Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

لوری فیث کرانور: چه اشتباهی در کلمه‌ی عبور شما وجود دارد؟

Translator: Alireza Hosseinnejad Reviewer: Leila Ataei

I am a computer science and engineering professor here at Carnegie Mellon,

من پروفسور مهندسی علوم کامپیوتری در کارنگی ملون هستم،

and my research focuses on usable privacy and security,

و تحقیقم در مورد کاربری محرمانه بودن و امنیت نرم افزار هاست.

and so my friends like to give me examples

و برای همین دوستانم همیشه از عصبانیت هاشون

of their frustrations with computing systems,

از وسایل کامپیوتری و مخصوصا ناکارایی

especially frustrations related to

محرمانه موندن و امنیت کامپیوترهاشون

unusable privacy and security.

برام داد سخن سرمیدن.

So passwords are something that I hear a lot about.

من همیشه کلمه ی کلمه عبور زیاد به گوشم میرسه.

A lot of people are frustrated with passwords,

خیلی از مردم با کلمه عبور مشکل دارند،

and it's bad enough

و این خیلی بد هست که

when you have to have one really good password

شما به دنبال یک کلمه عبور منحصر به فرد باشید و

that you can remember

این که بتونید اون ها رو حفظ کنید و

but nobody else is going to be able to guess.

و هیچ کسی هم نتونه حدس بزنه.

But what do you do when you have accounts

وقتی که شما یک حساب کاربری

on a hundred different systems

روی ده ها سیستم مختلف دارید

and you're supposed to have a unique password

و به دنبال یک کلمه عبور منحصر به فرد می گردید

for each of these systems?

چی کار می کنید؟

It's tough.

کار خیلی سختیه.

At Carnegie Mellon, they used to make it

در دانشگاهی که من بودم

actually pretty easy for us

به ما یاد دادن تا چگونه

to remember our passwords.

کلمه عبورمون یادمون بمونه،

The password requirement up through 2009

به ما در سال ۲۰۰۹ گفته شد

was just that you had to have a password

در کلمه عبور باید حتما

with at least one character.

یک حرف وجود داشته باشه.

Pretty easy. But then they changed things,

اوایل خیلی خوب بود ولی بعد قانون عوض شد و

and at the end of 2009, they announced

اواخر سال ۲۰۰۹

that we were going to have a new policy,

به ما چیز دیگه ای گفته شد،

and this new policy required

و این قانون به ما می گفت که

passwords that were at least eight characters long,

کلمه عبور ما باید حداقل از هشت حرف و عدد

with an uppercase letter, lowercase letter,

از جمله حروف بزرگ و کوچک و

a digit, a symbol,

اعداد و نشانه ها تشکیل شده باشه،

you couldn't use the same character more than three times,

ما نمی تونستیم از یک حرف بیش از سه بار استفاده کنیم

and it wasn't allowed to be in a dictionary.

و کلمه عبور ما نباید در لغت نامه پیدا میشد.

Now, when they implemented this new policy,

وقتی که این قانون گذاشته شد،

a lot of people, my colleagues and friends,

خیلیها، از جمله دوستان و همکاران،

came up to me and they said, "Wow,

به من گفتند که «ای بابا

now that's really unusable.

دیگه کاربری نداره.»

Why are they doing this to us,

چرا دارند با ما این کار رو می کنند؟

and why didn't you stop them?"

چرا جلوشون رو نمیگیری؟

And I said, "Well, you know what?

و من هم بهشون گفتم، « خب، میدنید چیه؟

They didn't ask me."

اون ها از من نخواستند"

But I got curious, and I decided to go talk

ولی من کنجکاو شدم و

to the people in charge of our computer systems

و رفتم از مسئولین پرسیدم

and find out what led them to introduce

که چه عاملی باعث شده تا

this new policy,

این قانون رو به اجرا بگذارند؟

and they said that the university

آن ها به من گفتند که دانشگاه ما

had joined a consortium of universities,

جز دانشگاه های برتر پیوسته و

and one of the requirements of membership

یکی از شرایط پیوستن این بوده که

was that we had to have stronger passwords

ما باید کلمات عبور بهتری داشته باشیم که

that complied with some new requirements,

با سیستم جدید مشکلی پیش نیاد،

and these requirements were that our passwords

و لازمه این شرایط این بوده که

had to have a lot of entropy.

کلمات عبورمان باید به هم ریختگی داشته باشه

Now entropy is a complicated term,

به هم ریختگی کلمه عبور اصطلاح پیچیده ای هست،

but basically it measures the strength of passwords.

اما قدرت آن را مشخص می کنه.

But the thing is, there isn't actually

اما مسئله ی اصلی این هست که

a standard measure of entropy.

واقعا مقدار دقیقی از به هم ریختگی پسوورد وجود نداره.

