Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

מתרגם: Shira Salingré מבקר: Oren Szekatch

I am a computer science and engineering professor here at Carnegie Mellon,

אני פרופסור להנדסת מחשבים ומדעי המחשב כאן בקרנגי מלון

and my research focuses on usable privacy and security,

והמחקר שלי מתמקד בפרטיות ואבטחת מידע שמישים.

and so my friends like to give me examples

אז חברים שלי אוהבים לתת לי דוגמאות

of their frustrations with computing systems,

של התסכול שלהם ממערכות ממוחשבות

especially frustrations related to

במיוחד כשזה מתקשר

unusable privacy and security.

לפרטיות ואבטחה לא-שמישיים.

So passwords are something that I hear a lot about.

אז סיסמאות זה משהו שאני שומעת עליו הרבה.

A lot of people are frustrated with passwords,

הרבה אנשים מתוסכלים מסיסמאות,

and it's bad enough

וזה מספיק גרוע

when you have to have one really good password

כשאתם צריכים למצוא סיסמה אחת ממש טובה

that you can remember

שאתם יכולים לזכור

but nobody else is going to be able to guess.

אבל אף אחד אחר לא יוכל לנחש.

But what do you do when you have accounts

אבל מה אתם עושים כשיש לכם חשבונות משתמשים

on a hundred different systems

במאות מערכות שונות

and you're supposed to have a unique password

ואמורה להיות לכם סיסמה ייחודית

for each of these systems?

לכל אחת מהן?

It's tough.

זה כבר מסובך.

At Carnegie Mellon, they used to make it

בקרנגי מלון, זה היה

actually pretty easy for us

די פשוט עבורנו

to remember our passwords.

לזכור סיסמאות.

The password requirement up through 2009

עד לשנת 2009 הדרישה לסיסמה

was just that you had to have a password

הייתה רק שתהיה לך סיסמה

with at least one character.

עם תו אחד לפחות.

Pretty easy. But then they changed things,

די פשוט. אבל אז הדברים השתנו,

and at the end of 2009, they announced

ובסוף שנת 2009, הודיעו

that we were going to have a new policy,

שבקרוב תהיה מדיניות חדשה,

and this new policy required

והמדיניות החדשה דרשה

passwords that were at least eight characters long,

סיסמה שאורכה לפחות 8 תווים

with an uppercase letter, lowercase letter,

שכוללת אותיות גדולות, אותיות קטנות,

a digit, a symbol,

ספרה, סימן,

you couldn't use the same character more than three times,

אסור להשתמש באותו תו יותר משלוש פעמים

and it wasn't allowed to be in a dictionary.

ואסור היה שזה יופיע במילון.

Now, when they implemented this new policy,

עכשיו, כשהמדיניות החדשה נכנסה לתוקף,

a lot of people, my colleagues and friends,

הרבה אנשים, הקולגות שלי וחבריי,

came up to me and they said, "Wow,

פנו אליי ואמרו: "וואו,

now that's really unusable.

עכשיו זה ממש לא שימושי.

Why are they doing this to us,

למה הם עושים לנו את זה,

and why didn't you stop them?"

ולמה לא עצרת בעדם?"

And I said, "Well, you know what?

ואני אומרת: "אתם יודעים מה?

They didn't ask me."

אף אחד לא שאל אותי."

But I got curious, and I decided to go talk

אבל זה סקרן אותי, והחלטתי לדבר

to the people in charge of our computer systems

עם האנשים שאחראים על המערכות הממוחשבות שלנו

and find out what led them to introduce

ולברר מה הוביל אותם להנהיג

this new policy,

את המדיניות החדשה הזו,

והם אמרו שהאוניברסיטה

and they said that the university

had joined a consortium of universities,

הצטרפה להתאגדות של אוניברסיטאות

and one of the requirements of membership

ואחד התנאים להצטרפות היה

was that we had to have stronger passwords

שיהיו לנו סיסמאות יותר חזקות

that complied with some new requirements,

שיענו על כמה דרישות חדשות,

and these requirements were that our passwords

והדרישות הללו היו שבסיסמאות שלנו

had to have a lot of entropy.

תהיה חייבת להיות הרבה אנתרופיה.

Now entropy is a complicated term,

עכשיו, אנתרופיה זה מושג מסובך,

but basically it measures the strength of passwords.

אבל בגדול, זה מדד לחוזק של סיסמה.

But the thing is, there isn't actually

העניין הוא שאין בעצם

a standard measure of entropy.

יחידת מידה מקובלת לאנתרופיה.

