Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Lorrie Faith Cranor: Qu'est-ce qui cloche avec votre m0t de pa$$e ?

Traducteur: Morgane Quilfen Relecteur: Elisabeth Buffard

I am a computer science and engineering professor here at Carnegie Mellon,

Je suis professeur d'informatique et d'ingéniérie informatique

à Carnegie Mellon,

and my research focuses on usable privacy and security,

et mes recherches se concentrent sur l'utilisabilité de la vie privée

et de la sécurité,

and so my friends like to give me examples

et mes amis aiment me donner des exemples

of their frustrations with computing systems,

de leurs frustrations liées aux systèmes informatiques,

especially frustrations related to

particulièrement des frustrations liées à

unusable privacy and security.

une vie privée et une sécurité qui ne sont pas utilisables.

So passwords are something that I hear a lot about.

J'entends donc beaucoup parler des mots de passe.

A lot of people are frustrated with passwords,

Beaucoup de gens sont irrités par les mots de passe,

and it's bad enough

c'est déjà assez compliqué

when you have to have one really good password

d'avoir un très bon mot de passe

that you can remember

dont vous pouvez vous souvenir

but nobody else is going to be able to guess.

mais que personne d'autre ne peut deviner.

But what do you do when you have accounts

Mais que fait-on lorsqu'on a des comptes

on a hundred different systems

sur une centaine de systèmes différents

and you're supposed to have a unique password

et qu'on est sensé avoir un mot de passe unique

for each of these systems?

pour chacun de ces systèmes ?

It's tough.

C'est difficile.

At Carnegie Mellon, they used to make it

A Carnegie Mellon, ils rendaient

actually pretty easy for us

la mémorisation de nos mots de passe plutôt facile.

to remember our passwords.

The password requirement up through 2009

Jusqu'en 2009, l'exigence était

was just that you had to have a password

d'avoir un mot de passe

with at least one character.

comportant au moins un caractère.

Pretty easy. But then they changed things,

Plutôt facile. Et puis les choses ont changé,

and at the end of 2009, they announced

et fin 2009, ils ont annoncé

that we were going to have a new policy,

que nous allions avoir une nouvelle politique,

and this new policy required

et cette nouvelle politique exigeait

passwords that were at least eight characters long,

des mots de passe d'au moins huit caractères,

with an uppercase letter, lowercase letter,

avec une majuscule, une minuscule,

a digit, a symbol,

un chiffre, un symbole,

you couldn't use the same character more than three times,

vous ne pouviez pas utiliser le même caractère plus de trois fois,

and it wasn't allowed to be in a dictionary.

et ce ne pouvait pas être un mot du dictionnaire.

Now, when they implemented this new policy,

Quand ils ont mis en place cette nouvelle politique,

a lot of people, my colleagues and friends,

beaucoup de gens, mes collègues et amis,

came up to me and they said, "Wow,

sont venus me voir et ont dit :

now that's really unusable.

« C'est vraiment inutilisable.

Why are they doing this to us,

Pourquoi nous font-ils ça,

and why didn't you stop them?"

et pourquoi ne les en as-tu pas empêchés ? »

And I said, "Well, you know what?

Et j'ai dit : « Vous savez quoi ?

They didn't ask me."

On ne m'a rien demandé. »

But I got curious, and I decided to go talk

Mais ça a éveillé ma curiosité, et j'ai décidé d'aller parler

to the people in charge of our computer systems

aux personnes en charge des systèmes informatiques

and find out what led them to introduce

et de découvrir ce qui les a amenés à introduire

this new policy,

cette nouvelle politique,

and they said that the university

et ils ont dit que l'université

had joined a consortium of universities,

avait rejoint un consortium d'universités,

and one of the requirements of membership

et que l'une des exigences pour devenir membre

was that we had to have stronger passwords

était que nous devions avoir des mots de passe plus compliqués

that complied with some new requirements,

qui respectaient de nouvelles exigences,

and these requirements were that our passwords

et ces exigences étaient que nos mots de passe

had to have a lot of entropy.

devaient avoir beaucoup d'entropie.

Now entropy is a complicated term,

L'entropie est un terme compliqué,

but basically it measures the strength of passwords.

mais en fait ça mesure la sécurité des mots de passe.

But the thing is, there isn't actually

Mais le fait est qu'en réalité, il n'y a pas

a standard measure of entropy.

de mesure standard de l'entropie.

