Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Traduttore: Elisa Magni Revisore: Valentina Buda

I am a computer science and engineering professor here at Carnegie Mellon,

Sono una professoressa di scienza e ingegneria informatica

qui al Carnegie Mellon

and my research focuses on usable privacy and security,

e la mia ricerca si concentra sull'accessibilità di privacy e sicurezza.

and so my friends like to give me examples

Così ai miei amici piace farmi degli esempi

of their frustrations with computing systems,

delle loro frustrazioni con i sistemi informatici,

especially frustrations related to

in particolare di quelle frustrazioni che hanno a che fare

unusable privacy and security.

con l'inaccessibilità di privacy e sicurezza.

So passwords are something that I hear a lot about.

Quindi le password sono qualcosa di cui sento molto parlare.

A lot of people are frustrated with passwords,

Molte persone sono frustrate dalle password,

and it's bad enough

ed è già abbastanza difficile

when you have to have one really good password

quando devi avere una password davvero buona

that you can remember

che puoi ricordare

but nobody else is going to be able to guess.

ma che nessun altro sarà in grado di indovinare.

But what do you do when you have accounts

Ma che cosa fare quando si hanno account

on a hundred different systems

su centinaia di sistemi diversi

and you're supposed to have a unique password

e si dovrebbe avere una password diversa

for each of these systems?

per ognuno di questi sistemi?

It's tough.

È dura.

At Carnegie Mellon, they used to make it

Al Carnegie Mellon, era molto facile per noi

actually pretty easy for us

to remember our passwords.

ricordare le nostre password.

The password requirement up through 2009

Il requisito per le password fino al 2009

was just that you had to have a password

era che dovevi avere una password

with at least one character.

con almeno un carattere.

Pretty easy. But then they changed things,

Piuttosto semplice. Ma poi le cose sono cambiate,

and at the end of 2009, they announced

e alla fine del 2009 hanno annunciato

that we were going to have a new policy,

che avremmo avuto una nuova politica,

and this new policy required

e questa nuova politica richiedeva

passwords that were at least eight characters long,

che le password avessero almeno otto caratteri,

with an uppercase letter, lowercase letter,

con una lettera maiuscola, una minuscola,

a digit, a symbol,

una cifra, un simbolo,

you couldn't use the same character more than three times,

non si poteva usare lo stesso carattere più di tre volte,

and it wasn't allowed to be in a dictionary.

e la parola non poteva trovarsi in un dizionario.

Now, when they implemented this new policy,

Quando introdussero questa nuova politica,

a lot of people, my colleagues and friends,

molte persone, colleghi e amici,

came up to me and they said, "Wow,

vennero da me e mi dissero: "Wow,

now that's really unusable.

adesso sì che è inutilizzabile!

Why are they doing this to us,

Perché ci fanno questo,

and why didn't you stop them?"

e perché non glielo hai impedito?"

And I said, "Well, you know what?

E io risposi: "Be', sapete una cosa?

They didn't ask me."

Io non sono stata interpellata."

But I got curious, and I decided to go talk

Ma mi incuriosii, e decisi di andare a parlare

to the people in charge of our computer systems

con i responsabili dei sistemi informatici

and find out what led them to introduce

per scoprire che cosa li avesse spinti a introdurre

this new policy,

questa nuova politica.

and they said that the university

Dissero che l'università

had joined a consortium of universities,

aveva aderito a un consorzio di università,

and one of the requirements of membership

e uno dei requisiti per farne parte

was that we had to have stronger passwords

era che dovevamo avere password più efficaci

that complied with some new requirements,

che rispondessero a dei nuovi requisiti,

and these requirements were that our passwords

e questi requisiti prevedevano che le nostre password

had to have a lot of entropy.

dovessero avere molta entropia.

Now entropy is a complicated term,

Ora, "entropia" è un termine complicato,

but basically it measures the strength of passwords.

ma in pratica misura la forza delle password.

But the thing is, there isn't actually

Il fatto è che in realtà non c'è

a standard measure of entropy.

una misura standard dell'entropia.

