Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Điều gì chưa ổn trong pa$$w0rd của bạn?

Translator: Trang Rương Reviewer: Thu Ha Tran

I am a computer science and engineering professor here at Carnegie Mellon,

Tôi là một giáo sư kỹ thuật và khoa học máy tính tại Carnegie Mello,

and my research focuses on usable privacy and security,

và nghiên cứu của tôi tập trung vào bảo mật và quyền riêng tư hữu dụng,

and so my friends like to give me examples

do đó các bạn của tôi thích đưa tôi các ví dụ

of their frustrations with computing systems,

về sự bức bối với hệ thống máy tính,

especially frustrations related to

đặc biệt là các mối ái ngại liên quan đến

unusable privacy and security.

quyền riêng tư và bảo mật không hữu dụng.

So passwords are something that I hear a lot about.

Do đó mật khẩu là thứ mà tôi nghe nhiều nhất.

A lot of people are frustrated with passwords,

Rất nhiều người đau đầu với các mật khẩu,

and it's bad enough

và nó tệ đến mức

when you have to have one really good password

khi bạn có một mật khẩu thật sự tốt

that you can remember

mà bạn có thể nhớ

but nobody else is going to be able to guess.

nhưng không ai có thể đoán được.

But what do you do when you have accounts

Nhưng bạn sẽ làm gì khi bạn có nhiều tài khoản

on a hundred different systems

trên hàng trăm các hệ thống khác nhau

and you're supposed to have a unique password

và bạn phải có một mật khẩu riêng

for each of these systems?

cho mỗi hệ thống?

It's tough.

Chuyện đó chẳng dễ dàng gì.

At Carnegie Mellon, they used to make it

Tại Carnegie Mellon, họ đã làm việc đó,

actually pretty easy for us

thực ra nó khá dễ

to remember our passwords.

để ta nhớ được các mật khẩu ấy.

The password requirement up through 2009

Yêu cầu của mật khẩu cho đến năm 2009

was just that you had to have a password

chỉ là bạn cần phải có 1 mật khẩu

with at least one character.

với ít nhất một ký tự.

Pretty easy. But then they changed things,

Khá dễ dàng ha. Nhưng sau đó họ thay đổi mọi thứ,

and at the end of 2009, they announced

Và đến cuối năm 2009, họ thông báo

that we were going to have a new policy,

rằng chúng ta sẽ có một chính sách mới,

and this new policy required

và chính sách mới này

passwords that were at least eight characters long,

yêu cầu mật khẩu phải có độ dài ít nhất 8 ký tự ,

with an uppercase letter, lowercase letter,

với một ký tự hoa, một ký tự thường,

a digit, a symbol,

một con số, một biểu tượng,

you couldn't use the same character more than three times,

bạn không thể sử dụng một ký tự quá 3 lần,

and it wasn't allowed to be in a dictionary.

và nó không được có mặt trong từ điển.

Now, when they implemented this new policy,

Khi họ thực thi chính sách mới này,

a lot of people, my colleagues and friends,

rất nhiều người, đồng nghiệp và bạn bè tôi,

came up to me and they said, "Wow,

đến với tôi và nói:

now that's really unusable.

"Chà, giờ thì đúng thật là bất tiện.

Why are they doing this to us,

Mắc gì họ lại làm vậy với chúng ta,

and why didn't you stop them?"

và sao bạn không ngăn họ lại?"

And I said, "Well, you know what?

Và tôi đáp, "Ờ thì, các bạn biết gì không?

They didn't ask me."

Họ đã không hỏi tôi."

But I got curious, and I decided to go talk

Nhưng tôi đã tò mò, và quyết định đến hỏi

to the people in charge of our computer systems

người phụ trách hệ thống máy tính của chúng tôi

and find out what led them to introduce

và tìm xem điều gì dẫn đến việc giới thiệu

this new policy,

chính sách mới này,

and they said that the university

và họ nói rằng trường tôi

had joined a consortium of universities,

đã tham gia vào một liên minh các trường đại học,

and one of the requirements of membership

và một điều cần thiết đối với thành viên

was that we had to have stronger passwords

là chúng tôi phải có những mật khẩu mạnh hơn

that complied with some new requirements,

để thỏa mãn với một vài ràng buộc mới,

and these requirements were that our passwords

đó là các mật khẩu của chúng tôi

had to have a lot of entropy.

phải có nhiều biến ngẫu nhiên - entropy.

