Čo je zlé na vašom he$1e?

Lorrie Faith Cranor preskúmala tisíce skutočných hesiel, aby zistila, aké prekvapujúce a časté chyby robia používatelia aj zabezpečené stránky a môžu tak ohroziť svoju bezpečnosť. Ako skúmala tieto heslá bez toho, aby ohrozila bezpečnosť používateľov? To je príbeh sám osebe. Je to niečo, čo by ste mali vedieť, hlavne ak je vaše heslo 123456...

Na Univerzite Carnegie Mellon (CMU)
vyučujem informatiku

a skúmam hlavne použiteľnosť
ochrany súkromia a bezpečnosti.

Známi mi preto hovoria o prípadoch,
keď im počítače idú na nervy,

hlavne, ak sa ich znechutenie týka

nepoužiteľnej ochrany súkromia
a bezpečnosti.

Veľa toho počujem práve o heslách.

Mnohých ľudí heslá otravujú.

Nie je to jednoduché,
keď máte mať 1 skutočne dobré heslo,

ktoré si vy zapamätáte,
ale nikto iný ho nedokáže uhádnuť.

Čo však máte robiť,
keď máte stovky rôznych účtov

a pre každý z nich máte mať
skutočne jedinečné heslo?

To je už ťažšie.

V minulosti sa heslo na CMU
dalo zapamätať celkom ľahko.

Až do konca roku 2009 existovala
len jedna požiadavka na heslo.

Muselo mať aspoň 1 znak.

To bolo ľahké.
Potom sa veci zmenili.

Koncom toho roku nám oznámili,
že začína platiť nové nariadenie,

podľa ktorého bude heslo
musieť mať dĺžku aspoň 8 znakov,

veľké a malé písmená,
číslicu a symbol.

Znak sa nesmel opakovať viac ako trikrát
a slovo nesmelo byť v slovníku.

Keď s tým prvýkrát prišli,

veľa ľudí, kolegov a priateľov,
za mnou prišlo so slovami:

„To je nepoužiteľné.

Prečo nám to robia
a prečo si ich nezastavila?“

Odpovedala som, že mňa sa neopýtali.

Zo zvedavosti som sa však rozhodla,
že sa pôjdem zodpovedných opýtať,

prečo to zaviedli.

Odpovedali, že univerzita
sa stala členom konzorcia univerzít

a jedna z podmienok členstva bola,

že musíme mať silnejšie heslá,
ktoré budú spĺňať nové požiadavky.

Jednou z požiadaviek bola
vysoká entropia hesiel.

Entropia síce znie zložito,
ale v podstate meria silu hesla.

Problémom je, že neexistuje
štandard pre meranie entropie.

Národný inštitút štandardov
a technológií má určité pokyny,

ktoré obsahujú všeobecné odporúčania
na meranie entropie,

ale nemá žiadne presné pravidlá.

Môžu ponúknuť len odporúčania,

pretože nemajú skutočne
hodnotné údaje o heslách.

V ich správe je uvedené:

„Nemáme veľa údajov o heslách

vytvorených používateľmi
podľa určitých pravidiel.

Radi by sme získali viac údajov
o skutočných heslách používateľov,

ale je pochopiteľné, že administrátori
nie sú ochotní takéto údaje prezradiť.“

Je to problém, ktorý sme sa rozhodli
vnímať ako príležitosť.

Povedali sme si:

„Ak sú potrebné hodnotné údaje,
možno by sme ich mohli získať

a prispieť k pokroku v tejto oblasti.“

Ako prvé sme zobrali za tašku tyčiniek

a v areáli univerzity sme si
od študentov a zamestnancov

pýtali informácie o ich heslách.

Nechceli sme od nich konkrétne heslá.

Chceli sme len všeobecné informácie.

Aké sú dlhé? Majú číslicu alebo symbol?

Nahnevalo vás,
že ste si museli vytvoriť nové?

Získali sme údaje
od 470 študentov a zamestnancov

a potvrdilo sa nám,
že nové nariadenie išlo ľuďom na nervy,

ale zistili sme aj to,

že vďaka nových heslám
sa cítili bezpečnejšie.

Zistili sme, že väčšina ľudí vedela,
že si nemajú heslá zapisovať

a len 13 % si ich zapisovalo.

Znepokojujúce však bolo, že 80 % ľudí
používalo to isté heslo viackrát,

čo je ešte nebezpečnejšie
ako si ho niekde zapísať,

pretože tak ste náchylnejší
podľahnúť útokom.

