Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Çeviri: Enes Kutuk Gözden geçirme: Serap Çakıl

I am a computer science and engineering professor here at Carnegie Mellon,

Burada Carneige Mellon'da bilgisayar bilimi ve mühendisliği profesörüyüm

and my research focuses on usable privacy and security,

ve çalışmalarım ağırlıkla "kullanılabilir mahremiyet ve güvenlik" üzerine.

and so my friends like to give me examples

Bu yüzden arkadaşlarım bana,

of their frustrations with computing systems,

bilişim sistemlerindeki sıkıntılarından,

especially frustrations related to

özellikle de kullanışsız

unusable privacy and security.

mahremiyet ve güvenlikle ilgili sıkıntılarından örnekler vermeyi sever.

So passwords are something that I hear a lot about.

Hâliyle şifreler, hakkında çok konuşulduğunu duyduğum bir şey.

A lot of people are frustrated with passwords,

Çok kişi şifrelerle sıkıntı yaşıyor,

and it's bad enough

ve bu durum, hatırlayabileceğiniz

when you have to have one really good password

ancak başkasının tahmin edemeyeceği,

that you can remember

gerçekten iyi bir şifreniz

but nobody else is going to be able to guess.

olduğunda yeterince kötüdür.

But what do you do when you have accounts

Yüz farklı sistem üzerinde

on a hundred different systems

hesaplarınız olsa

and you're supposed to have a unique password

ve her bir sistem için

for each of these systems?

benzersiz bir şifreniz olması gerekse ne yaparsınız?

It's tough.

Çok zor.

At Carnegie Mellon, they used to make it

Carnegie Mellon'da

actually pretty easy for us

şifreleri hatırlamamız için

to remember our passwords.

çok kolay bir yöntem uyguluyorlardı.

The password requirement up through 2009

2009 yılına kadar şifre koşulu

was just that you had to have a password

şifrenizin sadece

with at least one character.

en az bir karakterli olmasıydı.

Pretty easy. But then they changed things,

Oldukça kolay. Fakat sonra bazı şeyleri değiştirdiler.

and at the end of 2009, they announced

2009 yılının sonunda yeni bir şifre

that we were going to have a new policy,

politikasının uygulamasına geçileceğini

and this new policy required

ve yeni şifre politikasında

passwords that were at least eight characters long,

şifrelerin en az sekiz karakter uzunluğunda olacağını,

with an uppercase letter, lowercase letter,

en az bir büyük harf ve küçük harf,

a digit, a symbol,

bir rakam ve sembol içermesi,

you couldn't use the same character more than three times,

aynı karakterin üç defadan fazla kullanılmaması gerektiği

and it wasn't allowed to be in a dictionary.

ve sözlükte yer alan bir kelimeye izin verilmeyeceğini duyurdular.

Now, when they implemented this new policy,

Şu anda yeni şifre politikasını uygulamaya başladıklarında,

a lot of people, my colleagues and friends,

birçok kişi, meslektaşlarım ve arkadaşlarım

came up to me and they said, "Wow,

bana gelip: "Of,

now that's really unusable.

gerçekten kullanışsız.

Why are they doing this to us,

Bunu bize neden yapıyorlar?

and why didn't you stop them?"

Ve sen neden onları engellemedin?" demişlerdi.

And I said, "Well, you know what?

Ve ben dedim ki: "Bak ne diyeceğim?

They didn't ask me."

Bana sormadılar."

But I got curious, and I decided to go talk

Fakat merak ettim ve gidip

to the people in charge of our computer systems

bilişim sistemlerinden sorumlu kişilerle

and find out what led them to introduce

konuşmaya ve yeni sisteme geçmelerine neyin sebep olduğunu

this new policy,

öğrenmeye karar verdim.

and they said that the university

Bana üniversitenin

had joined a consortium of universities,

Üniversiteler Birliği'ne üye olduğunu

and one of the requirements of membership

ve üyelik şartlarından birinin, bazı yeni

was that we had to have stronger passwords

gereksinimlere uyumlu, güçlü şifrelerimizin

that complied with some new requirements,

olmasını gerektirdiğini ve bu gereksinimlerin

and these requirements were that our passwords

şifrelerimizin daha entropik olması

had to have a lot of entropy.

anlamına geldiğini söylediler.

Now entropy is a complicated term,

Entropi karmaşık bir terim

but basically it measures the strength of passwords.

fakat temelde entropi, şifrelerin gücünü ölçer.

