Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Překladatel: Micha Hurbisova Korektor: Nicole Minichová

I am a computer science and engineering professor here at Carnegie Mellon,

Jsem profesorkou informatiky a inženýrství, tady na Carnegie Mellon,

and my research focuses on usable privacy and security,

a můj výzkum se zaměřuje na ochranu a zabezpečení osobních údajů,

and so my friends like to give me examples

a tak mi mí přátelé rádi říkají

of their frustrations with computing systems,

o svých potížích s informačními systémy,

especially frustrations related to

jde především o obavy souvisejícími

unusable privacy and security.

s nepoužitelnou ochranou osobních údajů.

So passwords are something that I hear a lot about.

Hesla jsou něco, o čem slýchávám hodně.

A lot of people are frustrated with passwords,

Hodně lidí je frustrováno hesly,

and it's bad enough

a je dost špatné,

when you have to have one really good password

když máte mít jedno opravdu dobré heslo,

that you can remember

které si jste schopni pamatovat,

but nobody else is going to be able to guess.

ale nikdo jiný ho nebude schopen uhodnout.

But what do you do when you have accounts

Ale co uděláte, když máte účty

on a hundred different systems

na milionech různých systémech

and you're supposed to have a unique password

a měli byste mít jedinečné heslo

for each of these systems?

pro každý z těchto systémů?

It's tough.

Je to těžké.

At Carnegie Mellon, they used to make it

V Carnegie Mellon pro nás bývávalo

actually pretty easy for us

zapamatování hesla

to remember our passwords.

vlastně docela jednoduché.

The password requirement up through 2009

Požadavkem na heslo do roku 2009

was just that you had to have a password

bylo pouze mít heslo

with at least one character.

s alespoň jedním znakem.

Pretty easy. But then they changed things,

Docela jednoduché. Ale pak se věci změnili

and at the end of 2009, they announced

a na konci roku 2009 oznámili,

that we were going to have a new policy,

že se chystají mít novou zásadu,

and this new policy required

a tato nová zásada požadovala

passwords that were at least eight characters long,

hesla, která byla dlouhá alespoň 8 znaků,

with an uppercase letter, lowercase letter,

s velkým písmenem, malým písmenem,

a digit, a symbol,

číslovkou, symbolem,

you couldn't use the same character more than three times,

nemohli jste použít stejný znak více než třikrát,

and it wasn't allowed to be in a dictionary.

a nebylo povoleno heslo ze slovníku.

Now, when they implemented this new policy,

Nyní když zavedli tuto novou zásadu,

a lot of people, my colleagues and friends,

hodně lidí, mých kolegů a přátel,

came up to me and they said, "Wow,

přišli za mnou a říkali: "Wow,

now that's really unusable.

teď je to opravdu nepoužitelné.

Why are they doing this to us,

Proč nám to dělají

and why didn't you stop them?"

a proč jsi je nezastavila?"

And I said, "Well, you know what?

A já jsem řekla: "No, víte co?

They didn't ask me."

Oni se mě nezeptali."

But I got curious, and I decided to go talk

Ale začalo mne to zajímat a rozhodla jsem se jít promluvit

to the people in charge of our computer systems

s lidmi ve vedení naší počítačové sítě,

and find out what led them to introduce

a zjistit, co je vedlo k zavedení

this new policy,

této nové politiky,

and they said that the university

a oni řekli, že se univerzita

had joined a consortium of universities,

připojila ke spolku univerzit

and one of the requirements of membership

a jedním z požadavků na členství

was that we had to have stronger passwords

bylo, že musíme mít silnější heslo,

that complied with some new requirements,

které splňuje některé nové podmínky,

and these requirements were that our passwords

a těmito podmínkami bylo, že naše hesla

had to have a lot of entropy.

musí obsahovat hodně entropie.

Now entropy is a complicated term,

Entropie je docela složitý termín,

but basically it measures the strength of passwords.

ale v podstatě jde o měření síly hesel.

But the thing is, there isn't actually

Ale jde o to, že vlastně není

a standard measure of entropy.

žádné standardní měřítko entropie.

