Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Tradutor: Filipa Bela Revisora: Isabel Vaz Belchior

I am a computer science and engineering professor here at Carnegie Mellon,

Sou uma Professora de Engenharia e Ciência Informática aqui na Carnegie Mellon,

and my research focuses on usable privacy and security,

e a minha investigação centra-se na privacidade e segurança utilizáveis,

and so my friends like to give me examples

e, por isso, os meus amigos gostam de me dar exemplos

of their frustrations with computing systems,

das suas frustrações com os sistemas informáticos,

especially frustrations related to

especialmente as suas frustrações relacionadas com

unusable privacy and security.

privacidade e segurança inutilizáveis.

So passwords are something that I hear a lot about.

Por isso, as palavras-passe são algo de que eu oiço muito falar.

A lot of people are frustrated with passwords,

Muitas pessoas estão frustradas com as palavras-passe,

and it's bad enough

e é suficientemente mau

when you have to have one really good password

quando temos que ter uma palavra-passe realmente boa

that you can remember

que possamos memorizar

but nobody else is going to be able to guess.

mas que mais ninguém seja capaz de adivinhar.

But what do you do when you have accounts

Mas o que devemos fazer quando temos contas

on a hundred different systems

numa centena de sistemas diferentes

and you're supposed to have a unique password

e é suposto termos uma palavra-passe única

for each of these systems?

para cada um desses sistemas?

It's tough.

É complicado.

At Carnegie Mellon, they used to make it

Na Universidade de Carnegie Mellon, costumavam fazer com que fosse

actually pretty easy for us

realmente fácil para nós

to remember our passwords.

memorizarmos as nossas palavras-passe.

The password requirement up through 2009

O requisito para as palavras-passe até 2009

was just that you had to have a password

era apenas que teríamos que ter uma palavra-passe

with at least one character.

com pelo menos um carácter.

Pretty easy. But then they changed things,

Bastante simples.

Mas depois as coisas mudaram, e no final de 2009, anunciaram

and at the end of 2009, they announced

that we were going to have a new policy,

que iriam ter uma nova política

and this new policy required

e essa política exigia

passwords that were at least eight characters long,

palavras-passe que tivessem pelo menos oito caracteres,

with an uppercase letter, lowercase letter,

com uma letra maiúscula, uma letra minúscula,

a digit, a symbol,

um número, um símbolo,

you couldn't use the same character more than three times,

não podíamos utilizar o mesmo carácter mais do que três vezes,

and it wasn't allowed to be in a dictionary.

e não poderia constar de um dicionário.

Now, when they implemented this new policy,

Quando eles implementaram esta nova política,

a lot of people, my colleagues and friends,

muitas pessoas, os meus colegas e amigos,

came up to me and they said, "Wow,

vieram ter comigo e disseram:

now that's really unusable.

"Uau, agora é que é realmente inutilizável.

Why are they doing this to us,

"Porque é que eles nos estão a fazer isto,

and why didn't you stop them?"

"e porque é que tu não os impedes?"

And I said, "Well, you know what?

E eu disse: "Bem, sabem que mais?

They didn't ask me."

"Eles não me perguntaram."

But I got curious, and I decided to go talk

Mas fiquei curiosa e decidi ir falar

to the people in charge of our computer systems

com as pessoas responsáveis pelos nossos sistemas informáticos

and find out what led them to introduce

e descobrir o que os levou a introduzir

this new policy,

esta nova política,

and they said that the university

e eles disseram que a universidade

had joined a consortium of universities,

se tinha juntado a um consórcio de universidades,

and one of the requirements of membership

e que um dos requisitos da adesão

was that we had to have stronger passwords

era que tínhamos que usar palavras-passe mais fortes

that complied with some new requirements,

que estivessem de acordo com alguns novos requisitos,

and these requirements were that our passwords

e estes requisitos eram de que nossas palavras-passe

had to have a lot of entropy.

teriam que ter muita entropia.

Now entropy is a complicated term,

Entropia é um termo complicado,

but basically it measures the strength of passwords.

mas basicamente mede a força das palavras-passe.

But the thing is, there isn't actually

Mas o que acontece é que não há, na verdade,

a standard measure of entropy.

uma medida padrão de entropia.

