Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Vertaald door: Dick Stada Nagekeken door: Rik Delaet

I am a computer science and engineering professor here at Carnegie Mellon,

Ik ben professor in computerwetenschappen hier op Carnegie Mellon.

and my research focuses on usable privacy and security,

Mijn onderzoek richt zich op bruikbare privacy en beveiliging.

and so my friends like to give me examples

Mijn vrienden geven me graag voorbeelden

of their frustrations with computing systems,

van hun frustraties met computersystemen.

especially frustrations related to

Vooral frustraties die te maken hebben

unusable privacy and security.

met onbruikbare privacy en beveiliging.

So passwords are something that I hear a lot about.

Ik hoor dus veel over wachtwoorden.

A lot of people are frustrated with passwords,

Veel mensen zijn gefrustreerd door wachtwoorden.

and it's bad enough

Het is al erg genoeg

when you have to have one really good password

als je één goed wachtwoord moet hebben

that you can remember

dat je kunt onthouden,

but nobody else is going to be able to guess.

maar dat niemand kan raden.

But what do you do when you have accounts

Maar wat moet je doen als je accounts hebt

on a hundred different systems

voor honderden systemen

and you're supposed to have a unique password

en je moet een uniek wachtwoord hebben

for each of these systems?

voor al die systemen?

It's tough.

Dat is lastig.

At Carnegie Mellon, they used to make it

Op Carnegie Mellon maakten ze het

actually pretty easy for us

redelijk makkelijk voor ons

to remember our passwords.

om onze wachtwoorden te onthouden.

The password requirement up through 2009

De wachtwoordvereisten waren tot 2009

was just that you had to have a password

dat je gewoon een wachtwoord moest hebben

with at least one character.

met minimaal 1 teken.

Pretty easy. But then they changed things,

Nogal simpel. Maar toen veranderden ze dat.

and at the end of 2009, they announced

Tegen het einde van 2009 verkondigden ze

that we were going to have a new policy,

dat we een nieuw beleid kregen.

and this new policy required

Dit beleid eiste

passwords that were at least eight characters long,

dat wachtwoorden minimaal 8 tekens moesten hebben,

with an uppercase letter, lowercase letter,

met een hoofdletter, kleine letter,

a digit, a symbol,

een cijfer, een teken,

you couldn't use the same character more than three times,

je mocht niet 3 dezelfde tekens hebben

and it wasn't allowed to be in a dictionary.

en het mocht niet in het woordenboek staan.

Now, when they implemented this new policy,

Toen ze dat nieuwe beleid toepasten,

a lot of people, my colleagues and friends,

zeiden veel mensen, collega's en vrienden me:

came up to me and they said, "Wow,

now that's really unusable.

"Poeh, dit is echt niet te doen.

Why are they doing this to us,

Waarom doen ze ons dat aan

and why didn't you stop them?"

en waarom houd je ze niet tegen?"

And I said, "Well, you know what?

Ik zei: "Weet je?

They didn't ask me."

Ze hebben mij niets gevraagd."

But I got curious, and I decided to go talk

Maar ik werd nieuwsgierig en ging praten

to the people in charge of our computer systems

met onze systeembeheerders

and find out what led them to introduce

en ontdekte waarom ze

this new policy,

dit beleid hadden bedacht.

and they said that the university

Ze zeiden dat de universiteit

had joined a consortium of universities,

was gaan samenwerken met andere universiteiten

and one of the requirements of membership

en dat een van de voorwaarden was

was that we had to have stronger passwords

dat we veiligere wachtwoorden kregen

that complied with some new requirements,

die voldeden aan nieuwe voorwaarden.

and these requirements were that our passwords

Die vereisten dat onze wachtwoorden

had to have a lot of entropy.

niet voorspelbaar mochten zijn.

Now entropy is a complicated term,

Onvoorspelbaarheid is een ingewikkelde term.

but basically it measures the strength of passwords.