Now, the National Institute of Standards and Technology

L'Institut National des Standards et de la Technologie (INST)

has a set of guidelines

a fixé des règles,

which have some rules of thumb

qui sont basées sur le bon sens,

for measuring entropy,

pour mesurer l'entropie,

but they don't have anything too specific,

mais elles n'ont rien de spécifique,

and the reason they only have rules of thumb

et la raison pour laquelle il n'y a que des règles de bon sens

is it turns out they don't actually have any good data

est qu'il n'y a pas vraiment de bonne base de données

on passwords.

sur les mots de passe.

In fact, their report states,

En fait, dans leur rapport, ils déclarent :

"Unfortunately, we do not have much data

« Malheureusement, nous n'avons pas beaucoup de données

on the passwords users choose under particular rules.

sur les mots de passe que les utilisateurs choisissent selon les règles spécifiques.

NIST would like to obtain more data

L'INST aimerait obtenir plus de données

on the passwords users actually choose,

sur les mots de passe que les utilisateurs choisissent,

but system administrators are understandably reluctant

mais les administrateurs systèmes sont, on le comprend, réticents

to reveal password data to others."

à révéler les mots de passe à d'autres personnes. »

So this is a problem, but our research group

C'est donc un problème, mais notre groupe de recherche

looked at it as an opportunity.

l'a envisagé comme une opportunité.

We said, "Well, there's a need for good password data.

Nous avons dit : « Il y a besoin de bonnes données sur les mots de passe.

Maybe we can collect some good password data

Peut-être que nous pouvons collecter de bonnes données sur les mots de passe

and actually advance the state of the art here.

et faire avancer l'état de l'art. »

So the first thing we did is,

La première chose que nous avons faite est

we got a bag of candy bars

que nous avons pris un sac plein de sucreries

and we walked around campus

et nous nous sommes promenés dans le campus,

and talked to students, faculty and staff,

nous avons parlé à des étudiants, des professeurs et au personnel,

and asked them for information

et leur avons demandé des informations

about their passwords.

sur leurs mots de passe.

Now we didn't say, "Give us your password."

Nous ne leur avons pas dit : « Donnez-nous votre mot de passe. »

No, we just asked them about their password.

Non, nous leur avons simplement posé des questions sur leur mot de passe.

How long is it? Does it have a digit?

Est-il long ? Contient-il un chiffre ?

Does it have a symbol?

Contient-il un symbole ?

And were you annoyed at having to create

Avez-vous trouvé gênant de devoir en créer

a new one last week?

un nouveau la semaine dernière ?

So we got results from 470 students,

Nous avons eu les résultats concernant 470 étudiants,

faculty and staff,

professeurs et membres du personnel,

and indeed we confirmed that the new policy

et avons confirmé que la nouvelle politque

was very annoying,

était très embêtante,

but we also found that people said

mais nous avons aussi remarqué que les gens disaient

they felt more secure with these new passwords.

qu'ils se sentaient plus en sécurité avec ces nouveaux mots de passe.

We found that most people knew

Nous avons constaté que la plupart des gens savait

they were not supposed to write their password down,

qu'ils n'étaient pas sensés écrire leur mot de passe sur un papier,

and only 13 percent of them did,

et que seulement 13% d'entre eux le faisaient,

but disturbingly, 80 percent of people

mais, de façon dérangeante, 80% des gens

said they were reusing their password.

disaient qu'ils réutilisaient leur mot de passe.

Now, this is actually more dangerous

C'est en fait plus dangereux

than writing your password down,

que d'écrire votre mot de passe sur un papier,

because it makes you much more susceptible to attackers.

parce que ça vous rend plus exposés aux attaques.

So if you have to, write your passwords down,

Donc, si vous en avez besoin, écrivez vos mots de passe sur un papier,

but don't reuse them.

mais ne les réutilisez pas.

We also found some interesting things

Nous avons également constaté des choses intéressantes

about the symbols people use in passwords.

concernant les symboles utilisés dans les mots de passe.

So CMU allows 32 possible symbols,

La CMU autorise 32 symboles possibles,

but as you can see, there's only a small number

mais comme vous pouvez le voir, seul un petit nombre

that most people are using,

est utilisé par la majorité des gens,

so we're not actually getting very much strength

donc nos mots de passe ne sont pas vraiment beaucoup plus sûrs

from the symbols in our passwords.

si on y met des symboles.

