O que há de errado com o seu pa$$w0rd?

Segundo relatório do ano de 2016 quase 17% das pessoas ainda usam com senhas como "123456".

Senhas, pegue suas senhas roubadas aqui!

Literalmente milhões de senhas roubadas foram para venda na Deep Web este ano, alguns das quais foram roubados em anos anteriores. Em maio, mais de 400 milhões de senhas que roubadas anteriormente do MySpace foram colocadas para venda ao maior lance. Além do mais, o mesmo hacker que listou as senhas do MySpace colocou mais 100 milhões de senhas para venda que foram roubadas anteriormente do LinkedIn. Há uma toda razão para se esperar que as informações roubadas serão cada vez mais colocadas à venda. Esses incidentes destacam a grande importância de mudar freqüentemente senhas e não reutilizar as mesmas senhas para várias contas. Avisos para fazer isso estão vindo de todo o mundo. Como um grande estudo de cibercrime mostrou em 2016, 63% das quebras de dados bem-sucedidas envolviam senhas fracas, padrão ou roubadas.

Qual é a segurança da minha senha?

HOW SECURE IS MY PASSWORD?
Este site é para uso educacional. Devido às limitações da tecnologia envolvida, os resultados nem sempre podem ser precisos. Sua senha não será enviada pela Internet.

O que há de errado com o seu pa$$w0rd?

Lorrie Faith Cranor estudou milhares de senhas reais para descobrir os erros surpreendentes, muito comuns que os usuários - e sites seguros - fazem para comprometer a segurança. E como, você pode perguntar, ela estudou milhares de senhas reais sem comprometer a segurança de nenhum usuário? Isso é uma história em si. Seus dados secretos valem a pena saber, especialmente se sua senha for 123456 ...

0:11
Eu sou professora de ciência da computação e engenharia aqui na Carnegie Mellon, e minha pesquisa tem foco em privacidade utilizável e segurança, e meus amigos gostam de me dar exemplos de suas frustrações com sistemas de computadores, especialmente frustrações relacionadas a privacidade não utilizável e segurança.

0:31
E senhas são algo de que escuto falar bastante. Muitas pessoas ficam frustradas com senhas, e já é ruim o suficiente quando temos que ter uma senha muito boa que consigamos lembrar mas ninguém mais consiga adivinhar. Mas o que fazer quando se têm contas em centenas de sistemas diferentes e cada um desses sistemas deve ter uma senha única? É difícil.

0:57
Na Carnegie Mellon, eles costumavam deixar muito fácil para que nós lembrássemos nossas senhas. A exigência para a senha até 2009 era somente que a senha tinha que ter pelo menos um caractere. Bem fácil. Mas então eles mudaram as coisas, E no final de 2009, foi anunciado que teríamos uma nova política, e essa nova política exigia senhas que tivessem pelo menos oito caracteres, com uma letra maiúscula, letra minúscula, um dígito, um símbolo, não podia usar o mesmo caractere mais de três vezes, e não poderia estar num dicionário.

1:29
E quando essa nova política foi implementada, muitas pessoas, meus amigos e colegas, chegaram até mim e disseram: "Uau, agora é realmente não utilizável. Por que estão fazendo isso conosco, e por que você não os deteve?"

1:40
Eu disse: "Bem, quer saber? Não me perguntaram."

1:43
Mas fiquei curiosa e decidi ir falar com as pessoas responsáveis por nossos sistemas de computadores e descobrir o que os levou a introduzir essa nova política, e disseram que a universidade tinha entrado em um consórcio de universidades, e uma das exigências para se tornar membro era que tínhamos que ter senhas mais seguras que cumprissem algumas novas condições, e essas condições eram que nossas senhas tinham que ter muita entropia. Entropia é um termo complicado, mas basicamente ela mede a força de senhas. Acontece que não há exatamente uma medida padrão de entropia. O Instituto Nacional de Padrões e Tecnologia tem um conjunto de diretrizes que têm umas regras práticas para medir entropia, mas não têm nada muito específico, e a razão pela qual só têm regras práticas é que, pelo jeito, eles não têm bons dados sobre senhas. De fato, seus relatórios dizem: "Infelizmente, não temos muitos dados sobre as senhas que os usuários usam sob regras específicas. O NIST gostaria de obter mais dados sobre as senhas que os usuários de fato usam, mas os administradores de sistema se recusam, compreensivamente, a revelar dados sobre as senhas para outros."

2:52
Esse é um problema, mas nosso grupo de pesquisa tomou isso como uma oportunidade. Nós dissemos: "Bem, há necessidade de bons dados sobre senhas. Talvez possamos coletar bons dados sobre senhas e de fato fazer algum progresso no estado da arte.