Now, the National Institute of Standards and Technology

למכון הלאומי לסטנדרטים וטכנולוגיה

has a set of guidelines

יש סדרה של קווים מנחים

which have some rules of thumb

שמורכבים מכללי אצבע

for measuring entropy,

עבור מדידת אנתרופיה,

but they don't have anything too specific,

אבל אין להם משהו מוגדר מדי.

and the reason they only have rules of thumb

ומסתבר שהסיבה שיש להם רק כללי אצבע,

is it turns out they don't actually have any good data

היא שאין להם נתונים איכותיים

on passwords.

בנוגע לסיסמאות.

In fact, their report states,

למען האמת, בדו"ח שלהם הם מצהירים:

"Unfortunately, we do not have much data

"למרבה הצער, אין לי די נתונים

on the passwords users choose under particular rules.

על הסיסמאות שמשתמשים בוחרים על פי כללים ספציפיים...

NIST would like to obtain more data

מלס"ט שואף להשיג נתונים נוספים

on the passwords users actually choose,

בנוגע לסיסמאות שמשתמשים אכן בוחרים,

but system administrators are understandably reluctant

אך מנהלי מערכות מסתייגים, כמובן,

to reveal password data to others."

מחשיפת נתוני סיסמאות לאחרים."

So this is a problem, but our research group

אז יש לנו כאן בעיה, אבל קבוצת המחקר שלנו

looked at it as an opportunity.

הסתכלה על זה כהזדמנות.

We said, "Well, there's a need for good password data.

אמרנו "טוב, יש כאן איזה צורך לנתונים איכותיים על סיסמאות,

Maybe we can collect some good password data

אולי נוכל לאסוף נתונים שכאלה

and actually advance the state of the art here.

ובכך לקדם את עדכניות הנתונים הקיימים."

So the first thing we did is,

אז הדבר הראשון שעשינו,

we got a bag of candy bars

לקחנו שק של ממתקים,

and we walked around campus

הסתובבנו בקמפוס

and talked to students, faculty and staff,

ודיברנו עם סטודנטים, סגל ההוראה והצוות,

and asked them for information

וביקשנו מהם מידע

about their passwords.

בנוגע לסיסמאות שלהם.

Now we didn't say, "Give us your password."

עכשיו, לא ניגשנו אליהם ושאלנו "מה הסיסמה שלך?"

No, we just asked them about their password.

לא ולא, רק שאלנו אותם שאלות בנוגע לסיסמאות שלהם.

How long is it? Does it have a digit?

מה אורך הסיסמה? האם יש בה ספרה?

Does it have a symbol?

האם יש בה סימן?

And were you annoyed at having to create

והאם הרגיז אתכם הצורך ליצור

a new one last week?

סיסמה חדשה שבוע שעבר?

So we got results from 470 students,

קיבלנו תוצאות מ-470 סטודנטים,

faculty and staff,

סגל הוראה וצוות,

and indeed we confirmed that the new policy

ואכן מצאנו שהמדיניות החדשה

was very annoying,

הייתה מאוד מרגיזה.

but we also found that people said

אבל מצאנו גם כן, שאנשים אמרו

they felt more secure with these new passwords.

שהם מרגישים בטוחים יותר עם הסיסמאות הללו.

We found that most people knew

מצאנו שרוב האנשים ידעו

they were not supposed to write their password down,

שהם לא אמורים לרשום את הסיסמה שלהם בשום מקום

and only 13 percent of them did,

ורק 13 אחוזים מהם עשו זאת,

but disturbingly, 80 percent of people

אך, באופן מטריד, 80 אחוזים מהם

said they were reusing their password.

אמרו כי הם "ממחזרים" את הסיסמה שלהם.

Now, this is actually more dangerous

האמת היא שזה יותר מסוכן

than writing your password down,

מאשר לרשום את הסיסמה איפשהו,

because it makes you much more susceptible to attackers.

כיוון שזה הופך אתכם להרבה יותר פגיעים.

So if you have to, write your passwords down,

אז אם אתם מוכרחים, רשמו לכם את הסיסמה שלכם,

but don't reuse them.

אך אל תמחזרו אותה.

We also found some interesting things

מצאנו גם נתונים מעניינים

about the symbols people use in passwords.

על סימנים שאנשים עושים בהם שימוש בסיסמאות.

So CMU allows 32 possible symbols,

האוניברסיטה מאפשרת להכניס 32 תווים סימנים

but as you can see, there's only a small number

אך כמו שניתן לראות, אנשים משתמשים

that most people are using,

רק במספר קטן של תווים,

so we're not actually getting very much strength

כך שלמעשה איננו מקבלים סיסמאות חזקות יותר

from the symbols in our passwords.

משימוש בסימנים בסיסמאות שלנו.