Ze geeft de sterkte van het wachtwoord weer,

But the thing is, there isn't actually

maar er is eigenlijk geen standaardmaat voor onvoorspelbaarheid.

a standard measure of entropy.

Now, the National Institute of Standards and Technology

Het National Institute of Standards and Technology

has a set of guidelines

heeft een paar richtlijnen

which have some rules of thumb

met wat vuistregels

for measuring entropy,

om onvoorspelbaarheid te meten,

but they don't have anything too specific,

maar ze hebben niets specifieks.

and the reason they only have rules of thumb

De reden dat ze alleen vuistregels hebben

is it turns out they don't actually have any good data

is dat ze geen goede informatie hebben

on passwords.

over wachtwoorden.

In fact, their report states,

Hun rapport zegt zelfs:

"Unfortunately, we do not have much data

"Helaas hebben we niet veel gegevens

on the passwords users choose under particular rules.

over welke wachtwoorden men kiest bij bepaalde regels.

NIST would like to obtain more data

NIST wil meer informatie hebben

on the passwords users actually choose,

over de wachtwoorden die men kiest,

but system administrators are understandably reluctant

maar systeembeheerders zijn natuurlijk terughoudend

to reveal password data to others."

om wachtwoordgegevens openbaar te maken."

So this is a problem, but our research group

Dat is dus een probleem, maar ons onderzoeksteam

looked at it as an opportunity.

vond dat een uitdaging.

We said, "Well, there's a need for good password data.

We zeiden: "Er is behoefte aan goede wachtwoordgegevens.

Maybe we can collect some good password data

We zouden ze kunnen verzamelen

and actually advance the state of the art here.

en de kennis daarover verspreiden."

So the first thing we did is,

Eerst regelden we een grote zak snoeprepen,

we got a bag of candy bars

and we walked around campus

en gingen over de campus wandelen

and talked to students, faculty and staff,

om studenten, professoren en medewerkers

and asked them for information

naar informatie te vragen

about their passwords.

over hun wachtwoorden.

Now we didn't say, "Give us your password."

We zeiden niet: "Geef me je wachtwoord."

No, we just asked them about their password.

We stelden vragen óver hun wachtwoord.

How long is it? Does it have a digit?

Hoe lang is het? Zit er een cijfer in? En een vreemd teken?

Does it have a symbol?

And were you annoyed at having to create

Was het vervelend

a new one last week?

dat je er vorige week een nieuw moest aanmaken?

So we got results from 470 students,

Zo kregen we gegevens over 470 studenten, professoren en medewerkers,

faculty and staff,

and indeed we confirmed that the new policy

en zagen dat het nieuwe beleid inderdaad erg lastig was.

was very annoying,

but we also found that people said

We vonden ook mensen

they felt more secure with these new passwords.

die het veiliger vonden met deze wachtwoorden.

We found that most people knew

Het bleek dat de meesten wisten

they were not supposed to write their password down,

dat ze hun wachtwoord niet mochten noteren,

and only 13 percent of them did,

en slechts 13% deed dat.

but disturbingly, 80 percent of people

80% zei echter

said they were reusing their password.

dat ze hun wachtwoord hergebruikten.

Now, this is actually more dangerous

Dat is nog gevaarlijker

than writing your password down,

dan je wachtwoord opschrijven

because it makes you much more susceptible to attackers.

omdat het gevoeliger is voor aanvallen.

So if you have to, write your passwords down,

Als het echt moet, schrijf het dan op

but don't reuse them.

maar hergebruik het niet.

We also found some interesting things

We vonden nog meer interessants

about the symbols people use in passwords.

over de tekens die mensen gebruiken.

So CMU allows 32 possible symbols,

CMU staat 32 tekens toe,

maar je ziet dat de meesten er maar een paar gebruiken.

but as you can see, there's only a small number

that most people are using,

so we're not actually getting very much strength

Dat maakt wachtwoorden niet veel sterker.

from the symbols in our passwords.

