Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

번역: Gemma Lee 검토: Jeong-Lan Kinser

I am a computer science and engineering professor here at Carnegie Mellon,

저는 카네기 멜론 대학교의 컴퓨터공학과 교수입니다.

and my research focuses on usable privacy and security,

저는 사용가능한 사생활과 안보에 초점을 둔 연구를 하고 있습니다.

and so my friends like to give me examples

제 친구들은 컴퓨터 시스템과 관련해서

of their frustrations with computing systems,

짜증스런 경우를 얘기하는데

especially frustrations related to

특히 사용가능하지 않은 사생활과 안보에

unusable privacy and security.

관련한 짜증스런 경우를 얘기하죠.

So passwords are something that I hear a lot about.

전 암호와 관련된 얘기를 많이 듣는데요.

A lot of people are frustrated with passwords,

많은 분들이 암호 때문에 짜증스러워 하는데

and it's bad enough

아주 충분히 나쁜 정도이죠,

when you have to have one really good password

여러분이 기억할 수 있고

that you can remember

아무도 추측할 수 없는

but nobody else is going to be able to guess.

아주 좋은 암호 하나를 만들어야 하니까요.

But what do you do when you have accounts

하지만 여러분의 계좌가

on a hundred different systems

백 개의 다른 시스템에 있다면 어떻게 하겠습니까?

and you're supposed to have a unique password

고유의 암호를

for each of these systems?

각 시스템마다 만들어야 한다면요? (웃음)

It's tough.

힘들죠.

At Carnegie Mellon, they used to make it

카네기 멜론에서는

actually pretty easy for us

우리가 아주 수월하게

to remember our passwords.

암호를 기억하게 했습니다.

The password requirement up through 2009

2009년까지는 암호를 만드는 조건은

was just that you had to have a password

암호에

with at least one character.

한 글자만 있으면 됐었죠.

Pretty easy. But then they changed things,

아주 쉽죠. 하지만 정책을 바꾸게 되서,

and at the end of 2009, they announced

2009년 말에는

that we were going to have a new policy,

새로운 정책을 발표했는데

and this new policy required

새로운 정책에 따르면

passwords that were at least eight characters long,

암호는 최소한 8자가 되어야 하고

with an uppercase letter, lowercase letter,

대문자, 소문자,

a digit, a symbol,

숫자, 기호가 들어가야 합니다.

you couldn't use the same character more than three times,

똑같은 글자를 세 번 이상 쓸 수 없고

and it wasn't allowed to be in a dictionary.

사전에 나와 있어도 안됩니다.

Now, when they implemented this new policy,

자, 대학에서 새로운 정책을 내놓았을 때

a lot of people, my colleagues and friends,

제 동료와 친구들을 포함한 많은 사람들이

came up to me and they said, "Wow,

제게 와서 이렇게 말하더군요.

now that's really unusable.

"와, 이건 정말 쓸 수가 없군.

Why are they doing this to us,

우리에게 왜 이렇게 하는 거죠?

and why didn't you stop them?"

왜 그 사람들을 막지 않았어요?"

And I said, "Well, you know what?

그래서 제가 말했죠. "글쎄, 그거 아세요?

They didn't ask me."

나한테 물어보지 않았답니다."

But I got curious, and I decided to go talk

하지만 저는 궁금해져서

to the people in charge of our computer systems

컴퓨터 시스템을 담당하는 사람들에게 말해서

and find out what led them to introduce

무슨 이유로

this new policy,

새로운 정책을 내놓게 되었는지 알아보기로 했죠.

and they said that the university

그들이 답하기를 우리 대학이

had joined a consortium of universities,

여러 대학으로 이뤄진 협력단에 합류했는데

and one of the requirements of membership

가입조건 중의 하나가

was that we had to have stronger passwords

강한 암호를 가져야 한다는 것이었죠.

that complied with some new requirements,

거기다가 몇 가지 새로운 조건이 있는데

and these requirements were that our passwords

그 조건은 암호에

had to have a lot of entropy.

불확실성이 많아야 한다는 거였어요.

Now entropy is a complicated term,

불확실성은 복잡한 용어인데,

but basically it measures the strength of passwords.

기본적으로 그것은 암호의 강도를 측정합니다.

But the thing is, there isn't actually

하지만 실제로는

a standard measure of entropy.

불확실성을 재는 표준 측정법이 없습니다.