Now, the National Institute of Standards and Technology

Národní úřad pro normalizaci a měření (UNM)

has a set of guidelines

má směrnice,

which have some rules of thumb

které mají určitá pravidla

for measuring entropy,

pro měření entropie,

but they don't have anything too specific,

ale nemají nic příliš specifického,

and the reason they only have rules of thumb

a důvod, proč mají pravidla jen tak od oka

is it turns out they don't actually have any good data

je, že oni vlastně nemají žádná dobrá data

on passwords.

týkající se hesel.

In fact, their report states,

Ve skutečnosti jejich zpráva uvádí:

"Unfortunately, we do not have much data

"Bohužel, nemáme příliš dat týkající se hesel,

on the passwords users choose under particular rules.

která si uživatelé vybírají za určitých podmínek.

NIST would like to obtain more data

UNM by rád získal více dat

on the passwords users actually choose,

ohledně hesel, která si uživatelé vybírají,

but system administrators are understandably reluctant

nicméně systémoví administrátoři se pochopitelně zdráhají

to reveal password data to others."

odhalit hesla ostatním."

So this is a problem, but our research group

Tohle je problém, ale naše výzkumná skupina

looked at it as an opportunity.

to viděla jako příležitost.

We said, "Well, there's a need for good password data.

Řekli jsme: "No, je tady potřeba získat data ohledně hesel.

Maybe we can collect some good password data

Možná budeme moci sesbírat informace k heslům

and actually advance the state of the art here.

a vlastně dopomoci dobrému stavu věcí.

So the first thing we did is,

Takže první věc, kterou jsme udělali,

we got a bag of candy bars

vzali jsme tašku sladkých tyčinek,

and we walked around campus

a chodili jsme po kampusu

and talked to students, faculty and staff,

a mluvili se studenty, učiteli a zaměstnanci,

and asked them for information

a ptali se jich na informace

about their passwords.

ohledně jejich hesel.

Now we didn't say, "Give us your password."

Neříkali jsme: "Dej nám svoje heslo."

No, we just asked them about their password.

Ne, my jsme se jen ptali na jejich hesla.

How long is it? Does it have a digit?

Jak je dlouhé? Obsahuje číslovku?

Does it have a symbol?

Obsahuje symbol?

And were you annoyed at having to create

A obtěžovalo vás vytvořit si

a new one last week?

nové heslo minulý týden?

So we got results from 470 students,

Tak jsme získali výsledky od 470 studentů,

faculty and staff,

učitelů a zaměstnanců,

and indeed we confirmed that the new policy

a opravdu jsme potvrdili, že nová politika

was very annoying,

byla velmi otravná,

but we also found that people said

ale také jsme zjistili, že lidé říkali,

they felt more secure with these new passwords.

že se cítili více bezpečně s těmito novými hesly.

We found that most people knew

Zjistili jsme, že většina lidí věděla,

they were not supposed to write their password down,

že by si neměli svoje heslo zapsat

and only 13 percent of them did,

a pouze 13 procent z nich to udělalo,

but disturbingly, 80 percent of people

ale znepokojivě, 80 procent lidí

said they were reusing their password.

řeklo, že opětovně používají svá hesla.

Now, this is actually more dangerous

A to je vlastně více nebezpečné

than writing your password down,

než zapsat si svoje heslo.

because it makes you much more susceptible to attackers.

protože vás to dělá více náchylnými k napadení.

So if you have to, write your passwords down,

Takže pokud musíte, zapište si svoje heslo,

but don't reuse them.

ale nepoužívejte je opakovaně.

We also found some interesting things

Také jsme zjistili nějaké zajímavě věci

about the symbols people use in passwords.

ohledně symbolů , které lidé ve svých heslech používají.

So CMU allows 32 possible symbols,

Univerzita dovoluje 32 možných symbolů,

but as you can see, there's only a small number

ale jak můžete vidět, je jen malé množství symbolů,

that most people are using,

které lidé většinou používají,

so we're not actually getting very much strength

takže vlastně nezískáváme moc síly

from the symbols in our passwords.

ze symbolů ve svých heslech.