Now, the National Institute of Standards and Technology

موسسه فناوری و استاندارد ملی

has a set of guidelines

یک سری راهنما داره

which have some rules of thumb

که مقدار به هم ریختگی کلمه عبور را

for measuring entropy,

مشخص می کنه.

but they don't have anything too specific,

اما اونها هم چیز دقیقی را ندارند،

and the reason they only have rules of thumb

و دلیل این که اون ها فقط این قاعد سرانگشتی رو دارند

is it turns out they don't actually have any good data

این که اون ها راستش اطلاعات کافی درباره

on passwords.

کلمات عبور ندارند.

In fact, their report states,

در واقع، در گزارش آن ها نوشته شده که

"Unfortunately, we do not have much data

«متاسفانه، ما اطلاعات کافی از

on the passwords users choose under particular rules.

کلمات عبور کاربران به خاطر برخی قوانین در اختیار نداریم.

NIST would like to obtain more data

این موسسه دوست داشت که اطلاعات بیشتری از

on the passwords users actually choose,

کلمات عبوریکه کاربران انتخاب می کنند داشته باشند،

but system administrators are understandably reluctant

اما مسئولین سیستمها مایل نیستند تا اطلاعات کلمات عبور را

to reveal password data to others."

به دیگران نشان دهند.»

So this is a problem, but our research group

پس مشکل اصلی همین بود،

looked at it as an opportunity.

اما تیم تحقیقی ما از این اتفاق به بهترین شکل استفاده کرد.

We said, "Well, there's a need for good password data.

ما گفتیم " ما به اطلاعات کلمه های عبور نیاز داریم."

Maybe we can collect some good password data

شاید ما می تونستیم اطلاعات خوبی به دست آوردیم

and actually advance the state of the art here.

و به پاسخ هایی می رسیدیم.

So the first thing we did is,

پس اولین کاری که کردیم این بود

we got a bag of candy bars

ما چند تا بسته شکلات خریدیم و

and we walked around campus

و به محیط دانشگاه رفتیم و

and talked to students, faculty and staff,

با کارکنان، دانشجویان و اساتید صحبت کردیم

and asked them for information

و از اون ها اطلاعاتی در مورد

about their passwords.

کلمات عبورشون خواستیم.

Now we didn't say, "Give us your password."

البته معلوم هست که بهشون نگفتیم «کلمات عبورتون رو به مابدید.»

No, we just asked them about their password.

ما فقط در مورد محتوای کلمات عبور ازشون سوال پرسیدیم.

How long is it? Does it have a digit?

چند حرف هست؟ آیا عددی دارد؟

Does it have a symbol?

آیا کلمات عبور شما نشانه ای دارد؟

And were you annoyed at having to create

و از این که هفته ی پیش مجبور به ساختن

a new one last week?

یک کلمه عبور جدید شدید، ناراحت هستید؟

So we got results from 470 students,

پس ما از ۴۷۰ دانشجو و کارمند و استاد

faculty and staff,

اطلاعات جمع کردیم،

and indeed we confirmed that the new policy

و متوجه شدیم که این قانون جدید

was very annoying,

خیلی آزار دهنده بوده،

but we also found that people said

ولی از طرفی فهمیدیم که

they felt more secure with these new passwords.

اونها با خیال راحت تر کلمه عبور خودشون روا انتخاب کردند

We found that most people knew

ما متوجه شدیم که اکثر مردم می دونستند

they were not supposed to write their password down,

که نباید کلمه عبورشون رو جایی می نوشتند

and only 13 percent of them did,

و فقط ۱۳ درصد کلمه عبورشون رو روی کاغذ نوشتند

but disturbingly, 80 percent of people

متاسفانه ۸۰ درصد عنوان کردند که کلمه عبور قبلی خودشون رو

said they were reusing their password.

دوباره استفاده کردند.

Now, this is actually more dangerous

این اتفاقا خیلی خطرناک تر هست

than writing your password down,

که کلمه عبورتون رو دوباره استفاده کنید،

because it makes you much more susceptible to attackers.

چون که شما رو خیلی بیشتر در خطر هکرها قرار میده.

So if you have to, write your passwords down,

پس اگر مجبور شدید، کلمه عبور خودتون رو یادداشت کنید،

but don't reuse them.

اما دوباره ازش استفاده نکنید.

We also found some interesting things

چیزهای دیگه ای هم در مورد علامت ها

about the symbols people use in passwords.

که در کلمات عبور استفاده کردند متوجه شدیم.

So CMU allows 32 possible symbols,

در سیستم جهانی فقط ۳۲ علامت برای کلمات عبور وجود داره

but as you can see, there's only a small number

ولی همان طور که مشاهده می کنید

that most people are using,

علامت های مخصوصی رو مردم استفاده می کنند،

so we're not actually getting very much strength

پس کلمه های عبور ما با استفاد از این علامت ها

from the symbols in our passwords.