Now entropy is a complicated term,

Entropy là một khái niệm phức tạp,

but basically it measures the strength of passwords.

nhưng về cơ bản, nó đo độ mạnh mật khẩu.

But the thing is, there isn't actually

Nhưng vấn đề là, thực sự không có

a standard measure of entropy.

một thước đo entropy chuẩn nào cả.

Now, the National Institute of Standards and Technology

Viện Công Nghệ và Tiêu Chuẩn Quốc Gia (NIST)

has a set of guidelines

có một bộ đường lối chỉ đạo

which have some rules of thumb

gồm một số qui luật chung

for measuring entropy,

để đo độ entropy,

but they don't have anything too specific,

nhưng họ lại không có gì cặn kẽ hơn,

and the reason they only have rules of thumb

và nguyên nhân họ chỉ có qui tắc chung

is it turns out they don't actually have any good data

hóa ra là họ chẳng có bất cứ dữ liệu tốt nào

on passwords.

về mật khẩu cả.

In fact, their report states,

Thật ra, báo cáo của họ viết rằng,

"Unfortunately, we do not have much data

"Thật không may, chúng tôi không có nhiều dữ liệu

on the passwords users choose under particular rules.

về mật khẩu mà người dùng chọn theo những luật lệ nhất định.

NIST would like to obtain more data

NIST mong nhận được thêm nhiều dữ liệu

on the passwords users actually choose,

về sự lựa đó hơn trong thực tế,

but system administrators are understandably reluctant

nhưng điều dễ hiểu là các nhà quản trị hệ thống lại miễn cưỡng

to reveal password data to others."

tiết lộ dữ liệu mật khẩu cho người khác."

So this is a problem, but our research group

Đây là một bài toán, nhưng nhóm nghiên cứu của tôi

looked at it as an opportunity.

đã xem nó như một cơ hội.

We said, "Well, there's a need for good password data.

Chúng tôi nhủ, "Được thôi, dữ liệu mật khẩu an toàn đúng là cần thiết đấy."

Maybe we can collect some good password data

Có thể chúng tôi thu thập một vài bộ dữ liệu mật khẩu tốt

and actually advance the state of the art here.

và thậm chí tối tân hóa cái tiên tiến nữa.

So the first thing we did is,

Nên điều đầu tiên chúng tôi làm,

we got a bag of candy bars

là lấy một túi kẹo cây

and we walked around campus

rồi đi vòng quanh trường

and talked to students, faculty and staff,

để nói chuyện với sinh viên, cán bộ giảng dạy và nhân viên,

and asked them for information

hỏi họ thông tin

about their passwords.

về mật khẩu của họ.

Now we didn't say, "Give us your password."

Chúng tôi đã không yêu cầu, "Đưa mật khẩu của anh/chị đây."

No, we just asked them about their password.

Không, chúng tôi chỉ dò về mật khẩu.

How long is it? Does it have a digit?

Nó dài bao nhiêu? Có chữ số không?

Does it have a symbol?

Có ký tự đặc biệt không?

And were you annoyed at having to create

Và bạn có thấy phiền khi tạo mới

a new one last week?

mật khẩu tuần trước không?

So we got results from 470 students,

Chúng tôi đã thu thập kết quả từ 470 sinh viên,

faculty and staff,

cán bộ khoa và nhân viên,

and indeed we confirmed that the new policy

và y như rằng, chúng tôi thấy chính sách mới

was very annoying,

đúng là rất lằng nhằng.

but we also found that people said

Nhưng chúng tôi cũng để ý rằng mọi người nói

they felt more secure with these new passwords.

họ cảm thấy an toàn hơn với loại mật khẩu mới này.

We found that most people knew

Chúng tôi phát hiện đa số biết

they were not supposed to write their password down,

họ không nên viết ra mật khẩu của họ,

and only 13 percent of them did,

và chỉ 13% trong số đó làm như vậy,

but disturbingly, 80 percent of people

nhưng tiếc thay, 80% tổng cộng

said they were reusing their password.

thừa nhận đã đang sử dụng lại mật khẩu.

