Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Translator: yamela areesamarn Reviewer: Nattiya Chanpichaigosol

I am a computer science and engineering professor here at Carnegie Mellon,

ฉันเป็นนักวิทยาการคอมพิวเตอร์ และศ.ด้านวิศวะ

ที่ ม.คาร์เนกีเมลลอน

and my research focuses on usable privacy and security,

งานวิจัยของฉันเน้นเรื่อง ระบบความเป็นส่วนตัวและ ความปลอดภัย

and so my friends like to give me examples

เพื่อนๆจึงชอบบอกฉัน

of their frustrations with computing systems,

ถึงความขัดข้องใจของเขา กับระบบคอมพิวเตอร์

especially frustrations related to

โดยเฉพาะความขัดข้องใจที่เกี่ยวกับ

unusable privacy and security.

ระบบความเป็นส่วนตัวและความปลอดภัย ที่ใช้ไม่ได้ผล

So passwords are something that I hear a lot about.

รหัสผ่าน จึงเป็นสิ่งที่ดิฉันได้รับฟังมามาก

A lot of people are frustrated with passwords,

คนจำนวนมากขัดข้องใจกับรหัสผ่าน

and it's bad enough

และมันก็แย่พออยู่แล้ว

when you have to have one really good password

เมื่อคุณต้องมีรหัสผ่านที่ดีจริงๆ

that you can remember

ที่คุณจำมันได้

but nobody else is going to be able to guess.

แต่คนอื่นๆไม่สามารถเดาได้

But what do you do when you have accounts

แต่คุณจะทำอย่างไร เมื่อมีชื่อบัญชี

on a hundred different systems

กับระบบต่างๆเป็นร้อย

and you're supposed to have a unique password

และคุณก็ควรจะต้องมีรหัสผ่านที่ไม่เหมือนใคร

for each of these systems?

สำหรับระบบแต่ละระบบเหล่านั้น

It's tough.

มันเป็นเรื่องยาก

At Carnegie Mellon, they used to make it

ที่คาร์เนกีฯ (CMU) เขาเคยทำเรืองนี้

actually pretty easy for us

ให้มันง่ายมาก สำหรับพวกเรา

to remember our passwords.

ที่จะจำรหัสผ่าน

The password requirement up through 2009

ตลอดมาจนถึงปี 2009 สิ่งที่ต้องมีในรหัสผ่าน

was just that you had to have a password

ก็แค่ คุณต้องใส่รหัสผ่าน

with at least one character.

พร้อมตัวอักษรอย่างน้อยหนึ่งตัว

ดูง่ายมาก แต่แล้วพวกเขาก็เปลี่ยนสิ่งต่างๆ

Pretty easy. But then they changed things,

and at the end of 2009, they announced

และในปลายปี 2009 ก็ประกาศว่า

that we were going to have a new policy,

เรากำลังจะมีแผนการใหม่

and this new policy required

และแผนการใหม่นี้จำเป็นต้อง

passwords that were at least eight characters long,

ใช้รหัสผ่าน ที่มีตัวอักษรอย่างน้อย แปดตัว

with an uppercase letter, lowercase letter,

พร้อมด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก

a digit, a symbol,

ตัวเลขโดด สัญลักษณ์

you couldn't use the same character more than three times,

คุณไม่สามารถใช้ตัวอักษรซ้ำกันเกินสามครั้ง

and it wasn't allowed to be in a dictionary.

และไม่อนุญาตให้เป็นคำในพจนานุกรม

Now, when they implemented this new policy,

ค่ะ เมื่อพวกเขานำหลักการใหม่นี้ ไปใช้จริง

a lot of people, my colleagues and friends,

คนจำนวนมาก เพื่อนร่วมงานและเพื่อนๆ

came up to me and they said, "Wow,

ก็มาหาดิฉัน และบอกว่า "โอ้โห

now that's really unusable.

ตอนนี้ มันใช้ไม่ได้ผลนะ

Why are they doing this to us,

ทำไมเค้าถึงสร้างกฏให้เราแบบนี้?"

and why didn't you stop them?"

และทำไมคุณถึงไม่ห้ามเขาละ?"

And I said, "Well, you know what?

ดิฉันบอกว่า "คุณรู้มั้ยละ

They didn't ask me."

พวกเขาไม่ได้ถามฉันเลย"

But I got curious, and I decided to go talk

แต่ดิฉันก็อยากรู้ จึงตัดสินใจไปพูด

to the people in charge of our computer systems

กับคนที่รับผิดชอบระบบคอมพิวเตอร์ของเรา

and find out what led them to introduce

และก็พบว่า อะไรที่ทำให้พวกเขาเริ่มนำ

this new policy,

หลักการใหม่นี้เข้ามาใช้

and they said that the university

พวกเขาก็บอกว่า มหาวิทยาลัยนั้น

had joined a consortium of universities,

ได้เข้าไปเป็นสมาชิกของกลุ่มมหาวิทยาลัย

and one of the requirements of membership

และข้อบังคับอย่างหนึ่งของการเป็นสมาชิก

was that we had to have stronger passwords

ก็คือ เราต้องมีรหัสผ่านที่แข็งแรง

that complied with some new requirements,

โดยมีข้อบังคับการตั้งรหัสผ่าน

and these requirements were that our passwords

และข้อบังคับเหล่านี้ ก็คือ รหัสผ่านของเรา

had to have a lot of entropy.

ต้องมีระดับเอนโทรปี (entropy) มากๆ

Now entropy is a complicated term,

ค่ะ เอนโทรปี ค่อนข้างมีความซับซ้อน

but basically it measures the strength of passwords.

โดยพื้นฐาน มันจะวัดความยากของรหัสผ่าน

But the thing is, there isn't actually

แต่ข้อสำคัญก็คือ จริงๆแล้ว มันไม่มี

a standard measure of entropy.