But the thing is, there isn't actually

Fakat mesele şu ki; aslında

a standard measure of entropy.

entropinin standart bir ölçüsü yok.

Now, the National Institute of Standards and Technology

Ulusal Standartlar ve Teknoloji Enstitüsü'nün

has a set of guidelines

entropiyi ölçmek üzere

which have some rules of thumb

kabul görmüş bir takım

for measuring entropy,

pratik kılavuzları var.

but they don't have anything too specific,

Fakat bunlar çok detaylı değiller

and the reason they only have rules of thumb

ve sadece pratik kılavuzlarının olmasının sebebi

is it turns out they don't actually have any good data

aslında şifreler üzerine yeterli veriye

on passwords.

sahip olmamalarıdır.

In fact, their report states,

Aslında raporlarında

"Unfortunately, we do not have much data

"Maalesef, kullanıcıların belirli kurallarla

on the passwords users choose under particular rules.

oluşturdukları şifrelerle ilgili elimizde çok veri yok.

NIST would like to obtain more data

NIST, kullanıcıların gerçekten seçtikleri

on the passwords users actually choose,

şifrelerden daha fazla veri edinmek istiyor,

but system administrators are understandably reluctant

fakat sistem yöneticileri, şifre bilgilerini

to reveal password data to others."

başkalarıyla paylaşmaya doğal olarak isteksizler."

So this is a problem, but our research group

Bu bir problem fakat araştırma ekibimiz

looked at it as an opportunity.

bunu bir fırsat olarak gördü.

We said, "Well, there's a need for good password data.

Dedik ki: "Evet iyi bir şifre verisine ihtiyacımız var.

Maybe we can collect some good password data

Belki bunu toplayabilir ve gerçekten

and actually advance the state of the art here.

daha ileriye taşıyabiliriz.

So the first thing we did is,

Böylece yaptığımız ilk şey,

we got a bag of candy bars

bir paket dolusu çikolata aldık

and we walked around campus

ve kampüsün içinde dolaştık.

and talked to students, faculty and staff,

Öğrencilerle, hocalarla, çalışanlarla konuştuk,

and asked them for information

onlardan şifreleri

about their passwords.

hakkında bilgi istedik.

Now we didn't say, "Give us your password."

Pekala "Bize şifrenizi verin" demedik.

No, we just asked them about their password.

Sadece şifreleri hakkında soru sorduk.

How long is it? Does it have a digit?

Ne kadar uzun? Bir rakam,

Does it have a symbol?

bir sembol içeriyor mu?

And were you annoyed at having to create

Ve son bir hafta içerisinde yeni bir şifre

a new one last week?

oluştururken sinir oldunuz mu?

So we got results from 470 students,

470 öğrenci, öğretmen ve çalışandan

faculty and staff,

verileri topladık

and indeed we confirmed that the new policy

ve teyit ettik ki yeni şifre politikası

was very annoying,

oldukça can sıkıcı

but we also found that people said

fakat insanların bu şifrelerle

they felt more secure with these new passwords.

kendilerini daha güvende hissettiklerini de gördük.

We found that most people knew

Gördük ki; çoğu kişi şifrelerini

they were not supposed to write their password down,

bir yere yazmamaları gerektiğini biliyordu

and only 13 percent of them did,

ve sadece yüzde 13'ü yazıyordu.

but disturbingly, 80 percent of people

Fakat endişelendiren husus yüzde 80'inin

said they were reusing their password.

eski şifrelerini tekrar kullandığını söylemesiydi.

Now, this is actually more dangerous

Aslında bu, şifreleri

than writing your password down,

bir yere yazmaktan daha tehlikeli.

because it makes you much more susceptible to attackers.

Çünkü bu durum sizi saldırganlara karşı açık duruma getirecektir.

So if you have to, write your passwords down,

Yani eğer zorundaysan, şifreleri bir yere yaz

but don't reuse them.

ama onları tekrar kullanma.

We also found some interesting things

Ayrıca insanların şifrelerinde

about the symbols people use in passwords.

kullandıkları sembollerle ilgili ilginç şeyler de gördük.

So CMU allows 32 possible symbols,

Şimdi, CMU 32 farklı sembole izin veriyor

but as you can see, there's only a small number

ancak görüldüğü üzere, çoğu kişinin kullandığı

that most people are using,

sadece bir küçük numara var.

so we're not actually getting very much strength

Yani aslında, şifremizdeki sembollerden

from the symbols in our passwords.

