Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Lorrie Faith Cranor: ¿Qué hay de malo en su c0ntr@señ@?

Traductor: Lidia Cámara de la Fuente Revisor: Ciro Gomez

I am a computer science and engineering professor here at Carnegie Mellon,

Soy profesora de ciencias de la computación e ingeniería aquí en Carnegie Mellon,

and my research focuses on usable privacy and security,

y mi investigación se centra en la privacidad y seguridad utilizable,

and so my friends like to give me examples

y por ello, a mis amigos les gusta darme ejemplos

of their frustrations with computing systems,

de sus frustraciones con los sistemas informáticos,

especially frustrations related to

especialmente de frustraciones relacionados con

unusable privacy and security.

la privacidad y la seguridad inutilizable.

So passwords are something that I hear a lot about.

Así que he oído mucho sobre contraseñas.

A lot of people are frustrated with passwords,

Muchas personas se sienten frustradas con las contraseñas,

and it's bad enough

y es bastante lamentable

when you have to have one really good password

cuando uno debe tener una contraseña muy buena

that you can remember

que pueda recordar

but nobody else is going to be able to guess.

pero que nadie pueda adivinar.

But what do you do when you have accounts

Pero ¿qué hacer cuando se tienen cuentas

on a hundred different systems

en un centenar de diferentes sistemas

and you're supposed to have a unique password

y que a su vez se supone que deben ser contraseñas únicas

for each of these systems?

para cada uno de estos sistemas?

It's tough.

Es complejo.

At Carnegie Mellon, they used to make it

En Carnegie Mellon solían hacerlo

actually pretty easy for us

bastante fácil

to remember our passwords.

para que recordáramos nuestras contraseñas.

The password requirement up through 2009

El requisito hasta el 2009 para las contraseñas era

was just that you had to have a password

que estas tuvieran

with at least one character.

al menos un carácter.

Pretty easy. But then they changed things,

Bastante fácil. Pero luego cambiaron las cosas,

and at the end of 2009, they announced

y al final del 2009 se anunció

that we were going to have a new policy,

que íbamos a tener una nueva política,

and this new policy required

y esta nueva política precisaba

passwords that were at least eight characters long,

contraseñas que tuvieran al menos 8 caracteres,

with an uppercase letter, lowercase letter,

con una letra mayúscula, letra minúscula,

a digit, a symbol,

un dígito y un símbolo.

you couldn't use the same character more than three times,

No se podía utilizar el mismo carácter más de tres veces,

and it wasn't allowed to be in a dictionary.

y no podía aparecer en un diccionario.

Now, when they implemented this new policy,

Cuando implementaron esta nueva política,

a lot of people, my colleagues and friends,

muchos de mis colegas y amigos,

came up to me and they said, "Wow,

me vinieron para decirme:

now that's really unusable.

"Ahora sí que es realmente inservible.

Why are they doing this to us,

¿Por qué nos hacen esto

and why didn't you stop them?"

y por qué no los detuviste?"

And I said, "Well, you know what?

Y yo dije: "¿Saben qué?

They didn't ask me."

Nadie me preguntó".

But I got curious, and I decided to go talk

Pero me picó la curiosidad y decidí ir a hablar

to the people in charge of our computer systems

con las personas a cargo de nuestros sistemas informáticos

and find out what led them to introduce

y averiguar qué les llevó a introducir

this new policy,

esta nueva política.

and they said that the university

Y dijeron que la universidad

had joined a consortium of universities,

se había unido a un consorcio de universidades,

and one of the requirements of membership

y uno de los requisitos de membresía

was that we had to have stronger passwords

era que debíamos tener contraseñas más seguras

that complied with some new requirements,

que cumpliesen algunos nuevos requisitos,

and these requirements were that our passwords

y estos requisitos eran que nuestras contraseñas

had to have a lot of entropy.

tenía que tener una gran cantidad de entropía.

Now entropy is a complicated term,

La entropía es un término complicado,

but basically it measures the strength of passwords.

pero básicamente mide la fuerza de las contraseñas.

But the thing is, there isn't actually

Pero el tema es que eso no es en realidad

a standard measure of entropy.

una medida estándar de entropía.