การวัดอย่างเป็นมาตรฐานของเอนโทรปี

Now, the National Institute of Standards and Technology

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST)

has a set of guidelines

มีคู่มืออยู่ชุดหนึ่ง

which have some rules of thumb

ที่เป็นข้อแนะนำทั่วๆไป

for measuring entropy,

สำหรับการตั้งรหัสผ่าน

but they don't have anything too specific,

แต่พวกเขาไม่ได้เจาะจงอะไรมาก

and the reason they only have rules of thumb

และเหตุที่พวกเขาต้องมีข้อแนะนำ

is it turns out they don't actually have any good data

กลายเป็นว่า ที่จริงเขาไม่มีข้อมูลเลย

on passwords.

เกี่ยวกับรหัสผ่านที่ดี

In fact, their report states,

แท้จริงแล้ว รายงานของพวกเขาบอกว่า

"Unfortunately, we do not have much data

"โชคร้าย ที่เราไม่มีข้อมูลมากนัก

on the passwords users choose under particular rules.

บนรหัสผ่านของผู้ใช้ ที่ทำตามคำแนะนำ

NIST would like to obtain more data

NIST อยากจะได้ข้อมูลให้มากกว่านี้

on the passwords users actually choose,

ในเรื่องของรหัสผ่าน ที่ผู้ใช้มักจะเลือก

but system administrators are understandably reluctant

แต่ก็พอจะเข้าใจได้ว่าผู้บริหารระบบ ลังเล

to reveal password data to others."

ที่จะเปิดเผยข้อมูลรหัสผ่านกับผู้อื่น"

So this is a problem, but our research group

นี่จึงเป็นปัญหา แต่กลุ่มวิจัยของเรา

looked at it as an opportunity.

เห็นมัน เหมือนเป็นโอกาสอย่างหนึ่ง

We said, "Well, there's a need for good password data.

เราพูดว่า "จำเป็นต้องมีข้อมูลรหัสผ่านที่ดี

Maybe we can collect some good password data

บางที เราอาจจะรวบรวมรหัสผ่านที่ดีได้บ้าง

and actually advance the state of the art here.

และเร่งพัฒนาให้ลํ้ายุคตรงนี้ได้จริง

So the first thing we did is,

ดังนั้นสิ่งแรกที่เราทำก็คือ

we got a bag of candy bars

เราเอาทอฟฟี่มาหนึ่งถุง

and we walked around campus

และเดินไปรอบมหาลัย

and talked to students, faculty and staff,

พูดคุยกับนักศึกษา อาจารย์ และเจ้าหน้าที่

and asked them for information

สอบถามพวกเขาให้ได้ข้อมูล

about their passwords.

เกี่ยวกับรหัสผ่าน

Now we didn't say, "Give us your password."

ค่ะ เราไม่ได้พูดว่า "เอารหัสผ่านของคุณมา"

No, we just asked them about their password.

ไม่ค่ะ เราเพียงถามเรื่องรหัสผ่านของพวกเขา

How long is it? Does it have a digit?

ยาวขนาดไหนคะ มีตัวอักษรไหม?

Does it have a symbol?

มีสัญญลักษณ์รึเปล่า?

And were you annoyed at having to create

และคุณรำคาญใจไหม ที่ต้องสร้าง

a new one last week?

รหัสผ่านใหม่ อาทิตย์ที่แล้วน่ะ?

So we got results from 470 students,

เราจึงได้คำตอบจาก 470 คน ที่เป็นนักศึกษา

faculty and staff,

อาจารย์ และ เจ้าหน้าที่

and indeed we confirmed that the new policy

ที่จริง เรายืนยันได้ว่าหลักการใหม่นั้น

was very annoying,

เป็นที่น่ารำคาญมากๆ

but we also found that people said

และเรายังพบอีกว่า คนทั้งหลายพูดว่า

they felt more secure with these new passwords.

พวกเขารู้สึกปลอดภัยกว่า ในรหัสผ่านใหม่นี้

We found that most people knew

เราพบว่าคนส่วนใหญ่ทราบว่า

they were not supposed to write their password down,

พวกเขาไม่ควรจะจดรหัสผ่านของเขาไว้

and only 13 percent of them did,

และก็มีเพียง 13 เปอร์เซ็นเท่านั้นที่ทำ

but disturbingly, 80 percent of people

แต่ก็ไม่น่าพอใจที่ คน 80 เปอร์เซ็นต์

said they were reusing their password.

บอกว่า พวกเขาเอารหัสผ่านเก่า กลับมาใช้อีก

Now, this is actually more dangerous

ค่ะ เรื่องนี้จริงๆ อันตรายยิ่งกว่า

than writing your password down,

การจดรหัสผ่านใว้เสียอีก

because it makes you much more susceptible to attackers.

เพราะ มันทำให้โจรสามารถเจาะเข้าข้อมูลได้ง่าย

So if you have to, write your passwords down,

ดังนั้นถ้าคุณจะต้องทำ ก็ขอให้จดรหัสผ่านไว้

but don't reuse them.

แต่อย่านำมันกลับมาใช้อีก

We also found some interesting things

เรายังพบสิ่งที่น่าสนใจบางอย่างอีกด้วย

about the symbols people use in passwords.

เกี่ยวกับสัญญลักษณ์ ที่ผู้คนใช้ในรหัสผ่าน

So CMU allows 32 possible symbols,

CMU จึงอนุญาตให้ใช้ สัญญลักษณ์ได้ 32 ตัว

but as you can see, there's only a small number

แต่อย่างที่เห็น มีตัวเลขไม่กี่ตัวเท่านั้น

that most people are using,

ที่คนส่วนใหญ่ใช้กันอยู่

so we're not actually getting very much strength

จริงๆ เราจึงไม่ได้มีระดับความยากมากเท่าไหร่

from the symbols in our passwords.