Now, this is actually more dangerous

Điều này thật sự còn nguy hiểm hơn

than writing your password down,

việc viết ra mật khẩu của mình,

because it makes you much more susceptible to attackers.

bởi vì nó làm bạn dễ bị tấn công hơn.

So if you have to, write your passwords down,

Vì thế nếu bạn bị bắt buộc, hãy viết mật khẩu của bạn ra,

but don't reuse them.

nhưng đừng tái sử dụng chúng.

We also found some interesting things

Chúng tôi cũng khám phá vài điều thú vị

about the symbols people use in passwords.

về kí tự đặc biệt mọi người sử dụng trong mật khẩu.

So CMU allows 32 possible symbols,

Do CMU cho phép cả thảy 32 kí tự,

but as you can see, there's only a small number

nhưng như bạn thấy đó, chỉ có số lượng nhỏ

that most people are using,

là mọi người đang sử dụng,

so we're not actually getting very much strength

vì thế chúng ta thực sự không tận dụng được độ mạnh

from the symbols in our passwords.

từ kí tự đặc biệt trong mật khẩu của chúng ta.

So this was a really interesting study,

Vì vậy đây quả là một nghiên cứu thú vị,

and now we had data from 470 people,

và chúng tôi có dữ liệu từ 470 người,

but in the scheme of things,

nhưng theo kiểu này,

that's really not very much password data,

là không có nhiều dữ liệu password.

and so we looked around to see

Thế nên chúng tôi đã tìm quanh

where could we find additional password data?

ở đâu có thể tìm thêm dữ liệu mật khẩu?

So it turns out there are a lot of people

Và hóa ra là có rất nhiều người

going around stealing passwords,

suốt ngày tranh thủ trộm mật khẩu,

and they often go and post these passwords

rồi họ thường đăng những mật khẩu này

on the Internet.

lên mạng.

So we were able to get access

Vì thế chúng tôi đã có thể truy cập được

to some of these stolen password sets.

đến vài bộ mật khẩu bị đánh cắp nói trên.

This is still not really ideal for research, though,

Đây vẫn chưa là mô hình lý tưởng cho nghiên cứu,

because it's not entirely clear

bởi nó không hoàn toàn rõ ràng

where all of these passwords came from,

về nguồn của tất cả mật khẩu này,

or exactly what policies were in effect

hoặc là chính sách gì được áp dụng lên nó

when people created these passwords.

khi người ta tạo ra chúng.

So we wanted to find some better source of data.

Nên chúng tôi muốn tìm thêm một vài nguồn trữ tốt hơn.

So we decided that one thing we could do

Và chúng tôi quyết định một điều có thể làm được

is we could do a study and have people

là làm một nghiên cứu và nhờ mọi người

actually create passwords for our study.

tạo mật khẩu dành riêng cho mục đích này.

So we used a service called Amazon Mechanical Turk,

Chúng tôi sử dụng 1 dịch vụ có tên Amazon Mechanical Turk,

and this is a service where you can post

và đây là một dịch vụ mà bạn có thể đăng tải

a small job online that takes a minute,

một công tác nhỏ mất ít thời gian,

a few minutes, an hour,

vài phút, một tiếng,

and pay people, a penny, ten cents, a few dollars,

và trả tiền cho mọi người, 1 xu, 10 đồng (cent), vài đô la,

to do a task for you,

để làm việc cho bạn,

and then you pay them through Amazon.com.

sau đó bạn trả họ thông qua Amazon.com.

So we paid people about 50 cents

Chúng tôi trả cho mọi người tầm 50 đồng (cent)

to create a password following our rules

để tạo một mật khẩu theo đúng qui định

and answering a survey,

kèm theo việc trả lời bản khảo sát,

and then we paid them again to come back

rồi lại trả họ thêm lần nữa để quay lại

two days later and log in

2 ngày sau và đăng nhập

using their password and answering another survey.

sử dụng chính mật khẩu đó và trả lời bản khảo sát khác.

So we did this, and we collected 5,000 passwords,

Chúng tôi đã triển khai hình thức này, và thu thập được 5.000 mật khẩu,

and we gave people a bunch of different policies

và chúng tôi đã đưa họ 1 đống yêu cầu khác nhau

to create passwords with.