çok fazla güç elde edemiyoruz.

So this was a really interesting study,

Evet, bu çok ilginç bir çalışma

and now we had data from 470 people,

ve şu anda 470 kişiden bilgi aldık,

but in the scheme of things,

ama bunların düzeninde,

that's really not very much password data,

aslında çok fazla şifre verisi yok

and so we looked around to see

dolayısıyla biz de daha fazla

where could we find additional password data?

veriyi nerden bulabileceğimize baktık.

So it turns out there are a lot of people

Sonra ortaya çıktı ki birçok kişi

going around stealing passwords,

etraftan şifreleri çalıyor,

and they often go and post these passwords

ve ekserisi bunları internete

on the Internet.

yolluyor.

So we were able to get access

Tabii biz de çalınmış şifrelerden

to some of these stolen password sets.

bazılarına erişebildik.

This is still not really ideal for research, though,

Yine de ideal bir araştırma değil gerçi

because it's not entirely clear

çünkü şifrenin nereden geldiği

where all of these passwords came from,

veya kullanıcıların bu şifreleri oluştururken

or exactly what policies were in effect

hangi kurallardan etkilendiği

when people created these passwords.

tamamen açık değil.

So we wanted to find some better source of data.

Bu yüzden daha iyi veri kaynağı bulmak istedik.

So we decided that one thing we could do

Ve bir çalışma oluşturup,

is we could do a study and have people

insanların çalışmamız için şifre oluşturmalarını

actually create passwords for our study.

sağlayabileceğimize karar verdik.

So we used a service called Amazon Mechanical Turk,

Bunun için, bir dakika, birkaç dakika ya da bir saatlik

and this is a service where you can post

online, küçük işler yollanabilen,

a small job online that takes a minute,

her görev karşılığında bir sent, on sent,

a few minutes, an hour,

ya da birkaç dolar verilen,

and pay people, a penny, ten cents, a few dollars,

ve ödemenin Amazon.com üzerinden yapıldığı

to do a task for you,

"Amazon Mechanical Turk" denilen

and then you pay them through Amazon.com.

servisi kulllandık.

So we paid people about 50 cents

Ve kurallarımıza göre şifreler oluşturup

to create a password following our rules

bir anketi cevaplayan kişilere

and answering a survey,

yaklaşık 50 sent ödedik.

and then we paid them again to come back

Ardından 2 gün sonra geri dönüp

two days later and log in

şifreleriyle giriş yapan ve farklı bir

using their password and answering another survey.

anketi cevaplayan kişilere tekrar ödeme yaptık.

So we did this, and we collected 5,000 passwords,

Ve bunu yaparak 5000 şifre topladık,

and we gave people a bunch of different policies

insanlara, şifrelerini oluşturmak için

to create passwords with.

bir takım kurallar verdik.

So some people had a pretty easy policy,

Bazı kişiler Basic8 dediğimiz

we call it Basic8,

basit bir kurala sahipti.

and here the only rule was that your password

görüldüğü gibi bundaki tek kural

had to have at least eight characters.

şifrelerinin en az sekiz karakterden oluşmasıydı.

Then some people had a much harder policy,

Bazılarına da CMU'daki kurallara benzer

and this was very similar to the CMU policy,

daha zor kurallar verdik:

that it had to have eight characters

en az sekiz karakterli,

including uppercase, lowercase, digit, symbol,

büyük - küçük harf, sayı ve sembol içeren,

and pass a dictionary check.

sözlüklerde bulunmayan şifreler gibi.

And one of the other policies we tried,

Denediğimiz kurallardan biri

and there were a whole bunch more,

-daha birçok kural vardı-

but one of the ones we tried was called Basic16,

ama bunlardan Basic 16 denen kuralda

and the only requirement here

aranan tek şart

was that your password had to have at least 16 characters.

şifrenin en az 16 karakterden oluşmasıydı.

All right, so now we had 5,000 passwords,

Evet, artık 5000 şifremiz

and so we had much more detailed information.

ve çok daha detaylı bilgiye sahibiz.

Again we see that there's only a small number

İnsanların şifrelerinde sembollerden

of symbols that people are actually using

sadece bir tanesini kullandıklarını

in their passwords.

tekrar gördük.