Now, the National Institute of Standards and Technology

O Instituto Nacional de Padrões e Tecnologia

has a set of guidelines

tem um conjunto de diretrizes

which have some rules of thumb

que têm algumas regras gerais

for measuring entropy,

para medir entropia,

but they don't have anything too specific,

mas não têm nada muito específico,

and the reason they only have rules of thumb

e a razão de terem apenas regras gerais,

is it turns out they don't actually have any good data

é por não terem, na verdade, quaisquer dados válidos

on passwords.

sobre palavras-passe.

In fact, their report states,

Na verdade, o seu relatório afirma:

"Unfortunately, we do not have much data

"Infelizmente, não temos muitos dados

on the passwords users choose under particular rules.

"sobre as palavras-passe que os utilizadores escolhem

"de acordo com regras específicas.

NIST would like to obtain more data

"O INPT gostaria de obter mais dados

on the passwords users actually choose,

"sobre as palavras-passe que os utilizadores realmente escolhem,

but system administrators are understandably reluctant

"mas os administradores de sistema estão compreensivelmente relutantes

to reveal password data to others."

"em revelar dados de palavras-passe a outras pessoas. "

So this is a problem, but our research group

Portanto, isto é um problema, mas o nosso grupo de investigação

looked at it as an opportunity.

entendeu-o como uma oportunidade.

We said, "Well, there's a need for good password data.

Dissemos: "Bem, há uma necessidade de bons dados sobre palavras-passe.

Maybe we can collect some good password data

"Talvez possamos recolher alguns bons dados sobre palavras-passe

and actually advance the state of the art here.

"e, fazer avançar, de facto, o conhecimento nesta área".

So the first thing we did is,

Então a primeira coisa que fizemos foi,

we got a bag of candy bars

comprámos um saco de guloseimas

and we walked around campus

e andámos pelo "campus"

and talked to students, faculty and staff,

e falámos com estudantes, professores e funcionários,

and asked them for information

e pedimos-lhes informações

about their passwords.

sobre as suas palavras-passe.

Now we didn't say, "Give us your password."

Não lhes dissemos: "Dê-me a sua palavra-passe."

No, we just asked them about their password.

Não, apenas lhes perguntámos sobre as suas palavras-passe.

How long is it? Does it have a digit?

"É longa?" "Tem algum número?"

Does it have a symbol?

"Tem algum símbolo?"

And were you annoyed at having to create

E: "Foi-lhe aborrecido ter que criar

a new one last week?

"uma nova na semana passada?"

So we got results from 470 students,

Assim conseguimos resultados de 470 estudantes,

faculty and staff,

professores e funcionários,

and indeed we confirmed that the new policy

e, de facto, confirmámos que a nova política

was very annoying,

era muito irritante,

but we also found that people said

mas também descobrimos que as pessoas diziam

they felt more secure with these new passwords.

sentir-se mais seguras com estas novas palavras-passe.

We found that most people knew

Descobrimos que a maior parte das pessoas sabia

they were not supposed to write their password down,

que não deveria anotar as suas palavras-passe,

and only 13 percent of them did,

e apenas 13 por cento o fizeram,

but disturbingly, 80 percent of people

mas estranhamente, 80 por cento das pessoas

said they were reusing their password.

afirmaram estar a reutilizar as suas palavras-passe.

Now, this is actually more dangerous

Na verdade, isto é mais perigoso

than writing your password down,

do que anotarmos a nossa palavra-passe,

because it makes you much more susceptible to attackers.

porque isto nos torna muito mais suscetíveis a ataques.

So if you have to, write your passwords down,

Então, se tiver que ser, anotem as vossas palavras-passe,

but don't reuse them.

mas não as reutilizem.

We also found some interesting things

Também descobrimos algumas coisas interessantes

about the symbols people use in passwords.

sobre os símbolos que as pessoas utilizam nas suas palavras-passe.

So CMU allows 32 possible symbols,

A CMU permite 32 símbolos possíveis,

but as you can see, there's only a small number

mas como podem ver, há apenas um número reduzido

that most people are using,

que a maior parte das pessoas está a utilizar,

so we're not actually getting very much strength

por isso, não estamos a retirar muita força

from the symbols in our passwords.

dos símbolos nas nossas palavras-passe.