So this was a really interesting study,

Dat was een interessant onderzoek.

and now we had data from 470 people,

We hadden nu gegevens over 470 mensen,

but in the scheme of things,

maar in verhouding was het niet veel.

that's really not very much password data,

and so we looked around to see

We gingen kijken

where could we find additional password data?

of we nog meer wachtwoordgegevens konden vinden.

So it turns out there are a lot of people

Het blijkt dat er veel mensen zijn

going around stealing passwords,

die wachtwoorden stelen

and they often go and post these passwords

en ze dan op het internet zetten.

on the Internet.

So we were able to get access

Zo kregen we toegang

to some of these stolen password sets.

tot een paar gestolen verzamelingen met wachtwoorden.

This is still not really ideal for research, though,

Dat is niet zo ideaal voor onderzoek

because it's not entirely clear

omdat niet helemaal duidelijk was

where all of these passwords came from,

waar ze vandaan kwamen,

or exactly what policies were in effect

of welk beleid gold

when people created these passwords.

toen men die wachtwoorden moest bedenken.

So we wanted to find some better source of data.

We wilden betere gegevensbronnen.

So we decided that one thing we could do

We wilden een onderzoek gaan doen

is we could do a study and have people

waarbij mensen wachtwoorden moesten bedenken

actually create passwords for our study.

voor ons onderzoek.

So we used a service called Amazon Mechanical Turk,

We gebruikten een dienst die Amazon Mechanical Turk heet.

and this is a service where you can post

Daarmee kan je een kleine taak online zetten

a small job online that takes a minute,

die een paar minuten of een uur duurt,

a few minutes, an hour,

and pay people, a penny, ten cents, a few dollars,

en je betaalt een cent, tien cent, een paar dollar

to do a task for you,

om die taak te laten doen.

and then you pay them through Amazon.com.

Je betaalt dan via Amazon.com.

So we paid people about 50 cents

We betaalden mensen ongeveer 50 cent

to create a password following our rules

om een wachtwoord te bedenken volgens onze regels

and answering a survey,

en een enquête te doen.

and then we paid them again to come back

We betaalden nogmaals als ze twee dagen later terugkwamen,

two days later and log in

inlogden met hun wachtwoord

using their password and answering another survey.

en nog een enquête invulden.

So we did this, and we collected 5,000 passwords,

Zo verzamelden we 5.000 wachtwoorden,

and we gave people a bunch of different policies

met diverse wachtwoordvoorschriften.

to create passwords with.

So some people had a pretty easy policy,

Sommigen kregen een makkelijk beleid,

we call it Basic8,

dat we Basic8 noemden.

and here the only rule was that your password

De enige regel was dat je wachtwoord

had to have at least eight characters.

minstens 8 tekens moest hebben.

Then some people had a much harder policy,

Sommigen hadden een strenger beleid

and this was very similar to the CMU policy,

dat erg lijkt op het beleid bij de CMU:

that it had to have eight characters

het moest 8 tekens hebben

including uppercase, lowercase, digit, symbol,

met kleine en grote letters, cijfers en tekens

and pass a dictionary check.

en voor de woordenboektest slagen.

And one of the other policies we tried,

We probeerden onder andere

and there were a whole bunch more,

but one of the ones we tried was called Basic16,

het beleid Basic16.

and the only requirement here

Het enige voorschrift was

was that your password had to have at least 16 characters.

dat het minstens 16 tekens moest hebben.

All right, so now we had 5,000 passwords,

Zo kregen we 5.000 wachtwoorden,

and so we had much more detailed information.

met veel nauwkeurigere gegevens.

Again we see that there's only a small number

We zien weer dat er maar een paar vreemde tekens werden gebruikt.

of symbols that people are actually using

in their passwords.