We also wanted to get an idea of how strong

Aynı zamanda oluşturulan şifrelerin ne kadar

the passwords were that people were creating,

güçlü oldukları hakkında bilgi sahibi olmak da istedik,

but as you may recall, there isn't a good measure

Hatırlayacağınız üzere, şifrelerin gücünün

of password strength.

iyi bir ölçüsü yok.

So what we decided to do was to see

Bu yüzden, kötü insanların kullandığı

how long it would take to crack these passwords

veya araştırma literatüründe

using the best cracking tools

bilgi bulabildiğimiz

that the bad guys are using,

en iyi şifre kırma yöntemleriyle

or that we could find information about

şifreleri kırmanın ne kadar süreceğine

in the research literature.

bakmaya karar verdik.

So to give you an idea of how bad guys

Kötü insanların şifreleri nasıl kırdığı

go about cracking passwords,

hakkında bilgi sahibi olmanız adına,

they will steal a password file

hash (kargaşa) denilen karmaşık form benzeri

that will have all of the passwords

bütün şifreleri içeren

in kind of a scrambled form, called a hash,

şifre dosyalarını çalıyorlar,

and so what they'll do is they'll make a guess

ardından şifreyi bulmak için

as to what a password is,

hashing fonksiyonu üzerinden

run it through a hashing function,

tahmin yapıyorlar

and see whether it matches

ve şifrenin, kendilerinde bulunan

the passwords they have on their stolen password list.

çalınmış şifre listesindekilerle eşleşip eşleşmediğine bakıyorlar.

So a dumb attacker will try every password in order.

Evet, ahmak bir saldırgan bütün olasılıkları sırayla dener.

They'll start with AAAAA and move on to AAAAB,

AAAAA ile başlar ve AAAAB ile devam eder,

and this is going to take a really long time

ve insanların aslında kullandıkları

before they get any passwords

şifrelere benzer şifrelere

that people are really likely to actually have.

ulaşmak çok uzun zaman alır.

A smart attacker, on the other hand,

Diğer taraftan akıllı bir saldırgan

does something much more clever.

çok daha zekice bir şey yapar.

They look at the passwords

Çalınmış şifre setlerinden

that are known to be popular

popüler olarak

from these stolen password sets,

bilinen şifrelere bakar ve

and they guess those first.

önce onları tahmin eder.

So they're going to start by guessing "password,"

Yani "şifre" ile tahmine başlar,

and then they'll guess "I love you," and "monkey,"

"seni seviyorum", "maymun" ve "12345678"

and "12345678,"

ile devam eder

because these are the passwords

çünkü bunlar insanların

that are most likely for people to have.

kullandıkları şifreler olması çok olası.

In fact, some of you probably have these passwords.

Hatta sizlerden bazıları bunları kullanıyor olabilir.

So what we found

Böylece, topladığımız

by running all of these 5,000 passwords we collected

5000 şifreden hepsini, ne kadar güçlü olduklarını

through these tests to see how strong they were,

görmek için bu testlerden

geçirdiğimizde gördüğümüz

we found that the long passwords

uzun şifrelerin aslında bayağı güçlü olduğudur,

were actually pretty strong,

and the complex passwords were pretty strong too.

karmaşık şifreler de oldukça güçlü,

However, when we looked at the survey data,

ancak anket verilerine baktığımızda,

we saw that people were really frustrated

insanların karmaşık şifrelerden

by the very complex passwords,

epeyce bıktıklarını,

and the long passwords were a lot more usable,

uzun şifrelerin çok daha kullanışlı,

and in some cases, they were actually

hatta bazı durumlarda

even stronger than the complex passwords.

karmaşık şifrelerden daha güçlü olduklarını gördük.

So this suggests that,

Bu durum insanlara

instead of telling people that they need

şifrelerinde sembol, numara

to put all these symbols and numbers

ve çılgınca şeyler kullanmalarını

and crazy things into their passwords,

söylemek yerine

uzun şifre kullanmalarına teşvik etmenin

we might be better off just telling people

daha iyi olabileceğini gösteriyor.

to have long passwords.

Now here's the problem, though:

Gerçi buradaki problem:

Some people had long passwords

bazı insanların çok güçlü olmayan

that actually weren't very strong.

uzun şifrelere sahip olması.

You can make long passwords

Sonuçta saldırganın

that are still the sort of thing

kolayca tahmin edebileceği türden

that an attacker could easily guess.

uzun şifreler oluşturabilirsiniz.