Now, the National Institute of Standards and Technology

국립 표준 기술 연구소(NST)는

has a set of guidelines

지침서를 갖고 있는데

which have some rules of thumb

거기에 불확실성을 재는

for measuring entropy,

몇 가지 규칙이 나와있지만

but they don't have anything too specific,

구체적인 것은 없습니다.

and the reason they only have rules of thumb

경험에 근거한 규칙만 갖고 있는 까닭은

is it turns out they don't actually have any good data

실제로 암호에 관해서

on passwords.

다양한 자료가 없기 때문입니다.

In fact, their report states,

사실 국립 표준 기술 연구소의 보고를 보면

"Unfortunately, we do not have much data

"유감스럽게도 저희는 정해진 규칙에 따라

on the passwords users choose under particular rules.

사용자가 선택한 암호에 관해 많은 자료가 없습니다.

NIST would like to obtain more data

NIST는 사용자가 실제로 선택한

on the passwords users actually choose,

암호에 관해 더 많은 자료를 모으고 싶지만

but system administrators are understandably reluctant

시스템 관리자는 암호 자료를

to reveal password data to others."

다른 사람에게 공개하기를 꺼립니다."

So this is a problem, but our research group

그래서 이게 문제인데 저희 연구팀은

looked at it as an opportunity.

이걸 기회로 봤습니다.

We said, "Well, there's a need for good password data.

저희는 "좋은 암호 자료가 필요하다"고 말했죠.

Maybe we can collect some good password data

저희가 어쩌면 좋은 암호 자료를 모을 수 있고

and actually advance the state of the art here.

여기서 예술의 경지로 이끌어갈 지도 모르죠.

So the first thing we did is,

그래서 처음에 한 일은

we got a bag of candy bars

캔디바 (막대기형의 스낵) 한 봉지를 가지고

and we walked around campus

교내를 돌아다니면서

and talked to students, faculty and staff,

학생, 교수, 직원들에게

and asked them for information

암호에 관한

about their passwords.

질문을 던졌습니다.

Now we didn't say, "Give us your password."

"암호를 말해주세요." 라고 하지는 않았어요.

No, we just asked them about their password.

그저 암호에 관해서 물어봤습니다.

How long is it? Does it have a digit?

암호가 얼마나 길죠? 숫자가 들어갔나요?

Does it have a symbol?

기호가 들어갔습니까?

And were you annoyed at having to create

"지난 주에 새로운 암호를

a new one last week?

만들어야 했을 때 귀찮게 느껴졌나요?"

So we got results from 470 students,

그래서 저희는 470 명의 학생,

faculty and staff,

교수, 직원들한테서 답을 받았고

and indeed we confirmed that the new policy

새로운 정책이 정말로 피곤하게 한다는

was very annoying,

사실을 확인했습니다.

but we also found that people said

하지만 동시에 사람들은

they felt more secure with these new passwords.

새 암호의 보안이 강화되었음을 느꼈다고 말했습니다.

We found that most people knew

대부분의 사람들이

they were not supposed to write their password down,

암호를 적어두면 안 된다고 알고 있었고

and only 13 percent of them did,

오직 13% 의 사람들이 암호를 적어 두었고

but disturbingly, 80 percent of people

놀랍게도 80 % 의 사람들이

said they were reusing their password.

암호를 다시 사용하고 있었습니다.

Now, this is actually more dangerous

이는 암호를 적어두는 것보다

than writing your password down,

실제로 더 위험합니다.

because it makes you much more susceptible to attackers.

왜냐하면 쉽게 공격받을 수 있기 때문입니다.

So if you have to, write your passwords down,

그러니 필요하다면 암호를 적되

but don't reuse them.

다시 사용하지는 마세요.

We also found some interesting things

저희는 또 사람들이 암호에 쓰는

about the symbols people use in passwords.

기호에 대해 재미난 사실을 알았습니다.

So CMU allows 32 possible symbols,

카네기 멜론 대학은 사용가능한 32 개의 기호를 허용하는데

but as you can see, there's only a small number

보시다시피 사람들은

that most people are using,

아주 적은 일부의 기호만 사용하고 있습니다.

so we're not actually getting very much strength

그래서 암호에 들어간 기호때문에

from the symbols in our passwords.

암호의 강도가 그다지 세지지 않습니다.