Now, the National Institute of Standards and Technology

Il National Institute of Standards and Technology

has a set of guidelines

ha stabilito una serie di linee guida

which have some rules of thumb

che danno indicazioni generali

for measuring entropy,

per misurare l'entropia,

but they don't have anything too specific,

ma non contengono niente di troppo specifico,

and the reason they only have rules of thumb

e il motivo per cui hanno solo indicazioni generiche

is it turns out they don't actually have any good data

è che a quanto pare non dispongono di dati attendibili

on passwords.

sulle password.

In fact, their report states,

In effetti, il loro resoconto recita:

"Unfortunately, we do not have much data

"Purtroppo, non abbiamo a disposizione molti dati

on the passwords users choose under particular rules.

sulle password scelte dagli utenti secondo regole particolari.

NIST would like to obtain more data

Il NIST vorrebbe ottenere più dati

on the passwords users actually choose,

sulle password effettivamente scelte dagli utenti,

but system administrators are understandably reluctant

ma gli amministratori dei sistemi sono comprensibilmente restii

to reveal password data to others."

a rivelare le password a terzi."

So this is a problem, but our research group

Questo è un problema, ma il nostro gruppo di ricerca

looked at it as an opportunity.

lo ha considerato come un'opportunità.

We said, "Well, there's a need for good password data.

Ci siamo detti: "Beh, c'è bisogno di dati validi per le password.

Maybe we can collect some good password data

Forse possiamo raccogliere dei dati attendibili

and actually advance the state of the art here.

e fare davvero dei progressi".

So the first thing we did is,

La prima cosa che abbiamo fatto è stata

we got a bag of candy bars

prendere una borsa piena di barrette di cioccolata,

and we walked around campus

passeggiare per il campus

and talked to students, faculty and staff,

e parlare con gli studenti, il corpo docenti e lo staff,

and asked them for information

e chiedere loro informazioni

about their passwords.

sulle loro password.

Now we didn't say, "Give us your password."

Non abbiamo detto loro: "Dateci le vostre password".

No, we just asked them about their password.

No, gli facevamo solamente delle domande sulle loro password.

How long is it? Does it have a digit?

Quanto è lunga? Contiene una cifra?

Does it have a symbol?

Contiene un simbolo?

And were you annoyed at having to create

E ti ha dato fastidio doverne creare

a new one last week?

una nuova la settimana scorsa?

So we got results from 470 students,

Abbiamo raccolto risultati da 470 studenti,

faculty and staff,

insegnanti e staff,

and indeed we confirmed that the new policy

e ci è stato confermato che la nuova politica

was very annoying,

era davvero molto fastidiosa,

but we also found that people said

ma abbiamo anche scoperto che le persone dicevano

they felt more secure with these new passwords.

di sentirsi più sicure con queste nuove password.

We found that most people knew

Abbiamo scoperto che la maggioranza sapeva

they were not supposed to write their password down,

che le password non si dovrebbero annotare,

and only 13 percent of them did,

e solo il 13 per cento lo aveva fatto,

but disturbingly, 80 percent of people

ma, preoccupantemente, l'80 per cento delle persone

said they were reusing their password.

ha dichiarato che stava riutilizzando la propria password precedente.

Now, this is actually more dangerous

Questo è di fatto molto più pericoloso

than writing your password down,

che annotare la propria password,

because it makes you much more susceptible to attackers.

perché vi rende molto più soggetti agli attacchi.

So if you have to, write your passwords down,

Perciò, se proprio dovete, annotatevi la password,

but don't reuse them.

ma non riutilizzatela.

We also found some interesting things

Abbiamo anche scoperto cose interessanti

about the symbols people use in passwords.

sui simboli usati dalle persone nelle password.

So CMU allows 32 possible symbols,

La CMU consente 32 simboli possibili,

but as you can see, there's only a small number

ma come potete vedere, c'è solo un piccolo numero

that most people are using,

che viene usato dalla maggioranza delle persone,

so we're not actually getting very much strength

perciò non stiamo ottenendo molta forza

from the symbols in our passwords.

dai simboli nelle nostre password.