So this was a really interesting study,

Byla to velmi zajímavá studie

and now we had data from 470 people,

a nyní máme data od 470 lidí,

but in the scheme of things,

ale v souhrnu všech věcí,

that's really not very much password data,

to vlastně příliš dat o heslech není,

and so we looked around to see

a tak jsme se porozhlédli kolem,

where could we find additional password data?

kde bychom mohli najít dodatečná data o heslech?

So it turns out there are a lot of people

Zdá se, že je zde mnoho lidí,

going around stealing passwords,

kteří hesla kradou,

and they often go and post these passwords

a často tato hesla publikují

on the Internet.

na internetu.

So we were able to get access

A my jsme byli schopní získat přístup

to some of these stolen password sets.

k některým z těchto kradených hesel.

This is still not really ideal for research, though,

Nicméně to stále není ideální pro výzkum,

because it's not entirely clear

protože není úplně jasné,

where all of these passwords came from,

odkud se ta hesla vzala,

or exactly what policies were in effect

nebo jaké zásady zrovna platily,

when people created these passwords.

když lidé ta hesla tvořili.

So we wanted to find some better source of data.

Tak jsme chtěli najít nějaký lepší zdroj dat.

So we decided that one thing we could do

Rozhodli jsme, že bychom mohli

is we could do a study and have people

udělat studii a přitom nechat lidi

actually create passwords for our study.

vytvořit hesla pro naši studii.

So we used a service called Amazon Mechanical Turk,

Tak jsme použili službu zvanou Amazon Mechanical Turk,

and this is a service where you can post

a to je služba, kde můžete publikovat

a small job online that takes a minute,

malý úkol online, který zabere minutu,

a few minutes, an hour,

několik minut, hodinu,

and pay people, a penny, ten cents, a few dollars,

a zaplatit lidem haléř, 10 centů, pár dolarů,

to do a task for you,

aby pro vás udělali úkol

and then you pay them through Amazon.com.

a pak jim zaplatíte přes Amazon.com.

So we paid people about 50 cents

Tak jsme zaplatili lidem kolem 50 centů

to create a password following our rules

za vytvoření hesla podle našich pravidel

and answering a survey,

a vyplnění dotazníku,

and then we paid them again to come back

a pak jsme jim zaplatili znovu, aby se vrátili

two days later and log in

o dva dny později a přihlásili se

using their password and answering another survey.

použitím jejich hesla a vyplněním dalšího dotazníku.

So we did this, and we collected 5,000 passwords,

Tak jsme to udělali a sesbírali 5000 hesel

and we gave people a bunch of different policies

a dali jsme lidem kupu různých pravidel

to create passwords with.

pro tvoření hesel.

So some people had a pretty easy policy,

Někteří lidé měli docela jednoduché pravidlo,

we call it Basic8,

říkáme mu Basic8,

and here the only rule was that your password

a tady jediná podmínka bylo, že vaše heslo

had to have at least eight characters.

musí mít alespoň 8 znaků.

Then some people had a much harder policy,

Pak někteří lidé měli hodně těžší zásadu,

and this was very similar to the CMU policy,

a to bylo velmi podobné politice CMU,

that it had to have eight characters

a to, že musí mít 8 znaků

including uppercase, lowercase, digit, symbol,

včetně velkého a malého písmena, číslovku, symbol,

and pass a dictionary check.

a musí projít testem slovníku.

And one of the other policies we tried,

A jedna z dalších zásad, kterou jsme zkusili,

and there were a whole bunch more,

a bylo jich mnohem více,

but one of the ones we tried was called Basic16,

ale jednu z těch, co jsme zkusili se jmenuje Basic16,

and the only requirement here

a jejím jediným požadavkem

was that your password had to have at least 16 characters.

je mít heslo s alespoň 16 znaky.

All right, so now we had 5,000 passwords,

Dobře, tak teď jsme měli 5000 hesel,

and so we had much more detailed information.

a tak jsme měli mnohem detailnější informace.

Again we see that there's only a small number

Znova vidíme, že je jen malé množství

of symbols that people are actually using

symbolů, které lidé vlastně používají

in their passwords.

ve svých heslech.

We also wanted to get an idea of how strong

Také jsme chtěli vědět, jak silná

the passwords were that people were creating,

hesla lidé vytvářeli,

but as you may recall, there isn't a good measure

ale jak si možná vzpomenete, neexistuje dobré měřítko

of password strength.

síly hesla.