So this was a really interesting study,

זה היה מחקר מעניין,

and now we had data from 470 people,

ועכשיו היו לנו נתונים מ-470 אנשים,

but in the scheme of things,

אבל במכלול של הדברים,

that's really not very much password data,

אין כאן הרבה נתוני סיסמאות.

and so we looked around to see

אז אנחנו מסתכלים סביב ומחפשים

where could we find additional password data?

איפה נוכל למצוא נתוני סיסמאות נוספים?

So it turns out there are a lot of people

מתברר שיש הרבה אנשים

going around stealing passwords,

שגונבים סיסמאות.

and they often go and post these passwords

ולעיתים תכופות הם יפרסמו את

on the Internet.

הסיסמאות הללו באינטרנט.

So we were able to get access

אז הצלחנו לקבל גישה

to some of these stolen password sets.

לכמה מן הסיסמאות הגנובות הללו.

This is still not really ideal for research, though,

זה עדיין לא אידיאלי עבור מחקר

because it's not entirely clear

כיוון שלא לגמרי ברור

where all of these passwords came from,

מאין הגיעו כל הסיסמאות הללו,

or exactly what policies were in effect

או מה הייתה המדיניות

when people created these passwords.

בעת שאנשים יצרו את הסיסמאות הללו.

So we wanted to find some better source of data.

לכן רצינו למצוא מקור טוב יותר עבור הנתונים.

So we decided that one thing we could do

החלטנו שיש דבר אחד שנוכל לעשות

is we could do a study and have people

וזה מחקר, בו

actually create passwords for our study.

אנשים ייצרו סיסמאות עבור המחקר שלנו.

So we used a service called Amazon Mechanical Turk,

אז השתמשנו בשירות שנקרא "אמאזון מכניקל טורק"

and this is a service where you can post

זהו שירות שבו ניתן לפרסם באינטרנט

a small job online that takes a minute,

עבודות קטנות שלוקחות דקה,

a few minutes, an hour,

כמה דקות, שעה,

and pay people, a penny, ten cents, a few dollars,

ולשלם לאנשים, פני, 10 סנט, כמה דולרים,

to do a task for you,

עבור העבודה שהם עושים עבורך,

and then you pay them through Amazon.com.

ואז משלמים להם דרך אמאזון.קום.

So we paid people about 50 cents

אז שילמנו לאנשים בערך 50 סנט

to create a password following our rules

כדי שייצרו עבורנו סיסמאות על פי הכללים שלנו

and answering a survey,

ויענו על סקר.

and then we paid them again to come back

ואז שילמנו להם שוב

two days later and log in

כדי שיחזרו יומיים לאחר מכן ויתחברו למערכת

using their password and answering another survey.

בעזרת הסיסמה שיצרו ויענו על סקר נוסף.

So we did this, and we collected 5,000 passwords,

כך אספנו 5000 סיסמאות.

and we gave people a bunch of different policies

נתנו לאנשים מקבץ של מדיניויות שונות

to create passwords with.

על מנת שייצרו איתם סיסמאות.

So some people had a pretty easy policy,

חלק מהאנשים קיבלו מדיניות מאוד קלה ופשוטה,

we call it Basic8,

קראנו למדיניות הזו בייסיק8,

and here the only rule was that your password

ובה יש רק כלל אחד,

had to have at least eight characters.

שאומר שהסיסמה חייבת להכיל לפחות 8 תווים.

Then some people had a much harder policy,

חלק מהאנשים קיבלו מדיניות הרבה יותר קשה,

and this was very similar to the CMU policy,

שהייתה מאוד דומה למדיניות של אוניברסיטת קרנגי מלון,

that it had to have eight characters

בה הסיסמה הייתה חייבת להכיל 8 תווים,

including uppercase, lowercase, digit, symbol,

המורכבים מאותיות גדולות, אותיות קטנות, ספרה, סימן,

and pass a dictionary check.

ולעבור בדיקה מילונית.

And one of the other policies we tried,

מדיניות נוספת שניסינו,

and there were a whole bunch more,

והיו הרבה יותר,

but one of the ones we tried was called Basic16,

אבל אחת מהן נקראה בייסיק 16

and the only requirement here

וכאן, הדרישה היחידה הייתה

was that your password had to have at least 16 characters.

שהסיסמה תכלול לפחות 16 תווים.

All right, so now we had 5,000 passwords,

טוב, אז בשלב הזה היו לנו 5000 סיסמאות,

and so we had much more detailed information.

כך שהיה לנו מידע הרבה יותר מפורט.

Again we see that there's only a small number

שוב, אנו רואים שאנשים משתמשים

of symbols that people are actually using

רק בסמפר מועט של

in their passwords.

סימנים בסיסמאות שלהם.