So this was a really interesting study,

È stato uno studio davvero interessante,

and now we had data from 470 people,

e ora abbiamo dati da 470 persone

but in the scheme of things,

ma, data la situazione,

that's really not very much password data,

non sono poi così tante le informazioni raccolte sulle password

and so we looked around to see

e quindi ci siamo guardati intorno

where could we find additional password data?

per vedere dove si potessero trovare altri dati sulle password.

So it turns out there are a lot of people

Succede che ci sono un sacco di persone

going around stealing passwords,

che se ne vanno in giro a rubare le password

and they often go and post these passwords

e spesso pubblicano queste password

on the Internet.

su Internet.

So we were able to get access

Perciò siamo stati in grado di accedere

to some of these stolen password sets.

ad alcuni set di password rubate.

This is still not really ideal for research, though,

Tuttavia non è ancora la cosa ideale per una ricerca,

because it's not entirely clear

perché non è del tutto chiaro

where all of these passwords came from,

da dove provengano tutte queste password,

or exactly what policies were in effect

o quali politiche fossero effettivamente in vigore

when people created these passwords.

quando le persone avevano creato quelle password.

So we wanted to find some better source of data.

Quindi volevamo trovare fonti di informazioni migliori.

So we decided that one thing we could do

Così abbiamo deciso che una possibilità

is we could do a study and have people

era fare uno studio e far sì che alcune persone

actually create passwords for our study.

creassero delle password appositamente per il nostro studio.

So we used a service called Amazon Mechanical Turk,

Abbiamo usato un servizio chiamato Amazon Mechanical Turk,

and this is a service where you can post

un servizio dove si può pubblicare

a small job online that takes a minute,

un lavoretto online che impiega un minuto,

a few minutes, an hour,

qualche minuto, un'ora,

and pay people, a penny, ten cents, a few dollars,

e pagare le persone un penny, dieci centesimi, qualche dollaro

to do a task for you,

affinché svolgano un lavoro per voi,

and then you pay them through Amazon.com.

e poi pagate il servizio con Amazon.com.

So we paid people about 50 cents

Abbiamo pagato 50 centesimi a persona

to create a password following our rules

perché creassero password seguendo le nostre regole

and answering a survey,

e rispondendo a un sondaggio,

and then we paid them again to come back

e poi li abbiamo pagati ancora perché ritornassero

two days later and log in

due giorni dopo ed effettuassero il login,

using their password and answering another survey.

utilizzando le proprie password, e rispondessero a un altro sondaggio.

So we did this, and we collected 5,000 passwords,

L'abbiamo fatto, e abbiamo raccolto 5000 password.

and we gave people a bunch of different policies

Abbiamo dato ai partecipanti diverse direttive

to create passwords with.

con cui creare le password.

So some people had a pretty easy policy,

Alcune persone avevano regole molto semplici,

we call it Basic8,

che noi chiamiamo Basic8,

and here the only rule was that your password

e qui l'unica regola era che la password

had to have at least eight characters.

avesse almeno otto caratteri.

Then some people had a much harder policy,

Poi altre persone avevano una politica più difficile,

and this was very similar to the CMU policy,

piuttosto simile a quella della CMU,

that it had to have eight characters

cioè una password con otto caratteri

including uppercase, lowercase, digit, symbol,

comprese una lettera maiuscola, una minuscola, una cifra, un simbolo,

and pass a dictionary check.

e controllo sul dizionario.

And one of the other policies we tried,

E una delle altre politiche che abbiamo provato,

and there were a whole bunch more,

e ce ne sono state molte,

but one of the ones we tried was called Basic16,

una di quelle che abbiamo testato si chiamava Basic16,

and the only requirement here

e l'unico requisito

was that your password had to have at least 16 characters.

era che la password dovesse avere come minimo 16 caratteri.

All right, so now we had 5,000 passwords,

Ok, avevamo 5000 password,

and so we had much more detailed information.

e avevamo informazioni molto più dettagliate.

Again we see that there's only a small number

Ancora, vediamo che c'è solo un numero ridotto

of symbols that people are actually using

di simboli che vengono davvero usati dalle persone

in their passwords.

nelle loro password.