So this was a really interesting study,

이것은 정말 흥미로운 연구였는데

and now we had data from 470 people,

470 명한테 받은 자료가 있고

but in the scheme of things,

일반적으로 볼 때

that's really not very much password data,

암호 자료가 많은 것은 아닙니다.

and so we looked around to see

그래서 암호 자료를 추가로

where could we find additional password data?

얻을 수 있는 곳이 어딘가 살펴봤습니다.

So it turns out there are a lot of people

그런데 많은 사람들이

going around stealing passwords,

암호를 훔쳐서

and they often go and post these passwords

인터넷에

on the Internet.

훔친 암호를 올려놓는 것을 알았습니다.

So we were able to get access

저희는 이렇게 도난당한 암호에

to some of these stolen password sets.

접속할 수 있었지만

This is still not really ideal for research, though,

연구를 위해서는 적합하지 않습니다.

because it's not entirely clear

왜냐하면 이들 암호의

where all of these passwords came from,

출처가 분명하지 않고

or exactly what policies were in effect

사람들이 암호를 만들었을 때

when people created these passwords.

어떤 방침을 따랐는지 모르기 때문이죠.

So we wanted to find some better source of data.

그래서 저희는 좀더 나은 자료를 찾고 싶었습니다.

So we decided that one thing we could do

그래서 저희가 할 수 있는 방법 하나는

is we could do a study and have people

연구를 하고 그래서 사람들이

actually create passwords for our study.

저희가 하는 연구를 위해서 암호를 만들게 하는 것이죠.

So we used a service called Amazon Mechanical Turk,

저희는 아마존 미케니컬 터크라는 서비스를 이용했습니다.

and this is a service where you can post

이 서비스는

a small job online that takes a minute,

1 분, 몇 분, 1 시간이 걸리는

a few minutes, an hour,

작은 업무를 온라인에 올려서

and pay people, a penny, ten cents, a few dollars,

그 일을 하는 사람들에게

to do a task for you,

1 페니, 10 센트, 몇 달러를 지불하게 합니다.

and then you pay them through Amazon.com.

아마존으로 지불하죠.

So we paid people about 50 cents

그래서 저희는 사람들에게 50 센트를 주고

to create a password following our rules

저희가 제시하는 규칙에 따라

and answering a survey,

암호를 만들게 하고 설문조사에 답하도록 했습니다.

and then we paid them again to come back

그리고 이틀 뒤에

two days later and log in

그들의 암호로 로그인해서

using their password and answering another survey.

또다른 설문조사에 답하게 했죠.

So we did this, and we collected 5,000 passwords,

저희는 이런 실험을 해서 암호 5,000 개를 모았는데

and we gave people a bunch of different policies

암호를 만들 때 필요한

to create passwords with.

조건을 다양하게 줬습니다.

So some people had a pretty easy policy,

어떤 사람들한테는 아주 쉬운 정책을 줬는데

we call it Basic8,

기본 8 이라고 하겠습니다.

and here the only rule was that your password

여기서는 유일한 규칙이

had to have at least eight characters.

8개의 글자만 있으면 됩니다.

Then some people had a much harder policy,

다른 사람들한테는 아주 힘든 정책을 줬는데

and this was very similar to the CMU policy,

이는 카네기 멜론 대학의 정책과 아주 비슷했어요.

that it had to have eight characters

글자 수는 8개가 되어야 하고

including uppercase, lowercase, digit, symbol,

대문자, 소문자, 숫자, 기호가 있어야 하고

and pass a dictionary check.

사전에 없어야 됩니다.

And one of the other policies we tried,

저희가 해본 다른 정책 중 하나는

and there were a whole bunch more,

아주 다양한 실험을 했는데

but one of the ones we tried was called Basic16,

그 중 하나는 기본 16 이라고 부르는 것으로

and the only requirement here

여기서 필요한 것은 한 가지

was that your password had to have at least 16 characters.

최소한 16개의 글자만 있으면 됩니다.

All right, so now we had 5,000 passwords,

자, 그래서 저희는 암호 5,000 개를 모았고

and so we had much more detailed information.

아주 상세한 정보를 얻게 되었죠.

Again we see that there's only a small number

사람들이 암호에서

of symbols that people are actually using

실제로 사용하는 기호는

in their passwords.

몇 개 뿐임을 알 수 있었어요.

We also wanted to get an idea of how strong

저희는 사람들이 만드는 암호가

the passwords were that people were creating,

얼마나 강한지 알고 싶었습니다.

but as you may recall, there isn't a good measure

여러분이 기억하실 지 모르지만

of password strength.