So this was a really interesting study,

Portanto, este foi um estudo muito interessante,

and now we had data from 470 people,

e agora tínhamos dados de 470 pessoas,

but in the scheme of things,

mas em termos gerais,

that's really not very much password data,

não são muitos dados sobre palavras-passe,

and so we looked around to see

e então olhámos à volta para ver

where could we find additional password data?

onde poderíamos encontrar mais dados sobre palavras-passe?

So it turns out there are a lot of people

Acontece que há muitas pessoas

going around stealing passwords,

por aí a roubar palavras-passe,

and they often go and post these passwords

e muitas vezes publicam essas palavras-passe

on the Internet.

na Internet.

So we were able to get access

Assim nós conseguimos ter acesso

to some of these stolen password sets.

a alguns desses conjuntos de palavras-passe roubadas.

This is still not really ideal for research, though,

No entanto, isto ainda não é realmente ideal para a investigação,

because it's not entirely clear

porque não é inteiramente claro

where all of these passwords came from,

de onde vieram todas estas palavras-passe,

or exactly what policies were in effect

ou exatamente quais eram as políticas que estavam em vigor

when people created these passwords.

quando as pessoas criaram estas palavras-passe.

So we wanted to find some better source of data.

Então quisemos encontrar uma melhor fonte de dados.

So we decided that one thing we could do

Decidimos então que uma coisa que podíamos fazer

is we could do a study and have people

era fazer um estudo e ter pessoas

actually create passwords for our study.

a criarem, de facto, palavras-passe para o nosso estudo.

So we used a service called Amazon Mechanical Turk,

Assim utilizámos um serviço chamado Amazon Mechanical Turk,

and this is a service where you can post

e este é um serviço onde podemos publicar "on-line"

a small job online that takes a minute,

um pequeno trabalho que demore um minuto,

a few minutes, an hour,

alguns minutos, uma hora,

and pay people, a penny, ten cents, a few dollars,

e pague às pessoas, uma moeda de um centavo, dez centavos, alguns dólares,

to do a task for you,

para fazerem uma tarefa por nós,

and then you pay them through Amazon.com.

e depois pagamos-lhes através da Amazon.com

So we paid people about 50 cents

Então pagámos às pessoas 50 centavos

to create a password following our rules

para criarem uma palavra-passe seguindo as nossas regras

and answering a survey,

e respondendo a um questionário,

and then we paid them again to come back

e depois pagámos-lhes outra vez para voltarem

two days later and log in

dois dias depois e fazerem o "login"

using their password and answering another survey.

utilizando as suas palavras-passe e respondendo a outro questionário.

So we did this, and we collected 5,000 passwords,

Fizemos então isto e recolhemos 5000 palavras-passe,

and we gave people a bunch of different policies

e demos às pessoas várias regras diferentes

to create passwords with.

para criarem as suas palavras-passe.

So some people had a pretty easy policy,

Então algumas pessoas tinham uma política muito simples,

we call it Basic8,

a que chamámos Basic8,

and here the only rule was that your password

e aqui a única regra era que a palavra-passe

had to have at least eight characters.

tinha que ter pelo menos oito caracteres.

Then some people had a much harder policy,

Depois algumas pessoas tinham uma política muito mais rígida,

and this was very similar to the CMU policy,

e esta era muito semelhante à política da CMU,

that it had to have eight characters

que tinha quer ter oito caracteres

including uppercase, lowercase, digit, symbol,

incluindo maiúsculas, minúsculas, números, símbolos,

and pass a dictionary check.

e passar por uma verificação de dicionário.

And one of the other policies we tried,

E uma de outras políticas que tentámos,

and there were a whole bunch more,

e havia várias outras,

but one of the ones we tried was called Basic16,

mas uma das que tentámos era chamada Basic16.

and the only requirement here

e a única exigência aqui

was that your password had to have at least 16 characters.

era que a palavra-passe tinha que ter pelos menos 16 caracteres.

All right, so now we had 5,000 passwords,

Muito bem, então tínhamos 5000 palavras-passe,

and so we had much more detailed information.

e então tínhamos informação muito mais detalhada.

Again we see that there's only a small number

Mais uma vez, vemos que há apenas um pequeno número

of symbols that people are actually using

de símbolos que as pessoas estão a utilizar

in their passwords.

nas suas palavras-passe.