Ak musíte, heslo si radšej zapíšte,
ale nepoužívajte ho viackrát.

Zistili sme aj zaujímavé veci
o symboloch, ktoré ľudia používajú.

CMU dáva na výber z 32 symbolov,

ale ako vidíte, väčšina ľudí
používa len niektoré z nich,

takže to, že je v hesle symbol,
neznamená, že heslo je silnejšie.

Bola to skutočne zaujímavá štúdia
a získali sme údaje od 470 ľudí,

čo však vo všeobecnosti
nie je až také veľké množstvo.

Hľadali sme spôsob,
ako získať ďalšie údaje o heslách.

Ukázalo sa, že existuje veľa ľudí,
ktorí kradnú heslá iných ľudí

a často ich aj zverejnia na internete.

Získali sme prístup

k niekoľkým súborom s ukradnutými heslami.

Neboli však pre náš výskum ideálne,
pretože ich pôvod nebol úplne jasný

a nepoznali sme ani nariadenia,
podľa ktorých ich ľudia vytvorili.

Chceli sme teda nájsť lepší zdroj údajov.

Rozhodli sme sa pre štúdiu,

počas ktorej by ľudia pre nás
heslá skutočne vytvárali.

Využili sme internetový trh Amazon MTurk,

kde môžete online zverejniť
jednoduchú úlohu,

ktorá bude trvať minútu,
pár minút, či hodinu

a ľuďom za jej vykonanie zaplatíte
cent, 10 centov, či pár dolárov

prostredníctvom Amazonu.

Zaplatili sme ľuďom 50 centov,

aby podľa našich pravidiel
vytvorili heslá a vyplnili dotazník

a potom ešte raz,

aby sa o 2 dni neskôr tým heslom
prihlásili a vyplnili ďalší dotazník.

Týmto spôsobom sme získali 5000 hesiel,

pričom sme ľuďom dali rôzne pravidlá,
ako vytvoriť heslá.

Niektorí to mali celkom ľahké,

napríklad pri Basic 8
bola jediná požiadavka,

že heslo muselo mať aspoň 8 znakov.

Iní to mali oveľa ťažšie
a museli dodržať pravidlá ako na CMU,

teda heslo muselo mať 8 znakov,

vrátane malých a veľkých písmen,
číslice, symbolu

a nesmelo byť v slovníku.

Jedno z pravidiel, ktoré sme skúsili,
sa volalo Basic16

a tu bola jediná podmienka,
že heslo muselo mať aspoň 16 znakov.

Takže takto sme získali 5000 hesiel
a detailné informácie o ich vzniku.

Potvrdilo sa nám,

že ľudia väčšinou v heslách
používajú len určité symboly.

Chceli sme vedieť aj to,
aké silné heslá si ľudia vytvorili,

ale neexistuje skutočne dobrý spôsob,
ako merať silu hesla.

Rozhodli sme sa zistiť,
ako dlho by trvalo prelomiť tieto heslá

pomocou nástrojov, ktoré používajú hekeri,

alebo o ktorých sme našli
informácie v literatúre.

Stručne vysvetlím,
ako hekeri prelamujú heslá.

Ukradnú súbor s heslami
v šifrovanej podobe, tzv. hash,

tipnú si heslo, ktoré by tam mohlo byť,
použijú naň hašovaciu funkciu

a uvidia, či sa výsledok zhoduje
s niektorým šifrovaným heslom v súbore.

Tí hlúpejší skúsia všetky heslá zaradom.

Začnú s AAAAA, potom skúsia AAAAB

a bude im asi trvať dosť dlho,

kým nájdu heslo,
ktoré ľudia skutočne používajú.

Tí múdrejší na to však pôjdu inak.

Najprv skúsia uhádnuť populárne heslá,
ktoré by sa v súbore mohli nachádzať.

Začnú teda slovom „heslo“,

potom skúsia „milujemta“,
„opicka“ a „12345678“,

pretože práve to sú heslá,
ktoré ľudia asi najviac používajú.

Možno také heslo má aj niekto z vás.

Otestovali sme silu všetkých 5000 hesiel

a zistili sme,
že dlhé heslá sú dosť silné,

takisto ako aj heslá zložité.

Keď sme sa však pozreli
na údaje z dotazníkov,

zistili sme, že veľmi zložité heslá
išli ľuďom na nervy

a že dlhé boli nielen použiteľnejšie,

ale v niektorých prípadoch
dokonca aj silnejšie.