So we need to do more than just say long passwords.

O zaman uzun şifreden daha fazlasına ihtiyacımız var.

There has to be some additional requirements,

Bazı ek şartlar gerekiyor ki,

and some of our ongoing research is looking at

devam eden araştırmalarımızdan bazıları,

what additional requirements we should add

daha güçlü ve aynı zamanda

to make for stronger passwords

insanların kolayca hatırlayıp yazacakları

that also are going to be easy for people

şifreler için ne gibi şartlar

to remember and type.

eklememiz gerektiğine bakıyor.

Another approach to getting people to have

İnsanların daha güçlü şifre kullanmalarına

stronger passwords is to use a password meter.

diğer yaklaşım, şifre ölçer kullanmaktır.

Here are some examples.

İşte bazı örnekler.

You may have seen these on the Internet

Şifre oluştururken

when you were creating passwords.

bunları internette görmüş olabilirsiniz.

We decided to do a study to find out

Bu şifre ölçerlerin gerçekten çalışıp çalışmadığını

whether these password meters actually work.

anlamak için bir çalışma yapmaya karar verdik.

Do they actually help people

Acaba insanlara gerçekten

have stronger passwords,

yardımcı oluyorlar mı,

and if so, which ones are better?

oluyorlarsa hangisi daha iyi?

So we tested password meters that were

Farklı uzunluk, şekil ve renkteki şifre ölçerleri,

different sizes, shapes, colors,

yanlarında farklı kelimeler yazanları

different words next to them,

test ettik,

and we even tested one that was a dancing bunny.

hatta bu dans eden tavşanı bile test ettik.

As you type a better password,

Daha iyi şifre yazdıkça

the bunny dances faster and faster.

tavşan daha hızlı dans ediyor.

So this was pretty fun.

Oldukça eğlenceli aslında.

What we found

Şifre ölçerlerin

was that password meters do work.

işe yaradığını gördük,

(Laughter)

(Gülüşmeler)

Most of the password meters were actually effective,

Şifre ölçerlerin çoğu gerçekten etkili,

and the dancing bunny was very effective too,

danseden tavşan da oldukça etkili

but the password meters that were the most effective

ama bunlardan en etkilileri, onay verip

were the ones that made you work harder

"iyi işti" demeden önce kullanıcıların

before they gave you that thumbs up and said

gerçekten çabalamalarını

you were doing a good job,

sağlayanlardır.

and in fact we found that most

Aslında şu an internetteki

of the password meters on the Internet today

şifre ölçerlerin çoğunu oldukça

are too soft.

They tell you you're doing a good job too early,

zayıf bulduk.

İyi iş yaptığınızı çok erken söylüyorlar,

and if they would just wait a little bit

halbuki pozitif dönüş yapmadan önce

before giving you that positive feedback,

biraz daha bekleseler

you probably would have better passwords.

daha iyi şifreleriniz olabilir.

Now another approach to better passwords, perhaps,

Şimdi, daha iyi bir şifre için diğer bir yaklaşım,

is to use pass phrases instead of passwords.

belki de şifre yerine anahtar parolası kullanmaktır.

So this was an xkcd cartoon from a couple of years ago,

Bu birkaç yıl önceden xkcd karikatürü,

and the cartoonist suggests

ve karikatürist hepimizin

that we should all use pass phrases,

anahtar parolası kullanmamızı tavsiye ediyor,

and if you look at the second row of this cartoon,

ve karikatürün ikinci satırına bakarsanız karikatürist,

you can see the cartoonist is suggesting

oldukça güçlü ve kolayca hatırlanabilecek

that the pass phrase "correct horse battery staple"

bir anahtar parolası olduğundan

"doğru at batarya teli" kelimelerini

would be a very strong pass phrase

tavsiye ettiğini görebilirsiniz.

and something really easy to remember.

He says, in fact, you've already remembered it.

Diyor ki, aslında siz onu zaten hatırlıyorsunuz.

And so we decided to do a research study

Bİz de bunun doğru olup olmadığına dair

to find out whether this was true or not.

bir çalışma yapmaya karar verdik.

In fact, everybody who I talk to,

Aslında, şifre araştırması

who I mention I'm doing password research,

yaptığımdan bahsettiğim herkes

they point out this cartoon.

bu karikatürden bahsetti.