We also wanted to get an idea of how strong

Volevamo anche farci un'idea di quanto forti

the passwords were that people were creating,

fossero le password che creava la gente

but as you may recall, there isn't a good measure

ma, come forse ricorderete, non esiste un buon parametro

of password strength.

per misurare la forza di una password.

So what we decided to do was to see

Perciò abbiamo deciso di vedere

how long it would take to crack these passwords

quanto ci voleva per scoprire queste password

using the best cracking tools

usando i migliori strumenti di violazione

that the bad guys are using,

che usano i cattivi nel mondo informatico,

or that we could find information about

o di cui potevamo trovare informazioni

in the research literature.

nei libri di ricerca.

So to give you an idea of how bad guys

Per darvi un'idea di come facciano i cattivi

go about cracking passwords,

a violare le password:

they will steal a password file

rubano un file

that will have all of the passwords

che contiene tutte le password

in kind of a scrambled form, called a hash,

in una forma confusa, chiamata "hash",

and so what they'll do is they'll make a guess

e quello che fanno è indovinare

as to what a password is,

quale sia la password,

run it through a hashing function,

fare girare una funzione di hashing,

and see whether it matches

e verificare se corrisponde o meno

the passwords they have on their stolen password list.

alle password elencate nella loro lista di password rubate.

So a dumb attacker will try every password in order.

Un hacker stupido proverà tutte le password in ordine.

They'll start with AAAAA and move on to AAAAB,

Inizierà con AAAA e proseguirà con AAAAB,

and this is going to take a really long time

e questo richiede molto tempo

before they get any passwords

prima di trovare qualche password

that people are really likely to actually have.

che è probabile venga realmente usata dagli utenti.

A smart attacker, on the other hand,

Gli hacker intelligenti, invece,

does something much more clever.

agiscono in modo molto più intelligente.

They look at the passwords

Guardano le password

that are known to be popular

che sono popolari

from these stolen password sets,

tra i set di password rubate,

and they guess those first.

e provano quelle per prime.

So they're going to start by guessing "password,"

Inizieranno tirando a indovinare: "password",

and then they'll guess "I love you," and "monkey,"

e poi "ti amo", e "scimmia"

and "12345678,"

e "12345678",

because these are the passwords

perché sono queste le password

that are most likely for people to have.

più ricorrenti.

In fact, some of you probably have these passwords.

In effetti, è probabile che alcuni di voi le usi.

So what we found

Quello che abbiamo scoperto

by running all of these 5,000 passwords we collected

testando tutte le 5000 password da noi raccolte

through these tests to see how strong they were,

attraverso questi test per vedere quanto fossero forti

we found that the long passwords

è stato che le password più lunghe

were actually pretty strong,

erano piuttosto forti in realtà,

and the complex passwords were pretty strong too.

così come le password complesse.

However, when we looked at the survey data,

Tuttavia, quando abbiamo analizzato i dati dei sondaggi,

we saw that people were really frustrated

abbiamo visto che le persone erano davvero frustrate

by the very complex passwords,

dalle password molto complesse,

and the long passwords were a lot more usable,

e le password lunghe erano molto più utilizzabili,

and in some cases, they were actually

e in alcuni casi, erano

even stronger than the complex passwords.

persino più forti delle password complesse.

So this suggests that,

Questo perciò suggerisce che,

instead of telling people that they need

invece di dire alle persone che devono

to put all these symbols and numbers

mettere tutti questi simboli e numeri

and crazy things into their passwords,

e altre cose da matti nelle loro passwrod,

we might be better off just telling people

sarebbe meglio dire loro

to have long passwords.

di creare password lunghe.

Now here's the problem, though:

Ora, però ecco il problema:

Some people had long passwords

alcune persone avevano password lunghe

that actually weren't very strong.

che in realtà non erano molto forti.

You can make long passwords

Potete creare password lunghe

that are still the sort of thing

che però potrebbero comunque essere scoperte

that an attacker could easily guess.

facilmente da un hacker.

So we need to do more than just say long passwords.