3:05
A primeira coisa que fizemos foi, Pegamos uma sacola de doces, caminhamos pelo campus, conversamos com alunos, professores e funcionários e pedimos informações sobre suas senhas. Nós não dissemos: "Diga-nos sua senha." Não, só fizemos perguntas sobre suas senhas. Quantos caracteres? Contém algum dígito? Contém um símbolo? E você ficou incomodado por ter tido que criar uma nova senha semana passada? E reunimos respostas de 470 alunos, professores e funcionários, e, de fato, confirmamos que a nova política foi muito incômoda, mas também descobrimos que as pessoas disseram que se sentem mais seguras com essas senhas novas. Descobrimos que muitas pessoas sabiam que não deveriam anotar suas senhas num papel e somente 13% anotavam, mas preocupantemente, 80% das pessoas disseram que reutilizavam suas senhas. E isso é, na verdade, mais perigoso do que anotar sua senha num papel, porque deixa você muito mais suscetível a ataques. Então se precisar, anote suas senhas num papel, mas não reutilize-as. Também descobrimos coisas interessantes sobre os símbolos que as pessoas usam nas senhas. A CMU permite 32 símbolos possíveis, mas como podem ver, só há uma pequena quantidade que a maioria das pessoas usam, então não temos muita força, na verdade, dos símbolos em nossas senhas.

4:22
Esse estudo foi muito interessante, e agora tínhamos dados de 470 pessoas, mas no esquema das coisas, isso não é quase nada de dados sobre senhas, e nós olhamos em volta para ver onde poderíamos encontrar mais dados sobre senhas? E aparentemente, há muita gente por aí roubando senhas, e normalmente elas vão e publicam essas senhas na Internet. E nós pudemos ter acesso a alguns desses conjuntos de senhas roubadas. Ainda não é o ideal para a pesquisa, porque não fica inteiramente claro de onde todas essas senhas vieram, ou que políticas exatamente estavam em vigor quando as pessoas criaram essas senhas. E nós queríamos achar uma fonte de dados melhor. E decidimos que uma coisa que podíamos fazer é que podíamos fazer um estudo e fazer as pessoas criarem senhas para o nosso estudo. E nós usamos um serviço chamado Amazon Mechanical Turk, E esse é um serviço onde você pode postar uma pequena tarefa online que demora um minuto, alguns minutos, uma hora, e pagar às pessoas cinco, dez centavos, alguns dólares, para realizar a tarefa para você, e então você as paga através da Amazon.com. Nós pagamos às pessoas cerca de 50 centavos para criar uma senha seguindo nossas regras e responder uma pesquisa, e então pagamos novamente para que voltassem dois dias depois e se logassem usando sua senha e respondessem outra pesquisa. Nós fizemos isso e coletamos 5 mil senhas, e demos às pessoas diferentes políticas para criar senhas. Alguns tinham uma política bem simples, que chamamos de Basic8, E nessa, a única regra era que a senha tinha que ter pelo menos oito caracteres. e algumas pessoas tiveram uma política bem mais complexa, que era muito similar à política da CMU. que tinha que ter oito caracteres incluindo maiúscula, minúscula, dígito, símbolo, e passar um teste de dicionário. E uma outra política que tentamos, e havia muitas outras, mas uma das que tentamos era chamada Basic16, e a única exigência aqui era que sua senha tinha que ter pelo menos 16 caracteres.

6:19
Certo, e agora nós tínhamos 5 mil senhas, e assim nós tínhamos informações muito mais detalhadas. Novamente, vemos que somente um pequeno número de símbolos estão sendo usados nas senhas. Também queríamos ter uma noção da força das senhas que as pessoas estavam criando, mas como vocês se lembram, não há uma boa medida da força de uma senha. e o que decidimos fazer foi observar quanto tempo demoraria para quebrar uma senha usando as melhores ferramentas de quebra que os vilões estão usando, ou sobre as quais conseguíamos encontrar informações na literatura de pesquisa.