So this was a really interesting study,

C'était une étude très intéressante,

and now we had data from 470 people,

et nous avons maintenant les données de 470 personnes,

but in the scheme of things,

mais dans la situation actuelle,

that's really not very much password data,

ça ne représente pas beaucoup de données sur les mots de passe,

and so we looked around to see

nous avons donc regardé autour de nous :

where could we find additional password data?

où pouvions-nous trouver des données additionnelles sur les mots de passe ?

So it turns out there are a lot of people

Il s'avère que beaucoup de personnes

going around stealing passwords,

volent des mots de passe,

and they often go and post these passwords

et souvent postent ces mots de passe

on the Internet.

sur internet.

So we were able to get access

Nous avons donc eu accès

to some of these stolen password sets.

à certains de ces ensembles de mots de passe volés.

This is still not really ideal for research, though,

Cependant, ce n'est pas idéal pour la recherche

because it's not entirely clear

parce que la provenance de ces mots de passe

where all of these passwords came from,

n'est pas totalement claire,

or exactly what policies were in effect

ni quelles politiques étaient en place

when people created these passwords.

quand les gens ont créé ces mots de passe.

So we wanted to find some better source of data.

Nous voulions trouver une meilleure source de données.

So we decided that one thing we could do

Nous avons décidé qu'une chose que nous pouvions faire

is we could do a study and have people

était de faire une étude et de demander aux gens

actually create passwords for our study.

de créer des mots de passe pour notre étude.

So we used a service called Amazon Mechanical Turk,

Nous avons utilisé un service du nom de Amazon Mechanical Turk,

and this is a service where you can post

c'est un service où vous pouvez poster

a small job online that takes a minute,

un petit job en ligne qui prend une minute,

a few minutes, an hour,

quelques minutes, une heure,

and pay people, a penny, ten cents, a few dollars,

et payer les gens, un penny, dix centimes, quelques dollars,

to do a task for you,

pour accomplir une tache pour vous

and then you pay them through Amazon.com.

et ensuite vous les payez via Amazon.com.

So we paid people about 50 cents

Nous avons payé les gens environ 50 centimes

to create a password following our rules

pour créer un mot de passe suivant nos règles

and answering a survey,

et répondre à un sondage,

and then we paid them again to come back

et ensuite nous les payions pour revenir

two days later and log in

deux jours plus tard se connecter

using their password and answering another survey.

en utilisant leur mot de passe pour répondre à un autre sondage.

So we did this, and we collected 5,000 passwords,

Nous avons fait ça et nous avons collecté 5000 mots de passe,

and we gave people a bunch of different policies

et nous avons soumis les gens à différentes réglementations

to create passwords with.

pour créer ces mots de passe.

So some people had a pretty easy policy,

Certaines personnes avaient une réglementation plutôt simple,

we call it Basic8,

nous appelons ça Basic8,

and here the only rule was that your password

et la seule règle était que votre mot de passe

had to have at least eight characters.

devait faire au moins 8 caractères de long.

Then some people had a much harder policy,

Et puis d'autres personnes avaient une réglementation bien plus difficile,

and this was very similar to the CMU policy,

et qui était très similaire à la politique du CMU,

that it had to have eight characters

ils devaient avoir 8 caractères

including uppercase, lowercase, digit, symbol,

dont une majuscule, une minuscule, un chiffre, un symbole,

and pass a dictionary check.

et ne pas être dans le dictionnaire.

And one of the other policies we tried,

Et l'une des autres réglementations que nous avons essayées,

and there were a whole bunch more,

et il y en avait plein d'autres,

but one of the ones we tried was called Basic16,

mais l'une que nous avons essayée s'appelait Basic16,

and the only requirement here

et la seule exigence était

was that your password had to have at least 16 characters.

d'avoir un mot de passe d'au moins 16 caractères.

All right, so now we had 5,000 passwords,

Nous avions donc 5000 mots de passe,

and so we had much more detailed information.

et donc nous avions des informations beaucoup plus détaillées.

Again we see that there's only a small number

Encore une fois, nous voyons que seul un petit nombre

of symbols that people are actually using

de symboles est utilisé

in their passwords.

dans les mots de passe.