Quindi non abbiamo solo bisogno di password più lunghe.

There has to be some additional requirements,

Ci devono essere dei requisiti in più,

and some of our ongoing research is looking at

e parte della nostra ricerca attuale sta considerando

what additional requirements we should add

quali requisiti dovremmo aggiungere

to make for stronger passwords

per creare password più forti

that also are going to be easy for people

che siano anche facili

to remember and type.

da ricordare e da digitare.

Another approach to getting people to have

Un altro approccio per far sì che le persone abbiano

stronger passwords is to use a password meter.

password più forti è usare un misuratore di robustezza della password.

Here are some examples.

Ecco alcuni esempi.

You may have seen these on the Internet

Forse li avete visti online

when you were creating passwords.

creando delle password.

We decided to do a study to find out

Abbiamo deciso di condurre uno studio per scoprire

whether these password meters actually work.

se i misuratori di password funzionano davvero oppure no.

Do they actually help people

Aiutano davvero le persone

have stronger passwords,

ad avere password più forti,

and if so, which ones are better?

e se sì, quali sono i migliori?

So we tested password meters that were

Perciò abbiamo testato dei misuratori di password

different sizes, shapes, colors,

diversi per dimensioni, forma, colore,

different words next to them,

diversi per le parole vicine a loro,

and we even tested one that was a dancing bunny.

e ne abbiamo anche testato uno che era un coniglietto ballerino.

As you type a better password,

Quando si scrive una password buona,

the bunny dances faster and faster.

il coniglietto balla sempre più velocemente.

So this was pretty fun.

È piuttosto divertente.

What we found

Abbiamo scoperto che

was that password meters do work.

i misuratori di password funzionano davvero.

(Laughter)

(Risate)

Most of the password meters were actually effective,

Gran parte dei misuratori di password era davvero efficace,

and the dancing bunny was very effective too,

così come il coniglietto di prima,

but the password meters that were the most effective

ma i misuratori di password più efficaci in assoluto

were the ones that made you work harder

erano quelli che ci facevano faticare

before they gave you that thumbs up and said

prima di darci l'ok e dirci

you were doing a good job,

che stavamo facendo un buon lavoro,

and in fact we found that most

e in effetti abbiamo scoperto che la maggior parte

of the password meters on the Internet today

dei password meter online oggi

are too soft.

They tell you you're doing a good job too early,

è troppo indulgente.

Vi dicono che state andando bene troppo presto,

and if they would just wait a little bit

e se aspettassero solo un po' di più

before giving you that positive feedback,

prima di darvi un riscontro positivo,

you probably would have better passwords.

probabilmente voi avreste password migliori.

Now another approach to better passwords, perhaps,

Un altro approccio per migliorare le password, forse,

is to use pass phrases instead of passwords.

è usare le passphrase al posto delle password.

So this was an xkcd cartoon from a couple of years ago,

Questo è una vignetta xkcd di un paio di anni fa,

and the cartoonist suggests

e il disegnatore consiglia a tutti

that we should all use pass phrases,

di usare le passphrase,

and if you look at the second row of this cartoon,

e se guardate nella seconda fila di questa vignetta,

you can see the cartoonist is suggesting

vedrete che il disegnatore consiglia

that the pass phrase "correct horse battery staple"

la pass phrase: "correct horse battery staple",

would be a very strong pass phrase

che sarebbe una chiave di accesso molto forte

and something really easy to remember.

e molto facile da ricordare.

He says, in fact, you've already remembered it.

Dice, in effetti, che ce la ricordiamo già.

And so we decided to do a research study

E così abbiamo deciso di fare uno studio

to find out whether this was true or not.

per scoprire se era vero o no.

In fact, everybody who I talk to,

In realtà, tutte le persone con cui parlo

who I mention I'm doing password research,

e a cui menziono la mia ricerca sulle password,

they point out this cartoon.

mi parlano di questa vignetta.

"Oh, have you seen it? That xkcd.

"Oh, l'hai vista? L'xkcd.

Correct horse battery staple."

'correct horse battery staple'".