So what we decided to do was to see

Takže jsme se rozhodli podívat,

how long it would take to crack these passwords

jak dlouho bude trvat nabourat tato hesla

using the best cracking tools

použitím nejlepších nabourávacích nástrojů,

that the bad guys are using,

které ti zlí hoši používají,

or that we could find information about

nebo jsme mohli najít informace

in the research literature.

ve výzkumné literatuře.

So to give you an idea of how bad guys

Tak abych vám udělala představu o tom, jak se zlí hoši

go about cracking passwords,

nabourávají do hesel,

they will steal a password file

ukradnou soubor hesel,

that will have all of the passwords

který obsahuje všechna ta hesla

in kind of a scrambled form, called a hash,

v takové zakódované podobě, nazvané "hash",

and so what they'll do is they'll make a guess

a co udělají je, že si tipnou,

as to what a password is,

jaké to heslo je,

run it through a hashing function,

projedou to skrz "hash" funkci,

and see whether it matches

a uvidí, jestli to odpovídá

the passwords they have on their stolen password list.

heslům, které mají na jejich ukradeném seznamu hesel.

So a dumb attacker will try every password in order.

No a hloupý útočník zkusí každé heslo postupně.

They'll start with AAAAA and move on to AAAAB,

Začnou s AAAAA, pokračují s AAAAB

and this is going to take a really long time

a tohle zabere opravdu dlouho

before they get any passwords

než získají hesla,

that people are really likely to actually have.

která lidé s velkou pravděpodobností mají.

A smart attacker, on the other hand,

Chytrý útočník, na druhou stranu,

does something much more clever.

udělá něco mnohem chytřejšího.

They look at the passwords

Podívají se na hesla,

that are known to be popular

o kterých se ví, že jsou populární

from these stolen password sets,

z těch ukradených souborů hesel

and they guess those first.

a právě ty hádají jako první.

So they're going to start by guessing "password,"

Takže začnou s hádáním "heslo",

and then they'll guess "I love you," and "monkey,"

a pak tipnou "miluji tě", a "opice",

and "12345678,"

a "12345678"

because these are the passwords

protože to jsou hesla,

that are most likely for people to have.

která lidé nejpravděpodobněji mají.

In fact, some of you probably have these passwords.

A opravdu, někteří z vás pravděpodobně mají tato hesla.

So what we found

Takže co jsme našli

by running all of these 5,000 passwords we collected

díky testování všech těch 5000 hesel, co jsme sesbírali,

through these tests to see how strong they were,

v těch testech, které ukazují sílu hesel,

we found that the long passwords

zjistili jsme, že dlouhá hesla

were actually pretty strong,

jsou vlastně docela silná,

and the complex passwords were pretty strong too.

a komplexní hesla jsou taky celkem silná.

However, when we looked at the survey data,

Nicméně, když jsme se podívali na data výzkumu,

we saw that people were really frustrated

viděli jsme, že lidé jsou opravdu frustrovaní

by the very complex passwords,

velmi komplexními hesly,

and the long passwords were a lot more usable,

a dlouhá hesla byla mnohem více použitelná

and in some cases, they were actually

a v některých případech, byla vlastně

even stronger than the complex passwords.

dokonce silnější než komplexní hesla.

So this suggests that,

Takže tohle naznačuje,

instead of telling people that they need

že na místo říkat lidem, že mají

to put all these symbols and numbers

dát všechny ty symboly a čísla

and crazy things into their passwords,

a šílené věci do svých hesel,

we might be better off just telling people

tak bychom lépe lidem jen řekli,

to have long passwords.

aby měli dlouhá hesla.

Now here's the problem, though:

No ale tady je teď problém:

Some people had long passwords

Někteří lidé měli dlouhá hesla,

that actually weren't very strong.

která vlastně nebyla moc silná.

You can make long passwords

Můžete vytvořit dlouhá hesla,

that are still the sort of thing

která jsou stejně

that an attacker could easily guess.

útočníkem lehce uhodnutelná.

So we need to do more than just say long passwords.

Takže musíme udělat víc, než jen zadat dlouhá hesla.