We also wanted to get an idea of how strong

רצינו גם לקבל מושג בנוגע לכמה חזקות

the passwords were that people were creating,

היו הסיסמאות שאנשים יצרו,

but as you may recall, there isn't a good measure

אך, כמו שאתם זוכרים, אין אמת מידה

of password strength.

לחוזק של סיסמה.

So what we decided to do was to see

אז החלטנו לבדוק

how long it would take to crack these passwords

כמה זמן ייקח לפצח את הסיסמאות הללו,

using the best cracking tools

בעזרת הכלים הטובים ביותר לפיצוח,

that the bad guys are using,

שהחבר'ה הרעים משתמשים בהם,

or that we could find information about

או כלים שנוכל למצוא מידע עליהם

in the research literature.

בספרות מחקרית.

So to give you an idea of how bad guys

אז כדי לתת לכם מושג איך החבר'ה הרעים

go about cracking passwords,

מצליחים לפצח סיסמאות,

they will steal a password file

הם יגנבו קובץ סיסמה,

that will have all of the passwords

שמכיל את כל הסיסמאות

in kind of a scrambled form, called a hash,

בצורה מפוזרת שכזו, שנקראת האש (גיבוב),

and so what they'll do is they'll make a guess

ואז ינחשו

as to what a password is,

מהי הסיסמה,

run it through a hashing function,

יריצו את זה בפונקציה של גיבוב,

and see whether it matches

ויראו אם זה מתאים

the passwords they have on their stolen password list.

לסיסמאות שיש להם ברשימה הגנובה.

So a dumb attacker will try every password in order.

אז תוקף טיפש ינסה כל סיסמה לפי הסדר.

They'll start with AAAAA and move on to AAAAB,

הם יתחילו עם AAAAA, ימשיכו ל AAAAB

and this is going to take a really long time

וזה ייקח המון זמן

before they get any passwords

עד שיצליחו למצוא סיסמה כלשהי

that people are really likely to actually have.

שסביר שאנשים ישתמשו בה.

A smart attacker, on the other hand,

מצד שני, תוקף חכם

does something much more clever.

יעשה דבר הרבה יותר מתוחכם.

They look at the passwords

הם יסתכלו על הסיסמאות,

that are known to be popular

שידועות כפופולריות

from these stolen password sets,

מהסדרות של הגנובות הללו של הסיסמאות,

and they guess those first.

והם ינחשו את הסיסמאות האלה קודם כל.

So they're going to start by guessing "password,"

כך שהם יתחילו בניחוש "סיסמה"

and then they'll guess "I love you," and "monkey,"

והם ינחשו "אני אוהב אותך" ו"קוף",

and "12345678,"

וגם "12345678"

because these are the passwords

כיוון שאלה סיסמאות

that are most likely for people to have.

שהסבירות שאנשים משתמשים בהן היא גבוהה.

In fact, some of you probably have these passwords.

למען האמת, ייתכן כי חלק מכם משתמשים בסיסמאות הללו.

So what we found

אז מה שמצאנו

by running all of these 5,000 passwords we collected

על ידי הרצה, של כל 5000 הסיסמאות שאספנו,

through these tests to see how strong they were,

במערכת הזו, על מנת לבדוק כמה חזקות הסיסמאות האלה,

we found that the long passwords

מצאנו שסיסמאות ארוכות

were actually pretty strong,

היו דווקא חזקות יחסית,

and the complex passwords were pretty strong too.

והסיסמאות המורכבות היו גם חזקות יחסית.

However, when we looked at the survey data,

מצד שני, כשהסתכלנו בנתוני הסקר,

we saw that people were really frustrated

ראינו שאנשים היו מאוד מתוסכלים

by the very complex passwords,

מהסיסמאות המורכבות,

and the long passwords were a lot more usable,

והסיסמאות הארוכות היו הרבה יותר שמישות,

and in some cases, they were actually

ובמקרים מסוימים, הן אפילו

even stronger than the complex passwords.

היו יותר חזקות מסיסמאות מורכבות.

So this suggests that,

זה מצביע על כך

instead of telling people that they need

שבמקום לומר לאנשים שהם צריכים

to put all these symbols and numbers

להכליל סימנים ומספרים

and crazy things into their passwords,

ודברים משוגעים בסיסמאות שלהם,

we might be better off just telling people

אולי עדיף שפשוט נאמר להם

to have long passwords.

שייצרו סיסמאות ארוכות.

Now here's the problem, though:

עכשיו אנו ניצבים בפני בעיה:

Some people had long passwords

יש אנשים שהיו להם סיסמאות ארוכות

that actually weren't very strong.

שבעצם לא היו ממש חזקות.

You can make long passwords

ניתן ליצור סיסמאות ארוכות

that are still the sort of thing

שעדיין יהיו משהו

that an attacker could easily guess.