6:53
Então para dar uma ideia de como os vilões fazem para quebrar senhas, eles roubariam um arquivo de senhas que teria todas as senhas numa forma embaralhada chamada de hash e o que fariam é, eles chutariam o que uma senha seria, passariam-na por uma função hash e verificariam se bate com as senhas que eles têm em sua lista roubada. Um atacante burro tentaria todas as senhas na ordem. Começariam com AAAAA e depois AAAAB, e isso demoraria muito antes de conseguirem qualquer senha que seja realmente provável de ser usada por alguém Um atacante esperto, por outro lado, faz algo muito mais inteligente. Eles olham para as senhas que são conhecidamente populares daqueles conjuntos de senhas roubadas, e chutam aquelas primeiro. Eles vão começar chutando "password", e então vão chutar "eu te amo" e "macaco", e "12345678", porque essas são as senhas que são mais prováveis de serem usadas por alguém. De fato, alguns de vocês até têm essas senhas. E o que descobrimos ao rodar essas 5 mil senhas coletadas através desses testes para ver sua força, descobrimos que as senhas longas eram realmente bem fortes, e as senhas complexas eram bem fortes também. Entretanto, quando olhamos os dados da pesquisa, vimos que as pessoas ficavam muito frustradas com as senhas muito complexas, e as senhas longas eram muito mais utilizáveis, e em alguns casos, elas eram mesmo até mais fortes do que as senhas complexas. E isso sugere que, em vez de dizer às pessoas que precisam pôr todos esses símbolos e números e coisas loucas em suas senhas, talvez seja muito melhor só dizer para terem senhas longas. Mas aqui há um problema: Algumas pessoas tinham senhas longas que não eram muito fortes, na verdade. Você pode criar senhas longas que ainda são o tipo de coisa que um atacante adivinharia facilmente. Então precisamos fazer mais do que só pedir senhas longas. Tem que haver algumas exigências adicionais, e algumas de nossas pesquisas atuais estão observando que exigências adicionais deveríamos impor para gerar senhas mais fortes que também serão fáceis para as pessoas lembrarem e digitarem.

9:07
Outra abordagem para fazer as pessoas terem senhas mais fortes é ter um medidor de senha. Eis alguns exemplos. Talvez vocês já os tenham visto na Internet enquanto criavam senhas. Nós decidimos fazer um estudo para descobrir se esses medidores de senha realmente funcionam. Será que ajudam mesmo as pessoas a terem senhas mais fortes, e se sim, quais funcionam melhor? Nós testamos medidores de senha de diferentes tamanhos, formatos e cores, diferentes palavras ao lado, e até testamos um que era um coelho dançando. À medida que você digita uma senha mais forte, o coelho dança cada vez mais rápido. Esse foi bem divertido.

9:43
O que descobrimos foi que medidores de senha realmente funcionam. (Risos) A maioria dos medidores de senha foram eficientes, e o coelho dançante foi bem eficiente também, mas os medidores de senha que foram mais eficientes foram os que exigiam mais trabalho antes de dar um joinha e dizer que estava fazendo um bom trabalho, e descobrimos que a maioria dos medidores de senha na Internet hoje em dia são suaves demais. Eles dizem que está fazendo um bom trabalho cedo demais, e se esperassem só um pouquinho mais antes de dar aquele feedback positivo, vocês provavelmente teriam senhas melhores.

10:19
E uma outra abordagem para senhas melhores, talvez, é usar frases em vez de palavras. Esta é uma tirinha do xkcd de alguns anos atrás, e o cartunista sugere que todos deveríamos usar frases como senhas, e se olharmos para a segunda linha da tirinha, vemos que o cartunista sugere que a frase "cavalo correto bateria grampo" seria uma senha muito forte e algo muito fácil de lembrar. Ele diz, inclusive, que você já memorizou. E assim decidimos fazer um estudo para descobrir se isso é verdade ou não. De fato, todos com que eu falo, quando menciono que pesquiso senhas, eles me indicam essa tirinha. "Oh, você já viu? Aquele xkcd. Cavalo correto bateria grampo." Então nós fizemos o estudo para ver o que de fato aconteceria.

11:06
Em nosso estudo, usamos o Mechanical Turk de novo, e fizemos o computador escolher as palavras aleatórias para a senha. E nós fizemos assim porque seres humanos não são muito bons em escolher palavras aleatórias. Se pedíssemos que um ser humano fizesse, ele escolheria coisas que não seriam muito aleatórias. E nós tentamos algumas condições diferentes. Em uma condição, o computador escolheu do dicionário de palavras muito comuns no idioma inglês, e obtivemos frases como "tentar lá três vêm". E nós observamos aquilo e dissemos: "Bem, não parece muito memorável." Então tentamos escolher as palavras que seriam de classes gramaticais específicas, e que tal pronome-verbo-pronome-adjetivo. Isso gera algo que seria mais ou menos como uma sentença. E podemos obter uma frase como "plano constrói poder certo" ou "fim determina droga vermelha". E parecia um pouco mais memorável, e talvez as pessoas gostariam mais destas. Queríamos compará-las com senhas de uma palavra, e fizemos o computador escolher palavras aleatórias, e eram boas e curtas, mas como podem ver, não parecem muito memoráveis. e tentamos testar algo chamado uma senha pronunciável. Aqui o computador escolhe sílabas aleatórias e junta-as para que tenhamos algo pronunciável, como "tufritvi" e "vadasabi". Essa enrola a língua um pouco. Essas foram senhas de uma palavra que foram geradas pelo computador.