"Oh, have you seen it? That xkcd.

"Şu xkcd karikatürünü gördün mü?

Correct horse battery staple."

Doğru at batarya teli."

So we did the research study to see

Gerçekten ne olacağını görmek için

what would actually happen.

araştırma yaptık.

So in our study, we used Mechanical Turk again,

Araştırmada yine Mechanical Turk'ü kullandık

and we had the computer pick the random words

ve anahtar paroladan kelimeleri rastgele seçen

in the pass phrase.

bilgisayar kullandık,

Now the reason we did this

çünkü insanlar

is that humans are not very good

rastgele kelime seçmekte

at picking random words.

çok iyi değil.

If we asked a human to do it,

Seçimi insanlara bıraksaydık

they would pick things that were not very random.

pek de rastgele seçim yapmazlardı.

So we tried a few different conditions.

Birkaç farklı durum denedik.

In one condition, the computer picked

Birisinde bilgisayar, ingilizcedeki

from a dictionary of the very common words

oldukça yaygın kelimeler sözlüğünden

in the English language,

seçim yaptı,

and so you'd get pass phrases like

bu durumda "dene orada üç gel" gibi

"try there three come."

anahtar kelimeler alırdınız.

And we looked at that, and we said,

Biz de buna bakıp

"Well, that doesn't really seem very memorable."

"Eh, bu hatırlanacak bir şeye benzemiyor pek" dedik,

So then we tried picking words

ardından kelimeleri, cümlenin belirli kısmından

that came from specific parts of speech,

seçmeyi denedik,

so how about noun-verb-adjective-noun.

isim-fiil-sıfat-isim mesela.

That comes up with something that's sort of sentence-like.

Sonra karşımıza cümleye benzer türden şeyler çıktı.

So you can get a pass phrase like

Bu durumda da "Plan mutlaka güç oluşturur",

"plan builds sure power"

"son kırmızı uyuşturucuya neden olur"

or "end determines red drug."

gibi anahtar kelimeler alırdınız.

And these seemed a little bit more memorable,

Bunlar daha akılda kalıcı gibi

and maybe people would like those a little bit better.

ve insanlar bunlardan biraz daha hoşlanırlardı belki.

We wanted to compare them with passwords,

Bunları şifrelerle karşılaştırmayı denedik,

and so we had the computer pick random passwords,

rastgele şifreler seçecek bilgisayarımız vardı

and these were nice and short, but as you can see,

ve bunlar güzel ve kısa şifrelerdi,

they don't really look very memorable.

ama gördüğünüz gibi pek akılda kalıcı değiller.

And then we decided to try something called

Bu yüzden telaffuz edilebilir şifre

a pronounceable password.

denilen şeyi denemeye karar verdik.

So here the computer picks random syllables

İşte bilgisayarın rastgele hecelerden seçip

and puts them together

birleştirdiği kelimeler:

so you have something sort of pronounceable,

"tufritvi" ve"vadasabi" gibi

like "tufritvi" and "vadasabi."

telaffuz edilir türden kelimeler oluştu.

That one kind of rolls off your tongue.

Tekerlemenin bir türü gibi.

So these were random passwords that were

Bunlar bilgisayarımız tarafından oluşturulan

generated by our computer.

rastgele şifreler.

So what we found in this study was that, surprisingly,

Bu çalışmada gördüğümüz, şaşırtıcı biçimde

pass phrases were not actually all that good.

anahtar parolaların o kadar da iyi olmamalarıdır.

People were not really better at remembering

İnsanlar onları rastgele şifreler

the pass phrases than these random passwords,

kadar iyi hatırlayamıyor,

and because the pass phrases are longer,

ve daha uzun oldukları için

they took longer to type

yazmak daha uzun sürüyor

and people made more errors while typing them in.

ve insanlar onu yazarken daha çok hata yapıyorlar.

So it's not really a clear win for pass phrases.

Yani anahtar kelimeler rahatlıkla kazandı denemez.

Sorry, all of you xkcd fans.

Üzgünüm xkcd taraftarları.

On the other hand, we did find

Diğer taraftan, telaffuz edilebilir

that pronounceable passwords

şifreler sürpriz şekilde

worked surprisingly well,

iyi çıktı,

and so we actually are doing some more research

dolayısıyla bu yaklaşımı daha iyi hale getirince

to see if we can make that approach work even better.

ne olacağını görmek için biraz daha araştırma yaptık.