Now, the National Institute of Standards and Technology

El Instituto Nacional de Estándares y Tecnología

has a set of guidelines

tiene un conjunto de directrices

which have some rules of thumb

con algunas reglas básicas

for measuring entropy,

para medir la entropía,

but they don't have anything too specific,

pero no tienen nada muy específico,

and the reason they only have rules of thumb

y la razón por la que solo tiene reglas básicas

is it turns out they don't actually have any good data

es porque en realidad no tienen buena información

on passwords.

sobre contraseñas.

In fact, their report states,

De hecho, su informe señala,

"Unfortunately, we do not have much data

"Desafortunadamente, no tenemos mucha información

on the passwords users choose under particular rules.

sobre las contraseñas que los usuarios eligen bajo reglas particulares.

NIST would like to obtain more data

Al Instituto de estándares y tecnología (NIST) le gustaría obtener más datos

on the passwords users actually choose,

sobre las contraseñas escogidas por los usuarios,

but system administrators are understandably reluctant

pero los administradores de sistemas son comprensiblemente reacios

to reveal password data to others."

a revelar datos de las contraseñas a externos".

So this is a problem, but our research group

Esto es un problema, pero nuestro grupo de investigación

looked at it as an opportunity.

lo vio como una oportunidad.

We said, "Well, there's a need for good password data.

Dijimos: "Hay una necesidad de tener buenos datos sobre contraseñas.

Maybe we can collect some good password data

Tal vez podamos recoger algunos buenos datos sobre contraseñas

and actually advance the state of the art here.

y de hecho avanzar el estado actual aquí".

So the first thing we did is,

Así que lo primero que hicimos fue

we got a bag of candy bars

ir con una bolsa de caramelos

and we walked around campus

a dar una vuelta por el campus

and talked to students, faculty and staff,

para hablar con los estudiantes, profesores y personal,

and asked them for information

y pedirles información

about their passwords.

sobre sus contraseñas.

Now we didn't say, "Give us your password."

No les decíamos: "Danos tu contraseña".

No, we just asked them about their password.

Solo les preguntamos acerca de su contraseña.

How long is it? Does it have a digit?

¿Cuánto tiempo hace que la tienes? ¿Tiene algún dígito?

Does it have a symbol?

¿Tiene un símbolo?

And were you annoyed at having to create

Y ¿te molestó tener que crear

a new one last week?

una nueva la semana pasada?

So we got results from 470 students,

Así que obtuvimos resultados de 470 estudiantes,

faculty and staff,

personal docente y administrativo,

and indeed we confirmed that the new policy

y de hecho se confirmó que la nueva política

was very annoying,

era muy molesta.

but we also found that people said

No obstante, también averiguamos que

they felt more secure with these new passwords.

se sentían más seguros con estas nuevas contraseñas.

We found that most people knew

Averiguamos que la mayoría de la gente sabía

they were not supposed to write their password down,

que se suponía que no debía anotar su contraseña,

and only 13 percent of them did,

y solo el 13 % lo hizo,

but disturbingly, 80 percent of people

pero desconcertantemente, el 80 %

said they were reusing their password.

dijo que reutilizaban su contraseña.

Now, this is actually more dangerous

Ahora, esto es en realidad más peligroso

than writing your password down,

que anotar la contraseña,

because it makes you much more susceptible to attackers.

porque nos hace mucho más vulnerables a los atacantes.

So if you have to, write your passwords down,

Así que si tienen que hacerlo, anoten sus contraseñas,

but don't reuse them.

pero no la reutilicen.

We also found some interesting things

También averiguamos algunas cosas interesantes

about the symbols people use in passwords.

acerca de los símbolos que las personas utilizan en las contraseñas.

So CMU allows 32 possible symbols,

Así CMU permite 32 posibles símbolos,

but as you can see, there's only a small number

pero como pueden ver, solo hay un pequeño número

that most people are using,

que la mayoría de la gente utiliza,

so we're not actually getting very much strength

así que no estamos consiguiendo realmente mucha seguridad

from the symbols in our passwords.

con los símbolos en nuestras contraseñas.