จากสัญญลักษณ์ในรหัสผ่านของเรา

So this was a really interesting study,

นี่จึงเป็นการวิจัยที่น่าสนใจอย่างมาก

and now we had data from 470 people,

ขณะนี้ เรามีข้อมูลจากคน 470 คน

but in the scheme of things,

แต่ในแบบแผนของสิ่งที่

that's really not very much password data,

จริงๆแล้ว ไม่ได้เป็นข้อมูลรหัสผ่านมากนัก

and so we looked around to see

เราจึงมองไปรอบๆ

where could we find additional password data?

ที่เราจะหาข้อมูลรหัสผ่านเพิ่มขึ้นอีก

So it turns out there are a lot of people

จึงกลายกลายเป็นว่า มีคนจำนวนมาก

going around stealing passwords,

เที่ยวไปขโมยรหัสผ่านเขาไปทั่ว

and they often go and post these passwords

และบ่อยๆ ที่พวกเขานำรหัสผ่านเหล่านี้

on the Internet.

ไปโพสต์ลงในอินเตอร์เน็ต

So we were able to get access

เราจึงสามารถเข้าไปถึง

to some of these stolen password sets.

กลุ่มรหัสผ่านที่ถูกขโมยมาเหล่านี้ได้บ้าง

This is still not really ideal for research, though,

แม้ว่า สิ่งนี้จริงๆแล้ว ยังไม่ดีที่สุด

because it's not entirely clear

สำหรับงานวิจัย เพราะมันไม่ชัดเจนทั้งหมดว่า

where all of these passwords came from,

รหัสผ่านทั้งหมดนี้ มาจากที่ใด

or exactly what policies were in effect

หรือให้แน่ๆคือ เกณฑ์อะไรที่ถูกนำมาใช้

when people created these passwords.

เมื่อผู้คนสร้างรหัสผ่านเหล่านี้ขึ้นมา

So we wanted to find some better source of data.

เราจึงต้องการจะหาแหล่งข้อมูลที่ดีกว่านี้

So we decided that one thing we could do

จึงตกลงใจว่า สิ่งหนึ่งที่เราทำได้

is we could do a study and have people

ก็คือ เราจะทำวิจัย โดยให้คน

actually create passwords for our study.

สร้างรหัสผ่านจริงๆ เพื่อการวิจัยของเรา

So we used a service called Amazon Mechanical Turk,

เราจึงใช้โปรแกรม Amezon Mechanical Turk

and this is a service where you can post

เป็นโปรแกรมที่คุณสามารถโพสต์

a small job online that takes a minute,

งานอินเตอร์เน็ตเล็กๆ ที่ใช้เวลาสักนาที

a few minutes, an hour,

หรือ2-3นาที หรือหนึ่งชั่วโมง

and pay people, a penny, ten cents, a few dollars,

แล้วจ่าย 1,10 เซ็นต์ หรือ 2-3 ดอลล่าร์

to do a task for you,

เพื่อให้เขาทำงานชิ้นหนึ่งให้กับคุณ

and then you pay them through Amazon.com.

แล้วจ่ายเงินโดยผ่านทาง Amazon.com

So we paid people about 50 cents

เราจึงจ่ายเงินให้คนไป ประมาณ 50 เซ็นต์

to create a password following our rules

เพื่อให้สร้างรหัสผ่าน ตามกฎเกณฑ์ของเรา

and answering a survey,

และให้ตอบแบบสำรวจ

and then we paid them again to come back

แล้วเราก็จ่ายให้พวกเขาอีก เพื่อให้กลับมา

two days later and log in

สองวันหลังจากนั้น ให้เข้าสู่ระบบ (log in)

using their password and answering another survey.

ใช้รหัสผ่านของเขา และตอบแบบสำรวจอีก 1ชุด

So we did this, and we collected 5,000 passwords,

เราทำแบบนี้ และรวบรวมได้ 5,000 รหัสผ่าน

and we gave people a bunch of different policies

และเราให้หลักการต่างๆอีกมากมาย แก่ผู้คน

to create passwords with.

เพื่อใช้สร้างรหัสผ่าน

So some people had a pretty easy policy,

คนบางคนจึงมีหลักการที่ง่ายมากๆ

we call it Basic8,

เราเรียกมันว่า Basic 8

and here the only rule was that your password

มันมีกฏข้อเดียวที่ให้ใช้สร้างรหัส

had to have at least eight characters.

คือต้องมีอักษรแปดตัวเป็นอย่างน้อย

Then some people had a much harder policy,

แล้วก็ คนบางคนมีหลักการที่ยากกว่ามาก

and this was very similar to the CMU policy,

และนี่เป็นหลักการที่เหมือนกันมากกับของ CMU

that it had to have eight characters

ซึ่งมันต้องมีแปดอักขระ

including uppercase, lowercase, digit, symbol,

ทั้งอักษรตัวใหญ่ ตัวเล็ก ตัวเลข สัญญลักษณ์

and pass a dictionary check.

และไม่มีในพจนานุกรม

And one of the other policies we tried,

หนึ่งในหลักอื่น ที่เราลองใช้

and there were a whole bunch more,

แล้วยังมีอื่นๆอีกเป็นพวง

but one of the ones we tried was called Basic16,

แต่กฏหนึ่ง ที่เราลองใช้ ชื่อ Basic16

and the only requirement here

และข้อบังคับเพียงข้อเดียวนั้น

was that your password had to have at least 16 characters.

คือ รหัสต้องมีอย่างน้อยที่สุด 16 ตัวอักษร

All right, so now we had 5,000 passwords,

ค่ะ ตอนนั้นเราจึงมีรหัสผ่าน 5,000 รหัส

and so we had much more detailed information.

และเราก็มีข้อมูลอย่างละเอียดเพิ่มขึ้นมาก

Again we see that there's only a small number

แต่ก็นั่นแหละ เราเห็นว่าเป็นเพียงจำนวนน้อย

of symbols that people are actually using

ของสัญญลักษณ์ที่ผู้คนใช้กันอยู่จริง

in their passwords.