We also wanted to get an idea of how strong

Também queríamos ter uma ideia do quão forte

the passwords were that people were creating,

eram as palavras-passe que as pessoas estavam a criar,

but as you may recall, there isn't a good measure

mas como se devem lembrar, não há uma boa medida

of password strength.

de força da palavra-passe.

So what we decided to do was to see

Então o que decidimos foi ver

how long it would take to crack these passwords

quanto tempo levaria a descobrir essas palavras-passe

using the best cracking tools

utilizando as melhores ferramentas para o efeito

that the bad guys are using,

que os "maus da fita" utilizam,

or that we could find information about

ou sobre as quais conseguimos encontrar informação

in the research literature.

na literatura da investigação.

So to give you an idea of how bad guys

Então, para vos dar uma ideia da forma como os "maus da fita"

go about cracking passwords,

andam por aí a descodificar palavras-passe,

they will steal a password file

eles roubam um ficheiro de palavras-passe

that will have all of the passwords

que contém todas as palavras-passe

in kind of a scrambled form, called a hash,

numa espécie de forma baralhada, chamada uma "hash",

and so what they'll do is they'll make a guess

e, por isso, o que eles fazem é:

dão um palpite sobre qual é uma palavra-passe,

as to what a password is,

run it through a hashing function,

testam-na através de uma função "hash",

and see whether it matches

e vêem se corresponde

the passwords they have on their stolen password list.

às palavras-passe que têm na sua lista de palavras-passe roubadas.

So a dumb attacker will try every password in order.

Assim, um malfeitor idiota vai tentar todas as palavras-passe por ordem.

They'll start with AAAAA and move on to AAAAB,

Vai começar com AAAAA e passar para AAAAB,

and this is going to take a really long time

e isto vai demorar imenso tempo

before they get any passwords

até que consiga alguma palavra-passe

that people are really likely to actually have.

que, de facto, seja provável as pessoas terem.

A smart attacker, on the other hand,

Um malfeitor esperto, por outro lado,

does something much more clever.

faz algo muito mais inteligente.

They look at the passwords

Olha para as palavras-passe

that are known to be popular

que sejam entendidas como mais populares

from these stolen password sets,

nesses conjuntos de palavras-passe roubadas,

and they guess those first.

e testa essas primeiro.

So they're going to start by guessing "password,"

Então vai começar por testar "palavra-passe,"

and then they'll guess "I love you," and "monkey,"

e depois vai testar "I love you" e "macaco"

and "12345678,"

e "12345678",

because these are the passwords

porque essas são as palavra-passe

that are most likely for people to have.

que é mais provável as pessoas terem.

In fact, some of you probably have these passwords.

De facto, alguns de vocês provavelmente têm estas palavras-passe.

So what we found

Então o que descobrimos

by running all of these 5,000 passwords we collected

ao testar todas estas 5000 palavras-passe que recolhemos

through these tests to see how strong they were,

através destes testes para vermos o quão fortes elas eram,

we found that the long passwords

descobrimos que as palavras-passe longas

were actually pretty strong,

eram de facto bastante fortes,

and the complex passwords were pretty strong too.

e as palavras-passe complexas eram também bastante fortes.

However, when we looked at the survey data,

No entanto, quando olhámos para os dados do questionário,

we saw that people were really frustrated

vimos que as pessoas estavam bastante frustadas

by the very complex passwords,

com as palavras-passe muito complexas,

and the long passwords were a lot more usable,

e as palavras-passe longas eram bastante mais utilizáveis,

and in some cases, they were actually

e em alguns casos, elas eram

even stronger than the complex passwords.

até mais fortes do que palavras-passe complexas.

So this suggests that,

Então isto sugere que,

instead of telling people that they need

em vez de dizer às pessoas que elas precisam

to put all these symbols and numbers

de colocar todos esses símbolos e números

and crazy things into their passwords,

e coisas loucas nas suas palavras-passe,

we might be better off just telling people

pode ser melhor apenas dizer às pessoas

to have long passwords.

para terem palavras-passe longas.

Now here's the problem, though:

Ora aqui está o problema, ainda assim:

Some people had long passwords

Algumas pessoas tinham palavras-passe longas

that actually weren't very strong.

que, na verdade, não eram muito fortes.