암호의 강도를 재는 좋은 측정방법은 없습니다.

So what we decided to do was to see

그래서 저희가 한 일은

how long it would take to crack these passwords

이들 암호를 해독하는데 걸리는 시간을 보는 거였죠.

using the best cracking tools

나쁜 사람들이 사용하는

that the bad guys are using,

암호 해독기를 사용하거나

or that we could find information about

연구소에서

in the research literature.

찾을 수 있는 정보를 이용해서 말이죠.

So to give you an idea of how bad guys

나쁜 사람들이 암호를 풀 때

go about cracking passwords,

어떻게 하는지를 보여드리자면

they will steal a password file

그들은 모든 암호가 들어있는

that will have all of the passwords

암호 파일을 훔칩니다.

in kind of a scrambled form, called a hash,

암호가 해시라고 부르는 형태로 들어있습니다.

and so what they'll do is they'll make a guess

그러면 암호가 뭔지

as to what a password is,

추측을 해 나갑니다.

run it through a hashing function,

해시 함수를 써서

and see whether it matches

훔친 목록에 들어있는 암호와

the passwords they have on their stolen password list.

맞는지 비교합니다.

So a dumb attacker will try every password in order.

멍청한 공격자는 모든 암호를 순서대로 해 볼겁니다.

They'll start with AAAAA and move on to AAAAB,

AAAAAA로 시작해서 AAAAB로 옮겨갑니다.

and this is going to take a really long time

이렇게 하면

before they get any passwords

사람들이 실제로 가진

that people are really likely to actually have.

암호를 풀기까지 상당한 시간이 걸립니다.

A smart attacker, on the other hand,

반면에 똑똑한 공격자는

does something much more clever.

훨씬 더 영리한 방법을 씁니다.

They look at the passwords

그들은 훔진 암호에서

that are known to be popular

인기가 많은

from these stolen password sets,

암호를 보고

and they guess those first.

그것들을 먼저 추측합니다.

So they're going to start by guessing "password,"

그래서 "암호"를 먼저 추측하고

and then they'll guess "I love you," and "monkey,"

그 다음은 "사랑해", "원숭이",

and "12345678,"

""12345678"을 추측하죠.

because these are the passwords

왜냐하면 이런 암호들을

that are most likely for people to have.

사람들이 자주 쓰기 때문이죠.

In fact, some of you probably have these passwords.

어쩌면 여러분 가운데 몇 분도 이런 암호를 갖고 계실지도 모릅니다.

So what we found

그래서 암호가 얼마나 강한지

by running all of these 5,000 passwords we collected

알아보기 위한 실험에서 저희가 모은 5 천개의 암호에서

through these tests to see how strong they were,

발견한 사실은

we found that the long passwords

긴 암호가

were actually pretty strong,

실제로 아주 강하다는 것이었어요.

and the complex passwords were pretty strong too.

복잡한 암호도 상당히 강했구요.

However, when we looked at the survey data,

하지만 저희가 조사한 자료를 봤을 때

we saw that people were really frustrated

사람들은 아주 복잡한 암호 때문에

by the very complex passwords,

정말 짜증스러워했습니다.

and the long passwords were a lot more usable,

긴 암호는 더 사용할 수 있고

and in some cases, they were actually

어떤 경우에는

even stronger than the complex passwords.

복잡한 암호보다 강했습니다.

So this suggests that,

이 말은

instead of telling people that they need

사람들한테

to put all these symbols and numbers

이런 기호와 숫자,

and crazy things into their passwords,

이상한 것들을 암호에 넣으라고 하는 대신,

we might be better off just telling people

긴 암호를 만들어라고

to have long passwords.

말하는게 나을 지도 모릅니다.

Now here's the problem, though:

하지만 문제가 생기죠.

Some people had long passwords

어떤 사람들은 긴 암호를 만들지만

that actually weren't very strong.

실제로 강하지는 않습니다.

You can make long passwords

여러분은 긴 암호를 만들 수 있지만

that are still the sort of thing

여전히 공격자가

that an attacker could easily guess.

쉽게 추측할 수 있습니다.

So we need to do more than just say long passwords.

그래서 저희는 긴 암호에 덧붙여 뭔가를 할 필요가 있어요.