There has to be some additional requirements,

Musí tam být nějaké dodatečné požadavky,

and some of our ongoing research is looking at

a některé z našich probíhajících výzkumů zkoumají

what additional requirements we should add

jaké dodatečné požadavky bychom měli přidat,

to make for stronger passwords

abychom udělali silnější hesla,

that also are going to be easy for people

která budou pro lidi jednoduchá

to remember and type.

na zapamatování i psaní.

Another approach to getting people to have

Další přístup, jak lidi dostat k tomu, aby měli

stronger passwords is to use a password meter.

silnější hesla, je užití heslo-metru.

Here are some examples.

Tady jsou nějaké příklady.

You may have seen these on the Internet

Možná jste je viděli na internetu,

when you were creating passwords.

když jste vytvářeli hesla.

We decided to do a study to find out

My jsme se rozhodli udělali studii, abychom zjistili,

whether these password meters actually work.

jestli ty heslo-metry opravdu fungují.

Do they actually help people

Opravdu lidem pomáhají

have stronger passwords,

mít silnější heslo,

and if so, which ones are better?

a jestli ano, které jsou lepší?

So we tested password meters that were

Tak jsme otestovali heslo-metry, které měly

different sizes, shapes, colors,

různé velikosti, tvary, barvy,

different words next to them,

různá slova vedle nich,

and we even tested one that was a dancing bunny.

a dokonce jsme otestovali ten, co byl tančící králík.

As you type a better password,

Když napíšete lepší heslo,

the bunny dances faster and faster.

králík tančí rychleji a rychleji.

So this was pretty fun.

Takže to bylo docela sranda.

What we found

Co jsme zjistili

was that password meters do work.

bylo, že heslo-metry fungují.

(Laughter)

(smích)

Most of the password meters were actually effective,

Většina heslo-metrů byla vlastně efektních,

and the dancing bunny was very effective too,

a tančící králík byl taky hodně efektní,

but the password meters that were the most effective

ale heslo-metry, které byly nejvíce efektní,

were the ones that made you work harder

byly ty, co vás přiměly pracovat pilněji

before they gave you that thumbs up and said

předtím než vám ukázaly palec nahoru a řekly,

you were doing a good job,

že děláte dobrou práci,

and in fact we found that most

a ve skutečnosti jsme zjistili, že většina

of the password meters on the Internet today

heslo-metrů na internetu

are too soft.

They tell you you're doing a good job too early,

je dnes příliš slabá.

Řeknou vám, že děláte dobrou práci příliš brzy,

and if they would just wait a little bit

a pokud by počkali jen chvilku předtím

before giving you that positive feedback,

než vám dají tu pozitivní zpětnou vazbu,

you probably would have better passwords.

pravděpodobně byste měli lepší hesla.

Now another approach to better passwords, perhaps,

Další přístup k lepším heslům je možná

is to use pass phrases instead of passwords.

užití frází namísto hesel.

So this was an xkcd cartoon from a couple of years ago,

toto byl xkcd kreslený vtip, několik let starý,

and the cartoonist suggests

a ten karikaturista navrhl,

that we should all use pass phrases,

že bychom všichni měli používat fráze,

and if you look at the second row of this cartoon,

a když se podíváte na druhý řádek toho kresleného vtipu,

you can see the cartoonist is suggesting

můžete vidět, že karikaturista navrhuje,

that the pass phrase "correct horse battery staple"

že fráze "Oprav koňské svorky baterie"

would be a very strong pass phrase

by byla velmi silnou frází

and something really easy to remember.

a něčím opravdu jednoduchým k zapamatování.

He says, in fact, you've already remembered it.

Říká, vlastně jste si to už zapamatovali.

And so we decided to do a research study

A tak jsme se rozhodli udělat studii,

to find out whether this was true or not.

abychom zjistili, jestli je to pravda nebo ne.

In fact, everybody who I talk to,

Ve skutečnosti, každý s kým mluvím,

who I mention I'm doing password research,

komu zmíním, že dělám výzkum o heslech,

they point out this cartoon.

poukáží na tento kreslený vtip.

"Oh, have you seen it? That xkcd.

"Oh, viděla jsi to? Ten komix.

Correct horse battery staple."