Z toho vyplýva,
že by asi bolo lepšie ľuďom hovoriť,

aby namiesto symbolov,
číslic a iných šialeností,

radšej používali dlhé heslá.

Vyskytol sa však problém.

Niektorí ľudia mali heslá dlhé,
ale nie veľmi silné.

Môžete mať dlhé heslo,

ale stále to môže byť niečo,
čo útočník ľahko uhádne.

Samotná dĺžka teda nestačí.

Potrebujeme nejaké dodatočné požiadavky.

V súčasnosti sa snažíme zistiť,

aké požiadavky by ľuďom pomohli
vytvoriť si silnejšie heslá,

ktoré by si ľahko zapamätali
a ktoré by sa dali ľahko napísať.

Merač sily hesla tiež môže pomôcť
vytvoriť silnejšie heslo.

Tu sú niektoré internetové,
s ktorými ste sa mohli stretnúť.

Rozhodli sme sa zistiť,
či tieto merače skutočne fungujú.

Pomáhajú naozaj ľuďom
vytvoriť silnejšie heslá

a ak áno, ktoré sú lepšie?

Otestovali sme merače rôznych veľkostí,
tvarov, farieb, s rôznymi popismi

a dokonca aj s tancujúcim zajačikom.

Čím lepšie heslo napíšete,
tým rýchlejšie tancuje.

Bolo to celkom zábavné.

Zistili sme, že merače fungujú.

(smiech)

Väčšina z nich bola skutočne efektívna,

aj ten tancujúci zajačik.

Tie najefektívnejšie vás prinútia
na hesle čo najviac pracovať,

predtým, ako vám dajú zelenú
a pochvália vás.

Zistili sme však,
že väčšina z nich je príliš mierna.

Vaše heslo pochvália príliš skoro

a keby s kladným hodnotením
počkali o chvíľu dlhšie,

mali by ste pravdepodobne lepšie heslo.

Ďalšou možnosťou, ako zlepšiť heslá,
by mohlo byť použitie prístupových fráz.

Tu vidíte internetový komiks xkcd,

v ktorom pred niekoľkými rokmi
autor navrhol používanie fráz.

V druhom riadku navrhuje frázu
„spravne kon spinka na baterke“,

ktorá by bola nielen silná,
ale aj ľahko zapamätateľná.

Podľa neho ste si ju už aj zapamätali.

Rozhodli sme sa, že zistíme,
či má pravdu, alebo nie.

Vlastne každý, komu poviem,
že skúmam heslá,

sa ma opýta,
či poznám xkcd komiks s tou frázou.

Chceli sme teda zistiť,
ako to funguje v realite.

Znovu sme využili MTurk

a náhodné slová vo fráze vybral počítač.

Na výber slov sme použili počítač,
lebo ľuďom to veľmi nejde.

Slová, ktoré by vybral človek,
by neboli naozaj náhodné.

Skúsili sme zadať rôzne požiadavky.

V jednom prípade počítač vybral slová
zo slovníka často používaných slov

a získali sme asi takéto frázy:

„skusit tam tri prist“.

Keď sme to zbadali, povedali sme si,
že to nevyzerá zapamätateľne.

Rozhodli sme sa použiť slovosled,

ktorý je v reči prirodzený, napríklad
podstatné meno pred a za slovesom.

Vtedy sa už výsledok podobal na vetu.

Získali sme frázy ako

„plan vytvori istu energiu“

alebo „koniec urci cerveny liek“.

Tie už vyzerali zapamätateľnejšie
a ľuďom by sa mohli viac páčiť.

Chceli sme ich porovnať s heslami.

Počítač nám vybral náhodné heslá,
ktoré boli síce krátke,

ale nevyzerali ľahko zapamätateľné.

Potom sme sa rozhodli skúsiť
tzv. vysloviteľné heslá.

Počítač náhodne vybral slabiky

a spojil ich tak,
že vzniklo niečo vysloviteľné,

napríklad „tufritvi“ alebo „vadasabi“.

To je ľahko vysloviteľné.

Takto vyzerali náhodné heslá,
ktoré vygeneroval náš počítač.

Prekvapujúco sme však zistili,
že frázy vlastne neboli až také dobré.

Ľudia si ich nepamätali oveľa lepšie
ako náhodné heslá

a keďže boli dlhšie,

ľuďom dlhšie trvalo ich napísať
a robili pri tom viac chýb.

Nebola to teda jasná výhra pre frázy.

Ospravedlňujem sa fanúšikom xkcd.

Na druhú stranu sme zistili,

že vysloviteľné heslá fungovali
až prekvapivo dobre.