We also wanted to get an idea of how strong

Nous voulions aussi avoir une idée de la difficulté

the passwords were that people were creating,

des mots de passe que les gens créaient,

but as you may recall, there isn't a good measure

mais comme vous vous souvenez peut-être, il n'y a pas de bonne mesure

of password strength.

de la difficulté d'un mot de passe.

So what we decided to do was to see

Nous avons donc décidé de regarder

how long it would take to crack these passwords

le temps qu'il faudrait pour craquer ces mots de passe

using the best cracking tools

en utilisant les meilleurs outils

that the bad guys are using,

que les voyous utilisent,

or that we could find information about

ou sur lesquels nous pouvions trouver des informations

in the research literature.

dans la littérature de recherche.

So to give you an idea of how bad guys

Pour vous donner une idée de comment les voyous

go about cracking passwords,

craquent les mots de passe,

they will steal a password file

ils volent un fichier de mots de passe

that will have all of the passwords

qui contiendra tous les mots de passe

in kind of a scrambled form, called a hash,

sous une forme brouillée, appelée hachage,

and so what they'll do is they'll make a guess

et ce qu'ils vont faire c'est faire une supposition

as to what a password is,

sur ce qu'un mot de passe peut être,

run it through a hashing function,

le passer dans une fonction de hachage,

and see whether it matches

et regarder si ça correspond

the passwords they have on their stolen password list.

aux mots de passe qu'ils ont sur la liste volée.

So a dumb attacker will try every password in order.

Un attaquant idiot prendra tous les mots de passe dans l'ordre.

They'll start with AAAAA and move on to AAAAB,

Il commencera par AAAAA et ensuite AAAAB,

and this is going to take a really long time

et ça va prendre beaucoup de temps

before they get any passwords

avant qu'il n'obtienne un mot de passe

that people are really likely to actually have.

que les gens pourraient avoir.

A smart attacker, on the other hand,

Un attaquant intelligent, d'un autre côté,

does something much more clever.

fait quelque chose de beaucoup plus malin.

They look at the passwords

Il regarde les mots de passe

that are known to be popular

qui sont réputés populaires

from these stolen password sets,

dans ces listes de mots de passe volés,

and they guess those first.

et il suppose quels sont les premiers.

So they're going to start by guessing "password,"

Il va donc commencer par penser à « mot de passe »,

and then they'll guess "I love you," and "monkey,"

puis à « je t'aime » et « singe »,

and "12345678,"

et « 12345678 »

because these are the passwords

parce que ce sont les mots de passe

that are most likely for people to have.

que les gens ont le plus de chance d'avoir.

In fact, some of you probably have these passwords.

En fait, certains d'entre vous ont probablement ces mots de passe.

So what we found

Ce que nous avons constaté

by running all of these 5,000 passwords we collected

en testant ces 5000 mots de passe collectés

through these tests to see how strong they were,

pour connaître leur difficulté,

we found that the long passwords

nous avons constaté que les longs mots de passe

were actually pretty strong,

étaient en fait plutôt difficiles,

and the complex passwords were pretty strong too.

et que les mots de passe compliqués résistaient aussi plutôt bien.

However, when we looked at the survey data,

Cependant, quand on regarde les sondages,

we saw that people were really frustrated

on remarque que les gens étaient vraiment frustrés

by the very complex passwords,

par les mots de passe compliqués,

and the long passwords were a lot more usable,

et les mots de passe longs étaient beaucoup plus utilisables,

and in some cases, they were actually

et dans certains cas, ils étaient en fait

even stronger than the complex passwords.

plus difficiles que les mots de passe complexes.

So this suggests that,

Cela suggère que

instead of telling people that they need

au lieu de dire aux gens qu'ils ont besoin

to put all these symbols and numbers

de mettre tous ces symboles et nombres

and crazy things into their passwords,

et ces choses un peu folles dans leurs mots de passe,

we might be better off just telling people

nous ferions mieux de dire aux gens

to have long passwords.

d'avoir des mots de passe longs.

Now here's the problem, though:

Cependant, il reste un problème :

Some people had long passwords

certaines personnes ont de longs mots de passe

that actually weren't very strong.

qui ne sont pas très difficiles.

You can make long passwords

On peut faire de longs mots de passe

that are still the sort of thing

qui sont quand même

that an attacker could easily guess.

facilement devinables par un attaquant.

So we need to do more than just say long passwords.

Nous devons faire plus que demander des mots de passe longs.