There has to be some additional requirements,

어떤 부가적인 요소가 있어야 하는데,

and some of our ongoing research is looking at

저희가 계속하고 있는 연구의 일부는

what additional requirements we should add

어떤 부가적인 요소를 넣어야

to make for stronger passwords

강한 암호를 만들고

that also are going to be easy for people

또 사람들이 기억하기도 쉬우면서

to remember and type.

입력하기도 쉬운지를 살펴보는 일입니다.

Another approach to getting people to have

사람들에게 강한 암호를 만들게 하는

stronger passwords is to use a password meter.

또다른 방법은 암호 미터를 사용하는 것인데요.

Here are some examples.

여기 몇 가지 보기가 있습니다.

You may have seen these on the Internet

여러분이 인터넷에서

when you were creating passwords.

암호를 만들 때 봤을 거에요.

We decided to do a study to find out

이런 암호 미터가 정말로 효과가 있는지

whether these password meters actually work.

살펴보기 위해 연구를 했습니다.

Do they actually help people

실제로 암호 미터가 사람들이

have stronger passwords,

강한 암호를 만드는데 도움을 주는가?

and if so, which ones are better?

그렇다면 어느 방법이 더 나은가?

So we tested password meters that were

저희들은 서로 다른 암호 미터를 실험했습니다.

different sizes, shapes, colors,

다른 크기, 모양, 색깔,

different words next to them,

다른 말을 암호 옆에 뒀어요.

and we even tested one that was a dancing bunny.

춤추는 토끼까지 실험했습니다.

As you type a better password,

여러분이 좀더 나은 암호를 입력하면

the bunny dances faster and faster.

토끼가 더욱더 빨리 춤을 춥니다.

So this was pretty fun.

아주 재미있었어요.

What we found

저희가 발견한 사실은

was that password meters do work.

암호 미터가 효과가 있었다는 거죠.

(Laughter)

(웃음)

Most of the password meters were actually effective,

대부분의 암호 미터가 실제 효과가 있었고

and the dancing bunny was very effective too,

춤추는 토끼도 좋은 효과가 있었지만

but the password meters that were the most effective

가장 효과가 뛰어난 암호 미터는

were the ones that made you work harder

"잘하고 있어요" 라고

before they gave you that thumbs up and said

엄지손가락을 치켜세우는 화면을 보여주기 전까지

you were doing a good job,

사람들이 더 노력하게끔 만드는 것이었습니다.

and in fact we found that most

사실 인터넷에 나오는

of the password meters on the Internet today

대부분의 암호 미터는

are too soft.

They tell you you're doing a good job too early,

너무 부드럽다는 것을 발견했습니다.

암호 미터는 "여러분이 잘하고 있다"고 너무나 일찍 말합니다.

and if they would just wait a little bit

그렇게 긍정적인 의견을 주기전에

before giving you that positive feedback,

조금만 더 기다린다면

you probably would have better passwords.

여러분은 조금 더 나은 암호를 만들겁니다.

Now another approach to better passwords, perhaps,

더 나은 암호를 만드는 또다른 방법은

is to use pass phrases instead of passwords.

암호 대신 비밀어구를 사용하는 것이죠.

So this was an xkcd cartoon from a couple of years ago,

이건 몇 년 전에 나온 xkcd 만화인데

and the cartoonist suggests

만화가는

that we should all use pass phrases,

우리가 비밀어구를 써야 한다고 말합니다.

and if you look at the second row of this cartoon,

이 만화의 둘째줄을 보면

you can see the cartoonist is suggesting

만화가가 비밀어구인

that the pass phrase "correct horse battery staple"

"바른 말 밧데리 스테이플" 이라고 제안하는데

would be a very strong pass phrase

이것은 꽤 강한 비밀어구이고

and something really easy to remember.

외우기도 쉽습니다.

He says, in fact, you've already remembered it.

만화가는 여러분이 이미 그걸 외웠다고 얘기합니다.

And so we decided to do a research study

그래서 저희는 이것이 사실인지 아닌지

to find out whether this was true or not.

확인하기 위해서 연구를 했습니다.

In fact, everybody who I talk to,

사실 제가 얘기한 모든 사람들이

who I mention I'm doing password research,

제가 암호에 관한 연구를 한다고 했더니

they point out this cartoon.

이 만화를 말하더군요.

"Oh, have you seen it? That xkcd.

"아, 그것 보셨어요? xkcd만화요.

Correct horse battery staple."

올바른 말 밧데리 스테이플."

