Что не так с вашим паролем?

Лорри Фэйт Крэнор изучила тысячи паролей, чтобы выяснить, какие удивительные и очень распространённые ошибки совершаются пользователями и даже персоналом защищённых объектов. И как же, спросите вы, она изучила тысячи настоящих паролей, не ставя под угрозу безопасность пользователей? Это отдельная история. Это секретная информация, которую стоит узнать, особенно, если ваш пароль — 123456...

Я профессор информатики и инженерии здесь,
в Университете Карнеги-Меллон.

Я занимаюсь исследованием
полезной конфиденциальности и безопасности,

поэтому друзья любят делиться со мной

своими огорчениями,
связанными с компьютерами,

особенно теми, которые касаются

бесполезной конфиденциальности
и безопасности.

Мне часто приходится
слышать о паролях.

Многих людей пароли расстраивают

уже одним тем, что приходится

придумывать действительно
хороший пароль,

который легко запомнить

и который никому не взломать.

Но что, если у вас сотни учётных записей

в различных системах,

и нужно иметь уникальный пароль

для каждой из них?

Это нелёгкая задача.

Раньше в Карнеги-Меллон

нам было довольно легко

запоминать наши пароли.

До 2009 года требовалось,

чтобы пароль

содержал хотя бы один знак.

Легко.
Но затем требования изменились,

и с конца 2009 года

были введены новые правила,

согласно которым

пароли должны состоять
хотя бы из 8 знаков,

с одной заглавной,
одной строчной буквой,

цифрой, специальным символом,

нельзя использовать
один и тот же знак более трёх раз,

и пароля не должно быть в словаре.

Когда новые правила были введены,

многие мои коллеги и друзья

пришли ко мне и сказали:

«Ну и ну! Этим невозможно пользоваться!

За что они с нами так поступают?

Почему ты их не остановила?»

Я ответила: «Знаете что?

Меня никто и не спрашивал».

Но мне стало любопытно,
и я решила поговорить

с людьми,
отвечающими за наши компьютеры,

и выяснить, что же заставило их

ввести новые правила.

Мне ответили, что университет

вступил в Ассоциацию университетов,

и одним из требований для её членов

является наличие
более надёжных паролей,

отвечающих новым условиям.

Этим условием было наличие в паролях

информационной энтропии.

Информационная энтропия —
сложный термин.

Говоря проще, он показывает,
насколько надёжен пароль.

Проблема в том, что не существует

стандартной меры энтропии.

Национальный институт
стандартов и технологий

имеет ряд инструкций,

содержащих общие правила

измерения информационной энтропии,

однако они не носят
конкретного характера,

и причина этого в том,

что у Института недостаточно данных

о паролях.

Фактически, в их отчёте говорится:

«К сожалению, мы не располагаем данными

о паролях, выбираемых пользователями
согласно правилам.

Институту хотелось бы получить
больше данных

о паролях,
которые выбираются на самом деле,

но, по понятным причинам,
системные администраторы

делятся ими неохотно».

Задача трудная,
но наша исследовательская группа

увидела в ней хорошую возможность.

Мы сказали:
«Существует нехватка данных о паролях.

Мы могли бы собрать такие данные

и изменить положение дел».

Первое, что мы сделали, —

мы взяли мешок с шоколадками

и прошлись по территории университета,

разговаривая со студентами
и преподавателями.

Мы задавали им вопросы

об их паролях.

Мы не просили их раскрывать пароли.

Мы просто спрашивали про них.

Какой они длины? Есть ли в них цифры?

Содержат ли они специальные символы?

Были ли вы раздражены,
когда вам пришлось

создать новый пароль
на прошлой неделе?

Мы собрали результаты опроса
470 студентов,

преподавателей и сотрудников,

и подтвердился тот факт,
что новые правила

всех очень раздражали.

Но люди также говорили,

что с новыми паролями они чувствовали себя
более защищёнными.

Мы узнали,
что большинство людей знает,

что нельзя записывать свой пароль
на бумажку, —

так поступают только
13% опрошенных —

но, что настораживает,
80% людей признались

в использовании одного пароля
по несколько раз.

На самом деле, это ещё опаснее,

чем записывать пароль на бумажку,

потому что это делает вас
гораздо более уязвимыми перед хакерами.

Лучше уж записать пароль,

но не использовать его повторно.