12:29
O que descobrimos nesse estudo foi que, surpreendentemente, senhas de frases não eram de fato tão boas. As pessoas não lembram mais facilmente as frases do que essas palavras aleatórias, e porque as frases são mais longas, elas demoram mais para digitar e as pessoas cometiam mais erros ao digitá-las. Então não é uma vitória clara para as senhas de frases. Desculpem-me os fãs de xkcd. Por outro lado, nós descobrimos que senhas pronunciáveis funcionavam muito bem, e estamos pesquisando mais a fundo para ver se conseguimos tornar essa abordagem ainda melhor Um dos problemas com alguns desses estudos que fizemos é que por serem todos feitos usando o Mechanical Turk, essas não são senhas reais. São a senha que eles criaram ou o computador criou para elas para o nosso estudo. E queríamos saber se as pessoas se comportariam mesmo assim com suas senhas reais.

13:25
Nós conversamos com o pessoal de segurança da informação na Carnegie Mellon e perguntamos se poderiam nos dar todas as senhas reais das pessoas. Não surpreendentemente, eles foram um pouco relutantes em compartilhá-las conosco, mas conseguimos criar um sistema com eles onde eles colocavam todas as senhas reais dos 25 mil alunos, professores e funcionários da CMU, em um computador bloqueado numa sala trancada, não conectado à Internet, e eles executavam código que nós tínhamos escrito para analisar as senhas. eles auditaram nosso código. eles executaram o código. E assim nós nunca vimos a senha de ninguém.

13:59
Tivemos resultados interessantes, e os alunos de administração aí no fundo ficariam muito interessados nisso. Nós descobrimos que as senhas criadas pelas pessoas afiliadas à escola de ciência da computação eram 1,8 vezes mais fortes do que os afiliados à escola de administração. Temos muitas outras informações demográficas interessantes também. Outra coisa interessante que descobrimos foi que quando comparamos as senhas de Carnegie Mellon com as senhas geradas pelo Mechanical Turk, havia, na verdade, muitas similaridades, e isso ajudou a validar nosso método de pesquisa e mostrar que coletar senhas usando esses estudos com o Mechanical Turk é mesmo um método válido de estudar senhas. Essas eram notícias boas.

14:42
Certo, gostaria de concluir falando de algumas ideias que tive no meu período sabático ano passado na escola de arte de Carnegie Mellon. Uma das coisas que eu fiz, eu fiz uma série de colchas, e eu fiz esta colcha aqui. Chama-se "Cobertor da Segurança". (Risos) E essa colcha contém as 1.000 senhas mais frequentes roubadas do site RockYou. E o tamanho da senha é proporcional à frequência com que apareceram no conjunto de dados roubado. E o que eu fiz foi criar essa nuvem de palavras, e eu passei por todas as 1.000 palavras, e classifiquei-as em categorias temáticas vagas. E foi, em alguns casos, foi um pouco difícil definir em que categoria elas estariam, e então eu as colori.

15:29
Aqui vão alguns exemplos da dificuldade. Então "justin". Será que é o nome do usuário, seu namorado, seu filho? Talvez sejam fãs do Justin Bieber. Ou "princesa". Será que é um apelido? Será que são fãs das princesas da Disney? Ou talvez seja o nome do gato. "euteamo" aparece muitas vezes em muitas línguas diferentes. Há muito amor nessas senhas. Se olharem atentamente, verão que também há profanidades, mas achei muito interessante ver que há muito mais amor do que ódio nessas senhas. E há animais, muitos animais, e "macaco" é o animal mais comum e a 14ª senha mais comum no geral. E achei isso muito curioso, e me perguntei: "Por que será que macacos são tão populares?" Então em nosso último estudo sobre senhas, sempre que detectávamos alguém criando uma senha contendo a palavra "macaco", nós perguntamos por que eles tinham "macaco" na senha. E o que descobrimos; encontramos 17 pessoas até agora, acho, que têm a palavra "macaco"; nós descobrimos que cerca de um terço disse que tem um bichinho chamado "macaco" ou um amigo cujo apelido é "macaco", e cerca de um terço disse que gostam de macacos e macacos são muito fofos. Este cara é muito fofo.

16:49
Parece-me que no final das contas, quando criamos senhas, ou criamos algo que é muito fácil de digitar, um padrão comum, ou coisas que nos lembrem da palavra senha ou a conta para a qual criamos a senha, ou tanto faz. Ou pensamos em coisas que nos fazem felizes, e criamos nossas senhas baseados em coisas que nos fazem felizes. E enquanto isso faz com que digitar e lembrar da senha seja mais divertido, também faz com que seja muito mais fácil adivinhar a senha. Eu sei que muitas destas palestras TED são inspiradoras e nos fazem pensar em coisas boas e felizes, mas quando estiver criando sua senha, tente pensar em outra coisa.

17:33
Obrigada.

17:34
(Aplausos)