So we did the research study to see

그래서 저희는 실제로

what would actually happen.

어떤 일이 벌어지는지 연구했습니다.

So in our study, we used Mechanical Turk again,

저희가 한 연구에서 미케니컬 터크를 다시 썼는데

and we had the computer pick the random words

컴퓨터가 무작위로 낱말을 뽑아서

in the pass phrase.

비밀어구를 만들게 했습니다.

Now the reason we did this

그렇게 한 까닭은

is that humans are not very good

사람들이 무작위로 낱말을 고르는데

at picking random words.

익숙하지 않기 때문입니다.

If we asked a human to do it,

사람들한테 그렇게 하라고 하면

they would pick things that were not very random.

별로 무작위적이지 않은 낱말을 고르고는 했죠.

So we tried a few different conditions.

그래서 저희는 다른 조건을 넣었습니다.

In one condition, the computer picked

한 조건에는, 컴퓨터가

from a dictionary of the very common words

영어 사전에서

in the English language,

아주 흔한 낱말을 고르게 했고

and so you'd get pass phrases like

그러면 여러분은 다음과 같은 비밀어구를 얻습니다.

"try there three come."

"거기서 셋이 오게 해."

And we looked at that, and we said,

저희는 그걸 보고

"Well, that doesn't really seem very memorable."

"쉽게 외울 수 없어보여."라고 했죠.

So then we tried picking words

그래서 저희들은

that came from specific parts of speech,

연설의 구체적인 한 부분에서 낱말을 고르게 했습니다.

so how about noun-verb-adjective-noun.

명사-동사-형용사-명사 이런 식으로요.

That comes up with something that's sort of sentence-like.

그러면 일종의 문장처럼 나옵니다.

So you can get a pass phrase like

그래서 다음과 같은 비밀어구가 생기죠.

"plan builds sure power"

"계획은 확실한 힘을 세운다" 나

or "end determines red drug."

"마지막은 빨간 약을 결정짓는다."

And these seemed a little bit more memorable,

이것들은 좀 더 외우기가 쉬운것처럼 보이죠.

and maybe people would like those a little bit better.

사람들이 이런 걸 조금 더 좋아할 지도 모르죠.

We wanted to compare them with passwords,

저희는 비밀어구를 암호와 비교해보고 싶었습니다.

and so we had the computer pick random passwords,

그래서 컴퓨터가 무작위로 암호를 고르게 했는데

and these were nice and short, but as you can see,

이들 암호는 짧고 멋지지만 여러분이 보시다시피

they don't really look very memorable.

쉽게 외울 수 없게 보입니다.

And then we decided to try something called

그 다음에는

a pronounceable password.

발음하기 쉬운 암호를 연구했습니다.

So here the computer picks random syllables

여기서는 컴퓨터가 무작위로

and puts them together

음절을 골라 같이 묶어서

so you have something sort of pronounceable,

발음할 수 있는 낱말을 만듭니다.

like "tufritvi" and "vadasabi."

"투프리트비"나 "바다사비" 같은 것이죠.

That one kind of rolls off your tongue.

그런 말은 여러분 혀에서 굴러나옵니다.

So these were random passwords that were

이렇게 무작위로 나온 암호가

generated by our computer.

컴퓨터로 만들어집니다.

So what we found in this study was that, surprisingly,

저희가 한 연구에서 발견한 사실은 놀랍게도

pass phrases were not actually all that good.

비밀어구가 실제로는 그렇게 훌륭하지 않다는 것입니다.

People were not really better at remembering

사람들은 이렇게 무작위로 뽑은 암호보다

the pass phrases than these random passwords,

비밀어구를 잘 외우지 못했는데

and because the pass phrases are longer,

비밀어구가 길고

they took longer to type

입력하기도 길고

and people made more errors while typing them in.

사람들이 입력하면서 실수도 하기 때문이죠.

So it's not really a clear win for pass phrases.

그래서 비밀어구의 명백한 승리는 아닙니다.

Sorry, all of you xkcd fans.

xkcd 팬 여러분께는 죄송하군요.

On the other hand, we did find

다른 한편으로

that pronounceable passwords

발음할 수 있는 암호가

worked surprisingly well,

놀랍게도 효과가 있었고

and so we actually are doing some more research

그러한 접근방법이 더 나은지

to see if we can make that approach work even better.

연구를 좀 더 했습니다.