שהתוקף יצליח לנחש בקלות.

So we need to do more than just say long passwords.

לפיכך אנחנו צריכים לדרוש יותר מרק סיסמה ארוכה.

There has to be some additional requirements,

צריכות להיות דרישות נוספות.

and some of our ongoing research is looking at

וחלק מהמחקר המתמשך שלנו מנסה לבחון

what additional requirements we should add

אילו דרישות עלינו להוסיף

to make for stronger passwords

על מנת ליצור סיסמאות חזקות יותר

that also are going to be easy for people

שגם יהיו קלות דיים על מנת

to remember and type.

שאנשים יוכלו לזכור ולהקליד אותן.

Another approach to getting people to have

גישה נוספת כדי להוביל אנשים

stronger passwords is to use a password meter.

ליצירת סיסמאות חזקות היא מד סיסמה.

Here are some examples.

הנה כמה דוגמאות:

You may have seen these on the Internet

ייתכן שראיתם את זה באינטרנט

when you were creating passwords.

כשיצרתם סיסמאות חדשות.

We decided to do a study to find out

החלטנו לעשות מחקר על מנת לגלות

whether these password meters actually work.

האם מדי הסיסמאות הללו אכן עובדים.

Do they actually help people

האם הם באמת עוזרים לאנשים

have stronger passwords,

ליצור סיסמאות חזקות יותר,

and if so, which ones are better?

ואם כן, אילו טובים יותר?

So we tested password meters that were

אז ניסינו מדי סיסמאות

different sizes, shapes, colors,

מגדלים, צורות וצבעים שונים,

different words next to them,

עם מילים שונות מוצמדות אליהם,

and we even tested one that was a dancing bunny.

ואפילו בדקנו אחד עם ארנבון שרוקד.

As you type a better password,

כשאתם מקלידים סיסמה טובה יותר,

the bunny dances faster and faster.

הארנבון רוקד מהר יותר ויותר.

So this was pretty fun.

אז זה היה די כיף.

What we found

מה שמצאנו

was that password meters do work.

זה שמדי סיסמאות אכן עובדים.

(Laughter)

Most of the password meters were actually effective,

רוב מדי הסיסמאות אכן היו אפקטיביים,

and the dancing bunny was very effective too,

והארנבון הרוקד היה אפקטיבי גם הוא,

but the password meters that were the most effective

אך מדי הסיסמאות האפקטיביים ביותר

were the ones that made you work harder

היו אלה שגרמו לך לעבוד קשה יותר

before they gave you that thumbs up and said

לפני שנתנו לך אור ירוק והודיעו לך

you were doing a good job,

שאת/ה עושה עבודה טובה,

and in fact we found that most

ולמעשה אנחנו מצאנו שרוב

of the password meters on the Internet today

מדי הסיסמאות שנמצאים באינטרנט היום

are too soft.

They tell you you're doing a good job too early,

הם עדינים מדי.

הם אומרים לנו שאנו עושים עבודה טובה מוקדם מדי,

and if they would just wait a little bit

ואם הם רק יחכו עוד קצת

before giving you that positive feedback,

לפני שהם נותנים לכם משוב חיובי

you probably would have better passwords.

כנראה שהיו לנו סיסמאות יותר טובות.

Now another approach to better passwords, perhaps,

גישה אפשרית נוספת לסיסמאות טובות יותר

is to use pass phrases instead of passwords.

היא להשתמש במשפט-סיסמה במקום במילה.

So this was an xkcd cartoon from a couple of years ago,

זהו קומיקס של XKCD מלפני כשנתיים

and the cartoonist suggests

וצייר הקומיקס מציע

that we should all use pass phrases,

שכולנו נשתמש במשפטי-סיסמאות,

and if you look at the second row of this cartoon,

ואם תסתכלו בשורה השנייה של הקומיקס

you can see the cartoonist is suggesting

תוכלו לראות שהצייר מצביע על כך

that the pass phrase "correct horse battery staple"

שמשפט-הסיסמה: "נכון סוס סוללה סיכה"

would be a very strong pass phrase

יהווה סיסמה מאוד חזקה

and something really easy to remember.

וגם קלה לזכירה.

He says, in fact, you've already remembered it.

למעשה, הוא אומר, אתם כבר זוכרים אותו.

And so we decided to do a research study

ולכן החלטנו לעשות מחקר

to find out whether this was true or not.

על מנת לגלות אם זה אכן נכון.

In fact, everybody who I talk to,

למען האמת, כל מי שדיברתי איתם,

who I mention I'm doing password research,

והסברתי להם שאני עושה מחקר בנושא סיסמאות,

they point out this cartoon.

הזכירו את הקומיקס הזה.

"Oh, have you seen it? That xkcd.