We also wanted to get an idea of how strong

We wilden ook eens kijken

the passwords were that people were creating,

hoe sterk de wachtwoorden waren die men bedacht.

but as you may recall, there isn't a good measure

Maar je weet nog dat je dat niet kan meten.

of password strength.

So what we decided to do was to see

We besloten te kijken

how long it would take to crack these passwords

hoe snel je de wachtwoorden kon kraken

using the best cracking tools

met de beste kraak-trucs die de boeven gebruiken,

that the bad guys are using,

or that we could find information about

of waar we iets over konden vinden

in the research literature.

in de onderzoeksliteratuur.

So to give you an idea of how bad guys

Om je een idee te geven wat boeven doen

go about cracking passwords,

om wachtwoorden te kraken:

they will steal a password file

ze stelen een wachtwoordbestand

that will have all of the passwords

waar alle wachtwoorden in zitten

in kind of a scrambled form, called a hash,

in een verhaspelde vorm, een 'hash',

and so what they'll do is they'll make a guess

en ze gokken wat een wachtwoord is,

as to what a password is,

run it through a hashing function,

gooien het door een verhaspelfunctie

and see whether it matches

en kijken of het klopt met de wachtwoorden

the passwords they have on their stolen password list.

die ze op hun gestolen lijst hebben.

So a dumb attacker will try every password in order.

Een domme kraker probeert alle wachtwoorden.

They'll start with AAAAA and move on to AAAAB,

Ze beginnen met AAAAA en dan AAAAB.

and this is going to take a really long time

Het duurt dus wel even om de meest gebruikte paswoorden te vinden.

before they get any passwords

that people are really likely to actually have.

A smart attacker, on the other hand,

Slimme krakers echter

does something much more clever.

doen het veel slimmer.

They look at the passwords

Die kijken naar wachtwoorden

that are known to be popular

die bekend staan als veelgebruikt

from these stolen password sets,

uit die gestolen wachtwoorden

and they guess those first.

en proberen die eerst.

So they're going to start by guessing "password,"

'password' proberen ze eerst uit.

and then they'll guess "I love you," and "monkey,"

Dan proberen ze 'I love you' en 'monkey'

and "12345678,"

en '12345678'

because these are the passwords

omdat het de meestgebruikte wachtwoorden zijn

that are most likely for people to have.

In fact, some of you probably have these passwords.

Sommigen van jullie zullen die wachtwoorden gebruiken.

So what we found

Door al onze 5.000 wachtwoorden te proberen,

by running all of these 5,000 passwords we collected

through these tests to see how strong they were,

en te testen hoe sterk ze waren,

we found that the long passwords

zagen we dat de lange wachtwoorden

were actually pretty strong,

best wel sterk waren.

and the complex passwords were pretty strong too.

De ingewikkelde waren ook vrij sterk.

However, when we looked at the survey data,

Maar als we keken naar de enquêtes,

we saw that people were really frustrated

zagen we dat men nogal gefrustreerd was

by the very complex passwords,

door deze ingewikkelde wachtwoorden.

and the long passwords were a lot more usable,

De lange waren een stuk bruikbaarder

and in some cases, they were actually

en soms waren ze zelfs sterker

even stronger than the complex passwords.

dan de ingewikkelde wachtwoorden.

So this suggests that,

Dit geeft aan dat je niet moet zeggen

instead of telling people that they need

to put all these symbols and numbers

dat je al die tekens, cijfers en idiote dingen

and crazy things into their passwords,

in je wachtwoorden moet stoppen.

we might be better off just telling people

Je kunt beter lange wachtwoorden gebruiken.

to have long passwords.

Now here's the problem, though:

Er is wel een probleem:

Some people had long passwords

sommigen hadden lange wachtwoorden

that actually weren't very strong.

die helemaal niet sterk waren.

You can make long passwords

Je kunt lange wachtwoorden maken

that are still the sort of thing

die nog steeds makkelijk te raden zijn door aanvallers.

that an attacker could easily guess.

So we need to do more than just say long passwords.