Oprav koňské svorky baterie."

So we did the research study to see

Tak jsme udělali výzkumnou studii, abychom viděli

what would actually happen.

co by se vlastně stalo.

So in our study, we used Mechanical Turk again,

Takže v naší studii jsme zase použili Mechanical Turk,

and we had the computer pick the random words

a počítač nám vybral náhodná slova

in the pass phrase.

do heslových frází.

Now the reason we did this

Důvod, proč jsme to udělali

is that humans are not very good

je, že lidé nejsou velmi dobří

at picking random words.

ve vybírání náhodných slov.

If we asked a human to do it,

Pokud bychom požádali člověka, aby to udělal,

they would pick things that were not very random.

vybral by věci, které by nebyly moc náhodné.

So we tried a few different conditions.

Tak jsme zkusili pár různých podmínek.

In one condition, the computer picked

Za první podmínky počítač vybral

from a dictionary of the very common words

ze slovníku velmi běžných slov

in the English language,

anglického jazyka,

and so you'd get pass phrases like

a tak byste narazili na fráze jako

"try there three come."

"zkus tam tři přijít".

And we looked at that, and we said,

A my jsme se na to podívali a řekli:

"Well, that doesn't really seem very memorable."

"No, to opravdu nevypadá velmi zapamatovatelně."

So then we tried picking words

Tak pak jsme zkusili vybírání slov,

that came from specific parts of speech,

které pocházeli ze specifických částí řeči,

so how about noun-verb-adjective-noun.

takže co třeba podstatné jm.-sloveso-přídavné jm.-podstatné jm.

That comes up with something that's sort of sentence-like.

To přijde s něčím, co už trochu vypadá jako věta.

So you can get a pass phrase like

Tak můžete dostat frázi jako

"plan builds sure power"

"plán buduje spolehlivou sílu"

or "end determines red drug."

nebo "konec určuje červenou drogu"

And these seemed a little bit more memorable,

A tyto vypadají trochu víc zapamatovatelně,

and maybe people would like those a little bit better.

a lidé by je asi měli trochu raději.

We wanted to compare them with passwords,

Chtěli jsme je porovnat s hesly

and so we had the computer pick random passwords,

a tak jsme nechali počítač vybrat náhodná hesla,

and these were nice and short, but as you can see,

a ty byly pěkné a krátké, ale jak můžete vidět,

they don't really look very memorable.

opravdu nevypadají moc zapamatovatelně.

And then we decided to try something called

A pak jsme se rozhodli vyzkoušet něco nazvané

a pronounceable password.

vyslovitelné heslo.

So here the computer picks random syllables

Tak tady počítač vybere náhodné slabiky

and puts them together

a dá je dohromady

so you have something sort of pronounceable,

tak, že máte něco nějak vyslovitelného,

like "tufritvi" and "vadasabi."

jako "tufritvi" a "vadasabi".

That one kind of rolls off your tongue.

Ten se nějak váli na jazyku.

So these were random passwords that were

Takže ta byla náhodná hesla, která byla

generated by our computer.

vygenerovaná počítačem.

So what we found in this study was that, surprisingly,

Co jsme zjistili v této studii je, překvapivě,

pass phrases were not actually all that good.

že heslové fráze nebyly vlastně tak dobré.

People were not really better at remembering

Lidé opravdu nebyli lepší v pamatování

the pass phrases than these random passwords,

frází než těchto náhodných hesel,

and because the pass phrases are longer,

a protože fráze jsou delší,

they took longer to type

jejich napsání trvá déle

and people made more errors while typing them in.

a lidé dělají více chyb, když je píší.

So it's not really a clear win for pass phrases.

Takže to opravdu není čistá výhra pro fráze.

Sorry, all of you xkcd fans.

Promiňte, všichni fanoušci komixu xkcd.

On the other hand, we did find

Na druhou stranu jsme zjistili,

that pronounceable passwords

že vyslovitelná hesla

worked surprisingly well,

fungují překvapivě dobře,

and so we actually are doing some more research

a tak už děláme další výzkum,

to see if we can make that approach work even better.

abychom zjistili, jestli můžeme tento přístup udělat ještě lepším.

