Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Лорри Фэйт Крэнор: Что не так с вашим паролем?

Переводчик: Anna Kotova Редактор: Olga Dmitrochenkova

I am a computer science and engineering professor here at Carnegie Mellon,

Я профессор информатики и инженерии здесь, в Университете Карнеги-Меллон.

and my research focuses on usable privacy and security,

Я занимаюсь исследованием полезной конфиденциальности и безопасности,

and so my friends like to give me examples

поэтому друзья любят делиться со мной

of their frustrations with computing systems,

своими огорчениями, связанными с компьютерами,

especially frustrations related to

особенно теми, которые касаются

unusable privacy and security.

бесполезной конфиденциальности и безопасности.

So passwords are something that I hear a lot about.

Мне часто приходится слышать о паролях.

A lot of people are frustrated with passwords,

Многих людей пароли расстраивают

and it's bad enough

уже одним тем, что приходится

when you have to have one really good password

придумывать действительно хороший пароль,

that you can remember

который легко запомнить

but nobody else is going to be able to guess.

и который никому не взломать.

But what do you do when you have accounts

Но что, если у вас сотни учётных записей

on a hundred different systems

в различных системах,

and you're supposed to have a unique password

и нужно иметь уникальный пароль

for each of these systems?

для каждой из них?

It's tough.

Это нелёгкая задача.

At Carnegie Mellon, they used to make it

Раньше в Карнеги-Меллон

actually pretty easy for us

нам было довольно легко

to remember our passwords.

запоминать наши пароли.

The password requirement up through 2009

До 2009 года требовалось,

was just that you had to have a password

чтобы пароль

with at least one character.

содержал хотя бы один знак.

Pretty easy. But then they changed things,

Легко. Но затем требования изменились,

and at the end of 2009, they announced

и с конца 2009 года

that we were going to have a new policy,

были введены новые правила,

and this new policy required

согласно которым

passwords that were at least eight characters long,

пароли должны состоять хотя бы из 8 знаков,

with an uppercase letter, lowercase letter,

с одной заглавной, одной строчной буквой,

a digit, a symbol,

цифрой, специальным символом,

you couldn't use the same character more than three times,

нельзя использовать один и тот же знак более трёх раз,

and it wasn't allowed to be in a dictionary.

и пароля не должно быть в словаре.

Now, when they implemented this new policy,

Когда новые правила были введены,

a lot of people, my colleagues and friends,

многие мои коллеги и друзья

came up to me and they said, "Wow,

пришли ко мне и сказали:

now that's really unusable.

«Ну и ну! Этим невозможно пользоваться!

Why are they doing this to us,

За что они с нами так поступают?

and why didn't you stop them?"

Почему ты их не остановила?»

And I said, "Well, you know what?

Я ответила: «Знаете что?

They didn't ask me."

Меня никто и не спрашивал».

But I got curious, and I decided to go talk

Но мне стало любопытно, и я решила поговорить

to the people in charge of our computer systems

с людьми, отвечающими за наши компьютеры,

and find out what led them to introduce

и выяснить, что же заставило их

this new policy,

ввести новые правила.

and they said that the university

Мне ответили, что университет

had joined a consortium of universities,

вступил в Ассоциацию университетов,

and one of the requirements of membership

и одним из требований для её членов

was that we had to have stronger passwords

является наличие более надёжных паролей,

that complied with some new requirements,

отвечающих новым условиям.

and these requirements were that our passwords

Этим условием было наличие в паролях

had to have a lot of entropy.

информационной энтропии.

Now entropy is a complicated term,

Информационная энтропия — сложный термин.

but basically it measures the strength of passwords.

Говоря проще, он показывает, насколько надёжен пароль.

But the thing is, there isn't actually

Проблема в том, что не существует

a standard measure of entropy.

стандартной меры энтропии.

Now, the National Institute of Standards and Technology

Национальный институт стандартов и технологий

has a set of guidelines

имеет ряд инструкций,

which have some rules of thumb

содержащих общие правила

for measuring entropy,

измерения информационной энтропии,

but they don't have anything too specific,

однако они не носят конкретного характера,

and the reason they only have rules of thumb

и причина этого в том,

is it turns out they don't actually have any good data

что у Института недостаточно данных

on passwords.

о паролях.