ในรหัสผ่านของพวกเขา

We also wanted to get an idea of how strong

เรายังต้องการทราบอีกด้วยว่า รหัสผ่าน

the passwords were that people were creating,

ที่ผู้คนสร้างขึ้นมานั้น แข็งแกร่งเพียงใด

but as you may recall, there isn't a good measure

แต่เมื่อคิดย้อนกลับไปว่า ไม่มีมาตรการที่ดี

of password strength.

ในเรื่องความแข็งแรงของรหัสผ่าน

So what we decided to do was to see

ดังนั้นสิ่งที่เราตัดสินใจทำ ก็คือ ดูว่า

how long it would take to crack these passwords

จะใช้เวลานานเท่าใด จึงจะเจาะรหัสเหล่านี้

using the best cracking tools

โดยใช้เครื่องมือเจาะดีที่สุด

that the bad guys are using,

ที่หัวขโมยใช้กันอยู่

or that we could find information about

หรือที่เราสามารถหามาได้

in the research literature.

จากเอกสารงานวิจัย

So to give you an idea of how bad guys

เพื่อให้คุณทราบว่า พวกคนแย่ๆพวกนั้น

go about cracking passwords,

ทำการเจาะรหัสผ่านได้อย่างไร

they will steal a password file

พวกเขาก็จะขโมยแฟ้มรหัสผ่าน

that will have all of the passwords

ซึ่งจะมีรหัสผ่านทั้งหมดอยู่

in kind of a scrambled form, called a hash,

ในแบบที่คละกันอยู่ เรียกว่า แฮช (hash)

and so what they'll do is they'll make a guess

ดังนั้นสิ่งที่พวกเขาจะทำ ก็คือ จะทำการเดา

as to what a password is,

ดูว่า รหัสผ่านเป็นอะไร

run it through a hashing function,

โดยให้มันวิ่งผ่าน กระบวนการฟังก์ชั่นแฮช

and see whether it matches

และดูว่า มันจับคู่กันได้หรือไม่

the passwords they have on their stolen password list.

กับรหัสผ่าน ที่เขามีอยู่ในรายการที่ขโมยมา

So a dumb attacker will try every password in order.

โจรงี่เง่า ก็จะลองรหัสผ่านทุกตัวตามลำดับ

They'll start with AAAAA and move on to AAAAB,

จะเริ่มจาก AAAAA แล้วต่อไปที่ AAAAB

and this is going to take a really long time

ทำแบบนี้ ก็จะใช้เวลานานมากทีเดียว

before they get any passwords

ก่อนจะได้รหัสผ่าน

that people are really likely to actually have.

ที่ผู้คนน่าจะใช้กันอยู่จริงมาก

A smart attacker, on the other hand,

ในทางกลับกัน โจรฉลาด

does something much more clever.

จะทำบางอย่างที่ฉลาดกว่ามากๆ

They look at the passwords

พวกเขาจะดูรหัสผ่าน

that are known to be popular

ที่รู้กันดีว่า เป็นที่นิยม

from these stolen password sets,

จากชุดรหัสผ่านที่โมยมาพวกนี้

and they guess those first.

และเขาก็จะเดาพวกนั้นก่อน

So they're going to start by guessing "password,"

คือ พวกเขาจะเริ่ม ด้วยการเดา "รหัสผ่าน"

and then they'll guess "I love you," and "monkey,"

แล้วก็เดา "I love you" และ "monkey"

and "12345678,"

และ "12345678"

because these are the passwords

เพราะว่าพวกนี้เป็นรหัสผ่าน

that are most likely for people to have.

ที่คนส่วนใหญ่น่าจะมี

In fact, some of you probably have these passwords.

จริงๆแล้ว บางท่านอาจมีรหัสผ่านพวกนี้ก็ได้

So what we found

ดังนั้นสิ่งที่เราพบ

by running all of these 5,000 passwords we collected

โดยการวิ่งทั้ง 5,000 คำที่รวบรวมได้นี้

through these tests to see how strong they were,

ผ่านการทดสอบ เพื่อดูว่ามันยากในระดับไหน

we found that the long passwords

เราพบว่ารหัสผ่านที่ยาวๆนั้น

were actually pretty strong,

จะค่อนข้างยาก

and the complex passwords were pretty strong too.

และรหัสผ่านที่ซับซ้อน ก็ค่อนข้างยากเช่นกัน

However, when we looked at the survey data,

อย่างไรก็ตาม เมื่อเราดูข้อมูลที่สำรวจมา

we saw that people were really frustrated

เราเห็นว่า ผู้คนจะค่อนข้างอึดอัด

by the very complex passwords,

จากรหัสผ่านที่ซับซ้อนมากๆนั้น

and the long passwords were a lot more usable,

และรหัสผ่านยาวๆนั้น ใช้ได้ดียิ่งกว่ากันมาก

and in some cases, they were actually

และในบางกรณี จริงๆแล้ว

even stronger than the complex passwords.

มันยากยิ่งกว่ารหัสผ่านที่ซับซ้อน

So this suggests that,

ดังนั้น สิ่งนี้จึงชี้แนะว่า

instead of telling people that they need

แทนที่จะบอกผู้คนว่า พวกเขาต้อง

to put all these symbols and numbers

เอาสัญญลักษณ์ และตัวเลขทั้งหมด

and crazy things into their passwords,

และสิ่งบ้าๆบอๆ ใส่เข้าไปในรหัสผ่าน

we might be better off just telling people

อาจจะดีกว่า เราแค่เพียงบอกผู้คน

to have long passwords.

ให้ใช้รหัสผ่านยาวๆ

Now here's the problem, though:

แต่ตรงนี้ ก็ยังมีปัญหาอีก

Some people had long passwords

บางคนมีรหัสผ่านที่ยาว

that actually weren't very strong.

ซึ่งจริงๆแล้ว ไม่แข็งแกร่งมากเลย

You can make long passwords

คุณสามารถทำรหัสผ่านยาวๆ

that are still the sort of thing

ที่ยังคงเป็นประเภท

that an attacker could easily guess.