We moeten dus niet alleen lange wachtwoorden voorschrijven.

There has to be some additional requirements,

Er moet nog iets bij.

and some of our ongoing research is looking at

We onderzoeken nog

what additional requirements we should add

welke extra voorschriften het moeten zijn

to make for stronger passwords

om sterkere wachtwoorden te krijgen

that also are going to be easy for people

die makkelijk te onthouden en te typen zijn.

to remember and type.

Another approach to getting people to have

Een andere aanpak voor sterkere wachtwoorden

stronger passwords is to use a password meter.

is een wachtwoordmeter.

Here are some examples.

Hier zijn wat voorbeelden.

You may have seen these on the Internet

Misschien heb je ze al gezien

when you were creating passwords.

toen je een wachtwoord moest maken.

We decided to do a study to find out

We besloten te onderzoeken

whether these password meters actually work.

of deze wachtwoordmeters echt werken.

Do they actually help people

Helpen ze echt

have stronger passwords,

om sterkere wachtwoorden te maken?

and if so, which ones are better?

Zo ja, welke zijn het best?

So we tested password meters that were

We hebben wachtwoordmeters getest

different sizes, shapes, colors,

met verschillende lengtes, vormen, kleuren,

different words next to them,

met allerlei woorden erbij.

and we even tested one that was a dancing bunny.

Zelfs eentje met een dansend konijn.

As you type a better password,

Terwijl je een wachtwoord typt, danst het konijn steeds sneller.

the bunny dances faster and faster.

So this was pretty fun.

Dat was lachen.

What we found

We zagen dat wachtwoordmeters werken.

was that password meters do work.

(Laughter)

(Gelach)

Most of the password meters were actually effective,

De meeste wachtwoordmeters waren effectief

and the dancing bunny was very effective too,

en het dansend konijn was ook erg effectief,

but the password meters that were the most effective

maar de effectiefste wachtwoordmeters

were the ones that made you work harder

waren die waar je harder moest werken

before they gave you that thumbs up and said

voordat je een opgestoken duim kreeg en geprezen werd.

you were doing a good job,

and in fact we found that most

We zagen dat de meeste wachtwoordmeters

of the password meters on the Internet today

op het internet te flauw zijn.

are too soft.

They tell you you're doing a good job too early,

Ze zeggen te snel dat je het goed doet.

and if they would just wait a little bit

Als ze iets langer zouden wachten

before giving you that positive feedback,

voordat ze je postieve feedback gaven,

you probably would have better passwords.

dan zou je waarschijnlijk betere wachtwoorden maken.

Now another approach to better passwords, perhaps,

Een andere aanpak voor betere wachtwoorden is misschien

is to use pass phrases instead of passwords.

om zinnen te gebruiken in plaats van wachtwoorden.

So this was an xkcd cartoon from a couple of years ago,

Dit was een cartoon van xkcd van een paar jaar geleden.

and the cartoonist suggests

De tekenaar suggereert

that we should all use pass phrases,

dat we zinnen moeten gebruiken.

and if you look at the second row of this cartoon,

Als je naar de tweede rij kijkt,

you can see the cartoonist is suggesting

dan zie je dat de tekenaar aangeeft

that the pass phrase "correct horse battery staple"

dat de zin 'correct horse battery staple'

would be a very strong pass phrase

een erg sterk wachtwoord zou zijn

and something really easy to remember.

dat makkelijk te onthouden is.

He says, in fact, you've already remembered it.

Hij zegt dat je het al hebt onthouden.

And so we decided to do a research study

We besloten uit te zoeken

to find out whether this was true or not.

of dat waar was.

In fact, everybody who I talk to,

Iedereen aan wie ik zeg

who I mention I'm doing password research,

dat ik wachtwoordonderzoek doe,

they point out this cartoon.

wijst me op deze strip.

"Oh, have you seen it? That xkcd.

"Heb je die gezien? Van xkcd.