để áp dụng tạo mật khẩu.

So some people had a pretty easy policy,

Một số có chính sách khá dễ chơi,

we call it Basic8,

mà tụi tôi gọi là Basic8,

and here the only rule was that your password

qui ước duy nhất là mật khẩu của bạn

had to have at least eight characters.

phải có ít nhất 8 kí tự.

Then some people had a much harder policy,

Đến số khác có yêu cầu khó hơn,

and this was very similar to the CMU policy,

giống với yêu cầu của bên CMU,

that it had to have eight characters

là nó phải có 8 kí tự

including uppercase, lowercase, digit, symbol,

bao gồm kí tự hoa, kí tự thường, số, biểu tượng,

and pass a dictionary check.

và phải vượt qua khâu kiểm tra từ điển.

And one of the other policies we tried,

Rồi một loại chính sách khác chúng tôi thử,

and there were a whole bunch more,

và thêm hàng tá nữa,

but one of the ones we tried was called Basic16,

nhưng có một loại chúng tôi gọi Basic16,

and the only requirement here

và điều kiện duy nhất ở đây

was that your password had to have at least 16 characters.

là mật khẩu phải ít nhất 16 kí tự.

All right, so now we had 5,000 passwords,

Được rồi, lúc đó chúng tôi có 5.000 password,

and so we had much more detailed information.

nên chúng tôi đã khá khẩm hơn nhiều thông tin chi tiết.

Again we see that there's only a small number

Một lần nữa, chúng tôi thấy rằng chỉ có một số nhỏ

of symbols that people are actually using

kí tự đặc biệt là mọi người thật sự dùng

in their passwords.

trong mật khẩu mà thôi.

We also wanted to get an idea of how strong

Chúng tôi cũng muốn một ý tưởng

the passwords were that people were creating,

về độ mạnh mật khẩu mà mọi người tạo ra.

but as you may recall, there isn't a good measure

Nhưng như các bạn nhớ đó, không có thước đo chuẩn nào

of password strength.

cho độ mạnh của password.

So what we decided to do was to see

Điều mà chúng tôi quyết định làm là xem

how long it would take to crack these passwords

mất bao lâu để bẻ khóa các mật khẩu này

using the best cracking tools

sử dụng các công cụ bẻ khóa hiện đại

that the bad guys are using,

mà những kẻ xấu đang sử dụng,

or that we could find information about

hoặc là chúng tôi có thể tìm thấy thông tin về nó

in the research literature.

trong các tài liệu nghiên cứu.

So to give you an idea of how bad guys

Để các bạn hình dung được cách

go about cracking passwords,

kẻ xấu bẻ khóa ra sao,

they will steal a password file

họ sẽ đánh cắp một tập tin mật khẩu,

that will have all of the passwords

mà chứa tất cả dữ liệu

in kind of a scrambled form, called a hash,

dưới một dạng xáo trộn, được gọi là hash,

and so what they'll do is they'll make a guess

và điều họ sẽ làm là đoán

as to what a password is,

xem mật khẩu là gì,

run it through a hashing function,

rồi cho chạy với một chương trình hashing,

and see whether it matches

và chờ liệu có khớp

the passwords they have on their stolen password list.

với các mật khẩu họ đã chuẩn bị sẵn trên danh sách trộm được.

So a dumb attacker will try every password in order.

Một kẻ gà mờ thì sẽ cố thử mọi mật khẩu theo trình tự,

They'll start with AAAAA and move on to AAAAB,

Họ sẽ bắt đầu với AAAAA và rồi AAAAB,

and this is going to take a really long time

và điều này thật sự cần lượng lớn thời gian

before they get any passwords

trước khi họ lấy được bất cứ mật khẩu nào

that people are really likely to actually have.

mà ai ai cũng có thể làm được.

A smart attacker, on the other hand,

Một kẻ thông minh, mặt khác,

does something much more clever.

lại khéo léo hơn nhiều.

They look at the passwords

Họ nhìn vào các mật khẩu

that are known to be popular

mà được xem là phổ biến

from these stolen password sets,

từ những bộ bị đánh cắp này,

and they guess those first.

và họ đoán chúng trước.