There has to be some additional requirements,

Il doit y avoir d'autres exigences,

and some of our ongoing research is looking at

et parmi nos recherches en cours, nous recherchons

what additional requirements we should add

quelles exigences supplémentaires nous devrions avoir

to make for stronger passwords

pour faire des mots de passe plus difficiles

that also are going to be easy for people

qui seront également faciles

to remember and type.

à retenir et à taper.

Another approach to getting people to have

Une autre approche pour pousser les gens à avoir

stronger passwords is to use a password meter.

des mots de passe plus difficiles est d'utiliser une mesure de mots de passe.

Here are some examples.

Voici quelques exemples.

You may have seen these on the Internet

Vous avez les peut-être vu sur internet

when you were creating passwords.

quand vous créiez des mots de passe.

We decided to do a study to find out

Nous avons décidé de lancer une étude pour voir si

whether these password meters actually work.

ces mesures de mots de passe fonctionnaient ou non.

Do they actually help people

Aident-elles les gens

have stronger passwords,

à avoir des mots de passe plus difficiles ?

and if so, which ones are better?

Et si oui, lesquelles sont les meilleures ?

So we tested password meters that were

Nous avons testé des mesures de mots de passe qui étaient

different sizes, shapes, colors,

de différentes tailles, formes et couleurs,

different words next to them,

ayant des mots différents associés,

and we even tested one that was a dancing bunny.

et nous avons même testé un lapin dansant.

As you type a better password,

Quand vous tapez un meilleur mot de passe,

the bunny dances faster and faster.

le lapin dance plus vite.

So this was pretty fun.

C'était plutôt amusant.

What we found

Ce que nous avons remarqué

was that password meters do work.

était que les mesures de mots de passe fonctionnent.

(Laughter)

(Rires)

Most of the password meters were actually effective,

La plupart de ces mesures de mots de passe étaient efficaces,

and the dancing bunny was very effective too,

et le lapin dansant était également très efficace,

but the password meters that were the most effective

mais les mesures de mots de passe qui étaient les plus efficaces

were the ones that made you work harder

étaient celles qui vous faisaient travailler plus dur

before they gave you that thumbs up and said

avant de vous donner le feu vert et de dire que

you were doing a good job,

vous faissiez un bon travail,

and in fact we found that most

et en fait nous avons remarqué que la plupart

of the password meters on the Internet today

des mesures de mots de passe actuellement sur internet

are too soft.

They tell you you're doing a good job too early,

étaient trop indulgentes.

Elles vous disent trop tôt que vous faites du bon travail,

and if they would just wait a little bit

et si elles attendaient juste un petit peu

before giving you that positive feedback,

avant de vous donner un retour positif,

you probably would have better passwords.

vous auriez probablement de meilleurs mots de passe.

Now another approach to better passwords, perhaps,

Maintenant, une autre approche pour, peut-être, de meilleurs mots de passe,

is to use pass phrases instead of passwords.

est d'utiliser des phrases de passe à la place des mots de passe.

So this was an xkcd cartoon from a couple of years ago,

C'était un dessin animé de la xfcd d'il y a quelques années,

and the cartoonist suggests

et le dessinateur suggère

that we should all use pass phrases,

que nous devrions tous nous servir d'expressions de passe,

and if you look at the second row of this cartoon,

et si vous regardez à l'arrière plan de ce dessin animé,

you can see the cartoonist is suggesting

vous pouvez voir que le dessinateur suggère

that the pass phrase "correct horse battery staple"

que l'expression de passe « correct cheval batterie agrafe »

would be a very strong pass phrase

serait une phrase de passe très difficile

and something really easy to remember.

et très facile à retenir.

He says, in fact, you've already remembered it.

Il dit, en fait, que vous devriez dejà l'avoir retenue.

And so we decided to do a research study

Nous avons donc décidé de lancer une étude

to find out whether this was true or not.

pour découvrir si c'était vrai ou pas.

In fact, everybody who I talk to,

Toutes les personnes auxquelles j'ai parlé,

who I mention I'm doing password research,

auxquelles j'ai mentionné que je faisais de la recherche sur les mots de passe,

they point out this cartoon.

toutes m'ont parlé de ce dessin animé.

"Oh, have you seen it? That xkcd.

« L'avez-vous vu ? Ce xkcd.

Correct horse battery staple."