In fact, their report states,

Фактически, в их отчёте говорится:

"Unfortunately, we do not have much data

«К сожалению, мы не располагаем данными

on the passwords users choose under particular rules.

о паролях, выбираемых пользователями согласно правилам.

NIST would like to obtain more data

Институту хотелось бы получить больше данных

on the passwords users actually choose,

о паролях, которые выбираются на самом деле,

but system administrators are understandably reluctant

но, по понятным причинам, системные администраторы

to reveal password data to others."

делятся ими неохотно».

So this is a problem, but our research group

Задача трудная, но наша исследовательская группа

looked at it as an opportunity.

увидела в ней хорошую возможность.

We said, "Well, there's a need for good password data.

Мы сказали: «Существует нехватка данных о паролях.

Maybe we can collect some good password data

Мы могли бы собрать такие данные

and actually advance the state of the art here.

и изменить положение дел».

So the first thing we did is,

Первое, что мы сделали, —

we got a bag of candy bars

мы взяли мешок с шоколадками

and we walked around campus

и прошлись по территории университета,

and talked to students, faculty and staff,

разговаривая со студентами и преподавателями.

and asked them for information

Мы задавали им вопросы

about their passwords.

об их паролях.

Now we didn't say, "Give us your password."

Мы не просили их раскрывать пароли.

No, we just asked them about their password.

Мы просто спрашивали про них.

How long is it? Does it have a digit?

Какой они длины? Есть ли в них цифры?

Does it have a symbol?

Содержат ли они специальные символы?

And were you annoyed at having to create

Были ли вы раздражены, когда вам пришлось

a new one last week?

создать новый пароль на прошлой неделе?

So we got results from 470 students,

Мы собрали результаты опроса 470 студентов,

faculty and staff,

преподавателей и сотрудников,

and indeed we confirmed that the new policy

и подтвердился тот факт, что новые правила

was very annoying,

всех очень раздражали.

but we also found that people said

Но люди также говорили,

they felt more secure with these new passwords.

что с новыми паролями они чувствовали себя более защищёнными.

We found that most people knew

Мы узнали, что большинство людей знает,

they were not supposed to write their password down,

что нельзя записывать свой пароль на бумажку, —

and only 13 percent of them did,

так поступают только 13% опрошенных —

but disturbingly, 80 percent of people

но, что настораживает, 80% людей признались

said they were reusing their password.

в использовании одного пароля по несколько раз.

Now, this is actually more dangerous

На самом деле, это ещё опаснее,

than writing your password down,

чем записывать пароль на бумажку,

because it makes you much more susceptible to attackers.

потому что это делает вас гораздо более уязвимыми перед хакерами.

So if you have to, write your passwords down,

Лучше уж записать пароль,

but don't reuse them.

но не использовать его повторно.

We also found some interesting things

Мы также узнали интересные факты о том,

about the symbols people use in passwords.

как люди используют в паролях специальные символы.

So CMU allows 32 possible symbols,

В Карнеги-Меллон можно использовать 32 специальных символа,

but as you can see, there's only a small number

но, как видите, только небольшое их число

that most people are using,

на самом деле используется,

so we're not actually getting very much strength

поэтому символы не делают наши пароли

from the symbols in our passwords.

намного надёжнее.

So this was a really interesting study,

Это было интересное исследование:

and now we had data from 470 people,

мы получили данные от 470 человек,

but in the scheme of things,

но, по большому счёту,

that's really not very much password data,

это не так много,

and so we looked around to see

поэтому мы стали искать, где ещё

where could we find additional password data?

можно достать данные о паролях.

So it turns out there are a lot of people

Оказывается, полно людей,

going around stealing passwords,

занимающихся воровством паролей,

and they often go and post these passwords

и они часто публикуют их

on the Internet.

в Интернете.

So we were able to get access

Нам удалось заполучить

to some of these stolen password sets.

несколько таких подборок украденных паролей.

This is still not really ideal for research, though,

Конечно, для исследования это не идеальный вариант,

because it's not entirely clear

так как непонятно,

where all of these passwords came from,

откуда все эти пароли взялись

or exactly what policies were in effect

и какие правила действовали,

when people created these passwords.

когда люди их создавали.

So we wanted to find some better source of data.

Нам хотелось найти источник данных получше.

So we decided that one thing we could do

Поэтому мы решили

is we could do a study and have people

провести исследование и попросить людей

actually create passwords for our study.