So one of the problems

저희가 한 연구의 일부에서

with some of the studies that we've done

맞닥뜨린 문제는

is that because they're all done

모든 연구를

using Mechanical Turk,

미케니컬 터크를 이용한 것이어서

these are not people's real passwords.

이것들이 사람들이 사용하는 진짜 암호는 아니라는 거죠.

They're the passwords that they created

저희가 하는 연구를 위해서 사람들이 만든 암호이거나

or the computer created for them for our study.

컴퓨터가 만든 암호입니다.

And we wanted to know whether people

저희가 알고 싶었던 것은

would actually behave the same way

사람들이 자신들의 진짜 암호에도

with their real passwords.

비슷하게 행동하는지 였습니다.

So we talked to the information security office at Carnegie Mellon

그래서 저희는 카네기멜론 대학의 정보 안전소와 얘기해서

and asked them if we could have everybody's real passwords.

모든 사람들의 진짜 암호를 얻을 수 있는지 물었습니다.

Not surprisingly, they were a little bit reluctant

당연히 그들은

to share them with us,

암호를 공개하고 싶어하지 않았어요.

but we were actually able to work out

하지만 저희는 실제로 암호를

a system with them

연구할 수 있는 시스템을 생각해냈습니다.

where they put all of the real passwords

25,000 명의 카네기멜론 대학 학생, 교수, 직원들의

for 25,000 CMU students, faculty and staff,

진짜 암호를

into a locked computer in a locked room,

암호가 걸린 컴퓨터에 넣고 암호가 걸린 방에 두고

not connected to the Internet,

인터넷 연결도 끊은 채

and they ran code on it that we wrote

이들 암호를 분석하기 위해

to analyze these passwords.

저희가 개발한 프로그램을 돌렸습니다.

They audited our code.

그들은 저희가 개발한 프로그램을 검토한 뒤

They ran the code.

그걸 실행했습니다.

And so we never actually saw

그래서 저희는 실제로

anybody's password.

누구의 암호도 보지 못했습니다.

We got some interesting results,

저희는 재미있는 결과를 얻었는데

and those of you Tepper students in the back

저 뒤에 앉아있는 테퍼스쿨 학생들이

will be very interested in this.

흥미로워 할 결과입니다.

So we found that the passwords created

컴퓨터 학부에 소속된

by people affiliated with the school of computer science

사람들이 만든 암호는

were actually 1.8 times stronger

경영 대학에 소속된

than those affiliated with the business school.

사람들이 만든 암호보다 1.8배 강했습니다.

We have lots of other really interesting

아주 재미있는

demographic information as well.

인구통계학 정보도 많은데요.

The other interesting thing that we found

저희가 발견한 또다른 재미있는 사실은

is that when we compared the Carnegie Mellon passwords

카네기멜론 대학의 암호와

to the Mechanical Turk-generated passwords,

미케니컬 터크가 만든 암호를 비교했을 때

there was actually a lot of similarities,

실제로 아주 비슷한 점이 많아서

and so this helped validate our research method

저희가 한 연구방법을 인증하는데 도움이 되었고

and show that actually, collecting passwords

미케니컬 터크를 이용해서

using these Mechanical Turk studies

암호를 모은 방법이

is actually a valid way to study passwords.

암호를 연구하는데 효과적인 방법임을 보여줬습니다.

So that was good news.

그래서 그건 좋은 뉴스였죠.

Okay, I want to close by talking about

자, 마지막으로

some insights I gained while on sabbatical

제가 작년에 안식년을

last year in the Carnegie Mellon art school.

카네기멜론 예술 대학에서 보냈을 때 얻은 경험을 얘기하겠습니다.

One of the things that I did

제가 한 일 가운데 하나는

is I made a number of quilts,

조각 이불을 몇 개를 만든 거죠.

and I made this quilt here.

여기 보시는 조각 이불을 만들었는데

It's called "Security Blanket."

"안보 이불"이라고 부릅니다.

(Laughter)

(웃음)

And this quilt has the 1,000

이 조각 이불은

most frequent passwords stolen

롹 유 웹사이트에서 가장 많이

from the RockYou website.

도난당한 암호 1,000 개가 들어있어요.

And the size of the passwords is proportional

암호의 크기는

to how frequently they appeared

도난당한 자료에서

in the stolen dataset.

자주 나오는 횟수에 비례합니다.

