cercetare

a luat-o ca pe o oportunitate.

Am spus: „Ei bine, e nevoie de date
despre parole bune.

Poate putem culege date despre parole bune

și să promovăm tiparul cel mai bun.

Primul lucru pe care l-am făcut,

am luat o pungă de bomboane,

ne-am plimbat prin campus
și am stat de vorbă

cu studenții, profesorii și angajații

cerându-le informații

despre parolele lor.

Nu le-am spus: „Dă-ne parola ta".

Doar i-am întrebat despre parolele lor.

Cât e de lungă? Conține vreo cifră?

Are vreun simbol?

Și te-a deranjat că a trebuit să-ți alegi

una nouă săptămâna trecută?

Am obținut răspunsuri de la 470 studenți,

profesori și angajați

și, într-adevăr,
ni s-a confirmat că noile dispoziții

erau enervante,

dar am descoperit că lumea spunea

că se simte mai în siguranță
cu aceste parole noi.

Am constatat că majoritatea știau

că nu trebuie să-și noteze parola,

și doar 13% din ei și-o notaseră,

dar un număr alarmant de 80%

au spus că își reutilizează parola.

Ei bine, asta-i de fapt mai periculos

decât să-ți scrii parola

pentru că te face mult mai expus
la atacuri.

Așa că, dacă simți nevoia,

scrie-ți parolele, dar nu le refolosi.

Am aflat și lucruri interesante

despre simbolurile pe care oamenii
le folosesc la parole.

CMU permite 32 simboluri posibile,

dar după cum vedeți, doar un mic număr

sunt folosite de majoritatea oamenilor

așa că, de fapt,
nu obținem securitate mare

în parolele noastre de la simboluri.

A fost un studiu interesant

și acum aveam date de la 470 de oameni,

dar, per total,

nu reprezintă destule date despre parole.

Am căutat să vedem

unde am putea găsi date suplimentare
despre parole.

Se pare că mulți oameni

care se ocupă cu furatul parolelor

deseori le postează

pe internet.

Așa că am putut accesa

parte din seturile de parole furate.

Totuși, nu e ideal pentru cercetare,

pentru că nu e clar

de unde provin aceste parole,

sau ce reguli funcționau

când utilizatorii au creat aceste parole.

Așa că am dorit să găsim
surse mai bune de date.

Am decis că singurul lucru

era să facem un studiu în care utilizatorii

să creeze parole pentru accesarea studiului.

Am folosit un serviciu numit
Amazon Mechanical Turk,

prin care poți posta online

o solicitare care durează un minut,

câteva minute, o oră,

și plătești contributorii
un penny, zece cenți, câțiva dolari,

ca să ți-o facă,

iar apoi îi plătești prin Amazon.com.

Așa că am plătit oamenilor vreo 50 de cenți

ca să-și creeze o parolă
după regulile noastre

și să răspundă la un chestionar,

iar apoi i-am plătit din nou să revină

peste două zile și să se logheze

folosind parola nou creată
și să răspundă la un alt chestionar.

Așa am colectat 5000 parole

dând oamenilor o serie
de instrucțiuni diferite

după care să-și creeze parolele.

Unii au avut instrucțiuni simple,

pe care le numim Basic8,

după care singura regulă era ca parola

să aibă cel puțin opt caractere.

Alții au avut instrucțiuni mai dificile,

asemănătoare instrucțiunilor CMU,

parola trebuia să aibă opt caractere

să includă literă mare, mică, cifră, simbol,

și să nu fie în dicționar.

Alte instrucțiuni pe care le-am încercat,

au fost multe altele,

dar cel pe care l-am încercat
a fost Basic16,

singura cerință fiind

ca parola să aibă minim 16 caractere.

Acum aveam 5000 de parole,

și informații mult mai detaliate.

Din nou, vedem că există puține simboluri

pe care oamenii le folosesc

în parolele lor.

Am vrut de asemenea să ne facem o idee

cât de puternice
erau parolele pe care le creau.