So this was a really interesting study,

Así que fue un estudio muy interesante,

and now we had data from 470 people,

y ahora teníamos los datos de 470 personas,

but in the scheme of things,

pero en la situación actual

that's really not very much password data,

esos no son realmente muchos datos de contraseñas,

and so we looked around to see

y así miramos a nuestro alrededor para ver

where could we find additional password data?

dónde podríamos encontrar datos adicionales de contraseñas.

So it turns out there are a lot of people

Resulta que hay mucha gente

going around stealing passwords,

por ahí robando contraseñas

and they often go and post these passwords

y a menudo las publican

on the Internet.

en Internet.

So we were able to get access

Así que pudimos obtener acceso

to some of these stolen password sets.

a algunos de estos conjuntos de contraseñas robadas.

This is still not really ideal for research, though,

Sin embargo, esto todavía no es realmente ideal para una investigación,

because it's not entirely clear

porque no es del todo claro

where all of these passwords came from,

de dónde proceden todas estas contraseñas,

or exactly what policies were in effect

o qué políticas concretas estaban en efecto

when people created these passwords.

cuando las personas crearon esas contraseñas.

So we wanted to find some better source of data.

Así es que queríamos encontrar una mejor fuente de datos.

So we decided that one thing we could do

Decidimos qué una cosa que podríamos hacer

is we could do a study and have people

era hacer un estudio y que la gente

actually create passwords for our study.

realmente creara contraseñas para nuestro estudio.

So we used a service called Amazon Mechanical Turk,

Así que usamos un servicio llamado Amazon Mechanical Turk,

and this is a service where you can post

que es un servicio para enviar

a small job online that takes a minute,

un pequeña tarea que lleva un minuto,

a few minutes, an hour,

unos minutos, una hora,

and pay people, a penny, ten cents, a few dollars,

y paga a la gente un centavo, diez centavos, unos dólares

to do a task for you,

por hacer la tarea por Ud.,

and then you pay them through Amazon.com.

y después se les paga a través de Amazon.com.

So we paid people about 50 cents

Así que pagamos a la gente unos 50 centavos

to create a password following our rules

por crear una contraseña siguiendo nuestras reglas

and answering a survey,

y por responder una encuesta,

and then we paid them again to come back

y luego les pagamos de nuevo para volver

two days later and log in

dos días más tarde y abrir una sesión

using their password and answering another survey.

usando su contraseña y contestar otra encuesta.

So we did this, and we collected 5,000 passwords,

Haciendo esto, hemos recogido 5000 contraseñas,

and we gave people a bunch of different policies

y dimos a la gente una serie de diferentes políticas

to create passwords with.

para crear contraseñas.

So some people had a pretty easy policy,

Algunas personas debían aplicar una política bastante fácil,

we call it Basic8,

la llamamos Basic8,

and here the only rule was that your password

y ahí la única regla es que la contraseña

had to have at least eight characters.

debía tener al menos ocho caracteres.

Then some people had a much harder policy,

Otras personas tenían que aplicar una política mucho más dura,

and this was very similar to the CMU policy,

y esto era muy similar a la política de CMU,

that it had to have eight characters

es decir, ocho caracteres

including uppercase, lowercase, digit, symbol,

incluyendo mayúsculas, minúsculas, dígitos, símbolo,

and pass a dictionary check.

y pasar una verificación de diccionario.

And one of the other policies we tried,

Y una de las otras políticas que probamos,

and there were a whole bunch more,

y había un montón más,

but one of the ones we tried was called Basic16,

pero una de las que probamos fue la llamada Basic16,

and the only requirement here

y el único requisito aquí

was that your password had to have at least 16 characters.

era que la contraseña debía tener al menos 16 caracteres.

All right, so now we had 5,000 passwords,

Muy bien, así que ahora teníamos 5000 contraseñas,

and so we had much more detailed information.

e información mucho más detallada.

Again we see that there's only a small number

Una vez más constatamos que la gente realmente solo usa

of symbols that people are actually using

un pequeño número de símbolos

in their passwords.

en sus contraseñas.