ที่โจรสามารถเดาได้โดยง่าย

So we need to do more than just say long passwords.

เราจึงต้องทำมากกว่าแค่บอกว่า รหัสผ่านยาวๆ

There has to be some additional requirements,

มันต้องมีข้อบังคับเพิ่มเติม

and some of our ongoing research is looking at

งานวิจัยที่กำลังดำเนินอยู่ กำลังมองหา

what additional requirements we should add

ข้อบังคับเพิ่มเติม ที่ควรจะเพิ่มเข้ามา

to make for stronger passwords

เพื่อทำให้รหัสผ่านแข็งแกร่งขึ้น

that also are going to be easy for people

ที่จะทำให้คนจำได้ง่าย

to remember and type.

และพิมพ์ได้ง่ายอีกด้วย

Another approach to getting people to have

อีกวิธีการหนึ่งที่จะให้คนมีรหัสผ่าน

stronger passwords is to use a password meter.

ที่ยากขึ้น คือใช้ ตัววัดระดับความยาก

Here are some examples.

นี่เป็นบางตัวอย่าง

You may have seen these on the Internet

ซึ่งคุณอาจเคยเห็นมาแล้ว

when you were creating passwords.

ในอินเตอร์เน็ต เมื่อตอนคุณสร้างรหัสผ่าน

We decided to do a study to find out

เราได้ตัดสินใจทำวิจัย เพื่อค้นพบว่า

whether these password meters actually work.

พาสเวอร์ดมีเตอร์นั้น ใช้การได้จริงหรือไม่

Do they actually help people

มันช่วยผู้คนได้จริงไหม

have stronger passwords,

ในการทำให้รหัสผ่านยากขึ้น

and if so, which ones are better?

ถ้าจริง พาสเวอร์ดมีเตอร์ตัวไหนดีกว่ากัน

So we tested password meters that were

เราจึงทดสอบ พาสเวอร์ดมีเตอร์

different sizes, shapes, colors,

ที่มีขนาด รูปร่าง สี ต่างๆกัน

different words next to them,

คำที่ถัดจากมันต่างๆกัน

and we even tested one that was a dancing bunny.

เราทำแม้กระทั่ง ตัวที่เป็นกระต่ายเต้นระบำ

As you type a better password,

เมื่อคุณพิมพ์รหัสผ่านที่ดีกว่า

the bunny dances faster and faster.

เจ้ากระต่ายก็จะเต้นเร็วขึ้นๆ

So this was pretty fun.

มันจึงตลกดี

What we found

สิ่งที่เราพบ

was that password meters do work.

ก็คือ พาสเวอร์ดมีเตอร์ ทำงานได้จริง

(Laughter)

(เสียงหัวเราะ)

Most of the password meters were actually effective,

พาสเวอร์ดมีเตอร์ส่วนใหญ่ มีประสิทธิภาพจริง

and the dancing bunny was very effective too,

และเจ้ากระต่าย ก็มีประสิทธิภาพมากด้วย

but the password meters that were the most effective

แต่พาสเวอร์ดมีเตอร์ ที่มีประสิทธิภาพที่สุด

were the ones that made you work harder

คือ ตัวที่ทำให้คุณต้องคิดหนักมากขึ้น

before they gave you that thumbs up and said

ก่อนที่พวกมันจะชูนิ้วโป้งขึ้น และบอกว่า

you were doing a good job,

รหัสนี้โอเคแล้ว

and in fact we found that most

และจริงๆแล้ว เราพบว่า พาสเวอร์ดมีเตอร์

of the password meters on the Internet today

ส่วนมากที่ใช้กันในอินเตอร์เน็ต ในปัจจุบัน

are too soft.

They tell you you're doing a good job too early,

อ่อนเกินไป

มันบอกคุณว่า รหัสนี้ดีแล้ว เร็วเกินไป

and if they would just wait a little bit

และถ้ามันจะแค่รอ ให้นานอีกสักนิด

before giving you that positive feedback,

ก่อนจะบอกคุณกลับไป ว่าดี

you probably would have better passwords.

คุณก็น่าจะได้รหัสผ่านที่ดีกว่านั้น

Now another approach to better passwords, perhaps,

อีกวิธีหนึ่งที่อาจจะให้พาสเวอร์ดที่ดีกว่า

is to use pass phrases instead of passwords.

คือ ใช้รหัสกลุ่มคำ (pass phrase) แทน

So this was an xkcd cartoon from a couple of years ago,

นี่เป็นการ์ตูนจากเว็บไซท์ xkcd สองปีก่อน

and the cartoonist suggests

และนักเขียนการ์ตูนแนะนำว่า

that we should all use pass phrases,

เราทุกคนควรใช้รหัสกลุ่มคำ

and if you look at the second row of this cartoon,

และถ้าคุณดูที่แถวที่สองของการ์ตูนนี่

you can see the cartoonist is suggesting

คุณจะเห็นว่า นักเขียนการ์ตูน กำลังแนะว่า

that the pass phrase "correct horse battery staple"

รหัสกลุ่มคำ "correct horse battery staple"

would be a very strong pass phrase

จะเป็นรหัสกลุ่มคำ ที่แข็งแกร่งมาก

and something really easy to remember.

และเป็นสิ่งที่จดจำได้ง่ายจริงๆ

He says, in fact, you've already remembered it.

เขาบอกว่า ที่จริงแล้ว คุณจำมันได้แล้วแหละ

And so we decided to do a research study

เราจึงตกลงใจทำการศึกษาวิจัย

to find out whether this was true or not.

เพื่อค้นว่าพบ มันจริงหรือไม่

In fact, everybody who I talk to,

จริงๆแล้ว ทุกคนที่ดิฉันพูดคุยด้วย

who I mention I'm doing password research,

เมื่อบอกว่า ฉันกำลังทำวิจัยเรื่องรหัสผ่าน

they point out this cartoon.