Dar, vă amintiți,
nu există un mod exact de a măsura

puterea unei parole.

Așa că am decis să vedem

cât ar dura să spargem parolele

folosind cele mai bune programe

folosite de băieții răi,

sau despre care am putut găsi informații

în literatura de cercetare.

Să vă faceți idee cum procedează

băieții răi când sparg parolele:

fură un fișier de parole

care are toate parolele

într-o formă codificată, numit haș,

și încearcă să ghicească

parola,

o trec printr-o funcție de hașare

și văd dacă se potrivește

cu parolele de pe lista de parole furate.

Un atacator prost va încerca
fiecare parolă la rând.

Va începe cu AAAAA și va trece la AAAAB,

și îi va lua o groază de timp

până să obțină o parolă

foarte probabil ca utilizatorii s-o aibă.

Un atacator deștept, pe de altă parte,

face ceva mult mai inteligent.

Se uită la parolele

despre care se știe că sunt des întâlnite

din seturile de parole furate,

și le ghicește întâi pe acelea.

Începe prin a ghici „parolă",

iar apoi vor ghici „te iubesc" și „maimuță"

și „12345678",

pentru că acestea sunt parolele

pe care foarte probabil le au utilizatorii.

De fapt, probabil că unii dintre dvs.
aveți aceste parole.

Deci am aflat,

trecând cele 5000 de parole colectate

prin aceste teste pentru a vedea
cât de puternice sunt,

am constatat că parolele lungi

erau chiar foarte puternice,

iar parolele complexe și ele.

Totuși, când ne-am uitat
la datele studiului,

am văzut că utilizatorii erau
foarte frustrați

din cauza parolelor complexe,

iar parolele lungi erau mai practice,

iar în unele cazuri, erau chiar

mai puternice decât parolele complexe.

Asta sugerează că,

în loc să le spunem utilizatorilor

să pună toate acele simboluri și numere

și aiureli în parolele lor,

ar fi mai bine dacă le-am spune

doar să aibă parole lungi.

Există totuși o problemă:

Unii utilizatori aveau parole lungi

care totuși nu erau foarte puternice.

Poți face parole lungi

pe care

un atacator le poate ghici cu ușurință.

Așa că trebuie mai mult decât
doar să cerem parole lungi.

Trebuie să existe cerințe suplimentare.

O cercetare curentă studiază

cerințele suplimentare ce ar trebui adăugate

pentru parole mai puternice,

dar ușor pentru utilizatori

de reținut și de tastat.

O altă abordare în determinarea
utilizatorilor să aleagă

parole mai puternice
e folosirea unui contor de parole.

Iată câteva exemple.

Poate le-ați văzut pe internet

când v-ați creat parole.

Am decis să facem un studiu să aflăm

dacă aceste contoare de parole
chiar funcționează.

Chiar îi ajută pe utilizatori

să aleagă parole mai puternice,

și dacă da, care sunt mai bune?

Așa că am testat contoare de parole

cu diferite mărimi, forme, culori,

cu diferite cuvinte lângă ele,

am testat și unul cu un iepuraș care țopăia.

Cu cât parola era mai bună,

iepurașul țopăia mai repede.

Era foarte amuzant.

Am aflat că aceste contoare

chiar funcționează.

(Râsete)

Majoritatea contoarelor de parole
au fost eficace,

iar iepurașul țopăitor
a fost și el foarte eficace,

dar cele mai eficace contoare de parole

au fost cele care te făceau
să muncești mai mult

până să-ți dea OK-ul și să spună

că ai făcut treabă bună.

De fapt am constatat că majoritatea

contoarelor de parole actuale de pe internet

sunt prea slabe.

Iți spun că ai făcut treabă bună
prea devreme

și dacă ar aștepta doar puțin

înainte de reacția pozitivă

probabil ați avea parole mai bune.

O altă abordare pentru parole
mai bune, poate,

e de a folosi expresii în loc de cuvinte.