Correct cheval batterie agrafe. »

So we did the research study to see

Nous avons donc fait l'étude pour voir

what would actually happen.

ce qu'il se passerait.

So in our study, we used Mechanical Turk again,

Dans cette étude, nous avons à nouveau utilisé Mechanical Turk,

and we had the computer pick the random words

l'ordinateur prenait des mots au hasard

in the pass phrase.

pour former la phrase de passe.

Now the reason we did this

La raison pour laquelle nous avons fait ça

is that humans are not very good

est que les humains ne sont pas très bons

at picking random words.

quand il s'agit de choisir des mots au hasard.

If we asked a human to do it,

Si nous demandions à des humains de le faire,

they would pick things that were not very random.

ils choisiraient des choses pas vraiment au hasard.

So we tried a few different conditions.

Nous avons essayé plusieurs conditions.

In one condition, the computer picked

Dans une des conditions, l'ordinateur choisissait

from a dictionary of the very common words

dans un dictionnaire de mots très communs

in the English language,

de la langue anglaise,

and so you'd get pass phrases like

et donc vous obteniez des expressions de passe comme :

"try there three come."

« essayer là trois venir ».

And we looked at that, and we said,

Nous avons regardé ça et nous avons dit :

"Well, that doesn't really seem very memorable."

« Ça ne semble pas très mémorisable. »

So then we tried picking words

Alors ensuite nous avons essayé de choisir les mots

that came from specific parts of speech,

issus de parties spécifiques du langage,

so how about noun-verb-adjective-noun.

qu'en est-il de nom-verbe-nom-adjectif.

That comes up with something that's sort of sentence-like.

Il en ressort quelque chose qui ressemble à une phrase.

So you can get a pass phrase like

Vous pouvez obtenir une expression de passe comme :

"plan builds sure power"

« Projet construit pouvoir sûr »

or "end determines red drug."

ou « Fin détermine drogue rouge ».

And these seemed a little bit more memorable,

Celles-ci semblaient un peu plus mémorisables,

and maybe people would like those a little bit better.

et peut-être que les gens les préfèreraient.

We wanted to compare them with passwords,

Nous voulions les comparer avec les mots de passe,

and so we had the computer pick random passwords,

l'ordinateur choisissait donc des mots de passe au hasard,

and these were nice and short, but as you can see,

qui étaient sympas et courts, mais comme vous pouvez le voir,

they don't really look very memorable.

ils n'ont pas l'air très mémorisables.

And then we decided to try something called

Nous avons ensuite décidé d'essayer quelque chose qui s'appelle

a pronounceable password.

un mot de passe prononçable.

So here the computer picks random syllables

L'ordinateur choisit des syllables au hasard

and puts them together

et les réunit

so you have something sort of pronounceable,

pour avoir quelque chose de prononçable

like "tufritvi" and "vadasabi."

comme « tufritvi » et « vadasabi ».

That one kind of rolls off your tongue.

Ce genre de choses qui se prononcent plutôt bien.

So these were random passwords that were

C'étaient des mots de passe qui étaient

generated by our computer.

générés au hasard par notre ordinateur.

So what we found in this study was that, surprisingly,

Ce que nous avons remarqué dans cette étude est que, étonamment,

pass phrases were not actually all that good.

les expressions de passe n'étaient en fait pas si bonnes que ça.

People were not really better at remembering

Les gens ne retenaient pas mieux

the pass phrases than these random passwords,

les phrases de passe que ces mots de passe aléatoires,

and because the pass phrases are longer,

et parce que les phrases de passe sont plus longues,

they took longer to type

il fallait plus de temps pour les taper

and people made more errors while typing them in.

et les gens faisaient plus d'erreurs en les tapant.

So it's not really a clear win for pass phrases.

Ce n'est donc pas une victoire nette pour les phrases de passe.

Sorry, all of you xkcd fans.

Désolée pour tous les fans de xkcd.

On the other hand, we did find

D'un autre côté, nous avons remarqué

that pronounceable passwords

que les mots de passe prononçables

worked surprisingly well,

fonctionnaient étonnamment bien,

and so we actually are doing some more research

et nous faisons donc de la recherche additionnelle

to see if we can make that approach work even better.

pour voir si nous pouvons faire fonctionner cette approche encore mieux.