по-настоящему создать для него пароли.

So we used a service called Amazon Mechanical Turk,

Мы использовали сервис под названием Amazon Mechanical Turk.

and this is a service where you can post

Он позволяет размещать

a small job online that takes a minute,

небольшие задания в интернете,

a few minutes, an hour,

занимающие минуту, пару минут или час,

and pay people, a penny, ten cents, a few dollars,

и платить один, десять центов или несколько долларов

to do a task for you,

за их выполнение

and then you pay them through Amazon.com.

через сайт amazon.com.

So we paid people about 50 cents

Мы платили людям около 50 центов

to create a password following our rules

за то, чтобы они создали пароль, следуя нашим правилам,

and answering a survey,

и ответили на наши вопросы.

and then we paid them again to come back

Затем мы снова платили им за то, чтобы они вернулись

two days later and log in

через два дня, вошли на сайт,

using their password and answering another survey.

используя свой пароль, и ответили на другие вопросы.

So we did this, and we collected 5,000 passwords,

Мы собрали 5 000 паролей.

and we gave people a bunch of different policies

Мы задавали участникам множество разных правил

to create passwords with.

создания паролей.

So some people had a pretty easy policy,

Некоторым попадалось простое правило,

we call it Basic8,

мы называем его «Базовая восьмёрка»,

and here the only rule was that your password

единственное условие которого — пароль должен содержать

had to have at least eight characters.

хотя бы 8 знаков.

Then some people had a much harder policy,

Некоторым попадались правила посложнее,

and this was very similar to the CMU policy,

похожие на правила Карнеги-Меллон:

that it had to have eight characters

пароль должен содержать 8 знаков,

including uppercase, lowercase, digit, symbol,

включая заглавную и строчную буквы, цифру, специальный символ,

and pass a dictionary check.

и пройти проверку словарём.

And one of the other policies we tried,

Другой набор правил —

and there were a whole bunch more,

а их было много —

but one of the ones we tried was called Basic16,

названный нами «Базовые шестнадцать»,

and the only requirement here

требовал только одно:

was that your password had to have at least 16 characters.

пароль должен был содержать хотя бы 16 знаков.

All right, so now we had 5,000 passwords,

Итак, у нас было 5 000 паролей,

and so we had much more detailed information.

более детальная информация.

Again we see that there's only a small number

И снова мы видим, что существует лишь небольшое число

of symbols that people are actually using

специальных символов, используемых людьми

in their passwords.

в паролях.

We also wanted to get an idea of how strong

Мы также хотели понять, насколько надёжны

the passwords were that people were creating,

были пароли, созданные нашими участниками.

but as you may recall, there isn't a good measure

Но, как вы помните, хорошего стандарта измерения

of password strength.

надёжности паролей не существует.

So what we decided to do was to see

Мы решили посмотреть,

how long it would take to crack these passwords

сколько времени займёт их расшифровка

using the best cracking tools

с помощью лучших приёмов

that the bad guys are using,

из арсенала злоумышленников

or that we could find information about

или тех способов, о которых мы нашли информацию

in the research literature.

в научной литературе.

So to give you an idea of how bad guys

Как злоумышленники

go about cracking passwords,

взламывают пароли?

they will steal a password file

Они крадут файл, в котором содержатся

that will have all of the passwords

хеш-значения паролей, другими словами —

in kind of a scrambled form, called a hash,

пароли в зашифрованном виде.

and so what they'll do is they'll make a guess

Затем они пытаются

as to what a password is,

угадать пароль

run it through a hashing function,

с помощью хеш-функции

and see whether it matches

и смотрят, совпадает ли он

the passwords they have on their stolen password list.

с паролями из украденного списка.

So a dumb attacker will try every password in order.

Не слишком умные хакеры проверяют все пароли по порядку.

They'll start with AAAAA and move on to AAAAB,

Начиная с ААААА, затем ААААВ —

and this is going to take a really long time

пройдёт очень много времени

before they get any passwords

прежде чем они получат пароли,

that people are really likely to actually have.

которые реально создаются пользователями.

A smart attacker, on the other hand,

Толковые хакеры

does something much more clever.

действуют гораздо умнее.