Мы также узнали интересные факты о том,

как люди используют в паролях
специальные символы.

В Карнеги-Меллон можно использовать
32 специальных символа,

но, как видите,
только небольшое их число

на самом деле используется,

поэтому символы
не делают наши пароли

намного надёжнее.

Это было интересное исследование:

мы получили данные от 470 человек,

но, по большому счёту,

это не так много,

поэтому мы стали искать, где ещё

можно достать данные о паролях.

Оказывается, полно людей,

занимающихся воровством паролей,

и они часто публикуют их

в Интернете.

Нам удалось заполучить

несколько таких подборок
украденных паролей.

Конечно, для исследования
это не идеальный вариант,

так как непонятно,

откуда все эти пароли взялись

и какие правила действовали,

когда люди их создавали.

Нам хотелось найти
источник данных получше.

Поэтому мы решили

провести исследование
и попросить людей

по-настоящему создать для него пароли.

Мы использовали сервис под названием
Amazon Mechanical Turk.

Он позволяет размещать

небольшие задания в интернете,

занимающие минуту, пару минут
или час,

и платить один, десять центов
или несколько долларов

за их выполнение

через сайт amazon.com.

Мы платили людям около 50 центов

за то, чтобы они создали пароль,
следуя нашим правилам,

и ответили на наши вопросы.

Затем мы снова платили им за то,
чтобы они вернулись

через два дня, вошли на сайт,

используя свой пароль,
и ответили на другие вопросы.

Мы собрали 5 000 паролей.

Мы задавали участникам
множество разных правил

создания паролей.

Некоторым попадалось
простое правило,

мы называем его «Базовая восьмёрка»,

единственное условие которого —
пароль должен содержать

хотя бы 8 знаков.

Некоторым попадались
правила посложнее,

похожие на правила Карнеги-Меллон:

пароль должен содержать 8 знаков,

включая заглавную и строчную буквы,
цифру, специальный символ,

и пройти проверку словарём.

Другой набор правил —

а их было много —

названный нами «Базовые шестнадцать»,

требовал только одно:

пароль должен был содержать
хотя бы 16 знаков.

Итак, у нас было 5 000 паролей,

более детальная информация.

И снова мы видим,
что существует лишь небольшое число

специальных символов, используемых людьми

в паролях.

Мы также хотели понять,
насколько надёжны

были пароли,
созданные нашими участниками.

Но, как вы помните,
хорошего стандарта измерения

надёжности паролей не существует.

Мы решили посмотреть,

сколько времени займёт их расшифровка

с помощью лучших приёмов

из арсенала злоумышленников

или тех способов,
о которых мы нашли информацию

в научной литературе.

Как злоумышленники

взламывают пароли?

Они крадут файл, в котором содержатся

хеш-значения паролей, другими словами —

пароли в зашифрованном виде.

Затем они пытаются

угадать пароль

с помощью хеш-функции

и смотрят, совпадает ли он

с паролями из украденного списка.

Не слишком умные хакеры
проверяют все пароли по порядку.

Начиная с ААААА, затем ААААВ —

пройдёт очень много времени

прежде чем они получат пароли,

которые реально создаются пользователями.

Толковые хакеры

действуют гораздо умнее.

Они берут пароли,

чаще всего встречающиеся

в украденных наборах хеш-значений паролей,

и начинают попытки взлома с них.

Они начнут со слова «пароль»,

затем возьмут «я тебя люблю»
и «обезьянка»,

а затем «12345678».

Именно эти пароли

люди выбирают чаще всего.

Наверняка у кого-то из вас
пароли именно такие.

В своём исследовании,

проверив все 5 000 собранных паролей

с помощью тестов на надёжность,

мы обнаружили, что длинные пароли

довольно надёжны.

Сложные пароли тоже.

Однако результат опросов показал,

что сложные пароли

очень раздражают людей,

а длинные пароли гораздо удобнее.

В некоторых случаях длинные пароли

оказывались даже надёжнее сложных.

Можно заключить,

что вместо того, чтобы

использовать специальные символы, цифры

и другие безумные штуки в паролях,

гораздо эффективнее

просто иметь длинные пароли.

Однако здесь кроется проблема:

некоторые длинные пароли

были не так уж и надёжны.

Можно придумать длинный пароль,

который всё равно

будет с лёгкостью угадан взломщиком.