Asta-i o bandă desenată xkcd
de acum doi ani,

unde autorul propune

să folosim cu toții expresii parolă.

Dacă vă uitați la al 2-lea rând
din banda desenată

îl vedeți pe autor sugerând

că expresia parolă
„Corect cal baterie capsă"

ar fi o expresie parolă foarte puternică

și ceva foarte ușor de reținut.

El spune că de fapt deja v-ați amintit-o.

Am hotărât să facem o cercetare

pentru a afla dacă e adevărat sau nu.

De fapt, toți cu care am vorbit,

și cărora le-am menționat
că fac o cercetare despre parole,

mi-au indicat această bandă desenată.

„O, ai văzut-o? Aia cu xkcd.

Corect cal baterie capsă."

Am făcut cercetarea pentru a vedea

ce s-ar întâmpla în realitate.

Așa că în studiul nostru
am folosit din nou Mechanical Turk,

și am pus calculatorul să aleagă
cuvinte la întâmplare

pentru expresia parolă

Am făcut asta

pentru că oamenii nu se pricep bine

să aleagă cuvinte la întâmplare.

Dacă i-am cere unui om s-o facă,

ar alege ceva care nu ar fi aleator.

Am încercat câteva variante diferite.

Într-o variantă, calculatorul a ales

dintr-un dicționar cu cuvinte
foarte obișnuite

în limba engleză

așa că obțineai expresii ca

"încerca acolo trei veni".

Ne-am uitat la ea și am spus

„Asta nu pare ușor de reținut."

În continuare am ales cuvinte

care să fie părți de vorbire specifice,

cum ar fi
substantiv-verb-adjectiv-substantiv.

Care să aducă ceva
care să semene cu o propoziție.

Așa poți obține o parolă ca

"plan construiește sigură putere"

sau "scop determină drog roșu".

Astea păreau puțin mai ușor de memorat,

și poate oamenii le-ar agrea ceva mai mult.

Am vrut să le comparăm cu parole,

deci am cerut calculatorului
să aleagă parole aleatorii.

Erau drăguțe și scurte, după cum vedeți,

nu par de loc ușor de memorat.

Apoi am decis să încercăm ceva numit

parolă pronunțabilă.

Calculatorul alege silabe aleatorii

și le unește

ca să obții ceva pronunțabil

cum ar fi „tufritvi" și „vadasabi".

Asta parcă se rostește ușor.

Astea au fost parole aleatorii

generate de calculatorul nostru.

Am aflat în acest studiu
că, surprinzător,

expresiile parolă nu sunt de fapt
chiar așa de bune.

Utilizatorii nu memorau mai bine

expresiile parolă
decât aceste parole aleatorii,

și pentru că expresiile parolă
sunt mai lungi,

a durat mai mult să le tasteze

și utilizatorii au făcut
mai multe greșeli tastându-le.

Așa că balanța nu înclină clar
în favoarea expresiilor parolă.

Cu părere de rău
pentru fanii xkcd aici de față.

Pe de altă parte, am constatat

că parolele pronunțabile

au funcționat surprinzător de bine

așa că facem acum altă cercetare

să vedem dacă putem
îmbunătăți acele abordări.

Una din problemele

unor studii pe care le-am făcut

este că toate sunt făcute

cu Mechanical Turk,

parolele nu sunt cele
real folosite de utilizatori.

Sunt parole create de ei

sau de calculator pentru ei
în scopul studiului.

Noi voiam să știm dacă utilizatorii

s-ar comporta similar

cu parolele lor reale.

Am vorbit la biroul de siguranța
informațiilor de la Carnegie Mellon

și i-am întrebat dacă am putea avea
parolele reale ale tuturor.

Cum era de așteptat,
au fost cam reticenți

să ni le împărtășească.

Dar am putut elabora împreună

un sistem prin care

puneau toate parolele reale

ale celor 25.000 de studenți,
profesori și angajați CMU

într-un calculator codificat
într-un birou codificat,

care nu era conectat la internet

și i-au dat un cod pe care l-am scris noi

pentru a analiza aceste parole.