They look at the passwords

Они берут пароли,

that are known to be popular

чаще всего встречающиеся

from these stolen password sets,

в украденных наборах хеш-значений паролей,

and they guess those first.

и начинают попытки взлома с них.

So they're going to start by guessing "password,"

Они начнут со слова «пароль»,

and then they'll guess "I love you," and "monkey,"

затем возьмут «я тебя люблю» и «обезьянка»,

and "12345678,"

а затем «12345678».

because these are the passwords

Именно эти пароли

that are most likely for people to have.

люди выбирают чаще всего.

In fact, some of you probably have these passwords.

Наверняка у кого-то из вас пароли именно такие.

So what we found

В своём исследовании,

by running all of these 5,000 passwords we collected

проверив все 5 000 собранных паролей

through these tests to see how strong they were,

с помощью тестов на надёжность,

we found that the long passwords

мы обнаружили, что длинные пароли

were actually pretty strong,

довольно надёжны.

and the complex passwords were pretty strong too.

Сложные пароли тоже.

However, when we looked at the survey data,

Однако результат опросов показал,

we saw that people were really frustrated

что сложные пароли

by the very complex passwords,

очень раздражают людей,

and the long passwords were a lot more usable,

а длинные пароли гораздо удобнее.

and in some cases, they were actually

В некоторых случаях длинные пароли

even stronger than the complex passwords.

оказывались даже надёжнее сложных.

So this suggests that,

Можно заключить,

instead of telling people that they need

что вместо того, чтобы

to put all these symbols and numbers

использовать специальные символы, цифры

and crazy things into their passwords,

и другие безумные штуки в паролях,

we might be better off just telling people

гораздо эффективнее

to have long passwords.

просто иметь длинные пароли.

Now here's the problem, though:

Однако здесь кроется проблема:

Some people had long passwords

некоторые длинные пароли

that actually weren't very strong.

были не так уж и надёжны.

You can make long passwords

Можно придумать длинный пароль,

that are still the sort of thing

который всё равно

that an attacker could easily guess.

будет с лёгкостью угадан взломщиком.

So we need to do more than just say long passwords.

Получается, нужно что-то большее, чем просто длинные пароли.

There has to be some additional requirements,

Нужны дополнительные условия.

and some of our ongoing research is looking at

Некоторые наши текущие исследования

what additional requirements we should add

изучают необходимые дополнительные условия того,

to make for stronger passwords

как сделать пароли более надёжными

that also are going to be easy for people

и в тоже время лёгкими

to remember and type.

для запоминания и набора на клавиатуре.

Another approach to getting people to have

Ещё один способ заставить людей создавать

stronger passwords is to use a password meter.

надёжные пароли — использовать индикатор надёжности.

Here are some examples.

Вот несколько примеров.

You may have seen these on the Internet

Возможно, вы видели их в Интернете,

when you were creating passwords.

когда создавали пароли.

We decided to do a study to find out

Мы решили исследовать,

whether these password meters actually work.

действительно ли индикаторы надёжности работают.

Do they actually help people

Действительно ли они помогают

have stronger passwords,

создавать более надёжные пароли,

and if so, which ones are better?

и, если да, то какие индикаторы лучше?

So we tested password meters that were

Мы протестировали индикаторы надёжности паролей

different sizes, shapes, colors,

различных размеров, форм и цветов,

different words next to them,

с разными инструкциями

and we even tested one that was a dancing bunny.

и даже с танцующим кроликом.

As you type a better password,

Когда вы вводите более надёжный пароль,

the bunny dances faster and faster.

кролик начинает танцевать быстрее.

So this was pretty fun.

Довольно весело.

What we found

Мы обнаружили,

was that password meters do work.

что индикаторы действительно работают.

(Laughter)

(Смех)

Most of the password meters were actually effective,

Большинство из них довольно эффективны,

and the dancing bunny was very effective too,

танцующий кролик тоже,

but the password meters that were the most effective

но самые эффективные индикаторы надёжности —

were the ones that made you work harder

те, которые заставляют вас попотеть,

before they gave you that thumbs up and said

прежде чем дают добро

you were doing a good job,

вашему паролю.

and in fact we found that most

Как оказалось, большинство

of the password meters on the Internet today

индикаторов надёжности в сегодняшнем Интернете

are too soft.

They tell you you're doing a good job too early,

не слишком строги.