Получается, нужно что-то большее,
чем просто длинные пароли.

Нужны дополнительные условия.

Некоторые наши текущие исследования

изучают необходимые
дополнительные условия того,

как сделать пароли более надёжными

и в тоже время лёгкими

для запоминания
и набора на клавиатуре.

Ещё один способ
заставить людей создавать

надёжные пароли —
использовать индикатор надёжности.

Вот несколько примеров.

Возможно, вы видели их в Интернете,

когда создавали пароли.

Мы решили исследовать,

действительно ли
индикаторы надёжности работают.

Действительно ли они помогают

создавать более надёжные пароли,

и, если да, то какие индикаторы лучше?

Мы протестировали
индикаторы надёжности паролей

различных размеров, форм и цветов,

с разными инструкциями

и даже с танцующим кроликом.

Когда вы вводите
более надёжный пароль,

кролик начинает танцевать быстрее.

Довольно весело.

Мы обнаружили,

что индикаторы
действительно работают.

(Смех)

Большинство из них
довольно эффективны,

танцующий кролик тоже,

но самые эффективные
индикаторы надёжности —

те, которые заставляют вас попотеть,

прежде чем дают добро

вашему паролю.

Как оказалось, большинство

индикаторов надёжности
в сегодняшнем Интернете

не слишком строги.

Они слишком рано сообщают о том,
что вы на правильном пути.

Если бы они подождали
совсем чуть-чуть,

прежде чем выразить вам одобрение,

ваш пароль, скорее всего,
был бы лучше.

Ещё один вероятный путь
к надёжным паролям —

использование фраз вместо слов.

Это комикс «xkcd»
примерно двухлетней давности.

Его автор советует

использовать в паролях фразы.

Если вы посмотрите
на второй ряд комикса,

то увидите, что автор предлагает

фразу «верно лошадь батарея скрепка»

в качестве надёжного пароля,

который очень легко запомнить.

Он говорит:
«Да вы это уже запомнили».

Мы решили выяснить,

так ли это на самом деле.

Кстати, все,
с кем я разговариваю

и упоминаю свою работу с паролями,

вспоминают этот комикс.

«Ты видела «xkcd»?

Верно лошадь батарея скрепка».

Мы провели исследование,

чтобы узнать,
как всё обстоит на самом деле.

Мы снова использовали сервис
Mechanical Turk

и заставили компьютер выдать
случайные слова

для фразы-пароля.

Мы сделали это потому,

что люди не очень хорошо умеют

подбирать слова случайно.

Если бы мы попросили людей,

они бы подобрали слова,
не являющиеся случайными.

Мы протестировали
несколько разных условий.

В одном случае
компьютер выбирал слова

из обычного словаря

английского языка.

Получались фразы вроде

«попытка там три приходить».

Мы подумали и сказали:

«Нет, это трудно запомнить».

Тогда мы попытались подбирать слова,

являющиеся
определёнными частями речи, —

существительное — глагол —
прилагательное — существительное.

Это уже даёт нам что-то похожее
на предложение.

Можно получить фразу

«план строить твёрдую власть»

или «конец определяет
красное лекарство».

Это оказалось легче запомнить,

и, возможно, людям бы это
понравилось больше.

Мы хотели сравнить фразы-пароли
со словами

и заставили компьютер
сгенерировать случайные слова,

которые были короткими,
но, как видите,

не очень запоминающимися.

Тогда мы решили испытать то,

что называется
«произносимый пароль».

Компьютер подбирает случайные слоги,

складывает их вместе,

и вы получаете нечто произносимое,

например, «туфритви» или «вадасаби».

Этот вообще приятно произносить.

Это случайные пароли,

сгенерированные нашим компьютером.

Исследование показало,
как ни удивительно,

что пароли-фразы не так уж и хороши.

Люди на самом деле
не запоминали их лучше,

чем случайные пароли,

а из-за того, что они длиннее,

их приходилось дольше вводить,

и люди при этом
совершали больше ошибок.

То есть пароли-фразы не смогли одержать
явную победу.

Простите меня, фанаты «xkcd».

С другой стороны, мы убедились,

что произносимые пароли

работают на удивление хорошо,

и теперь мы проводим
больше исследований,

чтобы узнать, можно ли этот подход
сделать ещё эффективнее.