We also wanted to get an idea of how strong

También queríamos tener una idea de cuánta seguridad

the passwords were that people were creating,

ofrecían las contraseñas que las personas creaban,

but as you may recall, there isn't a good measure

pero, como recordarán, no es una buena medida

of password strength.

de seguridad de la contraseña.

So what we decided to do was to see

Así que decidimos ver

how long it would take to crack these passwords

el tiempo que se tardaría en descifrar estas contraseñas

using the best cracking tools

utilizando las mejores herramientas de descifrado

that the bad guys are using,

que usan los malos,

or that we could find information about

o averiguando información al respecto

in the research literature.

en la literatura especializada.

So to give you an idea of how bad guys

Para que se hagan una idea de cómo los chicos malos

go about cracking passwords,

descifran contraseñas,

they will steal a password file

ellos roban un archivo de contraseñas

that will have all of the passwords

donde están todas las contraseñas

in kind of a scrambled form, called a hash,

en una especie de formulario codificado llamado hash,

and so what they'll do is they'll make a guess

y así lo que harán es una conjetura

as to what a password is,

acerca de lo que es una contraseña,

run it through a hashing function,

que se comparará con una función hash,

and see whether it matches

para ver si coincide con

the passwords they have on their stolen password list.

las contraseñas de su lista de contraseñas robadas.

So a dumb attacker will try every password in order.

Así que un atacante tonto tratará todas las contraseñas en orden.

They'll start with AAAAA and move on to AAAAB,

Empezarán con AAAAA y pasarán a AAAAB,

and this is going to take a really long time

y esto tomará mucho tiempo

before they get any passwords

antes de encontrar las contraseñas

that people are really likely to actually have.

que las personas son propensas a tener.

A smart attacker, on the other hand,

Por otra parte, un atacante astuto,

does something much more clever.

hace algo mucho más inteligente.

They look at the passwords

Miran las contraseñas

that are known to be popular

que se saben que son populares

from these stolen password sets,

a partir de estos conjuntos de contraseñas robadas,

and they guess those first.

y las adivinan en primer lugar.

So they're going to start by guessing "password,"

Así que empezaremos adivinando "contraseña"

and then they'll guess "I love you," and "monkey,"

y luego "Te amo" y "mono"

and "12345678,"

y "12345678",

because these are the passwords

porque estas son las contraseñas

that are most likely for people to have.

que con mayor probabilidad tiene la gente.

In fact, some of you probably have these passwords.

De hecho, algunos de Uds. probablemente tienen estas contraseñas.

So what we found

Así que lo que encontramos

by running all of these 5,000 passwords we collected

mediante la ejecución de todas estas 5000 contraseñas recogidas

through these tests to see how strong they were,

a través de estas pruebas para ver lo seguras que eran,

we found that the long passwords

encontramos que las contraseñas largas

were actually pretty strong,

eran en realidad bastante seguras,

and the complex passwords were pretty strong too.

y las contraseñas complejas eran bastante seguras también.

However, when we looked at the survey data,

Sin embargo, cuando nos fijamos en los datos del estudio,

we saw that people were really frustrated

vimos que la gente estaba realmente frustrada

by the very complex passwords,

por las contraseñas muy complejas,

and the long passwords were a lot more usable,

y que las contraseñas largas eran mucho más usables,

and in some cases, they were actually

y, en algunos casos, eran en realidad

even stronger than the complex passwords.

incluso más seguras que las contraseñas complejas.

So this suggests that,

Así que esto sugiere que,

instead of telling people that they need

en lugar de decirle a la gente que necesitan

to put all these symbols and numbers

poner todos estos símbolos y números

and crazy things into their passwords,

y cosas locas en sus contraseñas,

we might be better off just telling people

podríamos mejorar simplemente diciendo a la gente

to have long passwords.

que tengan contraseñas largas.

Now here's the problem, though:

Sin embargo, aquí hay el problema,

Some people had long passwords

Algunas personas tenían contraseñas largas

that actually weren't very strong.

que en realidad no eran muy seguras.

You can make long passwords

Pueden crear contraseñas largas

that are still the sort of thing

del tipo

that an attacker could easily guess.

que un atacante podría adivinar fácilmente.