زیاد قدرت مند نیست.

So this was a really interesting study,

پس این یک تحقیق بسیار جالب بود،

and now we had data from 470 people,

و ما از ۴۷۰ نفر اطلاعات داریم،

but in the scheme of things,

اما به طور کلی

that's really not very much password data,

نتونستیم زیاد اطلاعات به دست بیاوریم،

and so we looked around to see

پس یک نگاهی به اطرفمون انداختیم و گفتیم

where could we find additional password data?

دیگه از کجا می تونیم اطلاعات به دست بیاوریم؟

So it turns out there are a lot of people

متوجه شدیم که خیلی از کسانی که

going around stealing passwords,

کلمات عبور رو می دزدند

and they often go and post these passwords

این کلمات عبور دزدیده شده رو در

on the Internet.

در اینترنت قرار می دهند.

So we were able to get access

پس ما تونستیم به این اطلاعات

to some of these stolen password sets.

در اینترنت دست یابیم.

This is still not really ideal for research, though,

البته این یک ایده ی بی عیب برای یک تحقیق نبود،

because it's not entirely clear

چون که اصلا معلوم نیست که

where all of these passwords came from,

این اطلاعات از کجا اومده،

or exactly what policies were in effect

یا این که در سایت مورد نظر مردم از

when people created these passwords.

چه قوانینی برای ساخت این کلمه های عبور استفاده کردند.

So we wanted to find some better source of data.

پس ما می خواستیم یک منبع بهتر پیدا کنیم.

So we decided that one thing we could do

پس تصمیم دیگه ای که گرفتیم این بود

is we could do a study and have people

که از مردم بخواهیم

actually create passwords for our study.

برای ما کلمه های عبور جدی بسازند.

So we used a service called Amazon Mechanical Turk,

پس ما از طریق یک سرویس اینترنتی به نام آمازون مکانیکال ترک استفاده کردیم،

and this is a service where you can post

و در این سرویس به مردم پولی داده میشه تا

a small job online that takes a minute,

در عرض چند دقیقه یا

a few minutes, an hour,

یک ساعت در ازای چند دلار

and pay people, a penny, ten cents, a few dollars,

برای شما

to do a task for you,

کاری رو انجام بدن.

and then you pay them through Amazon.com.

و ما از طریق سایت آمازون به آن ها پولی رو دادیم.

So we paid people about 50 cents

خب به هر نفر ۵۰ سنت برای ساخت

to create a password following our rules

یک کلمه عبور و شرکت در نظر سنجی

and answering a survey,

پرداخت کردیم،

and then we paid them again to come back

و دوباره به اونها برای بازگشت به سایت و

two days later and log in

و وارد شدن به سایت مورد نظر

using their password and answering another survey.

و استفاده کردن دوباره از کلمه عبور و جواب دادن به یک نظر سنجی دیگه پرداخت کردیم.

So we did this, and we collected 5,000 passwords,

با انجام این کار حدود ۵٫۰۰۰ کلمه عبور جمع آوری کردیم،

and we gave people a bunch of different policies

و از هر شخصی خواستیم تا

to create passwords with.

با قوانین خاصی کلمه عبور بسازه.

So some people had a pretty easy policy,

بعضی از مردم قانون کلمه عبور راحتی داشتند،

we call it Basic8,

که ما بهش ۸ ساده میگیم،

and here the only rule was that your password

و در این قانون کلمه عبور شما باید

had to have at least eight characters.

حداقل هشت حرف داشته باشه.

Then some people had a much harder policy,

ولی بقیه کاربران

and this was very similar to the CMU policy,

مثل دانشگاه از قانون کلمه های عبور سخت تری استفاده کرده بودند

that it had to have eight characters

و کلمه های عبورهشت حرفیشون شامل حروف

including uppercase, lowercase, digit, symbol,

کوچک، بزرگ، اعداد و نشانه بود،

and pass a dictionary check.

و توسط لغتنامه هم چک میشد.

And one of the other policies we tried,

و یک قانون دیگه ای هم که امتحان کردییم،

and there were a whole bunch more,

و البته تعدادشون هم کم نبود،

but one of the ones we tried was called Basic16,

این بود که کلمه های عبور

and the only requirement here

حداقل باید

was that your password had to have at least 16 characters.

از 16 حرف تشکیل می شدند.

All right, so now we had 5,000 passwords,

پس ما ۵٫۰۰۰ کلمه عبور داشتیم که

and so we had much more detailed information.

طبیعتا تونستیم اطلاعات بیشتری رو به دست بیاوریم.

Again we see that there's only a small number

و دوباره متوجه شدیم که تعداد خیلی کمی از

of symbols that people are actually using

علامت های خاصی مردم در کلمه های عبور

in their passwords.

استفاده می کنند.