Correct horse battery staple."

Correct horse battery staple."

So we did the research study to see

We deden onderzoek

what would actually happen.

om te zien wat er zou gebeuren.

So in our study, we used Mechanical Turk again,

In ons onderzoek gebruikten we weer die Mechanische Turk.

and we had the computer pick the random words

We lieten de computer woorden kiezen

in the pass phrase.

voor de wachtwoordzin.

Now the reason we did this

De reden ervan was

is that humans are not very good

dat mensen slecht zijn in willekeurige woorden kiezen.

at picking random words.

If we asked a human to do it,

Als we een mens laten kiezen, kiest hij niet willekeurig.

they would pick things that were not very random.

So we tried a few different conditions.

We kozen een paar voorwaarden.

In one condition, the computer picked

Bij eentje koos de computer

from a dictionary of the very common words

uit een woordenlijst met normale Engelse woorden.

in the English language,

and so you'd get pass phrases like

Dan krijg je zinnen als

"try there three come."

"try there three come".

And we looked at that, and we said,

Dat leek ons niet makkelijk te onthouden.

"Well, that doesn't really seem very memorable."

So then we tried picking words

Toen lieten we woorden kiezen

that came from specific parts of speech,

uit specifieke woordsoorten, bijvoorbeeld

so how about noun-verb-adjective-noun.

substantief-werkwoord-adjectief-substantief.

That comes up with something that's sort of sentence-like.

Dan krijg je een soort zinnen.

So you can get a pass phrase like

Je krijgt dan een zin als

"plan builds sure power"

'plan builds sure power',

or "end determines red drug."

of 'end determines red drug'.

And these seemed a little bit more memorable,

Deze leken wat makkelijker te onthouden.

and maybe people would like those a little bit better.

Misschien wilde men die liever.

We wanted to compare them with passwords,

We wilden ze vergelijken met wachtwoorden.

and so we had the computer pick random passwords,

We lieten de computer willekeurig woorden kiezen.

and these were nice and short, but as you can see,

Deze waren kort en mooi, maar je ziet

they don't really look very memorable.

dat ze niet makkelijk te onthouden zijn.

And then we decided to try something called

Toen probeerden we iets wat een 'uitspreekbaar woord' heet.

a pronounceable password.

So here the computer picks random syllables

De computer neemt dan lettergrepen

and puts them together

en plakt ze aan elkaar.

so you have something sort of pronounceable,

Dan krijg je iets dat je kunt uitspreken,

like "tufritvi" and "vadasabi."

zoals 'tufritvi' en 'vadasabi'.

That one kind of rolls off your tongue.

Dat rolt zo van je tong.

So these were random passwords that were

Het waren willekeurige wachtwoorden

generated by our computer.

die uit de computer kwamen.

So what we found in this study was that, surprisingly,

We ontdekten met dit onderzoek, gek genoeg,

pass phrases were not actually all that good.

dat wachtwoordzinnen niet zo goed zijn.

People were not really better at remembering

Mensen kunnen niet veel beter de wachtwoordzinnen onthouden

the pass phrases than these random passwords,

dan willekeurige wachtwoorden.

and because the pass phrases are longer,

Omdat de wachtwoordzinnen langer zijn,

they took longer to type

duurt het typen langer

and people made more errors while typing them in.

en maakt men meer fouten.

So it's not really a clear win for pass phrases.

Wachtwoordzinnen zijn dus niet duidelijk beter.

Sorry, all of you xkcd fans.

Sorry, xkcd-liefhebbers.

On the other hand, we did find

Maar we vonden wel

that pronounceable passwords

dat uitspreekbare wachtwoorden

worked surprisingly well,

verrassend goed werkten.

and so we actually are doing some more research

We doen nu nog meer onderzoek

to see if we can make that approach work even better.

om te zien of we het beter kunnen aanpakken.