Они слишком рано сообщают о том, что вы на правильном пути.

and if they would just wait a little bit

Если бы они подождали совсем чуть-чуть,

before giving you that positive feedback,

прежде чем выразить вам одобрение,

you probably would have better passwords.

ваш пароль, скорее всего, был бы лучше.

Now another approach to better passwords, perhaps,

Ещё один вероятный путь к надёжным паролям —

is to use pass phrases instead of passwords.

использование фраз вместо слов.

So this was an xkcd cartoon from a couple of years ago,

Это комикс «xkcd» примерно двухлетней давности.

and the cartoonist suggests

Его автор советует

that we should all use pass phrases,

использовать в паролях фразы.

and if you look at the second row of this cartoon,

Если вы посмотрите на второй ряд комикса,

you can see the cartoonist is suggesting

то увидите, что автор предлагает

that the pass phrase "correct horse battery staple"

фразу «верно лошадь батарея скрепка»

would be a very strong pass phrase

в качестве надёжного пароля,

and something really easy to remember.

который очень легко запомнить.

He says, in fact, you've already remembered it.

Он говорит: «Да вы это уже запомнили».

And so we decided to do a research study

Мы решили выяснить,

to find out whether this was true or not.

так ли это на самом деле.

In fact, everybody who I talk to,

Кстати, все, с кем я разговариваю

who I mention I'm doing password research,

и упоминаю свою работу с паролями,

they point out this cartoon.

вспоминают этот комикс.

"Oh, have you seen it? That xkcd.

«Ты видела «xkcd»?

Correct horse battery staple."

Верно лошадь батарея скрепка».

So we did the research study to see

Мы провели исследование,

what would actually happen.

чтобы узнать, как всё обстоит на самом деле.

So in our study, we used Mechanical Turk again,

Мы снова использовали сервис Mechanical Turk

and we had the computer pick the random words

и заставили компьютер выдать случайные слова

in the pass phrase.

для фразы-пароля.

Now the reason we did this

Мы сделали это потому,

is that humans are not very good

что люди не очень хорошо умеют

at picking random words.

подбирать слова случайно.

If we asked a human to do it,

Если бы мы попросили людей,

they would pick things that were not very random.

они бы подобрали слова, не являющиеся случайными.

So we tried a few different conditions.

Мы протестировали несколько разных условий.

In one condition, the computer picked

В одном случае компьютер выбирал слова

from a dictionary of the very common words

из обычного словаря

in the English language,

английского языка.

and so you'd get pass phrases like

Получались фразы вроде

"try there three come."

«попытка там три приходить».

And we looked at that, and we said,

Мы подумали и сказали:

"Well, that doesn't really seem very memorable."

«Нет, это трудно запомнить».

So then we tried picking words

Тогда мы попытались подбирать слова,

that came from specific parts of speech,

являющиеся определёнными частями речи, —

so how about noun-verb-adjective-noun.

существительное — глагол — прилагательное — существительное.

That comes up with something that's sort of sentence-like.

Это уже даёт нам что-то похожее на предложение.

So you can get a pass phrase like

Можно получить фразу

"plan builds sure power"

«план строить твёрдую власть»

or "end determines red drug."

или «конец определяет красное лекарство».

And these seemed a little bit more memorable,

Это оказалось легче запомнить,

and maybe people would like those a little bit better.

и, возможно, людям бы это понравилось больше.

We wanted to compare them with passwords,

Мы хотели сравнить фразы-пароли со словами

and so we had the computer pick random passwords,

и заставили компьютер сгенерировать случайные слова,

and these were nice and short, but as you can see,

которые были короткими, но, как видите,

they don't really look very memorable.

не очень запоминающимися.

And then we decided to try something called

Тогда мы решили испытать то,

a pronounceable password.

что называется «произносимый пароль».

So here the computer picks random syllables

Компьютер подбирает случайные слоги,

and puts them together

складывает их вместе,

so you have something sort of pronounceable,

и вы получаете нечто произносимое,

like "tufritvi" and "vadasabi."

например, «туфритви» или «вадасаби».

That one kind of rolls off your tongue.

Этот вообще приятно произносить.

So these were random passwords that were

Это случайные пароли,

generated by our computer.

сгенерированные нашим компьютером.

So what we found in this study was that, surprisingly,

Исследование показало, как ни удивительно,

pass phrases were not actually all that good.