We also wanted to get an idea of how strong

ما هم چنین خواستیم ببینیم که مردم در کلمه های عبورشون

the passwords were that people were creating,

چه مقدار پیچیدگی ایجاد می کنند،

but as you may recall, there isn't a good measure

اما همانطور که قبلا گفتم، این راه خوبی برای تعیین

of password strength.

قدرت یک کلمه عبور نیست.

So what we decided to do was to see

پس ما تصمیم گرفتیم

how long it would take to crack these passwords

ببینیم با بهترین نرم افزار های هک

using the best cracking tools

که توسط هکر ها استفاده می شد

that the bad guys are using,

چه مقدار طول می کشه تا کلمه عبوری هک شه،

or that we could find information about

و می تونستیم اطلاعات زیادی در

in the research literature.

در تحقیق به دست بیاریم.

So to give you an idea of how bad guys

بذارید بهتون بگم که هکرها چه گونه کلمه عبوری رو

go about cracking passwords,

به راحتی هک می کنند،

they will steal a password file

اونها فایل حاوی کلمات عبوری رو سرقت می کنند

that will have all of the passwords

که همه کلمات عبور رو در قالب کد شد

in kind of a scrambled form, called a hash,

که اصطلاحا "بهم ریخته" نام داره استفاده می کنند،

and so what they'll do is they'll make a guess

و کاری که می کنند این که سعی کنند کلمه عبور رو

as to what a password is,

حدس بزنند،

run it through a hashing function,

و از طریق تابع درهم سازی

and see whether it matches

متوجه میشن که آیا کلمه عبور

the passwords they have on their stolen password list.

در لیست این فایل موجود هست یا نه.

So a dumb attacker will try every password in order.

پس یک هکر احمق به ترتیب

They'll start with AAAAA and move on to AAAAB,

از حروف الفبا شروع میکنه

and this is going to take a really long time

و قبل از پیدا کردن کلمه عبور

before they get any passwords

که شاید هم پیدا نکنه

that people are really likely to actually have.

وقت زیادی را از خودش می گیره.

A smart attacker, on the other hand,

اما یک هکر باهوش

does something much more clever.

کار دیگه ای رو انجام میده

They look at the passwords

اون ها دنبال کلمات عبوری هستند که

that are known to be popular

برای مردم عادی از محبوبیت زیادی برخوردار هست

from these stolen password sets,

و از بین این کلمات عبور

and they guess those first.

پسوورد درست رو حدس می زنند

So they're going to start by guessing "password,"

برای مثال با کلمه ی "پسوورد"شروع می کنند و بعد

and then they'll guess "I love you," and "monkey,"

"میمون" و «دوستت دارم» رو امتحان می کنند و

and "12345678,"

یا این یکی رو 12345678.

because these are the passwords

چون که این ها کلمات عبوری هستند که

that are most likely for people to have.

اکثر مردم از آن استفاده می کنند.

In fact, some of you probably have these passwords.

در واقع احتمالا شما هم چنین کلمات عبوری رو دارید.

So what we found

پس ما متوجه شدیم که

by running all of these 5,000 passwords we collected

از بین این 5 هزار کلمه عبوری که از طریق این تحقیقات

through these tests to see how strong they were,

جمع آوری کردیم تا پی به قوت آنها ببریم،

we found that the long passwords

متوجه شدیم که کلمات عبور طولانی

were actually pretty strong,

راستش قوی هم هستند،

and the complex passwords were pretty strong too.

و پیچیدگی کلمات عبور هم خوب بود.

However, when we looked at the survey data,

از طرفی اطلاعات نظر سنجی نشون می داد که

we saw that people were really frustrated

مردم از انتخاب کلمات عبور طولانی و سخت

by the very complex passwords,

و یا خیلی پیچیده

and the long passwords were a lot more usable,

راضی نیستند و اون ها را اذیت می کنه،

and in some cases, they were actually

حتی در بعضی مواقع کلمات عبوری که طولانی تر بودند

even stronger than the complex passwords.

از آنهایی که پیچیدگی بیشتری داشتند امن تر به نظر می رسند.

So this suggests that,

پس ما متوجه شدیم که،

instead of telling people that they need

به جای این که به مردم بگین کلمات عبور اون ها باید

to put all these symbols and numbers

اعداد و نشانه های مختلفی داشته باشه

and crazy things into their passwords,

و چیز های دیوانه کننده ای رو انتخاب کنند،

we might be better off just telling people

بهتر است به مردم بگیم که

to have long passwords.

رمزهای طولانی تری را داشته باشند.

Now here's the problem, though:

اما باز هم این یک مشکلی داره:

Some people had long passwords

بعضی از کاربران کلمه عبور طولانی داشتند اما

that actually weren't very strong.

زیاد امن نبودند.

You can make long passwords

شما می تونید کلمه عبور طولانی بسازید ولی

that are still the sort of thing

خیلی راحت توسط هکرها

that an attacker could easily guess.