Ei ne-au verificat codul.

Ei au aplicat codul.

Astfel că noi n-am văzut niciodată

vreo parolă.

Am obținut rezultate interesante,

și voi, studenții de la Tepper,

veți fi foarte interesați de ele.

Am constatat că parolele create

de utilizatorii de la
facultatea de informatică

au fost de 1,8 ori mai puternice

decât cele de la facultatea de business.

Avem și alte informații demografice

cu adevărat interesante.

Alt lucru interesant
pe care l-am descoperit

comparând parolele
de la Carnegie Mellon

cu cele generate de Mechanical Turk:

am găsit multe similarități.

Asta ne-a validat metoda de cercetare,

arătând că, realmente, colectarea parolelor

folosind studiile cu Mechanical Turk

e un mod valid de a studia parole.

Deci astea au fost vești bune.

Aș vrea să închei spunându-vă

despre noi perspective câștigate
anul trecut sabatic

la facultatea de arte
de la Carnegie Mellon.

Un lucru pe care l-am făcut,

am confecționat niște cuverturi

printre care și aceasta

numită „Pătura de siguranță."

(Râsete)

Cuvertura conține cele mai frecvente 1000

de parole furate

de pe site-ul RockYou.

Mărimea parolelor e proporțională

cu frecvența apariției lor

în baza de date furată.

Și am creat acest cloud de cuvinte

și am trecut prin toate
cele 1000 de cuvinte

și le-am categorizat

în categorii tematice vagi.

Iar în unele cazuri

a fost dificil să-mi dau seama

în ce categorie ar trebui să fie,

și atunci le-am dat un cod de culori.

Iată câteva exemple de dificultate.

Deci „justin"

este numele utilizatorului,

al iubitului, al fiului?

Poate e un fan al lui Justin Bieber.

Sau parola „prințesă":

este o poreclă?

Sunt autorii fani ai prințesei Disney?

Sau poate e numele pisicii lor.

„teiubesc" apare de multe ori

în multe limbi diferite.

E multă dragoste în aceste parole.

Dacă vă uitați cu atenție,

vedeți că sunt și înjurături,

dar a fost interesant să văd

că e mai multă dragoste decât ură

în aceste parole.

Și sunt animale,

multe animale,

iar „maimuță" e animalul cel mai frecvent

și a 14-a cea mai utilizată
parolă în general.

Asta mi s-a parut curios,

m-am întrebat: de ce sunt maimuțele
atât de populare?

Așa că în ultimul nostru studiu
despre parole,

de fiecare dată când am detectat pe cineva

care crease o parolă conținând
cuvântul „maimuță",

i-am întrebat de ce a pus maimuța
ca parolă.

Și ce am aflat --

am aflat 17 utilizatori până acum, cred,

care au cuvântul „maimuță" --

Aproximativ o treime au spus

că au un animal de companie
numit „maimuță"

sau un prieten cu porecla „maimuță" ,

iar o treime din ei au spus

că le plac maimuțele

pentru că maimuțele sunt drăguțe.

Și tipul acela e chiar drăguț.

Așa că, până la urmă,

când creem parole,

fie creem ceva care e foarte ușor

de tastat, un model obișnuit,

sau lucruri care ne amintesc
de cuvântul parolă

sau de contul pentru care am creat parola,

sau orice altceva.

Sau ne gândim la lucruri
care ne fac fericiți,

și ne creem parola

pe baza lucrurilor care ne fac fericiți.

Asta face tastarea

și reținerea parolei mai distractive,

dar, pe de altă parte, și ghicirea

parolei e mai ușor de realizat.

Știu că multe prezentări TED

inspiră

și te fac să te gândești
la lucruri frumoase, fericite,

dar când vă creați parola

încercați să vă gândiți la altceva.

Vă mulțumesc.

(Aplauze)