So one of the problems

Een van de problemen was

with some of the studies that we've done

dat sommige van onze onderzoeken

is that because they're all done

met de Mechanische Turk

using Mechanical Turk,

gedaan werden.

these are not people's real passwords.

Het zijn geen echte wachtwoorden.

They're the passwords that they created

Het zijn de wachtwoorden die men, of de computer,

or the computer created for them for our study.

voor het onderzoek maakte.

And we wanted to know whether people

We wilden weten of mensen hetzelfde deden

would actually behave the same way

with their real passwords.

met hun echte wachtwoorden.

So we talked to the information security office at Carnegie Mellon

We overlegden met de IT-afdeling van Carnegie Mellon

and asked them if we could have everybody's real passwords.

en vroegen of we alle wachtwoorden mochten hebben.

Not surprisingly, they were a little bit reluctant

Ze waren natuurlijk terughoudend

to share them with us,

om ze met ons te delen,

but we were actually able to work out

maar we mochten een systeem uitwerken

a system with them

where they put all of the real passwords

waarbij ze alle echte wachtwoorden

for 25,000 CMU students, faculty and staff,

van 25.000 studenten, professoren en medewerkers

into a locked computer in a locked room,

in een gesloten computer stopten

not connected to the Internet,

in een afgesloten kamer zonder internet.

and they ran code on it that we wrote

Ze lieten met een programma

to analyze these passwords.

deze wachtwoorden analyseren.

They audited our code.

Ze checkten ons programma.

They ran the code.

Ze lieten het draaien.

And so we never actually saw

Op die manier konden we nooit de wachtwoorden zien.

anybody's password.

We kregen interessante uitkomsten

We got some interesting results,

en de Tepper-studenten daar achteraan

and those of you Tepper students in the back

will be very interested in this.

zullen het interessant vinden.

So we found that the passwords created

We ontdekten dat de mensen

by people affiliated with the school of computer science

van Computerwetenschappen

were actually 1.8 times stronger

een 1,8 keer zo sterk wachtwoord hadden

than those affiliated with the business school.

als die van de business-school.

We have lots of other really interesting

Er kwam ook veel interessante

demographic information as well.

demografische informatie uit.

The other interesting thing that we found

Ook interessant was

is that when we compared the Carnegie Mellon passwords

dat tussen de wachtwoorden van Carnegie Mellon

to the Mechanical Turk-generated passwords,

en die van de Mechanische Turk

there was actually a lot of similarities,

weinig verschil bestond.

and so this helped validate our research method

Dat hielp de methode te valideren

and show that actually, collecting passwords

en liet zien dat het verzamelen van wachtwoorden

using these Mechanical Turk studies

met de Mechanische Turk

is actually a valid way to study passwords.

een geldige manier was om wachtwoorden te bestuderen.

So that was good news.

Dat was dus goed nieuws.

Okay, I want to close by talking about

Ik wil afsluiten met wat inzichten

some insights I gained while on sabbatical

die ik kreeg tijdens mijn sabbatical

last year in the Carnegie Mellon art school.

afgelopen jaar op de kunstfaculteit van Carnegie Mellon.

Een van de dingen die ik deed,

One of the things that I did

is I made a number of quilts,

was quilts maken.

and I made this quilt here.

Ik heb deze gemaakt.

It's called "Security Blanket."

Hij heet 'Veiligheidsdeken'.

(Laughter)

(Gelach)

And this quilt has the 1,000

Deze heeft de duizend meest gestolen wachtwoorden

most frequent passwords stolen

from the RockYou website.

van de website van RockYou.

And the size of the passwords is proportional

De grootte van het wachtwoord geeft aan

to how frequently they appeared

hoe vaak het gestolen is.

in the stolen dataset.

And what I did is I created this word cloud,

Ik heb deze woordenwolk gemaakt

and I went through all 1,000 words,

door alle 1000 woorden langs te gaan,

and I categorized them into

en in aparte thema's te groeperen.

loose thematic categories.