что пароли-фразы не так уж и хороши.

People were not really better at remembering

Люди на самом деле не запоминали их лучше,

the pass phrases than these random passwords,

чем случайные пароли,

and because the pass phrases are longer,

а из-за того, что они длиннее,

they took longer to type

их приходилось дольше вводить,

and people made more errors while typing them in.

и люди при этом совершали больше ошибок.

So it's not really a clear win for pass phrases.

То есть пароли-фразы не смогли одержать явную победу.

Sorry, all of you xkcd fans.

Простите меня, фанаты «xkcd».

On the other hand, we did find

С другой стороны, мы убедились,

that pronounceable passwords

что произносимые пароли

worked surprisingly well,

работают на удивление хорошо,

and so we actually are doing some more research

и теперь мы проводим больше исследований,

to see if we can make that approach work even better.

чтобы узнать, можно ли этот подход сделать ещё эффективнее.

So one of the problems

Одна из трудностей,

with some of the studies that we've done

возникших в этих исследованиях, —

is that because they're all done

то, что они все проводились

using Mechanical Turk,

с использованием сервиса Mechanical Turk,

these are not people's real passwords.

это не были настоящие пароли.

They're the passwords that they created

Эти пароли создавались людьми

or the computer created for them for our study.

или компьютером в исследовательских целях.

And we wanted to know whether people

Мы же хотели узнать, будут ли люди

would actually behave the same way

вести себя таким же образом,

with their real passwords.

придумывая настоящие пароли.

So we talked to the information security office at Carnegie Mellon

Мы поговорили с отделом информационной безопасности Карнеги-Меллон

and asked them if we could have everybody's real passwords.

и спросили, можем ли мы получить настоящие пароли пользователей.

Not surprisingly, they were a little bit reluctant

Как и следовало ожидать, им не хотелось

to share them with us,

ничего нам раскрывать,

but we were actually able to work out

однако мы вместе смогли

a system with them

придумать выход:

where they put all of the real passwords

они собрали все настоящие пароли

for 25,000 CMU students, faculty and staff,

25 000 студентов, преподавателей и персонала

into a locked computer in a locked room,

на защищённом компьютере в запертой комнате

not connected to the Internet,

без подключения к Интернету.

and they ran code on it that we wrote

Была запущена написанная нами программа

to analyze these passwords.

анализа паролей.

They audited our code.

Они сами проверили

They ran the code.

и запустили нашу программу.

And so we never actually saw

Так что мы даже не видели

anybody's password.

ни одного пароля своими глазами.

We got some interesting results,

Мы получили интересные результаты.

and those of you Tepper students in the back

Студентам Бизнес-школы Теппера на заднем ряду

will be very interested in this.

будет очень интересно.

So we found that the passwords created

Обнаружилось, что пароли, созданные

by people affiliated with the school of computer science

людьми из Школы информатики,

were actually 1.8 times stronger

были в 1,8 раза надёжнее,

than those affiliated with the business school.

чем пароли тех, кто связан с Бизнес-школой.

We have lots of other really interesting

Мы получили и много другой

demographic information as well.

демографической информации.

The other interesting thing that we found

Интересно также,

is that when we compared the Carnegie Mellon passwords

что, сравнив пароли Карнеги-Меллон

to the Mechanical Turk-generated passwords,

с паролями, сгенерированными Mechanical Turk,

there was actually a lot of similarities,

мы нашли много похожего,

and so this helped validate our research method

убедились в правильности нашего метода

and show that actually, collecting passwords

и показали, что сбор паролей

using these Mechanical Turk studies

с помощью Mechanical Turk —

is actually a valid way to study passwords.

вполне достоверный способ их изучать.

So that was good news.

Это хорошие новости.

Okay, I want to close by talking about

Я хочу завершить рассказом

some insights I gained while on sabbatical

о своих наблюдениях во время творческого отпуска

last year in the Carnegie Mellon art school.

в Школе искусств Карнеги-Меллон в прошлом году.

One of the things that I did

Помимо всего прочего,

is I made a number of quilts,

я сшила несколько лоскутных одеял,

and I made this quilt here.

таких как вот этот.

It's called "Security Blanket."

Он называется «Одеяло безопасности».