So we did the research study to see

Abbiamo fatto questa ricerca per vedere

what would actually happen.

che cosa sarebbe successo nella realtà.

So in our study, we used Mechanical Turk again,

Nel nostro studio abbiamo usato ancora Mechanical Turk,

and we had the computer pick the random words

e abbiamo fatto scegliere al computer le parole a caso

in the pass phrase.

nella chiave di accesso.

Now the reason we did this

Il motivo per cui l'abbiamo fatto

is that humans are not very good

è che gli esseri umani non sono molto bravi

at picking random words.

a scegliere le parole a caso.

If we asked a human to do it,

Se avessimo chiesto alle persone di farlo,

they would pick things that were not very random.

non avrebbero scelto casualmente.

So we tried a few different conditions.

Perciò abbiamo provato diverse condizioni.

In one condition, the computer picked

In una condizione, il computer sceglieva

from a dictionary of the very common words

da un dizionario delle parole più comuni

in the English language,

della lingua inglese,

and so you'd get pass phrases like

così si ottenevano chiavi come:

"try there three come."

"prova là albero venire".

And we looked at that, and we said,

L'abbiamo guardata, e ci siamo detti:

"Well, that doesn't really seem very memorable."

"Beh, non sembra poi così tanto facile da tenere a mente".

So then we tried picking words

Poi abbiamo provato a scegliere

that came from specific parts of speech,

parti del discorso specifiche

so how about noun-verb-adjective-noun.

come ad esempio sostantivo-verbo-aggettivo-sostantivo.

That comes up with something that's sort of sentence-like.

Questa combinazione può anche risultare in una specie di frase.

So you can get a pass phrase like

Quindi si possono ottenere chiavi di accesso come

"plan builds sure power"

"piano costruisce sicuro potere"

or "end determines red drug."

o "fine determina farmaco rosso".

And these seemed a little bit more memorable,

E queste ci sembravano un po' più facili da ricordare,

and maybe people would like those a little bit better.

e forse alla gente piacerebbero anche di più.

We wanted to compare them with passwords,

Volevamo confrontarle con le password,

and so we had the computer pick random passwords,

e così abbiamo fatto scegliere password a caso ai computer,

and these were nice and short, but as you can see,

e queste erano belle e corte ma, come potete vedere,

they don't really look very memorable.

non sono molto facili da ricordare.

And then we decided to try something called

E poi abbiamo deciso di provare le cosidette

a pronounceable password.

password pronunciabili.

So here the computer picks random syllables

Il computer in questo caso sceglie sillabe a caso

and puts them together

e le assembla

so you have something sort of pronounceable,

in modo da ottenere frasi più o meno pronunciabili,

like "tufritvi" and "vadasabi."

come "tufritvi" e "vadasabi".

That one kind of rolls off your tongue.

Quest'ultima è una specie di scioglilingua.

So these were random passwords that were

Queste sono alcune password casuali

generated by our computer.

generate dal nostro computer.

So what we found in this study was that, surprisingly,

Ciò che abbiamo scoperto in questo studio è che, sorprendentemente,

pass phrases were not actually all that good.

le passphrase non erano poi così valide.

People were not really better at remembering

Le persone non se le ricordavano meglio

the pass phrases than these random passwords,

in confronto a queste password create a caso,

and because the pass phrases are longer,

e dato che le passphrase sono più lunghe,

they took longer to type

ci voleva più tempo per scriverle

and people made more errors while typing them in.

e le persone facevano più errori scrivendole.

So it's not really a clear win for pass phrases.

Quindi le passphrase non hanno proprio la meglio.

Sorry, all of you xkcd fans.

Ci dispiace, fan dell'xkcd.

On the other hand, we did find

D'altro canto, abbiamo scoperto

that pronounceable passwords

che le password pronunciabili

worked surprisingly well,

funzionavano sorprendentemente bene,

and so we actually are doing some more research

e così stiamo facendo ancora qualche ricerca

to see if we can make that approach work even better.

per vedere se possiamo far funzionare ancora meglio questo tipo di approccio.