And it was, in some cases,

Soms was het moeilijk om uit te vinden

it was kind of difficult to figure out

what category they should be in,

in welke categorie ze moesten.

and then I color-coded them.

Daarna gaf ik ze een kleur.

So here are some examples of the difficulty.

Hier is een voorbeeld hoe lastig dat was:

So "justin."

'Justin'

Is that the name of the user,

Is dat de naam van de gebruiker?

their boyfriend, their son?

Haar vriendje of haar zoon?

Maybe they're a Justin Bieber fan.

Misschien wel een Justin Bieber-fan.

Or "princess."

Of 'princess'.

Is that a nickname?

Is dat een koosnaam?

Zijn het fans van de Disney-prinses?

Are they Disney princess fans?

Or maybe that's the name of their cat.

Of het is de naam van hun kat.

"Iloveyou" appears many times

'Iloveyou' verschijnt vaak,

in many different languages.

in allerlei talen.

There's a lot of love in these passwords.

Er zit veel liefde in deze wachtwoorden.

If you look carefully, you'll see there's also

Als je goed oplet, vind je ook wat vulgariteit,

some profanity,

but it was really interesting to me to see

maar ik vond het erg interessant

that there's a lot more love than hate

dat er meer liefde dan haat

in these passwords.

in deze wachtwoorden zat.

And there are animals,

En er zijn dieren,

a lot of animals,

veel dieren.

and "monkey" is the most common animal

'monkey' is het meestgebruikte dier.

and the 14th most popular password overall.

Het op 14 na meestgebruikte wachtwoord.

And this was really curious to me,

Dat vond ik heel bijzonder.

and I wondered, "Why are monkeys so popular?"

Ik vroeg me af waarom apen zo populair zijn.

And so in our last password study,

Telkens we tijdens ons laatste onderzoek iemand ontdekten

any time we detected somebody

creating a password with the word "monkey" in it,

die een wachtwoord had met 'monkey' erin,

we asked them why they had a monkey in their password.

vroegen we waarom ze dat hadden.

And what we found out --

We ontdekten --

we found 17 people so far, I think,

we vonden tot nu toe 17 mensen

die het woord 'monkey' hadden --

who have the word "monkey" --

We found out about a third of them said

We ontdekten dat een derde

they have a pet named "monkey"

een huisdier heeft dat 'monkey' heet.

or a friend whose nickname is "monkey,"

of een vriend met koosnaam 'monkey'.

and about a third of them said

Een derde hield gewoon van apen.

that they just like monkeys

and monkeys are really cute.

en vond apen gewoon leuk.

And that guy is really cute.

Dit ventje is echt schattig.

So it seems that at the end of the day,

Het komt erop neer dat we bij het maken van wachtwoorden

when we make passwords,

we either make something that's really easy

iets maken dat makkelijk te typen is,

to type, a common pattern,

een bekend patroon,

or things that remind us of the word password

of iets dat herinnert aan het woord 'wachtwoord'

or the account that we've created the password for,

of aan het account waar we het voor maken

or whatever.

of 'watdanook'.

Or we think about things that make us happy,

Of we denken aan dingen waar we blij van worden.

and we create our password

We baseren ons wachtwoord

based on things that make us happy.

op dingen waar we blij van worden.

And while this makes typing

Hoewel dat het typen en onthouden

and remembering your password more fun,

van je wachtwoord leuker maakt,

it also makes it a lot easier

wordt het wel een stuk makkelijker

to guess your password.

om je wachtwoord te raden.

So I know a lot of these TED Talks

Ik weet dat TED Talks

are inspirational

vaak inspirerend zijn

and they make you think about nice, happy things,

en je doen denken aan fijne dingen,

but when you're creating your password,

maar als je je wachtwoord maakt,

try to think about something else.

probeer dan aan iets anders te denken.

Thank you.

Dank je wel.

(Applause)

(Applaus)