พวกเขาก็จะชี้ไปที่การ์ตูนนี่

"Oh, have you seen it? That xkcd.

"คุณเคยดูหรือยัง การ์ตูนของ xkcd

Correct horse battery staple."

correct horse battery staple"

So we did the research study to see

เราจึงทำการวิจัย เพื่อดูว่า

what would actually happen.

จริงๆมันจะเกิดอะไรขึ้น

So in our study, we used Mechanical Turk again,

วิจัยของเราจึงใช้ Mechanical Turk สำรวจอีก

and we had the computer pick the random words

เราได้ให้คอมพิวเตอร์สุ่มเลือกคำ

in the pass phrase.

ในรหัสกลุ่มคำ

Now the reason we did this

เหตุผลที่เราทำอย่างนี้

is that humans are not very good

ก็คือ มนุษย์เรานั้น ไม่ถนัด

at picking random words.

ในการสุ่มเลือกคำ

If we asked a human to do it,

ถ้าขอให้มนุษย์เป็นคนเลือก

they would pick things that were not very random.

พวกเขาก็จะเลือก คำที่ไม่ค่อยโดนสุ่ม

So we tried a few different conditions.

เราจึงทดลองเงื่อนไขต่างๆกัน สองสามอย่าง

In one condition, the computer picked

เงื่อนไขหนึ่ง ให้คอมพิวเตอร์หยิบคำ

from a dictionary of the very common words

คำสามัญมากๆ จากพจนานุกรม

in the English language,

ในภาษาอังกฤษ

and so you'd get pass phrases like

คุณก็จะได้รหัสกลุ่มคำ อย่างเช่น

"try there three come."

"try there three come"

And we looked at that, and we said,

เมื่อเราดูแล้ว เราก็พูดว่า

"Well, that doesn't really seem very memorable."

"ก็ จริงๆไม่ได้ดูน่าจะจดจำ ได้ดีนัก"

So then we tried picking words

ดังนั้นเราจึงลองเลือกคำ

that came from specific parts of speech,

ที่มาจากคำชนิดต่างๆเจาะจงลงไป

so how about noun-verb-adjective-noun.

เอาเป็นว่า คำนาม-กริยา-คุณศัพท์-นาม

That comes up with something that's sort of sentence-like.

ก็จะได้บางอย่าง ที่เหมือนกับประโยค

So you can get a pass phrase like

คุณก็จะได้รหัสกลุ่มคำ อย่างเช่น

"plan builds sure power"

"plan builds sure power"

or "end determines red drug."

หรือ "end determines red drug"

And these seemed a little bit more memorable,

พวกนี้ดูเหมือนจะจำได้ ง่ายขึ้นอีกเล็กน้อย

and maybe people would like those a little bit better.

และบางทีคนจะชอบมัน มากขึ้นอีกหน่อย

We wanted to compare them with passwords,

เราต้องการจะเปรียบเทียบพวกมัน กับรหัสผ่าน

and so we had the computer pick random passwords,

เราจึงให้คอมพิวเตอร์ สุ่มเลือกรหัสผ่านมา

and these were nice and short, but as you can see,

รหัสพวกนี้ดีและสั้น แต่ตามที่คุณเห็น

they don't really look very memorable.

มันไม่น่าจดจำเท่าไหร่

And then we decided to try something called

เราจึงตกลงใจทำสิ่งที่เรียกว่า

a pronounceable password.

รหัสผ่านที่พูดออกเสียงได้

So here the computer picks random syllables

ตรงนี้ คอมพิวเตอร์จึงสุ่มเลือกสระ

and puts them together

และเอามันมาวางรวมกัน

so you have something sort of pronounceable,

คุณจึงมีสิ่งที่ แบบว่า ออกเสียงได้

like "tufritvi" and "vadasabi."

อย่างเช่น "tufrivi" และ "vadasabi"

That one kind of rolls off your tongue.

เป็นแบบหนึ่งของการออกเสียงได้ง่ายๆ

So these were random passwords that were

เหล่านี้จึงเป็นรหัสผ่านแบบสุ่ม

generated by our computer.

ที่สร้างขึ้นมาจากคอมพิวเตอร์

So what we found in this study was that, surprisingly,

น่าประหลาดใจ สิ่งที่เราพบจากการวิจัย ก็คือ

pass phrases were not actually all that good.

รหัสที่เป็นกลุ่มคำ จริงๆแล้วก็ไม่ได้ดีมาก

People were not really better at remembering

คนเราไม่ได้ถนัดการจำเป็นกลุ่มคำ

the pass phrases than these random passwords,

แต่จำรหัสที่สุ่ม ได้ดีกว่า

and because the pass phrases are longer,

และเพราะว่ารหัสกลุ่มคำนั้น ยาวกว่า

they took longer to type

เขาจึงใช้เวลาพิมพ์นานกว่า

and people made more errors while typing them in.

และพวกเขาจะพิมพ์ผิดมากกว่า

So it's not really a clear win for pass phrases.

ดังนั้น รหัสกลุ่มคำ จึงไม่ได้ดีเท่าที่ควร

Sorry, all of you xkcd fans.

ต้องขอโทษด้วยค่ะ สำหรับแฟนๆของ xkcd

On the other hand, we did find

ในทางกลับกัน เราได้พบว่า

that pronounceable passwords

รหัสคำที่ออกเสียงได้นั้น

worked surprisingly well,

ใช้ได้ดีอย่างน่าประหลาดใจ

and so we actually are doing some more research

เราจึงกำลังทำวิจัยเพิ่มเติม เพื่อดูว่า

to see if we can make that approach work even better.