And what I did is I created this word cloud,

제가 한 일은 낱말로 된 구름을 만들어서

and I went through all 1,000 words,

1,000 개의 낱말을 보고

and I categorized them into

어떤 주제로

loose thematic categories.

분류를 했습니다.

And it was, in some cases,

어떤 경우에는

it was kind of difficult to figure out

어떤 주제로

what category they should be in,

분류해야 할 지 모를 때도 있었죠.

and then I color-coded them.

그 뒤에 색깔로 분류했어요.

So here are some examples of the difficulty.

그 과정이 얼마나 힘들었는지 여기서 보실 수 있습니다.

So "justin."

"져스틴"은

Is that the name of the user,

사용자의 이름이거나

their boyfriend, their son?

남자친구, 아들이겠죠?

Maybe they're a Justin Bieber fan.

어쩌면 져스틴 비버의 팬일지도 몰라요.

Or "princess."

또는 "공주."

Is that a nickname?

별명일까요?

Are they Disney princess fans?

디즈니 공주의 팬일까요?

Or maybe that's the name of their cat.

어쩌면 고양이의 이름일수도 있겠죠.

"Iloveyou" appears many times

"사랑해"는 여러 언어에서

in many different languages.

많이 나왔습니다.

There's a lot of love in these passwords.

이들 암호에는 사랑이 넘칩니다.

If you look carefully, you'll see there's also

자세히 살펴보면

some profanity,

비속한 말도 있지만

but it was really interesting to me to see

이들 암호에

that there's a lot more love than hate

미움보다는 사랑이 훨씬 많다는 것을

in these passwords.

보는게 저한테는 흥미로웠습니다.

And there are animals,

동물도 있었는데

a lot of animals,

아주 많은 동물이 나왔어요.

and "monkey" is the most common animal

"원숭이"는 가장 흔한 동물이고

and the 14th most popular password overall.

전체로 봤을 때 14번째로 인기있는 암호입니다.

And this was really curious to me,

저는 이게 정말 궁금했어요.

and I wondered, "Why are monkeys so popular?"

"왜 이렇게 원숭이가 인기가 많지?"

And so in our last password study,

그래서 마지막 암호 연구에서

any time we detected somebody

"원숭이"가 들어간 암호를

creating a password with the word "monkey" in it,

만든 사람을 감지하면

we asked them why they had a monkey in their password.

암호에 원숭이를 넣는 이유를 물었습니다.

And what we found out --

저희가 발견한 사실은

we found 17 people so far, I think,

지금까지 17명이

who have the word "monkey" --

"원숭이"를 암호에 썼다는 것이죠.

We found out about a third of them said

그중의 1/3 은

they have a pet named "monkey"

"원숭이"라고 이름붙인 애완동물을 갖고 있거나

or a friend whose nickname is "monkey,"

별명이 "원숭이"인 친구가 있다고 했습니다.

and about a third of them said

그리고 1/3 은

that they just like monkeys

원숭이를 좋아하고

and monkeys are really cute.

원숭이가 정말 귀엽다고 말했어요.

And that guy is really cute.

그렇게 말한 사람은 참 귀엽습니다.

So it seems that at the end of the day,

그래서, 최종적인 경향은

when we make passwords,

우리가 암호를 만들 때

we either make something that's really easy

입력하기 아주 쉽거나

to type, a common pattern,

흔한 패턴으로 만들거나,

or things that remind us of the word password

우리에게 그 암호를 떠올리게 하는 것들이나

or the account that we've created the password for,

우리가 암호를 위해 만든 계좌나

or whatever.

다른 어떤것이든지로 만들죠.

Or we think about things that make us happy,

또는 우리를 행복하게 만드는 것을 생각하거나

and we create our password

우리를 행복하게 만드는 것에

based on things that make us happy.

근거해서 암호를 만듭니다.

And while this makes typing

그래서 이렇게 하는 것은 암호를 입력하고

and remembering your password more fun,

기억하는게 재미있게 만들지만,

it also makes it a lot easier

암호를 추측하는 것 또한

to guess your password.

훨씬 쉽게 합니다.

So I know a lot of these TED Talks

저는 많은 TED 강연들이

are inspirational

영감을 주는 것을 알고 있고

and they make you think about nice, happy things,

기분좋고 즐거운 것을 생각하게 만들지만

but when you're creating your password,

여러분이 암호를 만들 때는

try to think about something else.

뭔가 다른 것을 생각하도록 하세요.

Thank you.

고맙습니다.

(Applause)

(박수)