قابل حدس زدن باشه.

So we need to do more than just say long passwords.

پس ما به یک چیز بیشتر از طولانی بودن کلمه عبور نیاز داشتیم.

There has to be some additional requirements,

باید موارد بیشتری برای امن بودن در نظر بگیریم،

and some of our ongoing research is looking at

و دنبال این هستیم که

what additional requirements we should add

چه مواردی را برای امن تر کردن کلمه عبور

to make for stronger passwords

که برای مردم هم

that also are going to be easy for people

قابل حفظ کردن باشه

to remember and type.

انتخاب کنیم.

Another approach to getting people to have

یک روش دیگه برای داشتن کلمه عبور بهتر

stronger passwords is to use a password meter.

در سایت ها استفاده از معیار سنجی کلمه عبور هست.

Here are some examples.

بزارید چند مثال بزنم.

You may have seen these on the Internet

احتمالا در اینترنت هنگام ثبت نام

when you were creating passwords.

و ساخت کلمه عبور این معیار رو دیده اید.

We decided to do a study to find out

ما در تحقیق خود خواستیم ببینیم که آیا

whether these password meters actually work.

این معیار ها جواب گو هستند یا نه.

Do they actually help people

آیا این ها واقعا به کاربران کمک می کنند که

have stronger passwords,

کلمه عبور بهتری داشته باشند؟

and if so, which ones are better?

و اگر جواب بله هست کدام یک بهتر می باشد؟

So we tested password meters that were

پس ما سایت های مختلفی رو چک کردیم

different sizes, shapes, colors,

با سایزها، عکس ها و موارد دیگر

different words next to them,

که کنار ساختن کلمه عبور دیده می شد،

and we even tested one that was a dancing bunny.

و حتی توی یکی از این سایت ها یک خرگوش رقصنده رو هم تست کردیم.

As you type a better password,

وقتی که شما کلمه عبور بهتری می نوشتید

the bunny dances faster and faster.

این خرگوش سریع تر و سریع تر به رقص خود ادامه می داد.

So this was pretty fun.

این خیلی برای من جالب بود.

What we found

چیزی که ما متوجه شدیم این بود که

was that password meters do work.

این معیار ها برای کلمه عبورمفید بود.

(Laughter)

(خندیدن)

Most of the password meters were actually effective,

اکثر این ها واقعا موثر بودند،

and the dancing bunny was very effective too,

این خرگوش هم واقعا کار درست رو انجام می داد،

but the password meters that were the most effective

اما اونی از همه بهتر بود که

were the ones that made you work harder

به شما می گفت باید پیچیده ترینکلمه عبور رو بسازید

before they gave you that thumbs up and said

و بعد به شما علامت

you were doing a good job,

اوکی را به نشانه ی خوب بودن کلمه عبور می داد،

and in fact we found that most

و فهمیدیم که

of the password meters on the Internet today

اکثر این معیار سنجی هایی که در اینترنت استفاده میشه

are too soft.

They tell you you're doing a good job too early,

سخت گیر هستند.

این سایت ها به شما خیلی زود جواب میدن که

and if they would just wait a little bit

کارتون رو دارید خوب انجام میدید

before giving you that positive feedback,

ولی اگر به شما این علامت رو ندن،

you probably would have better passwords.

شاید شما بتونید پسوورد بهتری هم انتخاب کنید.

Now another approach to better passwords, perhaps,

یک ایده ی دیگه برای کلمه عبور بهتر،

is to use pass phrases instead of passwords.

استفاده از عبارات به جای کلمه عبور هست.

So this was an xkcd cartoon from a couple of years ago,

این یک عکس کارتونی از چند سال پیش هست،

and the cartoonist suggests

و طراح این عکس معتقد هست که

that we should all use pass phrases,

ما همگی باید از عبارات استفاده کنیم،

and if you look at the second row of this cartoon,

و اگه به ردیف دوم در این عکس نگاه کنید،

you can see the cartoonist is suggesting

می بینید که طراح این نقاشی

that the pass phrase "correct horse battery staple"

که عبارت بی معنی" پشم باتری اسب ها را درست کن" به عنوان کلمه عبور انتخاب کرده

would be a very strong pass phrase

که یک کلمه عبور قوی و

and something really easy to remember.

آسان برای حفظ کردن می باشد.

He says, in fact, you've already remembered it.

شما در واقع همین الان اون رو حفظ کردید

And so we decided to do a research study

پس ما تصمیم گرفتیم در این مورد هم

to find out whether this was true or not.

تحقیق کنیم.

In fact, everybody who I talk to,

در واقع با هر کسی که

who I mention I'm doing password research,

در مورد کلمه عبور که بهشون می گفتم موضوع تحقیقم بودصحبت کردم،

they point out this cartoon.