(Laughter)

(Смех)

And this quilt has the 1,000

На этом одеяле

most frequent passwords stolen

1 000 самых распространённых паролей, украденных

from the RockYou website.

с сайта RockYou.

And the size of the passwords is proportional

Размер паролей прямо пропорционален тому,

to how frequently they appeared

насколько часто они появляются

in the stolen dataset.

в украденных базах данных.

And what I did is I created this word cloud,

Я создала словарное облако,

and I went through all 1,000 words,

разобрала все 1 000 слов

and I categorized them into

и распределила их

loose thematic categories.

по достаточно свободным категориям.

And it was, in some cases,

В некоторых случаях

it was kind of difficult to figure out

было сложно определить,

what category they should be in,

к какой категории принадлежит то или иное слово.

and then I color-coded them.

Каждой категории я задала свой цвет.

So here are some examples of the difficulty.

Вот пара примеров сложностей.

So "justin."

Слово «джастин».

Is that the name of the user,

Что это? Имя пользователя,

their boyfriend, their son?

или любимого человека, или сына?

Maybe they're a Justin Bieber fan.

Может, это поклонник Джастина Бибера?

Or "princess."

Или «принцесса».

Is that a nickname?

Это прозвище?

Are they Disney princess fans?

Придумано фанатом диснеевских принцесс?

Or maybe that's the name of their cat.

Или это кошачье имя?

"Iloveyou" appears many times

«Ятебялюблю» неоднократно появляется

in many different languages.

на многих языках.

There's a lot of love in these passwords.

Эти пароли дышат любовью.

If you look carefully, you'll see there's also

Если присмотреться, можно найти

some profanity,

и сквернословия.

but it was really interesting to me to see

Но интересно было то, что я увидела

that there's a lot more love than hate

гораздо больше любви, чем ненависти

in these passwords.

в этих паролях.

And there are animals,

Здесь есть и животные —

a lot of animals,

много животных —

and "monkey" is the most common animal

и «обезьянка» — самое распространённое из них

and the 14th most popular password overall.

и 14-е в списке самых популярных паролей.

And this was really curious to me,

Мне стало очень любопытно,

and I wondered, "Why are monkeys so popular?"

я подумала: «Почему обезьянки так популярны?»

And so in our last password study,

В нашем последнем исследовании

any time we detected somebody

каждый раз, когда мы видели,

creating a password with the word "monkey" in it,

что кто-то создавал пароль со словом «обезьянка»,

we asked them why they had a monkey in their password.

мы спрашивали, почему.

And what we found out --

Мы обнаружили —

we found 17 people so far, I think,

а всего мы нашли 17 человек,

who have the word "monkey" --

использовавших это слово, —

We found out about a third of them said

около трети опрошенных сказали,

they have a pet named "monkey"

что их домашнего любимца зовут Обезьянка

or a friend whose nickname is "monkey,"

или у них есть друг с таким прозвищем.

and about a third of them said

Ещё треть людей сказали,

that they just like monkeys

что им просто нравятся обезьянки,

and monkeys are really cute.

они ведь действительно милые.

And that guy is really cute.

Посмотрите, какой он хорошенький.

So it seems that at the end of the day,

Кажется, в конечном итоге,

when we make passwords,

когда мы придумываем пароль,

we either make something that's really easy

мы либо создаём что-то очень простое

to type, a common pattern,

для введения, какую-то общую закономерность,

or things that remind us of the word password

или что-то, что напоминает нам само слово «пароль»,

or the account that we've created the password for,

или саму учётную запись, для которой мы его создаём,

or whatever.

или «всёравно».

Or we think about things that make us happy,

Либо же мы думаем о том, что приносит нам счастье.

and we create our password

Мы создаём пароль,

based on things that make us happy.

исходя из того, что делает нас счастливыми.

And while this makes typing

И хотя это делает введение

and remembering your password more fun,

и запоминание пароля более занимательным,

it also makes it a lot easier

это также делает его

to guess your password.

более уязвимым.

So I know a lot of these TED Talks

Многие выступления на TED

are inspirational

вдохновляют

and they make you think about nice, happy things,

и навевают мысли о прекрасных, замечательных вещах.

but when you're creating your password,

Но когда вы придумываете пароль,

try to think about something else.

лучше подумайте о чём-нибудь другом.

Thank you.

Спасибо.

(Applause)

(Аплодисменты)