So we need to do more than just say long passwords.

Así que debemos añadir algo más a las contraseñas largas.

There has to be some additional requirements,

Deben existir requisitos adicionales,

and some of our ongoing research is looking at

y nuestra investigación en curso está mirando

what additional requirements we should add

qué requisitos adicionales hay que añadir

to make for stronger passwords

para crear contraseñas más seguras

that also are going to be easy for people

que también sean fáciles para la gente

to remember and type.

recordar y escribir.

Another approach to getting people to have

Otra forma para lograr que las personas tengan

stronger passwords is to use a password meter.

contraseñas más seguras es usar un medidor de contraseña.

Here are some examples.

Estos son algunos ejemplos:

You may have seen these on the Internet

Puede que los hayan visto en Internet

when you were creating passwords.

al crear sus contraseñas.

We decided to do a study to find out

Decidimos hacer un estudio para averiguar

whether these password meters actually work.

si estos medidores de contraseñas realmente funcionan.

Do they actually help people

¿Esto realmente ayuda a las personas

have stronger passwords,

a tener contraseñas seguras?

and if so, which ones are better?

Y si es así, ¿cuáles son mejores?

So we tested password meters that were

Así que probamos medidores de contraseñas

different sizes, shapes, colors,

de diferentes tamaños, formas, colores,

different words next to them,

diferentes palabras al lado,

and we even tested one that was a dancing bunny.

y hasta probamos uno con era un conejito bailarín.

As you type a better password,

Al escribir una mejor contraseña,

the bunny dances faster and faster.

el conejo baila cada vez más rápido.

So this was pretty fun.

Así que fue bastante divertido.

What we found

Lo que encontramos

was that password meters do work.

fue que los medidores de contraseñas funcionan.

(Laughter)

(Risas)

Most of the password meters were actually effective,

La mayoría de los medidores de contraseñas eran realmente eficaces,

and the dancing bunny was very effective too,

y el conejo bailarín era muy eficaz también,

but the password meters that were the most effective

pero los medidores de contraseña más eficaces

were the ones that made you work harder

fueron los que les hicieron trabajar más

before they gave you that thumbs up and said

antes de mostrar el pulgar alzado y decir

you were doing a good job,

que estábamos haciendo un buen trabajo,

and in fact we found that most

y de hecho encontramos que la mayoría

of the password meters on the Internet today

de los medidores de contraseña en Internet hoy

are too soft.

They tell you you're doing a good job too early,

son demasiado permisivos.

Dicen que lo hacemos bien antes de tiempo,

and if they would just wait a little bit

y si solo esperaran un poco

before giving you that positive feedback,

antes de dar esa respuesta positiva,

you probably would have better passwords.

Uds. probablemente tendrían mejores contraseñas.

Now another approach to better passwords, perhaps,

Ahora, otro enfoque para mejorar las contraseñas, tal vez,

is to use pass phrases instead of passwords.

es usar frases de paso en lugar de contraseñas.

So this was an xkcd cartoon from a couple of years ago,

Este fue un dibujo animado xkcd de hace unos años,

and the cartoonist suggests

y el dibujante sugiere

that we should all use pass phrases,

que todos debemos utilizar frases de paso,

and if you look at the second row of this cartoon,

y si nos fijamos en la segunda fila de esta caricatura,

you can see the cartoonist is suggesting

se puede ver que el dibujante sugiere

that the pass phrase "correct horse battery staple"

que la frase "batería básica del caballo correcto"

would be a very strong pass phrase

sería una frase muy segura

and something really easy to remember.

y algo muy fácil de recordar.

He says, in fact, you've already remembered it.

Él dice que, de hecho, uno ya la recuerda.

And so we decided to do a research study

Así que decidimos hacer un estudio

to find out whether this was true or not.

para averiguar si esto era cierto o no.

In fact, everybody who I talk to,

De hecho, a todos con los que hablo que

who I mention I'm doing password research,

les menciono que estoy haciendo una investigación sobre contraseñas,

they point out this cartoon.

señalan esta caricatura.