So one of the problems

Yaptığımız bazı araştırmalardaki

with some of the studies that we've done

sorunlardan biri,

is that because they're all done

şifrelerin hepsinin

using Mechanical Turk,

Mechanical Turk kullanarak yapılması.

these are not people's real passwords.

Gerçekten kullanılan şifreler değil,

They're the passwords that they created

bizim çalışmamız için insanlar

or the computer created for them for our study.

ya da bilgisayar tarafından oluşturulan şifrelerdir.

And we wanted to know whether people

Biz de insanların

would actually behave the same way

gerçek şifrelerinde de aynı yolu

with their real passwords.

kullanıp kullanmayacaklarını bilmek istedik.

So we talked to the information security office at Carnegie Mellon

Carnegie Mellon'daki bilgi güvenliği ofisiyle görüştük

and asked them if we could have everybody's real passwords.

ve gerçek şifreleri alabilir miyiz diye sorduk.

Not surprisingly, they were a little bit reluctant

Haliyle şifreleri bizle paylaşmaya

to share them with us,

birazcık gönülsüzlerdi

but we were actually able to work out

ancak 25000 CMU öğrencisinin,

a system with them

öğretim üyelerinin

where they put all of the real passwords

ve personellerin şifrelerini sakladıkları

for 25,000 CMU students, faculty and staff,

kilitli bir odadaki, internete bağlı olmayan şifreli bilgisayarda

into a locked computer in a locked room,

onlarla bir sistem geliştirme

not connected to the Internet,

imkanı elde ettik,

and they ran code on it that we wrote

bilgisayarda şifreleri analiz etmek için

to analyze these passwords.

yazdığımız kodu çalıştırdılar.

They audited our code.

Kodu denetlediler.

They ran the code.

Kodu çalıştırdılar.

And so we never actually saw

Yani aslında kimsenin

anybody's password.

şifresini görmedik.

We got some interesting results,

Bazı ilginç sonuçlar elde ettik,

and those of you Tepper students in the back

arka taraftaki Tepper öğrencilerinin

will be very interested in this.

oldukça ilgisini çekecek.

So we found that the passwords created

Bilgisayar bilimi bölümüne kayıtlı kişiler tarafından

by people affiliated with the school of computer science

oluşturulan şifreleri,

were actually 1.8 times stronger

ticaret okulundakilerin şifrelerine

than those affiliated with the business school.

oranla 1.8 kat daha güçlü olduğunu bulduk.

We have lots of other really interesting

Birçok ilginç demografik

demographic information as well.

bilgiler de elde ettik.

The other interesting thing that we found

Bulduğumuz diğer ilginç şey,

is that when we compared the Carnegie Mellon passwords

CMU'daki şifrelerle Mechanical Turk-kaynaklı

to the Mechanical Turk-generated passwords,

şifreleri karşılaştırdığımızda

there was actually a lot of similarities,

çok fazla benzerlik gördük

and so this helped validate our research method

ve bu araştırma yöntemlerimizi

and show that actually, collecting passwords

doğrulamaya yardımcı oldu ve Mekanik Türk

using these Mechanical Turk studies

kullanarak şifre toplamanın

is actually a valid way to study passwords.

çalışma yapmak için geçerli bir yol olduğunu gösterdi.

So that was good news.

Bunlar iyi haberdi.

Okay, I want to close by talking about

Evet, geçen sene Carnegie Mellon sanat okulunda

some insights I gained while on sabbatical

tatildeyken kazandığım bazı izlenimleri

last year in the Carnegie Mellon art school.

anlatarak bitirmek istiyorum.

One of the things that I did

Yaptığım şeylerden biri

is I made a number of quilts,

çeşit çeşit yorganlar.

and I made this quilt here.

ve bu yorganı burada yaptım.

It's called "Security Blanket."

Buna "Güvenlik Battaniyesi" deniliyor.

(Laughter)

(Gülüşmeler)

And this quilt has the 1,000

Bu yorganda RockYou sitesinden çalınmış

most frequent passwords stolen

şifreler arasında en çok görülen

from the RockYou website.

1000 şifre bulunuyor.

And the size of the passwords is proportional

Şifrelerin boyutu çalınmış veri setinde

to how frequently they appeared

ne kadar sık görüldüğüyle

in the stolen dataset.

doğru orantılı.