"אה, ראית את זה? XKCD האלה.

Correct horse battery staple."

נכון סוס סוללה סיכה"

So we did the research study to see

אז המשכנו לחקור כדי לפענח

what would actually happen.

לאן זה יוביל.

So in our study, we used Mechanical Turk again,

אז במחקר הזה שלנו, השתמשנו שוב ב"אמאזון מכניקל טורק"

and we had the computer pick the random words

והמחשב בחר עבורנו מילים אקראיות

in the pass phrase.

במשפט-סיסמה.

Now the reason we did this

הסיבה שעשינו זאת היא

is that humans are not very good

מכיוון שבני אנוש לא מוצלחים כל כך

at picking random words.

בבחירת מילים אקראיות.

If we asked a human to do it,

אם בן אנוש היה עושה זאת

they would pick things that were not very random.

הוא היה בוחר מילים שאינן אקראיות כל כך.

So we tried a few different conditions.

אז ניסינו מספר תנאים שונים.

In one condition, the computer picked

על פי תנאי אחד, המחשב בחר

from a dictionary of the very common words

מתוך מילון של מילים מאוד נפוצות

in the English language,

בשפה האנגלית.

and so you'd get pass phrases like

וכך התקבלו משפטי-סיסמה כמו

"try there three come."

"נסה שם שלוש בוא".

And we looked at that, and we said,

הסתכלנו על זה ואמרנו,

"Well, that doesn't really seem very memorable."

"טוב, זה לא ממש נראה כמו משהו שניתן לזכור בקלות"

So then we tried picking words

אז ניסינו לבחור מילים

that came from specific parts of speech,

שמשמשות כחלקים שונים בהבעה,

so how about noun-verb-adjective-noun.

למשל שם עצם-שם תואר-פועל-שם עצם.

That comes up with something that's sort of sentence-like.

שיופיעו כסוג של משהו שמדמה משפט.

So you can get a pass phrase like

כך שנוכל לקבל משפט-סיסמה כמו

"plan builds sure power"

"תכנית בונה כוח מהימן"

or "end determines red drug."

או "סיום קובע סם אדום"

And these seemed a little bit more memorable,

ואלה נראו כקלים יותר לזכירה.

and maybe people would like those a little bit better.

ואולי אנשים יאהבו אותם קצת יותר.

We wanted to compare them with passwords,

רצינו להשוות את אלה למילות-סיסמה,

and so we had the computer pick random passwords,

אז המחשב בחר עבורנו מילות-סיסמה אקראיות,

and these were nice and short, but as you can see,

והן היו נחמדות וקצרות, אך כמו שאתם יכולים לראות

they don't really look very memorable.

הן לא נראות כל כך בלתי-נשכחות.

And then we decided to try something called

אז החלטנו לנסות משהו שנקרא

a pronounceable password.

"סיסמה ניתנת לביטוי"

So here the computer picks random syllables

כך המחשב בוחר הברות אקראיות

and puts them together

ומחבר ביניהן

so you have something sort of pronounceable,

עך שמתקבל משהו יחסית ניתן לביטוי

like "tufritvi" and "vadasabi."

כמו "מדשאיני" או "לביבסאבי"

That one kind of rolls off your tongue.

שדי מתגלגל לך על הלשון.

So these were random passwords that were

אז אלה היו מילות-סיסמה אקראיות

generated by our computer.

שנוצרו על ידי המחשב שלנו.

So what we found in this study was that, surprisingly,

כך שמה שמצאנו במחקר הזה, באופן מפתיע,

pass phrases were not actually all that good.

משפטי-סיסמה לא היו כאלה מצוינים בסופו של דבר.

People were not really better at remembering

אנשים לא זכרו אותם טוב יותר

the pass phrases than these random passwords,

מאשר את מילות הסיסמה.

and because the pass phrases are longer,

וגם כיוון שמשפטי-סיסמה ארוכים יותר,

they took longer to type

ולקח יותר זמן להקליד אותם

and people made more errors while typing them in.

אנשים טעו יותר בזמן הקלדתם.

So it's not really a clear win for pass phrases.

לכן אין כאן הכרעה ברורה בנושא משפטי-הסיסמה.

Sorry, all of you xkcd fans.

מצטערת, חובבי XKCD.

On the other hand, we did find

מאידך, מצאנו

that pronounceable passwords

שמילות סיסמה שניתנות לביטוי

worked surprisingly well,

עבדו מעולה, באופן מפתיע.

and so we actually are doing some more research

אז אנחנו כרגע חוקרים לעומק

to see if we can make that approach work even better.

על מנת לראות אם נוכל לפתח את הגישה הזו.