"Oh, have you seen it? That xkcd.

"¿Has visto esto? Ese xkcd.

Correct horse battery staple."

Batería básica del caballo correcto".

So we did the research study to see

Así que hicimos el estudio para ver

what would actually happen.

lo que realmente pasaría.

So in our study, we used Mechanical Turk again,

En nuestro estudio, hemos utilizado Mechanical Turk de nuevo,

and we had the computer pick the random words

e hicimos que la computadora recogiera palabras al azar

in the pass phrase.

en la frase de paso.

Now the reason we did this

Ahora, la razón para hacerlo

is that humans are not very good

es que los humanos no son muy buenos

at picking random words.

escogiendo palabras al azar.

If we asked a human to do it,

Si pidiéramos a un humano hacerlo,

they would pick things that were not very random.

elegirían las cosas que no son muy arbitrarias.

So we tried a few different conditions.

Así que probamos algunas premisas diferentes.

In one condition, the computer picked

Bajo una de las premisas la computadora escogió

from a dictionary of the very common words

de un diccionario de palabras muy comunes

in the English language,

del idioma inglés,

and so you'd get pass phrases like

y así se obtendría frases de paso como

"try there three come."

"Intentemos hay tres vienen".

And we looked at that, and we said,

Y nos fijamos en eso, y dijimos,

"Well, that doesn't really seem very memorable."

"Bueno, no parece realmente muy memorizable".

So then we tried picking words

Así que intentamos recoger las palabras

that came from specific parts of speech,

que vinieron de partes específicas de la conversación

so how about noun-verb-adjective-noun.

como por ejemplo nombre-verbo-sustantivo-adjetivo.

That comes up with something that's sort of sentence-like.

Eso está relacionado con algo que es una especie de oración.

So you can get a pass phrase like

Así que Uds. pueden obtener una frase como

"plan builds sure power"

"plan construye poder seguro".

or "end determines red drug."

o "final determina drogas rojas".

And these seemed a little bit more memorable,

Y estas parecían un poco más memorizables,

and maybe people would like those a little bit better.

y tal vez a la gente le gustarían más.

We wanted to compare them with passwords,

Queríamos compararlas con las contraseñas,

and so we had the computer pick random passwords,

y teníamos la computadora para escoger contraseñas aleatorias,

and these were nice and short, but as you can see,

y estas eran agradables y cortas, pero como pueden ver,

they don't really look very memorable.

en realidad, no parecen muy memorizables.

And then we decided to try something called

Y entonces decidimos probar algo llamado

a pronounceable password.

contraseña pronunciable.

So here the computer picks random syllables

Así que aquí la computadora recoge sílabas al azar

and puts them together

y las pone une

so you have something sort of pronounceable,

para obtener algo pronunciable,

like "tufritvi" and "vadasabi."

como "tufritvi" y "vadasabi".

That one kind of rolls off your tongue.

Eso fluye en la lengua.

So these were random passwords that were

Así que eran contraseñas aleatorias

generated by our computer.

generadas por nuestra computadora

So what we found in this study was that, surprisingly,

Lo que encontramos en este estudio fue que, sorprendentemente,

pass phrases were not actually all that good.

utilizar frases no era, en realidad, tan bueno.

People were not really better at remembering

La gente no recordaba mejor

the pass phrases than these random passwords,

las frases de paso que estas contraseñas aleatorias,

and because the pass phrases are longer,

y como las frases de paso son más largas,

they took longer to type

se precisa más tiempo para escribirlas

and people made more errors while typing them in.

y la gente cometía más errores al escribirlas.

So it's not really a clear win for pass phrases.

Así que no es realmente una victoria clara para las frases de paso.

Sorry, all of you xkcd fans.

Perdón por todos los fans de xkcd.

On the other hand, we did find

Por otro lado, averiguamos

that pronounceable passwords

que las contraseñas pronunciables

worked surprisingly well,

funcionaron sorprendentemente bien,

and so we actually are doing some more research

por eso estamos profundizando más

to see if we can make that approach work even better.

para ver si podemos hacer que este enfoque sea aún mejor.