เราจะทำให้วิธีนี้ ใช้ได้ดีขึ้นอีกได้หรือไม่

So one of the problems

ดังนั้น ปัญหาหนึ่ง

with some of the studies that we've done

ที่เกิดขึ้นระหว่างการวิจัย

is that because they're all done

ก็คือ การวิจัยเหล่านั้นทั้งหมด

using Mechanical Turk,

ได้ใช้Mechanical Turk เป็นเครื่องมือ

these are not people's real passwords.

ซึ่งไม่ใช่รหัสผ่านที่พวกเขาใช้จริง

They're the passwords that they created

มันเป็นรหัสผ่านที่พวกเขาสร้างขึ้นมา หรือ

or the computer created for them for our study.

สร้างโดยคอมเพื่อเป็นงานวิจัยของเรา

And we wanted to know whether people

และเราต้องการรู้ว่าพวกเขา

would actually behave the same way

จะเอาไปใช้สร้าง

with their real passwords.

รหัสผ่านจริงๆของพวกเขา หรือเปล่า

So we talked to the information security office at Carnegie Mellon

เราจึงไปสำนักความปลอดภัยข้อมูลที่ CMU

and asked them if we could have everybody's real passwords.

และถามว่า ขอรหัสผ่านจริง ของทุกคนได้ไหม

Not surprisingly, they were a little bit reluctant

ไม่ประหลาดใจ พวกเขาไม่เต็มใจอยู่บ้าง

to share them with us,

ที่จะแบ่งปันรหัสเหล่านั้นกับเรา

but we were actually able to work out

แต่จริงๆ เราก็สามารถคิดระบบหนึ่ง

a system with them

มาใช้กับพวกเขาได้

where they put all of the real passwords

โดยเราเอารหัสผ่านจริงทั้งหมด

for 25,000 CMU students, faculty and staff,

ของนักศึกษา อาจารย์ และพนักงาน 25,000 คน

into a locked computer in a locked room,

ไว้ในคอมพ์ที่ถูกล๊อกไว้ ในห้องใส่กุญแจ

not connected to the Internet,

และไม่เชื่อมกับอินเตอร์เน็ต

and they ran code on it that we wrote

และเขาก็ส่งรหัส (code) เข้ามา ให้เราจด

to analyze these passwords.

เพื่อวิเคราะห์รหัสผ่านเหล่านั้น

They audited our code.

เขาตรวจสอบบันทึกรหัสของเรา

They ran the code.

พวกเขาก็ส่งรหัสนั้นมา

And so we never actually saw

ดังนั้นเราจึงไม่เคยเห็น

anybody's password.

รหัสผ่านของใครเลย

We got some interesting results,

เราก็ได้ผลลัพท์ที่น่าสนใจออกมา

and those of you Tepper students in the back

นักศึกษาคณะธุรกิจเท็พเพอร์ ที่นั่งข้างหลัง

will be very interested in this.

จะสนใจอย่างมากในเรื่องนี้

So we found that the passwords created

เราได้พบว่า รหัสผ่านที่ถูกสร้างขึ้น

by people affiliated with the school of computer science

โดยคนที่อยู่ในภาควิชาวิทยาการคอมพิวเตอร์

were actually 1.8 times stronger

จริงๆแล้ว ยากกว่า

than those affiliated with the business school.

รหัสผ่านของผู้ที่ในภาควิชาธุรกิจ 1.8 เท่า

We have lots of other really interesting

เรามีเรื่องอื่นๆ ที่น่าสนใจจริงๆอีกมาก

demographic information as well.

รวมทั้งข้อมูลเกี่ยวกับสถิติจำนวนประชากร

The other interesting thing that we found

สิ่งน่าสนใจอื่นๆที่เราได้พบ

is that when we compared the Carnegie Mellon passwords

คือ เมื่อเปรียบเทียบรหัสผ่านของ CMU

to the Mechanical Turk-generated passwords,

กับรหัสผ่านที่สร้างจาก Mechanical Turk

there was actually a lot of similarities,

จริงๆก็มีสิ่งที่เหมือนกันอยู่มาก

and so this helped validate our research method

จึงช่วยพิสูจน์ได้ว่าวิธีวิจัยของเราใช้ได้

and show that actually, collecting passwords

และแสดงได้ว่า จริงๆแล้ว การรวบรวมรหัสผ่าน

using these Mechanical Turk studies

โดยใช้ Mechanical Turk วิจัยนั้น

is actually a valid way to study passwords.

จริงๆ เป็นวิธีการศึกษารหัสผ่าน ที่ใช้ได้

So that was good news.

นั่นจึงเป็นข่าวดี

Okay, I want to close by talking about

ค่ะ ดิฉันอยากจะจบ ด้วยการพูดถึงเรื่อง

some insights I gained while on sabbatical

การได้รับความเข้าใจอย่างลึกซึ้ง

last year in the Carnegie Mellon art school.

ในช่วงวันหยุดปีที่แล้ว ที่คณะศิลปศาสตร์ CMU

One of the things that I did

สิ่งหนึ่งที่ดิฉันทำ

is I made a number of quilts,

ก็คือ ดิฉันได้ทำผ้านวมใว้หลายผืน

and I made this quilt here.

และดิฉันได้ทำผ้านวมผืนนี้

It's called "Security Blanket."

เรียกมันว่า "ผ้าห่มแห่งความปลอดภัย"

(Laughter)

(เสียงหัวเราะ)

And this quilt has the 1,000

ผ้านวมนี้มีรหัสผ่าน ที่ใช้กันมากที่สุด

most frequent passwords stolen

1,000 รหัส ที่ถูกขโมยไป

from the RockYou website.

จากเว็บไซท์ RockYou

And the size of the passwords is proportional

และขนาดของรหัสผ่านพวกนั้น เป็นสัดส่วน

to how frequently they appeared

กับการที่พวกมันปรากฎ บ่อยมากแค่ไหน

in the stolen dataset.

ในข้อมูลชุดที่ถูกขโมยนั้น

And what I did is I created this word cloud,

ฉันได้สร้างกลุ่มคำ (word cloud) นี้ขึ้น

and I went through all 1,000 words,

และได้ตรวจดูทั้ง 1,000 คำนั้น

and I categorized them into

ได้จัดกลุ่มมันออกเป็น

loose thematic categories.