So one of the problems

Jeden z problémů

with some of the studies that we've done

s některými z našich studií

is that because they're all done

je, že protože jsou udělány

using Mechanical Turk,

za pomoci Mechanical Turk,

these are not people's real passwords.

nejsou to opravdová hesla lidí.

They're the passwords that they created

Jsou to hesla, která lidé vytvořili

or the computer created for them for our study.

nebo počítač vytvořil za ně pro náš výzkum.

And we wanted to know whether people

A my jsme chtěli vědět,

would actually behave the same way

jestli by se lidé chovali stejně

with their real passwords.

se svými opravdovými hesly.

So we talked to the information security office at Carnegie Mellon

Tak jsme si promluvili s informační bezpečností službou v Carnegie Mellon

and asked them if we could have everybody's real passwords.

a zeptali se jich, jestli bychom mohli mít opravdová hesla všech.

Not surprisingly, they were a little bit reluctant

Nepřekvapivě byli trochu zdráhaví

to share them with us,

je s námi sdílet,

but we were actually able to work out

ale my jsme vlastně byli schopní s nimi

a system with them

vypracovat systém,

where they put all of the real passwords

kam vložili všechna reálná hesla

for 25,000 CMU students, faculty and staff,

25000 studentů, učitelů a zaměstnanců,

into a locked computer in a locked room,

do uzamčeného počítače v uzamčené místnosti,

not connected to the Internet,

nepřipojeném k internetu

and they ran code on it that we wrote

a oni na něm spustili kód, který jsme napsali,

to analyze these passwords.

abychom zanalyzovali ta hesla.

They audited our code.

Oni nahráli náš kód.

They ran the code.

Spustili ten kód.

And so we never actually saw

A tak jsme nikdy vlastně neviděli

anybody's password.

ničí heslo.

We got some interesting results,

Dostali jsme nějaké zajímavé výsledky,

and those of you Tepper students in the back

a vás, studenty Tepper, vzadu,

will be very interested in this.

to bude velmi zajímat.

So we found that the passwords created

Zjistili jsme, že hesla vytvořená

by people affiliated with the school of computer science

lidmi z fakulty počítačových věd

were actually 1.8 times stronger

byla vlastně 1.8 krát silnější

than those affiliated with the business school.

než těch z ekonomické fakulty.

We have lots of other really interesting

Máme také hodně dalších opravdu zajímavých

demographic information as well.

demografických informací.

The other interesting thing that we found

Další zajímá věc, kterou jsme zjistili

is that when we compared the Carnegie Mellon passwords

je, že když srovnáme hesla z Carnegie Mellon

to the Mechanical Turk-generated passwords,

s hesly vygenerovanými na Mechanical Turk,

there was actually a lot of similarities,

bylo tam celkem hodně podobností,

and so this helped validate our research method

a pomohlo to ověřit naši výzkumnou metodu

and show that actually, collecting passwords

a ukázat, že sbírání hesel

using these Mechanical Turk studies

za pomoci Mechanical Turk studí

is actually a valid way to study passwords.

je vlastně správná cesta ke zkoumání hesel.

So that was good news.

A to byla dobrá zpráva.

Okay, I want to close by talking about

Dobře, chtěla bych na závěr říct něco

some insights I gained while on sabbatical

o zkušenosti, kterou jsem získala loni

last year in the Carnegie Mellon art school.

na roční vědecké dovolené ve škole umění Carnegie Mellon.

One of the things that I did

Jedna z věcí, kterou jsem vytvořila,

is I made a number of quilts,

bylo několik přikrývek,

and I made this quilt here.

a tohle je jedna z nich.

It's called "Security Blanket."

Jmenuje se "Bezpečnostní deka".

(Laughter)

(Smích)

And this quilt has the 1,000

A tato deka obsahuje 1000

most frequent passwords stolen

nejčastějších hesel ukradených

from the RockYou website.

ze stránky RockYou.

And the size of the passwords is proportional

A velikost hesel odpovídá tomu,

to how frequently they appeared

jak často se objevovala

in the stolen dataset.

v ukradené databázi.

And what I did is I created this word cloud,

A tak jsem vytvořila tento mrak slov

and I went through all 1,000 words,

a prošla všech 1000 slov

and I categorized them into

a rozřadila je do

loose thematic categories.

volných tematických kategorií.