So one of the problems

Uno de los problemas

with some of the studies that we've done

con algunos de los estudios realizados

is that because they're all done

es que, debido a que está todo hecho,

using Mechanical Turk,

usando Mechanical Turk,

these are not people's real passwords.

no se trata de contraseñas reales de la gente.

They're the passwords that they created

Son las claves que

or the computer created for them for our study.

la computadora ha creado para ellos para nuestro estudio.

And we wanted to know whether people

Y lo que queríamos saber es si la gente

would actually behave the same way

en realidad se comportaría de la misma forma

with their real passwords.

con sus contraseñas reales.

So we talked to the information security office at Carnegie Mellon

Así que hablamos con la oficina de seguridad informática en Carnegie Mellon

and asked them if we could have everybody's real passwords.

y preguntamos si podíamos obtener contraseñas reales de todo el mundo.

Not surprisingly, they were a little bit reluctant

No es de extrañar, que fueran un poco reticentes

to share them with us,

de dárnoslas,

but we were actually able to work out

pero estábamos realmente dispuestos a elaborar

a system with them

un sistema con ellos

where they put all of the real passwords

donde poner todas las contraseñas reales

for 25,000 CMU students, faculty and staff,

de 25 000 estudiantes de CMU, profesores y personal,

into a locked computer in a locked room,

en una computadora bloqueada en una habitación cerrada,

not connected to the Internet,

sin conexión a Internet,

and they ran code on it that we wrote

para ejecutar el código que escribimos

to analyze these passwords.

para analizar estas contraseñas.

They audited our code.

Auditaron nuestro código.

They ran the code.

Ejecutaron el código.

And so we never actually saw

Y así nunca, en realidad, vimos

anybody's password.

las contraseñas de nadie.

We got some interesting results,

Obtuvimos algunos resultados interesantes,

and those of you Tepper students in the back

y aquellos de Uds. estudiantes de Tepper de atrás

will be very interested in this.

estarán muy interesados en esto.

So we found that the passwords created

Así nos encontramos con que las contraseñas creadas

by people affiliated with the school of computer science

por las personas afiliadas a la escuela de ciencias de la computación

were actually 1.8 times stronger

en realidad eran 1,8 veces más seguras

than those affiliated with the business school.

que las de los afiliados a la escuela de negocios.

We have lots of other really interesting

Tenemos también información

demographic information as well.

demográfica muy interesante.

The other interesting thing that we found

Otra cosa interesante que encontramos

is that when we compared the Carnegie Mellon passwords

es que al comparar las contraseñas de Carnegie Mellon

to the Mechanical Turk-generated passwords,

con las contraseñas generadas por Mechanical Turk,

there was actually a lot of similarities,

había una gran cantidad de similitudes,

and so this helped validate our research method

y así que esto ayudó a validar nuestro método de investigación

and show that actually, collecting passwords

y mostrar que en realidad, la recogida de contraseñas

using these Mechanical Turk studies

utilizando estos estudios de Mechanical Turk

is actually a valid way to study passwords.

es en realidad una forma válida para estudiar las contraseñas.

So that was good news.

Así que fue una buena noticia.

Okay, I want to close by talking about

Bien, quiero cerrar hablando de

some insights I gained while on sabbatical

algunas ideas que tuve durante mi año sabático

last year in the Carnegie Mellon art school.

el año pasado en la escuela de arte de Carnegie Mellon.

One of the things that I did

Una de las cosas que hice

is I made a number of quilts,

es una serie de edredones,

and I made this quilt here.

y he hecho este edredón de aquí.

It's called "Security Blanket."

Se llama "Manta de Seguridad".

(Laughter)

(Risas)

And this quilt has the 1,000

Este edredón tiene las 1000

most frequent passwords stolen

contraseñas robadas con más frecuencia

from the RockYou website.

del sitio web RockYou.

And the size of the passwords is proportional

El tamaño de las contraseñas es proporcional

to how frequently they appeared

a la frecuencia con que aparecían

in the stolen dataset.

en el conjunto de datos robados.