So one of the problems

אחת הבעיות

with some of the studies that we've done

עם חלק מהמחקרים שביצענו

is that because they're all done

זה בגלל שכולם נעשו

using Mechanical Turk,

בעזרת "מכניקל טורק"

these are not people's real passwords.

אלה לא סיסמאות אמיתיות של מישהו.

They're the passwords that they created

אלה הן סיסמאות שהם יצרו

or the computer created for them for our study.

או שמחשב יצר אותם עבור המחקר שלנו.

And we wanted to know whether people

ורצינו לדעת האם אנשים

would actually behave the same way

יתנהגו באותו אופן

with their real passwords.

עם הסיסמאות האמיתיות שמשמשות אותם.

So we talked to the information security office at Carnegie Mellon

אז דיברנו עם אחראי אבטחת המידע באוניברסיטת קרנגי מלון

and asked them if we could have everybody's real passwords.

וביקשנו אם נוכל לקבל את כל הסיסמאות האמיתיות במערכת.

Not surprisingly, they were a little bit reluctant

כמובן, הם היו די מסויגים

to share them with us,

לשתף אותנו בפרטים הללו,

but we were actually able to work out

אבל הצלחנו למצוא,

a system with them

יחד איתם, שיטה

where they put all of the real passwords

לפיה הם ישימו את כל הסיסמאות

for 25,000 CMU students, faculty and staff,

של 25000 סטודנטים, סגל וצוות האוניברסיטה

into a locked computer in a locked room,

במחשב נעול, בחדר נעול,

not connected to the Internet,

שאינו מחובר לאינטרנט,

and they ran code on it that we wrote

והם הריצו עליו צופן שאנחנו רשמנו

to analyze these passwords.

כדי לנתח את הסיסמאות הללו.

They audited our code.

הם ביקרו את הצופן שלנו.

They ran the code.

הם הריצו את הקוד.

And so we never actually saw

כך שבעצם לא ראינו כלל

anybody's password.

אף אחת מהסיסמאות.

We got some interesting results,

קיבלנו תוצאות מעניינות.

and those of you Tepper students in the back

ואתם שם מאחור, הסטודנטים בטפר (בי"ס לעסקים),

will be very interested in this.

זה יעניין אתכם מאוד.

So we found that the passwords created

מצאנו שהסיסמאות שנוצרו

by people affiliated with the school of computer science

על ידי אנשים שמשויכים לביה"ס למדעי המחשב

were actually 1.8 times stronger

היו פי 1.8 חזקות יותר

than those affiliated with the business school.

מהסיסמאות של המשויכים לביה"ס לעסקים.

We have lots of other really interesting

יש לנו עוד הרבה

demographic information as well.

מידע דמוגרפי מעניין גם כן.

The other interesting thing that we found

דבר מעניין נוסף שמצאנו

is that when we compared the Carnegie Mellon passwords

זה שבהשוואה בין הסיסמאות מהאוניברסיטה

to the Mechanical Turk-generated passwords,

לסיסמאות שנוצרו דרך "מכניקל טורק"

there was actually a lot of similarities,

מצאנו שיש הרבה דמיון ביניהן,

and so this helped validate our research method

כך שזה נתן תוקף לשיטת המחקר שלנו

and show that actually, collecting passwords

והוכיח שבעצם, איסוף סיסמאות

using these Mechanical Turk studies

על ידי שימוש בסקרים ב"מכניקל טורק"

is actually a valid way to study passwords.

זו אכן שיטה תקפה ללמידה של סיסמאות.

So that was good news.

אז אלה היו חדשות טובות.

Okay, I want to close by talking about

רציתי לסיים בלדבר על

some insights I gained while on sabbatical

כמה תובנות שצברתי במהלך שנת שבתון

last year in the Carnegie Mellon art school.

שלקחתי בשנה שעברה בביה"ס לאומנות של קרנגי מלון.

One of the things that I did

אחד הדברים שעשיתי

is I made a number of quilts,

זה הכנתי מספר שמיכות טלאים

and I made this quilt here.

והכנתי את שמיכת הטלאים הזו כאן.

It's called "Security Blanket."

זה נקרא "שמיכת אבטחה"

(Laughter)

And this quilt has the 1,000

ובשמיכה הזאת יש אלף

most frequent passwords stolen

סיסמאות שהן הנגנבות ביותר

from the RockYou website.

מאתר RockYou

And the size of the passwords is proportional

והאורך של הסיסמאות הוא פרופורציונלי

to how frequently they appeared

לתכיפות בה הסיסמה מופיעה

in the stolen dataset.

בנתונים של סיסמאות גנובות.

And what I did is I created this word cloud,

ומה שעשיתי זה יצרתי את ענן-המילים הזה,

and I went through all 1,000 words,

עברתי על כל אלף המילים,

and I categorized them into

וקיטלגתי אותם

loose thematic categories.