And it was, in some cases,

A to bylo, v některých případech,

it was kind of difficult to figure out

docela složité zjistit,

what category they should be in,

do jaké kategorie by měly patřit

and then I color-coded them.

a pak jsem je barevně označila.

So here are some examples of the difficulty.

Tady jsou některé obtížné příklady.

So "justin."

Třeba "justin".

Is that the name of the user,

Je to jméno uživatele,

their boyfriend, their son?

jejich přítel, jejich syn?

Maybe they're a Justin Bieber fan.

Možná jsou jen fanouškem Justina Biebera.

Or "princess."

Nebo "princezna".

Is that a nickname?

Je to přezdívka?

Are they Disney princess fans?

Jsou fanoušci Disney princezen?

Or maybe that's the name of their cat.

Nebo možná je to jméno jejich kočky.

"Iloveyou" appears many times

"Miluji tě" se objevilo mnohokrát

in many different languages.

v nespočtu různých jazycích.

There's a lot of love in these passwords.

V těchto heslech je hodně lásky.

If you look carefully, you'll see there's also

Když se podíváte pozorněji, uvidíte, že jsou tam taky

some profanity,

určité vulgarismy,

but it was really interesting to me to see

ale bylo pro mě opravdu zajímavé vidět,

that there's a lot more love than hate

že je v těchto heslech

in these passwords.

mnohem více lásky než nenávisti.

And there are animals,

A jsou tam zvířata,

a lot of animals,

hodně zvířat,

and "monkey" is the most common animal

a "opice" je nejčastější zvíře

and the 14th most popular password overall.

a 14. nejpopulárnější heslo celkově.

And this was really curious to me,

A to mě opravdu zajímalo,

and I wondered, "Why are monkeys so popular?"

a říkala jsem si: "Proč jsou opice tak populární?"

And so in our last password study,

A v naší poslední studii o heslech,

any time we detected somebody

pokaždé, když jsme objevili někoho

creating a password with the word "monkey" in it,

používat heslo se slovem "opice",

we asked them why they had a monkey in their password.

zeptali jsme se jich, proč měli opici ve svém hesle.

And what we found out --

A co jsme zjistili -

we found 17 people so far, I think,

našli jsme zatím 17 lidí, myslím,

who have the word "monkey" --

co měli slovo "opice" -

We found out about a third of them said

zjistili jsme, že asi třetina z nich řekla,

they have a pet named "monkey"

že mají domácí zvíře jménem "opice"

or a friend whose nickname is "monkey,"

nebo kamaráda, jehož přezdívka je "opice",

and about a third of them said

a asi třetina z nich řekla,

that they just like monkeys

že prostě mají rádi opice

and monkeys are really cute.

a že opice jsou roztomilé.

And that guy is really cute.

A ten malý je opravdu roztomilý.

So it seems that at the end of the day,

Tak se zdá, že nakonec

when we make passwords,

když tvoříme hesla,

we either make something that's really easy

buď vytvoříme něco, co je opravdu jednoduché

to type, a common pattern,

napsat, běžný vzorec,

or things that remind us of the word password

nebo věci, co nám připomínají slovo heslo

or the account that we've created the password for,

nebo účet, pro který jsme heslo vytvořili,

or whatever.

nebo cokoliv.

Or we think about things that make us happy,

Nebo myslíme na věci, které nás dělají šťastnými,

and we create our password

a tvoříme hesla

based on things that make us happy.

založená na věcech, co nás dělají šťastnými.

And while this makes typing

A zatímco to dělá psaní

and remembering your password more fun,

a zapamatování vašeho hesla více zábavné,

it also makes it a lot easier

taky je mnohem lehčí

to guess your password.

vaše heslo uhodnout.

So I know a lot of these TED Talks

Vím, že hodně z těchto TED přednášek

are inspirational

je inspirativních

and they make you think about nice, happy things,

a že vás přimějí myslet na hezké, veselé věci,

but when you're creating your password,

ale když si tvoříte heslo,

try to think about something else.

snažte se myslet na něco jiného.

Thank you.

Děkuji.

(Applause)

(Potlesk)