به من درباره این کارتون می گفتند.

"Oh, have you seen it? That xkcd.

«این نقاشی رو دیدی؟

Correct horse battery staple."

"پشم باتری اسب ها را درست کن.»

So we did the research study to see

پس ما تحقیقی انجام دادیم

what would actually happen.

که ببینیم واقعا چه اتفاقی افتاده.

So in our study, we used Mechanical Turk again,

ما در تحقیقاتمون

and we had the computer pick the random words

از کلمات تصادفی که کامپیوتر انتخاب کرده بود

in the pass phrase.

در کلمه عبور استفاده کردیم.

Now the reason we did this

علت این کار هم این بود که

is that humans are not very good

که انسان ها در انتخاب

at picking random words.

کلمات تصادفی خوب عمل نمی کنند.

If we asked a human to do it,

اگر از یک نفر بخواهیم این کار رو بکنه

they would pick things that were not very random.

کلماتی استفاده می کنند که واقعا تصادفی نیستند.

So we tried a few different conditions.

پس ما از شرایط دیگه ای استفاده کردیم.

In one condition, the computer picked

در یکی از این شرایط، کامپیوتر کلمات را از

from a dictionary of the very common words

لغتنامه که کلمات عمومی داشت

in the English language,

انتخاب می کرد،

and so you'd get pass phrases like

و شما شاهد کلماتی مثل

"try there three come."

"اون جا رو امتحان کن، سه تا می آیند"

And we looked at that, and we said,

و به این کلمات نگاه کردیم و گفتیم که

"Well, that doesn't really seem very memorable."

و دیدیم حفظ کردن این کلمات کار سختیه.

So then we tried picking words

پس تصمیم گرفتیم از کلماتی استفاده کنیم که

that came from specific parts of speech,

از لحاظ دستوری با هم فرق دارند،

so how about noun-verb-adjective-noun.

مثل اسم و صفت و فعل.

That comes up with something that's sort of sentence-like.

و دیدم که یک چیزی مثل جمله رو میشه پیدا کرد.

So you can get a pass phrase like

پس عبارتی مثل

"plan builds sure power"

"برنامه ریزی قدرت کمی را می سازد"

or "end determines red drug."

"پایان داروهای قرمز تعیین می کند"

And these seemed a little bit more memorable,

و دیدیم این جملات برای حفظ کردن راحت تر هستند،

and maybe people would like those a little bit better.

و گفتیم که شاید کاربران از این ها بیشتر خوششون بیاد.

We wanted to compare them with passwords,

و این ها رو با کلمات عبور مقایسه کردیم،

and so we had the computer pick random passwords,

و از کامپیوتر خواستیم که کلمه عبور تصادفی انتخاب کنه،

and these were nice and short, but as you can see,

و این جملات کوتاه و جالب بودند اما

they don't really look very memorable.

برای حفظ کردن ممکن هست به مشکل بخوریم.

And then we decided to try something called

پس تصمیم گرفتیم از پسوورد هایی به اسم

a pronounceable password.

پسوورد های تلفظی استفاده کنیم.

So here the computer picks random syllables

پس در این جا کامپیوتر هجاهای تصادفی رو انتخاب می کرد

and puts them together

و در کنار هم قرار می داد

so you have something sort of pronounceable,

پس شما یک کلمه با تلفظ عجیب دارید،

like "tufritvi" and "vadasabi."

مثل کلمه ی «توفریتی» یا «واداسابی»

That one kind of rolls off your tongue.

که راحت زبونتون برای تلفظش بچرخه.

So these were random passwords that were

پس این ها کلمه عبور تصادفی بودند که

generated by our computer.

توسط کامپیوتر ساخته شدند.

So what we found in this study was that, surprisingly,

پس چیزی که ما در این تحقیق متوجه شدیم این بود که

pass phrases were not actually all that good.

کلمه عبورکه عبارت در اون ها بکار رفته خوب نیستند.

People were not really better at remembering

و کاربران برای حفظ کردن این کلمه عبور

the pass phrases than these random passwords,

نسبت به کلمه عبور خودشون کار سخت تری دارند.

and because the pass phrases are longer,

و به علت این که کلمات عبور عبارتی طولانی تر هستند،

they took longer to type

وقت بیشتری برای تایپ کردن می برند

and people made more errors while typing them in.

و کاربران اشتباهات بیشتری برای تایپ مرتکب می شوند.

So it's not really a clear win for pass phrases.

پس نمیتونیم بگیم که کلمات عبور عبارتی خوب هستند.

Sorry, all of you xkcd fans.

از شما طرفداران این نقاشی عذر خواهی می کنم.

On the other hand, we did find

از طرفی دیگه

that pronounceable passwords

متوجه شدیم که کلمه عبور تلفظی

worked surprisingly well,

به خوبی جواب گوست،

and so we actually are doing some more research

پس ما تحقیقات بیشتری رو در این مورد

to see if we can make that approach work even better.