Teraz skúmame,
či ich nemôžeme ešte nejako vylepšiť.

Počas práce sme narazili
na niekoľko problémov.

Jeden z nich bol,
že heslá získané pomocou MTurk

neboli skutočné heslá.

Tieto heslá vytvorili ľudia
alebo počítač pre náš výskum.

Chceli sme však vedieť,

či by sa ľudia správali rovnako
aj pri svojich skutočných heslách.

Opýtali sme sa správcov systémov na CMU,
či by nám mohli dať skutočné heslá ľudí.

Neprekvapilo nás, že sa trochu zdráhali.

Nakoniec sme sa dohodli,

že 25 000 skutočných hesiel
bude uložených v uzamknutom počítači

v uzavretej miestnosti
bez prístupu na internet

a oni spustia kód,
ktorý sme vytvorili na analýzu hesiel.

Oni kód preverili.
Oni ho spustili.

My sme skutočné heslá nikdy nevideli.

Výsledky boli celkom zaujímavé.

Určite zaujmú
aj študentov ekonómie tam vzadu.

Zistili sme, že heslá ľudí,
ktorí sa zaoberajú informatikou,

sú 1,8-krát silnejšie ako heslá ľudí,
ktorí sa venujú ekonómii.

Získali sme aj zaujímavé
demografické informácie.

Zaujímavé bolo aj to,

že keď sme porovnali heslá z CMU
s heslami z MTurk,

mali toho veľa spoločného,

čo nám pomohlo potvrdiť výskumnú metódu

a preukázať,
že získavanie hesiel pomocou MTurk

je skutočne vhodný spôsob,
ako skúmať heslá.

Bola to dobrá správa.

Na záver by som chcela spomenúť niečo,

čo som si uvedomila počas
vedeckej dovolenky na umeleckej škole.

Okrem iného som ušila
niekoľko prešívaných diek

vrátane tejto.

Volám ju
„Deka plná bezpečnosti“.

(smiech)

Je na nej 1000 najčastejších hesiel,

ktoré boli ukradnuté zo stránky RockYou.

Veľkosť ich plochy na deke
je priamo úmerná tomu,

ako často sa heslá nachádzali
v ukradnutých súboroch.

Vytvorila som si ich zoznam,
všetky som prešla

a rozdelila do približných
tematických kategórií.

V niektorých prípadoch bolo ťažké
nájsť tú správnu kategóriu.

Potom som ich farebne rozlíšila.

Uvediem príklady problémových hesiel:

„justin“

Ide o meno používateľa,
meno priateľa alebo syna?

Možno ide o fanúšika Justina Biebera.

Alebo „princezna“.

Je to prezývka? Páčia sa im princezné?

Možno sa tak volá mačka.

Často sa vyskytuje aj „milujemta“
a to v rôznych jazykoch.

Tie heslá sú plné lásky.

Keď sa však pozorne pozriete,
nájdete aj vulgarizmy,

ale zaujalo ma, že v heslách
bolo viac lásky ako nenávisti.

Ďalej tu máme zvieratá, veľa zvierat,

pričom najčastejšia je „opicka“,

ktorá je zároveň
14. najpopulárnejším heslom.

Zaujalo ma to a chcela som zistiť,
prečo sú opičky také obľúbené.

V najnovšej štúdii sa pýtame každého,
kto v hesle použije slovo opička,

prečo to slovo použili.

Zatiaľ ho použilo 17 ľudí
a zistili sme, že...

Približne tretina povedala,

že ich domáci miláčik sa volá Opička,
alebo, že je to prezývka priateľa.

Ďalšia tretina povedala,

že sa im opice páčia,
pretože sú skutočne roztomilé.

Tento je fakt roztomilý.

Vyzerá to, že pri tvorbe hesla
myslíme buď na niečo,

čo sa jednoducho napíše na klávesnici,

alebo na veci,
ktoré nám pripomínajú slovo „heslo“,

alebo účet,
pre ktorý sme si ho vytvorili a tak.

Možno myslíme na veci,
vďaka ktorým sme šťastní,

a na ich základe vytvoríme heslo.

Vďaka tomu si heslá
lepšie zapamätáme a lepšie sa píšu,

ale dajú sa aj ľahšie uhádnuť.

Viem, že prednášky TED
ľudí často inšpirujú

a ľudia vďaka nim myslia na pekné veci,

ale keď si tvoríte heslo,
skúste myslieť na niečo iné.

Ďakujem.

(potlesk)