And what I did is I created this word cloud,

Lo que hice es crear esta nube de palabras,

and I went through all 1,000 words,

y examiné todas las 1000 palabras,

and I categorized them into

y las categoricé en

loose thematic categories.

categorías temáticas sueltas.

And it was, in some cases,

Y, en algunos casos,

it was kind of difficult to figure out

era un poco difícil de entender

what category they should be in,

en qué categoría debían estar

and then I color-coded them.

y entonces las identifiqué por colores.

So here are some examples of the difficulty.

Así que estos son algunos ejemplos de la dificultad.

So "justin."

Digamos "justin".

Is that the name of the user,

¿Es ese el nombre del usuario,

their boyfriend, their son?

su novio, su hijo?

Maybe they're a Justin Bieber fan.

Tal vez son un fan de Justin Bieber.

Or "princess."

O "princesa".

Is that a nickname?

¿Es un apodo?

Are they Disney princess fans?

¿Son fans de las princesas de Disney?

Or maybe that's the name of their cat.

O tal vez ese es el nombre de su gato.

"Iloveyou" appears many times

"Iloveyou" aparece muchas veces

in many different languages.

en muchos idiomas diferentes.

There's a lot of love in these passwords.

Hay mucho amor en estas contraseñas.

If you look carefully, you'll see there's also

Si miran atentamente, verán que hay también

some profanity,

algunas palabras soeces,

but it was really interesting to me to see

pero lo que fue realmente interesante ver para mí

that there's a lot more love than hate

es que hay mucho más amor que odio

in these passwords.

en estas contraseñas.

And there are animals,

Y hay animales,

a lot of animals,

una gran cantidad de animales,

and "monkey" is the most common animal

y "mono" es el animal más común

and the 14th most popular password overall.

y la 14 contraseña más popular.

And this was really curious to me,

Y esto fue realmente curioso para mí,

and I wondered, "Why are monkeys so popular?"

y me pregunté: "¿Por qué son tan populares los monos?"

And so in our last password study,

Y así, en nuestro último estudio sobre contraseñas,

any time we detected somebody

cuando detectamos que alguien

creating a password with the word "monkey" in it,

crea una contraseña usando "mono",

we asked them why they had a monkey in their password.

les preguntamos por qué tenían un mono en su contraseña.

And what we found out --

Y lo que averiguamos...

we found 17 people so far, I think,

encontramos 17 personas hasta el momento

who have the word "monkey" --

que tienen la palabra "mono"...

We found out about a third of them said

Encontramos que un tercio de ellos dijo

they have a pet named "monkey"

que tienen una mascota llamada "mono"

or a friend whose nickname is "monkey,"

o un amigo cuyo apodo es "mono"

and about a third of them said

y alrededor de un tercio de ellos dijo

that they just like monkeys

simplemente que le gustan los monos

and monkeys are really cute.

y que los monos son muy lindos.

And that guy is really cute.

Y ese joven es muy lindo.

So it seems that at the end of the day,

Así, parece que al final,

when we make passwords,

cuando hacemos las contraseñas,

we either make something that's really easy

hacemos algo que o es muy fácil

to type, a common pattern,

de escribir, un patrón común,

or things that remind us of the word password

o cosas que nos recuerdan a la palabra contraseña

or the account that we've created the password for,

o a la cuenta para la que hemos creado la contraseña,

or whatever.

o lo que sea.

Or we think about things that make us happy,

O pensamos acerca de las cosas que nos hacen felices,

and we create our password

y creamos nuestra contraseña

based on things that make us happy.

basados en las cosas que nos hacen felices.

And while this makes typing

Y si bien esto facilita la escritura

and remembering your password more fun,

y recordarla es más divertido,

it also makes it a lot easier

también hace que sea mucho más fácil

to guess your password.

descifrar la contraseña.

So I know a lot of these TED Talks

Así que sé que un montón de estas charlas TED

are inspirational

son fuente de inspiración

and they make you think about nice, happy things,

y hacen pensar sobre cosas agradables y felices,

but when you're creating your password,

pero cuando estén creando su contraseña,

try to think about something else.

traten de pensar en otra cosa.

Thank you.

Gracias.

(Applause)

(Aplausos)