انجام دادیم و ببینیم می تونیم از این نوع کلمات عبور استفاده ی بهتری ببریم.

So one of the problems

یکی از مشکلاتی که همیشه

with some of the studies that we've done

در تحقیقات خودمون داشتیم این بود که

is that because they're all done

کلمه عبور به صورت کامپیوتری

using Mechanical Turk,

ساخته می شد و

these are not people's real passwords.

توسط کاربران واقعی ساخته نمیشن.

They're the passwords that they created

این ها کلمات عبور بودند که کامپیوتر

or the computer created for them for our study.

برای تحقیقات ما به صورت تصادفی ساخته بود.

And we wanted to know whether people

و ما می خواستیم متوجه بشیم که

would actually behave the same way

که کاربران برای ساخت کلمه عبور

with their real passwords.

چی کار می کنند.

So we talked to the information security office at Carnegie Mellon

پس ما از بخش امنیت دانشگاه خواستیم که

and asked them if we could have everybody's real passwords.

اگر میشه تمامی کلمات عبور کاربران رو به ما بدهند.

Not surprisingly, they were a little bit reluctant

طبیعتا اونها اولش موافقت نکردند

to share them with us,

که کلمه عبور همه رو به ما بدهند،

but we were actually able to work out

اما راستش موفق شدیم سیستمی

a system with them

رو راه بندازیم

where they put all of the real passwords

که کلیه کلمات عبور حقیقی کارکنان و داشنجویان

for 25,000 CMU students, faculty and staff,

که تعدادشون به ۲۵ هزار نفر می رسید

into a locked computer in a locked room,

رو در یک کامپیوتر قفل شده و در اتاق قفل شده

not connected to the Internet,

بدون دسترسی به اینترنت

and they ran code on it that we wrote

جمع آوری کنیم و کدی رو اجرا کردند که

to analyze these passwords.

بتونیم کلمات عبور رو آنالیز کنیم.

They audited our code.

اونها کد ما رو تحت بررسی دقیق قرار دادن.

They ran the code.

و کد را اجرا کردند.

And so we never actually saw

پس در واقع ما کلمه عبور کسی رو

anybody's password.

ندیدیم.

We got some interesting results,

ولی به جواب های جالبی رسیدیم،

and those of you Tepper students in the back

که مطمئنا شما از دیدن این نتایج

will be very interested in this.

شگفت زده خواهید شد.

So we found that the passwords created

ما متوجه شدیم که کلمات عبوری که توسط

by people affiliated with the school of computer science

مهندسان کامپیوتر ساخته شده بود

were actually 1.8 times stronger

حدود دو برابر بهتر از

than those affiliated with the business school.

کلمات عبوری بود که توسط رشته ی بازرگانی ساخته شده بود.

We have lots of other really interesting

ما نتایج شگفت انگیز تری رو هم

demographic information as well.

تونستیم به دست بیاریم.

The other interesting thing that we found

یک چیز دیگه که متوجه شدیم این بود که

is that when we compared the Carnegie Mellon passwords

کلمات عبوری که توسط کاربران دانشگاه ساخته شده بود

to the Mechanical Turk-generated passwords,

با کلمات عبوری که توسط کامپیوتر ساخته شده بود

there was actually a lot of similarities,

شباهت زیادی داشتند،

and so this helped validate our research method

پس این باعث شد تا مطمئن بشیم که

and show that actually, collecting passwords

درست کردن کلمات عبوری توسط کامپیوتر و

using these Mechanical Turk studies

و نرم افزار مخصوص

is actually a valid way to study passwords.

راه قابل اطمینانی برای تحقیق در این مورد هست.

So that was good news.

پس این خبر خوبی بود.

Okay, I want to close by talking about

خب می خوام در مورد اخر صحبت کنم که

some insights I gained while on sabbatical

که سال گذشته در دانشکده هنر ملون کارنگی

last year in the Carnegie Mellon art school.

به چه بینشی رسیدم.

One of the things that I did

یکی از کارهایی که کردم این بود که

is I made a number of quilts,

چند تا جرم مرتکب شدم،

and I made this quilt here.

و یک طرحی رو درست کردم.

It's called "Security Blanket."

به نام «پوشش امنیتی».

(Laughter)

(خندیدن)

And this quilt has the 1,000

و با این کار

most frequent passwords stolen

هزار عدد از کلمات عبوری که

from the RockYou website.

از سایت راک یو دزدیده شده بود رو جمع کردم.

And the size of the passwords is proportional

و تعداد این کلمات عبور با

to how frequently they appeared

این که چه مقدار در سایت استفاده می شدند

in the stolen dataset.

رابطه ی مستقیم داشت.