So one of the problems

Un des problèmes

with some of the studies that we've done

avec certaines des études que nous avons faites

is that because they're all done

est que parce qu'elles sont toutes faites

using Mechanical Turk,

via Mechanical Turk,

these are not people's real passwords.

ce ne sont pas de vrais mots de passe.

They're the passwords that they created

Ce sont des mots de passe qu'ils ont créés

or the computer created for them for our study.

ou que l'ordinateur a créés pour notre étude.

And we wanted to know whether people

Et nous voulions savoir est-ce que les gens

would actually behave the same way

se comporteraient de la même façon

with their real passwords.

avec leurs vrais mots de passe.

So we talked to the information security office at Carnegie Mellon

Nous nous sommes donc adressés au bureau de la sécurité des informations de la CMU

and asked them if we could have everybody's real passwords.

et leur avons demandé si nous pouvions avoir les vrais mots de passe

de tout le monde.

Not surprisingly, they were a little bit reluctant

Ce n'est pas étonnant qu'ils aient été un peu réticents à les partager avec nous,

to share them with us,

but we were actually able to work out

mais nous avons été capables de mettre au point

a system with them

un système avec eux

where they put all of the real passwords

où ils ont mis tous les vrais mots de passe

for 25,000 CMU students, faculty and staff,

pour 25 000 étudiants, professeurs et membres du personnel de la CMU,

into a locked computer in a locked room,

sur un ordinateur verrouillé dans une pièce verrouillée,

not connected to the Internet,

pas connecté à internet,

and they ran code on it that we wrote

et ils ont lancé un programme que nous avions codé

to analyze these passwords.

pour analyser ces mots de passe.

They audited our code.

Ils ont vérifié le programme.

They ran the code.

Ils ont lancé le programme.

And so we never actually saw

Nous n'avons jamais vraiment vu

anybody's password.

aucun mot de passe.

We got some interesting results,

Nous avons obtenu des résultats intéressants,

and those of you Tepper students in the back

et les étudiants de Tepper dans le fond,

will be very interested in this.

ceci va vous intéresser.

So we found that the passwords created

Nous avons constaté que les mots de passe créés

by people affiliated with the school of computer science

par des personnes affiliées à l'école d'informatique

were actually 1.8 times stronger

étaient en fait 1,8 fois plus difficiles

than those affiliated with the business school.

que ceux des personnes affiliées à l'école de commerce.

We have lots of other really interesting

Nous avons également beaucoup d'autres

demographic information as well.

informations démographiques très intéressantes.

The other interesting thing that we found

L'autre chose très intéressante que nous avons constatée

is that when we compared the Carnegie Mellon passwords

est que lorsque nous avons comparé les mots de passe de Carnegie Mellon

to the Mechanical Turk-generated passwords,

avec ceux générés par Mechanical Turk,

there was actually a lot of similarities,

il y avait beaucoup de similitudes,

and so this helped validate our research method

et ça a contribué à valider notre méthode de recherche

and show that actually, collecting passwords

et montre qu'en fait, collecter des mots de passe

using these Mechanical Turk studies

en utilisant les études de Mechanical Turk

is actually a valid way to study passwords.

est une façon valide d'étudier les mots de passe.

So that was good news.

C'étaient donc de bonnes nouvelles.

Okay, I want to close by talking about

OK, pour finir je voudrais parler de

some insights I gained while on sabbatical

d'aperçus que j'ai eu alors que j'étais en année sabbatique

last year in the Carnegie Mellon art school.

l'année dernière à l'école d'art de Carnegie Mellon.

One of the things that I did

Une des choses que j'ai faites

is I made a number of quilts,

est que j'ai fait nombre de couettes,

and I made this quilt here.

et j'ai fait cette couette-ci.

It's called "Security Blanket."

Elle s'appelle la « couverture de sécurité ».

(Laughter)

(Rires)

And this quilt has the 1,000

Et sur cette couette il y a les 1 000

most frequent passwords stolen

mots de passe les plus fréquemment volés

from the RockYou website.

du site RockYou.

And the size of the passwords is proportional

Et la taille des mots de passe est proportionnelle

to how frequently they appeared

à leur fréquence d'apparition

in the stolen dataset.

dans la base de données des vols.

And what I did is I created this word cloud,

Ce que j'ai fait c'est que j'ai créé ce nuage de mots

and I went through all 1,000 words,

et j'ai parcouru ces 1 000 mots

and I categorized them into

et je les ai classés

loose thematic categories.

en catégories thématiques.