You can make long passwords

Podemos criar palavras-passe longas

that are still the sort of thing

que ainda são o tipo de coisa

that an attacker could easily guess.

que um malfeitor pode facilmente adivinhar.

So we need to do more than just say long passwords.

Então, temos que fazer mais do que apenas considerar palavras-passe longas.

There has to be some additional requirements,

Têm que haver alguns requisitos adicionais,

and some of our ongoing research is looking at

e uma parte da nossa investigação em curso está a tentar perceber

what additional requirements we should add

que requisitos adicionais devemos adicionar

to make for stronger passwords

para criar palavras-passe mais fortes

that also are going to be easy for people

que sejam também fáceis para as pessoas

to remember and type.

memorizarem e digitarem.

Another approach to getting people to have

Outra abordagem para levar as pessoas a ter

stronger passwords is to use a password meter.

palavras-passe mais fortes é utilizar um medidor de palavra-passe.

Here are some examples.

Aqui estão alguns exemplos.

You may have seen these on the Internet

Podem ter visto isto na Internet

when you were creating passwords.

quando estavam a criar palavras-passe.

We decided to do a study to find out

Decidimos fazer um estudo para descobrir

whether these password meters actually work.

se estes medidores de palavras-passe de facto funcionavam.

Do they actually help people

Será que ajudam realmente as pessoas

have stronger passwords,

a terem palavras-passe mais fortes,

and if so, which ones are better?

e se sim, quais são os melhores?

So we tested password meters that were

Então testámos medidores de palavras-passe que eram

different sizes, shapes, colors,

diferentes tamanhos, formas, cores,

different words next to them,

diferentes palavras junto deles,

and we even tested one that was a dancing bunny.

e até testámos um que era um coelho a dançar.

As you type a better password,

À medida que digitamos uma palavra-passe melhor,

the bunny dances faster and faster.

o coelho dança cada vez mais rápido.

So this was pretty fun.

Então, isto era muito divertido.

What we found

O que descobrimos

was that password meters do work.

foi que os medidores de palavras-passe funcionam mesmo.

(Laughter)

(Risos)

Most of the password meters were actually effective,

A maioria dos medidores de palavras-passe eram realmente eficazes,

and the dancing bunny was very effective too,

e o coelho dançarino também era muito eficaz,

but the password meters that were the most effective

mas os medidores de palavras-passe mais eficazes

were the ones that made you work harder

foram os que nos deram mais trabalho

before they gave you that thumbs up and said

até nos darem a sua aprovação e dizerem

you were doing a good job,

que estávamos a fazer um bom trabalho.

and in fact we found that most

e, de facto, descobrimos que a maioria

of the password meters on the Internet today

dos medidores de palavras-passe que existem na Internet hoje em dia

are too soft.

They tell you you're doing a good job too early,

são demasiado brandos.

Eles dizem-nos que estamos a fazer um bom trabalho demasiado cedo,

and if they would just wait a little bit

e se simplesmente esperassem um pouco mais

before giving you that positive feedback,

antes de nos darem o seu "feedback" positivo,

you probably would have better passwords.

provavelmente teríamos melhores palavras-passe.

Now another approach to better passwords, perhaps,

Agora, uma outra abordagem para melhores palavras-passe talvez

is to use pass phrases instead of passwords.

seja utilizar frases em vez de palavras.

So this was an xkcd cartoon from a couple of years ago,

Este foi um "cartoon" da xkcd há alguns anos atrás.

and the cartoonist suggests

e o cartunista sugere

that we should all use pass phrases,

que todos nós deveríamos utilizar frases-passe,

and if you look at the second row of this cartoon,

e se olharem para a segunda linha deste "cartoon",

you can see the cartoonist is suggesting

podem ver que o cartunista está a sugerir

that the pass phrase "correct horse battery staple"

que a frase "correto cavalo bateria agrafo"

would be a very strong pass phrase

seria uma palavra-passe muito forte

and something really easy to remember.

e algo muito fácil de memorizar.

He says, in fact, you've already remembered it.

Ele diz mesmo que, de facto, nós já a memorizámos.

And so we decided to do a research study

E então nós decidimos fazer um estudo

to find out whether this was true or not.

para descobrir se isto era ou não verdade.

In fact, everybody who I talk to,

Na verdade, todas as pessoas com quem falámos,

who I mention I'm doing password research,

a quem eu disse que estava a fazer uma investigação sobre palavras-passe,

they point out this cartoon.

mencionaram este "cartoon".