And what I did is I created this word cloud,

پس من یک دسته ای درست کردم.

and I went through all 1,000 words,

و تمامی این ده هزار کلمه عبور رو

and I categorized them into

در دسته هایی به صورت

loose thematic categories.

موضوعی دسته بندی کردم.

And it was, in some cases,

و در بعضی مواقع

it was kind of difficult to figure out

سخت بود که این دسته بندی انجام بشه

what category they should be in,

و این که کجا قرار بگیرند،

and then I color-coded them.

و بعد من تصمیم گرفتم براشون یک رنگی در نظر بگیرم.

So here are some examples of the difficulty.

بذارید چند تا مثال بزنم:

So "justin."

کلمه ی جاستین

Is that the name of the user,

ممکنه اسم کابر باشه،

their boyfriend, their son?

یا اسم پسرش،

Maybe they're a Justin Bieber fan.

یا شاید هم طرفدار جاستین بیبر!

Or "princess."

یا کلمه ی شاهزاده

Is that a nickname?

آیا لقب کسی هستش؟

Are they Disney princess fans?

آیا طرفدار شاهزاده های والت دیزنی هستش؟

Or maybe that's the name of their cat.

یا شاید هم اسم گربه شون باشه.

"Iloveyou" appears many times

یا جمله دوستت دارم که به کرات

in many different languages.

در زبان های مختلف بکار میره.

There's a lot of love in these passwords.

در این کلمات عبور شما کلمات مختلفی

If you look carefully, you'll see there's also

از عشق و عاشقی تا

some profanity,

کلمات زشت و تحقیرآمیز می بینید،

but it was really interesting to me to see

اما برای من جالب بود که

that there's a lot more love than hate

که عشق در این کلمات عبور بیشتر از نفرت

in these passwords.

دیده می شد.

And there are animals,

و حتی حیوانات

a lot of animals,

مختلف هم در کلمات عبور مثل

and "monkey" is the most common animal

میمون که چهاردهمین کلمه عبور

and the 14th most popular password overall.

محبوب شناخته شد دیده می شد.

And this was really curious to me,

و من کنجکاو شدم

and I wondered, "Why are monkeys so popular?"

چرا میمون ها اینقدر محبوب هستند؟

And so in our last password study,

پس در آخرین مطالعه ی ما

any time we detected somebody

هر وقت کسی رو می دیدیم که

creating a password with the word "monkey" in it,

از کلمه ی میمون برای کلمه عبور ستفاده می کرد

we asked them why they had a monkey in their password.

ازشون علتش رو می پرسیدم.

And what we found out --

و از هفده نفری که

we found 17 people so far, I think,

پیدا کردیم،

who have the word "monkey" --

کلمه ی «میمون» رو برای کلمه عبورشون انتخاب کرده بودند--

We found out about a third of them said

حدود یک سومشون

they have a pet named "monkey"

حیوان خانگی به اسم «میمون» داشتند،

or a friend whose nickname is "monkey,"

یا این که دوستی داشتند که لقبش میمون بوده،

and about a third of them said

و بقیه هم می گفتند

that they just like monkeys

از میمون خوششون میاد و

and monkeys are really cute.

میمون ها بامزه هستند.

And that guy is really cute.

و واقعا برام جالب بود.

So it seems that at the end of the day,

پس چیزی که مشخص هست اینه که

when we make passwords,

وقتی که ما می خواهیم کلمه عبور بسازیم،

we either make something that's really easy

ما یا یک کلمه عبور بسیار آسان که

to type, a common pattern,

راحت باشیم تایپ کنیم، می سازیم یا

or things that remind us of the word password

یک کلمه ای که به راحتی حفظ کنیم یا

or the account that we've created the password for,

کلمه عبورمون یک ربطی به نام کاربری داشته باشه،

or whatever.

یا هر چیز دیگه ای.

Or we think about things that make us happy,

یا به چیزی فکر می کنیم که ما رو خوشحال می کنه،

and we create our password

و کلمه عبورها رو بر اساس

based on things that make us happy.

چیزهایی که ما رو خوشحال می کنند، می سازیم.

And while this makes typing

و در حالی که این کار تایپ کردن

and remembering your password more fun,

و بخاطر سپردن کلمه عبورتون رو برای شما خوشایند می کنه،

it also makes it a lot easier

همینطور برای بقیه خیلی راحت تر هست که

to guess your password.

کلمه عبور شما رو حدس بزنند.

So I know a lot of these TED Talks

من می دونم که این سخنرانیهای TED

are inspirational

الهام بخش هستند

and they make you think about nice, happy things,

و باعث میشوند تا شما به چیز های مثبت فکر کنید،

but when you're creating your password,

ولی وقتی می خواهید کلمه عبور بسازید،

try to think about something else.

سعی کنید در مورد یک چیز دیگه فکر کنید.

Thank you.

متشکرم.

(Applause)

(تشویق)