So one of the problems

Uno dei problemi

with some of the studies that we've done

con alcuni degli studi che abbiamo condotto

is that because they're all done

è che, siccome sono state fatte tutte

using Mechanical Turk,

usando Mechanical Turk,

these are not people's real passwords.

queste password non sono quelle usate realmente dagli utenti.

They're the passwords that they created

Sono le password che hanno creato

or the computer created for them for our study.

o che il computer ha creato per loro per il nostro studio.

And we wanted to know whether people

E volevamo sapere se le persone

would actually behave the same way

si sarebbero davvero comportate così

with their real passwords.

con le loro password reali.

So we talked to the information security office at Carnegie Mellon

Abbiamo parlato con l'ufficio per la sicurezza delle informazioni

alla Carnegie Mellon

and asked them if we could have everybody's real passwords.

e abbiamo chiesto se potevamo avere le password di tutti.

Ovviamente, erano un po' restii

Not surprisingly, they were a little bit reluctant

to share them with us,

a condividerle con noi,

but we were actually able to work out

ma noi siamo stati capaci di ideare

a system with them

un sistema con loro

where they put all of the real passwords

dove si mettono tutte le password vere

for 25,000 CMU students, faculty and staff,

per 25 mila studenti, corpo docenti e staff,

into a locked computer in a locked room,

in un computer bloccato in una stanza chiusa a chiave,

not connected to the Internet,

non connessa a internet,

and they ran code on it that we wrote

e loro facevano passare il codice

to analyze these passwords.

sulle password che analizzavamo.

They audited our code.

Verificavano il nostro codice.

They ran the code.

Facevano passare il codice.

And so we never actually saw

E perciò non abbiamo mai visto

anybody's password.

la password di nessuno.

We got some interesting results,

Abbiamo ottenuto risultati interessanti,

and those of you Tepper students in the back

e per voi studenti del corso Tepper lì in fondo

will be very interested in this.

saranno molto interessanti.

So we found that the passwords created

Così abbiamo scoperto che le password create

by people affiliated with the school of computer science

dalle persone che frequentano la facoltà di informatica

were actually 1.8 times stronger

sono 1,8 volte più forti

than those affiliated with the business school.

rispetto a quelle degli studenti di economia.

We have lots of other really interesting

Abbiamo anche molte altre informazioni

demographic information as well.

demografiche interessanti.

The other interesting thing that we found

L'altra cosa interessante che abbiamo scoperto

is that when we compared the Carnegie Mellon passwords

è che quando abbiamo paragonato le password della Carnegie Mellon

to the Mechanical Turk-generated passwords,

a quelle generate dal Mechanical Turk,

there was actually a lot of similarities,

in realtà c'erano molte somiglianze,

and so this helped validate our research method

e questo ci ha aiutato a convalidare il nostro metodo di ricerca

and show that actually, collecting passwords

e mostrare che, in realtà, raccogliere le password

using these Mechanical Turk studies

usando questi studi di Mechanical Turk

is actually a valid way to study passwords.

è davvero un modo valido per studiare le password.

So that was good news.

È una buona notizia.

Okay, I want to close by talking about

Ok, vorrei concludere parlando

some insights I gained while on sabbatical

di alcune cose che ho scoperto durante

last year in the Carnegie Mellon art school.

lo scorso anno sabbatico alla facoltà di arte alla Carnegie Mellon.

One of the things that I did

Una delle cose che ho fatto

is I made a number of quilts,

è stata cucire parecchie trapunte,

and I made this quilt here.

e questa l'ho fatta io.

It's called "Security Blanket."

Si chiama "Coperta di Sicurezza".

(Laughter)

(Risate)

And this quilt has the 1,000

Questa trapunta ha le mille password

most frequent passwords stolen

più frequenti rubate

from the RockYou website.

dal sito web RockYou.

And the size of the passwords is proportional

E le dimensioni delle password sono proporzionali

to how frequently they appeared

alla frequenza con cui appaiono

in the stolen dataset.

tra i dati rubati.