"Oh, have you seen it? That xkcd.

"Oh, tu viste? Aquele xkcd.

Correct horse battery staple."

"Correto cavalo bateria agrafo."

So we did the research study to see

Então nós fizemos uma investigação para ver

what would actually happen.

o que iria realmente acontecer.

So in our study, we used Mechanical Turk again,

Então no nosso estudo, utilizámos a Mechanical Turk outra vez,

and we had the computer pick the random words

e tínhamos o computador a escolher as palavras aleatórias

in the pass phrase.

na frase-passe.

Now the reason we did this

A razão por que fizemos isto

is that humans are not very good

é que os humanos não são muito bons

at picking random words.

a escolher palavras aleatórias.

If we asked a human to do it,

Se pedíssemos a um humano para o fazer,

they would pick things that were not very random.

ele escolheria coisas que não são muito aleatórias.

So we tried a few different conditions.

Por isso tentámos algumas diferentes condições.

In one condition, the computer picked

Numa das condições, o computadores escolheu

from a dictionary of the very common words

de um dicionário de palavras muito comuns

in the English language,

da língua inglesa,

and so you'd get pass phrases like

e então teríamos frases como

"try there three come."

"tentar lá três vem."

And we looked at that, and we said,

E olhámos para isto e dissemos,

"Well, that doesn't really seem very memorable."

"Bem, isto realmente não parece muito fácil de memorizar."

So then we tried picking words

Então tentámos escolher palavras

that came from specific parts of speech,

que viessem de partes específicas do discurso,

so how about noun-verb-adjective-noun.

então que tal substantivo-verbo-adjetivo-substantivo.

That comes up with something that's sort of sentence-like.

Isto resulta numa espécie de frase.

So you can get a pass phrase like

Então podemos ter uma frase-passe como

"plan builds sure power"

"plano constrói seguro poder"

or "end determines red drug."

ou "final determina vermelha droga."

And these seemed a little bit more memorable,

E estas pareciam um pouco mais memorizáveis,

and maybe people would like those a little bit better.

e talvez as pessoas gostassem um pouco mais destas.

We wanted to compare them with passwords,

Queríamos compará-las com palavras-passe,

and so we had the computer pick random passwords,

e por isso tínhamos o computador e escolher palavras-passe aleatórias,

and these were nice and short, but as you can see,

que eram boas e curtas, mas como podem ver,

they don't really look very memorable.

não pareciam muito memorizáveis.

And then we decided to try something called

E depois decidimos tentar algo chamado

a pronounceable password.

palavra-passe pronunciável.

So here the computer picks random syllables

Então, aqui o computador escolhe sílabas aleatórias

and puts them together

e junta-as

so you have something sort of pronounceable,

então temos algo mais ou menos pronunciável,

like "tufritvi" and "vadasabi."

como "tufritvi" e "vadasabi."

That one kind of rolls off your tongue.

Esta último enrola um pouco a língua.

So these were random passwords that were

Então estas eram palavras-passe aleatórias

generated by our computer.

geradas pelo nosso computador.

So what we found in this study was that, surprisingly,

Então o que descobrimos neste estudo foi que, surpreendentemente,

pass phrases were not actually all that good.

frases-passe não eram na verdade assim tão boas.

People were not really better at remembering

As pessoas não tiveram muito mais facilidade em memorizar

the pass phrases than these random passwords,

as frases-passe do que estas palavras-passe aleatórias,

and because the pass phrases are longer,

e porque as frases-passe eram mais longas,

they took longer to type

demoravam mais tempo a digitar

and people made more errors while typing them in.

e as pessoas cometiam mais erros ao digitá-las.

So it's not really a clear win for pass phrases.

Portanto, não temos realmente uma vitória clara para frases-passe.

Sorry, all of you xkcd fans.

Desculpem, todos os fãs da xkcd.

On the other hand, we did find

Por outro lado, descobrimos

that pronounceable passwords

que as palavras-passe pronunciáveis

worked surprisingly well,

funcionavam surpreendentemente bem,

and so we actually are doing some more research

e, por isso, estamos mesmo a fazer mais alguns estudos

to see if we can make that approach work even better.

para ver se podemos fazer com que esta abordagem funcione ainda melhor.