Одна из трудностей,

возникших в этих исследованиях, —

то, что они все проводились

с использованием сервиса
Mechanical Turk,

это не были настоящие пароли.

Эти пароли создавались людьми

или компьютером
в исследовательских целях.

Мы же хотели узнать, будут ли люди

вести себя таким же образом,

придумывая настоящие пароли.

Мы поговорили с отделом информационной
безопасности Карнеги-Меллон

и спросили, можем ли мы получить
настоящие пароли пользователей.

Как и следовало ожидать,
им не хотелось

ничего нам раскрывать,

однако мы вместе смогли

придумать выход:

они собрали все настоящие пароли

25 000 студентов,
преподавателей и персонала

на защищённом компьютере
в запертой комнате

без подключения к Интернету.

Была запущена
написанная нами программа

анализа паролей.

Они сами проверили

и запустили нашу программу.

Так что мы даже не видели

ни одного пароля своими глазами.

Мы получили интересные результаты.

Студентам Бизнес-школы Теппера
на заднем ряду

будет очень интересно.

Обнаружилось, что пароли, созданные

людьми из Школы информатики,

были в 1,8 раза надёжнее,

чем пароли тех,
кто связан с Бизнес-школой.

Мы получили и много другой

демографической информации.

Интересно также,

что, сравнив пароли Карнеги-Меллон

с паролями,
сгенерированными Mechanical Turk,

мы нашли много похожего,

убедились в правильности нашего метода

и показали, что сбор паролей

с помощью Mechanical Turk —

вполне достоверный способ
их изучать.

Это хорошие новости.

Я хочу завершить рассказом

о своих наблюдениях
во время творческого отпуска

в Школе искусств Карнеги-Меллон
в прошлом году.

Помимо всего прочего,

я сшила несколько лоскутных одеял,

таких как вот этот.

Он называется «Одеяло безопасности».

(Смех)

На этом одеяле

1 000 самых распространённых паролей,
украденных

с сайта RockYou.

Размер паролей
прямо пропорционален тому,

насколько часто они появляются

в украденных базах данных.

Я создала словарное облако,

разобрала все 1 000 слов

и распределила их

по достаточно свободным категориям.

В некоторых случаях

было сложно определить,

к какой категории
принадлежит то или иное слово.

Каждой категории я задала свой цвет.

Вот пара примеров сложностей.

Слово «джастин».

Что это? Имя пользователя,

или любимого человека, или сына?

Может, это поклонник Джастина Бибера?

Или «принцесса».

Это прозвище?

Придумано фанатом
диснеевских принцесс?

Или это кошачье имя?

«Ятебялюблю»
неоднократно появляется

на многих языках.

Эти пароли дышат любовью.

Если присмотреться, можно найти

и сквернословия.

Но интересно было то, что я увидела

гораздо больше любви, чем ненависти

в этих паролях.

Здесь есть и животные —

много животных —

и «обезьянка» —
самое распространённое из них

и 14-е в списке
самых популярных паролей.

Мне стало очень любопытно,

я подумала:
«Почему обезьянки так популярны?»

В нашем последнем исследовании

каждый раз, когда мы видели,

что кто-то создавал пароль
со словом «обезьянка»,

мы спрашивали, почему.

Мы обнаружили —

а всего мы нашли 17 человек,

использовавших это слово, —

около трети опрошенных сказали,

что их домашнего любимца
зовут Обезьянка

или у них есть друг с таким прозвищем.

Ещё треть людей сказали,

что им просто нравятся обезьянки,

они ведь действительно милые.

Посмотрите, какой он хорошенький.

Кажется, в конечном итоге,

когда мы придумываем пароль,

мы либо создаём что-то очень простое

для введения,
какую-то общую закономерность,

или что-то, что напоминает нам
само слово «пароль»,

или саму учётную запись,
для которой мы его создаём,

или «всёравно».

Либо же мы думаем о том,
что приносит нам счастье.

Мы создаём пароль,

исходя из того,
что делает нас счастливыми.

И хотя это делает введение

и запоминание пароля
более занимательным,

это также делает его

более уязвимым.

Многие выступления на TED

вдохновляют

и навевают мысли о прекрасных,
замечательных вещах.

Но когда вы придумываете пароль,

лучше подумайте о чём-нибудь другом.

Спасибо.

(Аплодисменты)