למערכת נושאית כללית.

And it was, in some cases,

ובחלק מהמקרים, זה היה

it was kind of difficult to figure out

די קשה להחליט

what category they should be in,

באיזו קטגוריה לקטלג אותן,

and then I color-coded them.

ואז סידרתי אותם על פי צבעים.

So here are some examples of the difficulty.

אז הנה כמה דוגמאות של הקושי בפיענוח.

So "justin."

אז לדוגמה "ג'סטין"

Is that the name of the user,

האם זה שם המשתמש,

their boyfriend, their son?

שם החבר או הבן?

Maybe they're a Justin Bieber fan.

אולי הם בכלל מעריצים של ג'סטין ביבר.

Or "princess."

או "נסיכה"

Is that a nickname?

האם זה שם חיבה?

Are they Disney princess fans?

האם אלה הם מעריצים של נסיכת דיסני?

Or maybe that's the name of their cat.

או אולי זהו שם החתולה שלהם.

"Iloveyou" appears many times

"אניאוהבאותך" מופיע הרבה פעמים

in many different languages.

בהרבה שפות שונות.

There's a lot of love in these passwords.

יש הרבה "אהבה" בסיסמאות הללו.

If you look carefully, you'll see there's also

אם תביטו היטב תוכלו לראות

some profanity,

שיש שם גם תועבה,

but it was really interesting to me to see

אבל זה היה מאוד מעניין עבורי

that there's a lot more love than hate

לראות שיש הרבה יותר אהבה משנאה

in these passwords.

בסיסמאות הללו.

And there are animals,

ויש בעלי חיים,

a lot of animals,

הרבה בעלי חיים,

and "monkey" is the most common animal

ו"קוף" זה הנפוץ ביותר מביניהם

and the 14th most popular password overall.

והסיסמה ה-14 הנפוצה ביותר ברשימה.

And this was really curious to me,

וזה מאוד סיקרן אותי

and I wondered, "Why are monkeys so popular?"

וחשבתי לעצמי "למה קופים הם כל כך פופולריים?"

And so in our last password study,

וכך, במחקר הסיסמאות האחרון שלנו

any time we detected somebody

כל פעם שזיהינו מישהו

creating a password with the word "monkey" in it,

שיצר סיסמה עם המילה "קוף"

we asked them why they had a monkey in their password.

שאלנו אותם למה הם החליטו לכלול קוף בסיסמה שלהם

And what we found out --

ומה שגילינו...

we found 17 people so far, I think,

גילינו ש-17 אנשים, עד כה, אני חושבת

who have the word "monkey" --

שכללו את המילה "קוף"...

We found out about a third of them said

מצאנו שכשליש מהם אמרו

they have a pet named "monkey"

שיש להם חיית מחמד שקוראים לה "קוף"

or a friend whose nickname is "monkey,"

או חבר שהכינוי שלו זה "קוף"

and about a third of them said

ושליש מהם אמרו

that they just like monkeys

שהם פשוט אוהבים קופים

and monkeys are really cute.

ושקופים ממש חמודים.

And that guy is really cute.

והבחור הזה ממש חמוד.

So it seems that at the end of the day,

כך שנראה, בסופו של יום,

when we make passwords,

כשאנחנו יוצרים סיסמאות

we either make something that's really easy

אנחנו יוצרים משהו שהוא ממש קל להקליד

to type, a common pattern,

כמו תבנית נפוצה,

or things that remind us of the word password

או דברים שמזכירים לנו את מילת הסיסמה

or the account that we've created the password for,

או את החשבון שעבורו יצרנו את הסיסמה,

or whatever.

או כל דבר.

Or we think about things that make us happy,

או שאנחנו חושבים על דברים שגורמים לנו לשמוח.

and we create our password

ואנחנו יוצרים את הסיסמאות שלנו

based on things that make us happy.

בהתבסס על דברים שגורמים לנו לשמוח.

And while this makes typing

ואמנם זה גורם להקלדה

and remembering your password more fun,

ולזכירה של הסיסמה שלנו להיות מהנים יותר,

it also makes it a lot easier

אבל זה גם הופך את הסיסמה שלנו

to guess your password.

להרבה יותר קלה לניחוש.

So I know a lot of these TED Talks

אז אני יודעת שהרבה מהסרטונים הללו ב TED

are inspirational

הם מעוררי השראה

and they make you think about nice, happy things,

והם גורמים לכם לחשוב על דברים נחמדים ומשמחים,

but when you're creating your password,

אבל כשאתם יוצרים לעצמכם סיסמה,

try to think about something else.

נסו לחשוב על משהו אחר.

Thank you.

תודה.

(Applause)