So one of the problems

Um dos problemas

with some of the studies that we've done

com alguns dos estudos que fizemos

is that because they're all done

é que, por todos eles terem sido feitos

using Mechanical Turk,

utilizando a Mechanical Turk,

these are not people's real passwords.

estas não são as verdadeiras palavras-passe das pessoas.

They're the passwords that they created

São as palavras-passe que elas criaram

or the computer created for them for our study.

ou que o computador criou por elas para o nosso estudo.

And we wanted to know whether people

E nós queríamos saber se as pessoas

would actually behave the same way

realmente se comportariam da mesma forma

with their real passwords.

com as suas palavras-passe reais.

So we talked to the information security office at Carnegie Mellon

Então, falámos com o gabinete de segurança informática da Carnegie Mellon

and asked them if we could have everybody's real passwords.

e pedimos-lhes se podíamos ter acesso às palavras-passe reais de toda a gente.

Not surprisingly, they were a little bit reluctant

Como seria de esperar, eles estavam um pouco relutantes

to share them with us,

em partilhá-las connosco,

but we were actually able to work out

mas conseguimos de facto criar

a system with them

um sistema com eles

where they put all of the real passwords

em que eles puseram todas as palavras-passe reais

for 25,000 CMU students, faculty and staff,

dos 25 000 estudantes, professores e funcionários da CMU

into a locked computer in a locked room,

num computador bloqueado, numa sala trancada,

not connected to the Internet,

sem ligação à Internet,

and they ran code on it that we wrote

e eles executaram o código que escrevemos

to analyze these passwords.

para analisar estas palavras-passe.

They audited our code.

Eles examinaram o nosso código.

They ran the code.

Eles executaram o código.

And so we never actually saw

E, por isso, nós realmente nunca tivemos acesso

anybody's password.

a palavras-passe de ninguém.

We got some interesting results,

Conseguimos alguns resultados interessantes,

and those of you Tepper students in the back

e alguns de vós, estudantes da Tepper, aí ao fundo,

will be very interested in this.

vão ter muito interesse nisto.

So we found that the passwords created

Descobrimos que as palavras-passe criadas

by people affiliated with the school of computer science

por pessoas ligadas à escola de ciências informáticas

were actually 1.8 times stronger

eram na verdade 1,8 vezes mais fortes

than those affiliated with the business school.

do que as das pessoas ligadas à Escola de Gestão.

We have lots of other really interesting

Temos muitos outros interessantes

demographic information as well.

dados demográficos também.

The other interesting thing that we found

Outra coisa interessante que descobrimos

is that when we compared the Carnegie Mellon passwords

é que quando comparámos as palavras-passe da Carnegie Mellon

to the Mechanical Turk-generated passwords,

com as palavras-passe geradas pela Mechanical Turk,

there was actually a lot of similarities,

havia, na verdade, várias semelhanças,

and so this helped validate our research method

e isto ajudou a validar o nosso método de investigação

and show that actually, collecting passwords

e a provar que recolher palavras-passe

using these Mechanical Turk studies

utilizando os estudos da Mechanical Turk

is actually a valid way to study passwords.

é, de facto, uma forma válida de estudar palavras-passe.

So that was good news.

Isto foram boas notícias.

Okay, I want to close by talking about

Ok, eu quero encerrar falando sobre

some insights I gained while on sabbatical

algumas ideias que adquiri durante o meu período sabático

last year in the Carnegie Mellon art school.

no ano passado, na Escola de Arte da Carnegie Mellon.

One of the things that I did

Umas das coisas que fiz

is I made a number of quilts,

foi uma série de colchas,

and I made this quilt here.

e eu fiz esta colcha aqui.

It's called "Security Blanket."

Chama-se "Manta de Segurança."

(Laughter)

(Risos)

And this quilt has the 1,000

E esta colcha tem as 1000

most frequent passwords stolen

palavras-passe mais frequentemente roubadas

from the RockYou website.

do "website" RockYou.

And the size of the passwords is proportional

E o tamanho da palavra-passe é proporcional

to how frequently they appeared

à frequência com que aparecem

in the stolen dataset.

no conjunto de dados roubados.