หมวดหมู่อย่างหลวมๆ ตามเนื้อความ

And it was, in some cases,

และในบางกรณี

it was kind of difficult to figure out

มันเหมือนกับว่า ยากที่จะคิดออกว่า

what category they should be in,

พวกมันควรอยู่ในหมวดหมู่ใด

and then I color-coded them.

แล้วดิฉันก็ใส่รหัสสีให้มัน

So here are some examples of the difficulty.

นี่เป็นบางตัวอย่าง เกี่ยวกับความยากนั้น

So "justin."

ค่ะ คำว่า "justin"

Is that the name of the user,

ใช่เป็นชื่อของผู้ใช้ หรือเพื่อนชาย

their boyfriend, their son?

หรือลูกชายของพวกเขา หรือไม่

Maybe they're a Justin Bieber fan.

อาจเป็นแฟนเพลง จัสติน บีเบอร์

Or "princess."

หรือคำว่า "princess"

Is that a nickname?

ใช่ชื่อเล่นไหม?

Are they Disney princess fans?

เป็นแฟนหนังการ์ตูนดิสนีย์รึเปล่า?

Or maybe that's the name of their cat.

หรืออาจจะเป็นชื่อแมวของพวกเขาก็ได้

"Iloveyou" appears many times

"Iloveyou" ปรากฎขึ้นหลายครั้ง

in many different languages.

ในภาษาต่างๆมากมาย

There's a lot of love in these passwords.

มีความรักอยู่มากมาย ในรหัสผ่านเหล่านี้

If you look carefully, you'll see there's also

ถ้าคุณดูให้ดี คุณก็จะเห็นอีกด้วยว่า

some profanity,

มีสิ่งหยาบคายอยู่บ้างเหมือนกัน

but it was really interesting to me to see

มันน่าทึ่งมาก ที่เห็นว่า

that there's a lot more love than hate

ความรัก มีมากกว่าความเกลียดชัง

in these passwords.

ในรหัสผ่านเหล่านี้

And there are animals,

และก็มีพวกสัตว์

a lot of animals,

สัตว์มากมาย

and "monkey" is the most common animal

และ "monkey" เป็นสัตว์สามัญที่สุด

and the 14th most popular password overall.

รวมๆแล้ว เป็นรหัสที่นิยมที่สุดลำดับที่ 14

And this was really curious to me,

และเรื่องนี้ ดิฉันอยากรู้จริงๆ

and I wondered, "Why are monkeys so popular?"

และสงสัยว่า "ทำไมลิงจึงเป็นที่นิยมมากนัก?"

And so in our last password study,

ดังนั้นในการวิจัยรหัสผ่านสุดท้ายของเรา

any time we detected somebody

ครั้งใดที่เราตรวจจับได้ว่า คนบางคน

creating a password with the word "monkey" in it,

กำลังสร้างรหัสผ่านมีคำ "monkey" ในนั้น

we asked them why they had a monkey in their password.

เราก็ถามเขาว่า ทำไมจึงมี monkey ในรหัสผ่าน

And what we found out --

และสิ่งที่เราค้นพบ

we found 17 people so far, I think,

คิดว่าน่าจะประมาณ 17 คน

who have the word "monkey" --

ที่มีคำว่า "monkey"

We found out about a third of them said

เราพบว่า หนึ่งในสามของพวกเขา บอกว่า

they have a pet named "monkey"

พวกเขามีสัตว์เลี้ยงชื่อ "monkey"

or a friend whose nickname is "monkey,"

หรือมีเพื่อนชื่อเล่นว่า "monkey"

and about a third of them said

และราวหนึ่งในสามของพวกเขา บอกว่า

that they just like monkeys

พวกเขาแค่ชอบลิง

and monkeys are really cute.

และลิงนั้นก็แสนจะน่ารัก

And that guy is really cute.

และเจ้าหนุ่มนั่นก็น่ารักจริงๆด้วย

So it seems that at the end of the day,

จึงดูเหมือนกับว่า ในตอนใกล้จะสิ้นสุดของวัน

when we make passwords,

เมื่อเราสร้างรหัสผ่านนั้น

we either make something that's really easy

เราจะสร้างรหัสที่ง่ายต่อการพิมพ์

to type, a common pattern,

ที่มีรูปแบบที่ธรรมดาๆ

or things that remind us of the word password

หรือสิ่งที่ทำให้เราจำรหัสนั้นได้

or the account that we've created the password for,

หรือบัญชีเข้าใช้ ที่เราได้สร้างรหัสไว้

or whatever.

หรือคำว่า "whatever"

Or we think about things that make us happy,

หรือเราคิดถึง สิ่งที่ทำให้เรามีความสุข

and we create our password

แล้วเราก็สร้างรหัสผ่านขึ้น

based on things that make us happy.

โดยส่วนใหญ่เป็นสิ่งที่ทำให้เรามีความสุข

And while this makes typing

และขณะที่กำลังสนุกกับการพิมพ์

and remembering your password more fun,

และการจดจำรหัสผ่านของคุณ

it also makes it a lot easier

คุณอาจจะทำให้มันง่ายขึ้นอีกมาก

to guess your password.

ที่จะเดารหัสผ่านของคุณ

So I know a lot of these TED Talks

ค่ะ ฉันรู้ว่า TED Talks จำนวนมากนั้น

are inspirational

เป็นแรงบันดาลใจ

and they make you think about nice, happy things,

ทำให้คิดถึง สิ่งดีๆ มีความสุข

but when you're creating your password,

แต่ขณะที่คุณกำลังสร้างรหัสผ่าน

try to think about something else.

พยายามคิดถึงอย่างอื่นบ้างนะคะ

Thank you.

ขอบคุณค่ะ

(Applause)

(เสียงปรบมือ)