And it was, in some cases,

Et, dans certains cas,

it was kind of difficult to figure out

il a été assez difficile de déterminer

what category they should be in,

dans quelle catégorie ils devraient être,

and then I color-coded them.

et ensuite j'ai créé un code couleur.

So here are some examples of the difficulty.

Voici des exemples de la difficulté.

So "justin."

« Justin ».

Is that the name of the user,

Est-ce le nom de l'utilisateur,

their boyfriend, their son?

de son copain, de son fils ?

Maybe they're a Justin Bieber fan.

Peut-être que c'est juste un fan de Justin Bieber.

Or "princess."

Ou « princesse ».

Is that a nickname?

Est-ce un surnom ?

Are they Disney princess fans?

Est-ce un fan des princesses de Disney ?

Or maybe that's the name of their cat.

Ou peut-être que c'est le nom de leur chat.

"Iloveyou" appears many times

« Jetaime » apparaît de nombreuses fois

in many different languages.

dans de nombreuses langues.

There's a lot of love in these passwords.

Il y a beaucoup d'amour dans ces mots de passe.

If you look carefully, you'll see there's also

Si vous regardez attentivement, vous verrez également

some profanity,

quelques obscénités,

but it was really interesting to me to see

mais pour moi il était très intéressant de voir

that there's a lot more love than hate

qu'il y a beaucoup plus d'amour que de haine

in these passwords.

dans ces mots de passe.

And there are animals,

Il y a des animaux,

a lot of animals,

beaucoup d'animaux,

and "monkey" is the most common animal

et « singe » est l'animal le plus commun

and the 14th most popular password overall.

et le 14ème mot de passe le plus populaire de tous.

And this was really curious to me,

Et cela m'a paru curieux,

and I wondered, "Why are monkeys so popular?"

et je me suis demandé : « Pourquoi les singes sont-il si populaires ? »

And so in our last password study,

Donc dans notre dernière étude sur les mots de passe,

any time we detected somebody

à chaque fois que nous détections quelqu'un

creating a password with the word "monkey" in it,

qui créait un mot de passe contenant le mot « singe »,

we asked them why they had a monkey in their password.

nous leur demandions pourquoi ils avaient « singe » dans leur mot de passe.

And what we found out --

Et nous avons constaté --

we found 17 people so far, I think,

jusqu'ici nous avons trouvé 17 personnes, je crois,

who have the word "monkey" --

qui ont le mot « singe » --

We found out about a third of them said

Nous avons remarqué qu'environ un tiers d'entre eux disait

they have a pet named "monkey"

qu'ils avaient un animal de compagnie qui s'appelait « singe »

or a friend whose nickname is "monkey,"

ou un ami surnommé « singe »,

and about a third of them said

et environ un tiers d'entre eux disait

that they just like monkeys

que c'était juste qu'ils aimaient les singes

and monkeys are really cute.

et que les singes sont très mignons.

And that guy is really cute.

Et celui-ci est vraiment mignon.

So it seems that at the end of the day,

Il semble qu'en fin de compte,

when we make passwords,

quand nous créons nos mots de passe,

we either make something that's really easy

nous faisons soit quelque chose de très simple

to type, a common pattern,

à taper, un schéma familier,

or things that remind us of the word password

ou quelque chose qui nous rappelle l'expression « mot de passe »

or the account that we've created the password for,

ou le compte pour lequel nous avons créé le mot de passe,

or whatever.

ou quoi que ce soit.

Or we think about things that make us happy,

Ou nous pensons à des choses qui nous rendent heureux,

and we create our password

et nous créons notre mot de passe

based on things that make us happy.

à partir de choses qui nous rendent heureux.

And while this makes typing

Et, alors que ça rend plus amusant le fait de taper

and remembering your password more fun,

et de se souvenir de notre mot de passe,

it also makes it a lot easier

ça rend aussi nos mots de passe

to guess your password.

plus facilement devinables.

So I know a lot of these TED Talks

Je sais que beaucoup de ces exposés de TED

are inspirational

sont source d'inspiration

and they make you think about nice, happy things,

et qu'ils vont font penser à des choses sympas et heureuses,

but when you're creating your password,

mais quand vous créez votre mot de passe,

try to think about something else.

essayez de penser à quelque chose d'autre.

Thank you.

Merci.

(Applause)

(Applaudissements)