And what I did is I created this word cloud,

E o que eu fiz foi criar esta "nuvem" de palavras,

and I went through all 1,000 words,

e analisar por todas as 1000 palavras,

and I categorized them into

e categorizá-las em

loose thematic categories.

categorias temáticas soltas.

And it was, in some cases,

E foi, em alguns casos,

it was kind of difficult to figure out

foi relativamente difícil perceber

what category they should be in,

em que categoria elas se deviam inserir,

and then I color-coded them.

e depois codifiquei-as por cores.

So here are some examples of the difficulty.

Então, aqui estão alguns exemplos da dificuldade.

So "justin."

Por exemplo, "justin."

Is that the name of the user,

Será o nome do utilizador,

their boyfriend, their son?

do seu namorado, do seu filho?

Maybe they're a Justin Bieber fan.

Talvez seja um fã do Justin Bieber.

Or "princess."

Ou "princesa."

Is that a nickname?

Será uma alcunha?

Are they Disney princess fans?

Serão fãs das princesas da Disney?

Or maybe that's the name of their cat.

Ou talvez seja o nome da sua gata.

"Iloveyou" appears many times

"Iloveyou" aparece muitas vezes,

in many different languages.

em várias línguas diferentes.

There's a lot of love in these passwords.

Há muito amor nestas palavras-passe.

If you look carefully, you'll see there's also

Se olharem com atenção, verão que também há alguns palavrões,

some profanity,

but it was really interesting to me to see

mas foi realmente interessante para mim constatar

that there's a lot more love than hate

que há muito mais amor do que ódio

in these passwords.

nestas palavras-passe.

And there are animals,

E há animais,

a lot of animals,

muitos animais,

and "monkey" is the most common animal

e "macaco" é o animal mais comum

and the 14th most popular password overall.

e a 14.ª palavra-passe mais comum em geral.

And this was really curious to me,

E achei isto realmente curioso,

and I wondered, "Why are monkeys so popular?"

e perguntei-me: "Porque é que os macacos são tão populares?"

And so in our last password study,

E então, no nosso último estudo às palavras-passe,

any time we detected somebody

cada vez que detetávamos alguém

creating a password with the word "monkey" in it,

a criar uma palavra-passe com a palavra "macaco",

we asked them why they had a monkey in their password.

perguntámos-lhes porque tinham macaco na sua palavra-chave.

And what we found out --

E o que descobrimos

we found 17 people so far, I think,

— descobrimos 17 pessoas até agora, eu acho,

who have the word "monkey" --

que têm a palavra "macaco" —

We found out about a third of them said

descobrimos que cerca de um terço destas pessoas disse

they have a pet named "monkey"

ter um animal de estimação chamado "macaco"

or a friend whose nickname is "monkey,"

ou um amigo cuja alcunha é "macaco,"

and about a third of them said

e cerca de um terço destas pessoas disse

that they just like monkeys

apenas gostar de macacos

and monkeys are really cute.

e os macacos são realmente fofinhos.

And that guy is really cute.

Aquele amigo é mesmo fofinho.

So it seems that at the end of the day,

Então, parece que, no final de contas,

when we make passwords,

quando criamos palavras-passe,

we either make something that's really easy

ou criamos algo que seja realmente fácil

to type, a common pattern,

de digitar, um padrão comum,

or things that remind us of the word password

ou coisas que nos lembrem da palavra palavra-passe

or the account that we've created the password for,

ou a conta para a qual criámos a palavra-passe,

or whatever.

ou o que quer que seja.

Or we think about things that make us happy,

Ou pensamos em coisas que nos fazem felizes,

and we create our password

e criamos a nossa palavra-passe

based on things that make us happy.

baseada em coisas que nos fazem felizes.

And while this makes typing

E se isto torna o digitar

and remembering your password more fun,

e o memorizar a nossa palavra-passe mais divertido,

it also makes it a lot easier

também torna muito fácil

to guess your password.

adivinhar a nossa palavra-passe.

So I know a lot of these TED Talks

Eu sei que muitas destas palestras TED

are inspirational

são inspiradoras

and they make you think about nice, happy things,

e que nos fazem pensar em coisas boas, coisas felizes,

but when you're creating your password,

mas quando estiverem a criar a vossa palavra-passe,

try to think about something else.

tentem pensar em outra coisa.

Thank you.

Obrigada.

(Applause)

(Aplausos)