And what I did is I created this word cloud,

Quello che ho fatto è stato creare questa nuvola di parole,

and I went through all 1,000 words,

analizzare tutte le mille parole,

and I categorized them into

e classificarle

loose thematic categories.

in categorie tematiche ampie.

And it was, in some cases,

E, in alcuni casi,

it was kind of difficult to figure out

è stato difficile capire

what category they should be in,

in quale categoria rientrassero,

and then I color-coded them.

e poi le ho codificate tramite dei colori.

So here are some examples of the difficulty.

Ecco alcuni esempi delle difficoltà che ho riscontrato.

So "justin."

"justin".

Is that the name of the user,

È il nome dell'utente,

their boyfriend, their son?

del suo ragazzo, di suo figlio?

Maybe they're a Justin Bieber fan.

Forse si tratta di un fan di Justin Bieber.

Or "princess."

O "principesssa".

Is that a nickname?

È un soprannome?

Are they Disney princess fans?

L'utente è un fan delle principesse Disney?

Or maybe that's the name of their cat.

Oppure è il nome del suo gatto.

"Iloveyou" appears many times

"Iloveyou" compare molte volte

in many different languages.

in tante lingue diverse.

There's a lot of love in these passwords.

C'è molto amore in queste password.

If you look carefully, you'll see there's also

Se guardate attentamente, vedrete che c'è anche

some profanity,

del profano,

but it was really interesting to me to see

ma per me è stato davvero interessante

that there's a lot more love than hate

vedere che c'è molto più amore che odio

in these passwords.

in queste password.

And there are animals,

E c'erano anche gli animali,

a lot of animals,

molti animali,

and "monkey" is the most common animal

e "scimmia" è l'animale più comune,

and the 14th most popular password overall.

in generale la 14esima password più comune.

And this was really curious to me,

Questo mi ha incuriosita,

and I wondered, "Why are monkeys so popular?"

e mi sono chiesta: "Perché le scimmie sono così popolari?"

And so in our last password study,

E così è nato il nostro ultimo studio sulle password:

any time we detected somebody

ogni volta che notavamo qualcuno

creating a password with the word "monkey" in it,

che creava una password contenente la parola "scimmia",

we asked them why they had a monkey in their password.

gli abbiamo chiesto perché l'avesse scelta.

And what we found out --

E abbiamo scoperto che --

we found 17 people so far, I think,

finora abbiamo trovato 17 persone

who have the word "monkey" --

che hanno "scimmia" nelle proprie password ‒-

We found out about a third of them said

abbiamo scoperto che circa un terzo di loro

they have a pet named "monkey"

ha un animale domestico che si chiama "scimmmia"

or a friend whose nickname is "monkey,"

o hanno un amico il cui soprannome è "scimmia",

and about a third of them said

e circa un terzo ha detto

that they just like monkeys

che gli piacciono le scimmie

and monkeys are really cute.

e che sono molto carine.

And that guy is really cute.

E quella è molto carina.

So it seems that at the end of the day,

Perciò, alla fine dei conti, sembra che

when we make passwords,

quando creiamo delle password,

we either make something that's really easy

creiamo qualcosa di molto facile

to type, a common pattern,

da scrivere, un modello comune,

or things that remind us of the word password

oppure pensiamo a cose che ci ricordino la parola password,

or the account that we've created the password for,

l'account per cui abbiamo creato la password,

or whatever.

o roba del genere.

Or we think about things that make us happy,

Oppure ancora pensiamo a cose che ci rendono felici,

and we create our password

e creiamo la nostra password

based on things that make us happy.

in base alle cose che ci rendono felici.

And while this makes typing

E mentre questo fa sì che sia più divertente

and remembering your password more fun,

scrivere e ricordarsi la propria password,

it also makes it a lot easier

la rende anche più facile da indovinare.

to guess your password.

So I know a lot of these TED Talks

So che molti discorsi TED

are inspirational

and they make you think about nice, happy things,

sono d'ispirazione

e che vi fanno pensare a cose belle e felici,

but when you're creating your password,

ma quando create la vostra password

try to think about something else.

cercate di pensare a qualcos'altro.

Thank you.

Grazie.

(Applause)

(Applausi)