And what I did is I created this word cloud,

Ben de bu kelime bulutunu oluşturdum,

and I went through all 1,000 words,

1000 kelimenin hepsini tarayıp

and I categorized them into

onları dağınık tematik kategorilere

loose thematic categories.

sınıflandırdım.

And it was, in some cases,

Ve bu, bazı açıdan,

it was kind of difficult to figure out

kelimelerin hangi kategoriye ait olduğunu

what category they should be in,

çözmek biraz zordu,

and then I color-coded them.

ardından kategorileri renklerle kodladım.

So here are some examples of the difficulty.

İşte bu zorluklardan bazıları:

So "justin."

Mesela "justin".

Is that the name of the user,

Acaba kullanıcının adı mı,

their boyfriend, their son?

erkek arkadaşı mı, oğlu mu?

Maybe they're a Justin Bieber fan.

Belki de Justin Bieber hayranıdır.

Or "princess."

Veya "prenses".

Is that a nickname?

Bir takma ad mı?

Are they Disney princess fans?

Disney prenses hayranları mı?

Or maybe that's the name of their cat.

Belki de kedilerinin adıdır.

"Iloveyou" appears many times

"seniseviyorum", farklı dillerde

in many different languages.

birçok defa görülüyor.

There's a lot of love in these passwords.

Bu şifrelerde oldukça fazla aşk var.

If you look carefully, you'll see there's also

Dikkatli bakarsanız, birkaç küfür de

some profanity,

görebilirsiniz

but it was really interesting to me to see

ama şifrelerde nefret ifadelerinden çok

that there's a lot more love than hate

aşk kelimelerinin olması bana oldukça

in these passwords.

ilginç geldi.

And there are animals,

Evet hayvanlar,

a lot of animals,

birçok hayvan,

and "monkey" is the most common animal

"maymun" en yaygını

and the 14th most popular password overall.

ve toplamda 14. popüler şifre.

And this was really curious to me,

Bana oldukça tuhaf göründü ve

and I wondered, "Why are monkeys so popular?"

"neden maymunlar bu kadar popüler" diye merak ettim.

And so in our last password study,

Bu da bizim son çalışmamız,

any time we detected somebody

birisinin "maymun" kelimesini

creating a password with the word "monkey" in it,

kullandığını tespit ettiğimiz her seferde

we asked them why they had a monkey in their password.

neden şifrelerinde onu kullandıklarını sorduk.

And what we found out --

Ortaya çıkardık ki

we found 17 people so far, I think,

-şu ana kadar "maymun" kelimesini kullanan

who have the word "monkey" --

17 kişi bulduk sanırım-

We found out about a third of them said

bunlardan üçte biri,

"maymun" isimli evcil hayvanları olduğunu

they have a pet named "monkey"

or a friend whose nickname is "monkey,"

ya da arkadaşının lakabının maymun olduğunu söyledi

and about a third of them said

yine üçte biri, maymun gibi olduklarını

that they just like monkeys

ve maymunların

and monkeys are really cute.

çok tatlı olduğunu söyledi.

And that guy is really cute.

Bu da oldukça tatlı.

So it seems that at the end of the day,

Sonuçta görülüyor ki

when we make passwords,

şifreleri oluştururken,

we either make something that's really easy

ya yazılması kolay şeyler,

to type, a common pattern,

yaygın bir şablon,

or things that remind us of the word password

veya şifre kelimesini hatırlatan şeyler

or the account that we've created the password for,

veya şifre oluşturduğumuz hesap hakkında

or whatever.

şeylerden birini seçiyoruz.

Or we think about things that make us happy,

Veya bizi mutlu eden şeyler hakkında düşünüp

and we create our password

şifre oluştururken

based on things that make us happy.

onun üzerinden hareket ediyoruz.

And while this makes typing

Ama bu şifrenizi yazmanızı

and remembering your password more fun,

ve hatırlamanızı kolaylaştırdığı gibi

it also makes it a lot easier

onun tahmin edilmesini de

to guess your password.

kolaylaştırıyor.

So I know a lot of these TED Talks

Biliyorum birçok TED konuşması

are inspirational

ilham verici

and they make you think about nice, happy things,

ve güzel, mutlu şeyleri düşünmenizi sağlıyor

but when you're creating your password,

ama şifrelerinizi oluştururken

try to think about something else.

başka şeyler düşünmeye çalışın.

Thank you.

Teşekkürler

(Applause)

(Alkış)