So they're going to start by guessing "password,"

Họ sẽ bắt đầu đoán là "password,"

and then they'll guess "I love you," and "monkey,"

và tiếp theo là "I love you," và "monkey,"

and "12345678,"

và "12345678,"

because these are the passwords

bởi vì đây là các mật khẩu

that are most likely for people to have.

mà dường như mọi người hay có.

In fact, some of you probably have these passwords.

Thật ra, vài người ở đây có lẽ có những loại này đó.

So what we found

Điều chúng tôi tìm thấy

by running all of these 5,000 passwords we collected

khi chạy 5.000 mật khẩu mà đã tổng hợp được này

through these tests to see how strong they were,

qua các đợt kiểm tra để xem chúng mạnh như thế nào,

we found that the long passwords

chúng tôi thấy rằng khi mật khẩu dài

were actually pretty strong,

thì thật sự khá mạnh,

and the complex passwords were pretty strong too.

và các loại phức tạp cũng vậy.

However, when we looked at the survey data,

Tuy nhiên, khi chúng tôi xem qua dữ liệu khảo sát,

we saw that people were really frustrated

chúng tôi thấy rằng mọi người thật sự khó chịu

by the very complex passwords,

bởi sự phức tạp ấy,

and the long passwords were a lot more usable,

và mật khẩu dài thì lại hữu dụng hơn hẳn,

and in some cases, they were actually

và trong vài trường hợp, chúng còn

even stronger than the complex passwords.

thậm chí mạnh hơn cả loại phức tạp.

So this suggests that,

Điều này gợi ra rằng,

instead of telling people that they need

thay vì khuyên mọi người

to put all these symbols and numbers

hãy đặt kí tự đặc biệt và số

and crazy things into their passwords,

và những thứ điên rồ vào mật khẩu,

we might be better off just telling people

chúng ta tốt hơn chỉ khuyên họ là

to have long passwords.

nên có mật khẩu dài.

Now here's the problem, though:

Dù gì thì, đây mới là vấn đề:

Some people had long passwords

Một số người có mật khẩu dài

that actually weren't very strong.

mà lại không thật sự mạnh.

You can make long passwords

Bạn có thể tạo độ dài

that are still the sort of thing

mà vẫn bao hàm những điều

that an attacker could easily guess.

một kẻ tấn công có thể dễ dàng đoán được.

So we need to do more than just say long passwords.

Vì thế chúng ta cần làm nhiều hơn thay vì chỉ tuyên bố khơi khơi như vậy.

There has to be some additional requirements,

Phải có vài điều kiện thêm vào,

and some of our ongoing research is looking at

và vài nghiên cứu dang dở của chúng tôi đang xem xét

what additional requirements we should add

các điều kiện cần

to make for stronger passwords

để làm cho mật khẩu mạnh hơn

that also are going to be easy for people

mà cũng chẳng phiền toái gì

to remember and type.

để được ghi nhớ và gõ ra.

Another approach to getting people to have

Một cách khác để khuyến khích mọi người

stronger passwords is to use a password meter.

tạo mật khẩu mạnh hơn là sử dụng một thước đo mật khẩu..

Here are some examples.

Sau đây là một vài ví dụ.

You may have seen these on the Internet

Các bạn có thể đã thấy những thứ này trên internet

when you were creating passwords.

trong khi các bạn tạo mật khẩu.

We decided to do a study to find out

Chúng tôi đã quyết định làm một nghiên cứu để tìm ra

whether these password meters actually work.

cách hoạt động của các thước đo này.

Do they actually help people

Liệu chúng có thật sự giúp mọi người

have stronger passwords,

cài mật khẩu mạnh hơn,

and if so, which ones are better?

và nếu vậy, cái nào thì tốt hơn?

So we tested password meters that were

Vì thế chúng tôi đã thử nghiệm đủ loại

different sizes, shapes, colors,

có kích thước, hình dáng, màu sắc khác nhau,

different words next to them,

tùm lum chữ xoay quanh,

and we even tested one that was a dancing bunny.

và chúng tôi thậm chí đã thử một loại là một chú thỏ nhảy nhót.

As you type a better password,

Khi bạn đánh một mật khẩu tốt hơn,

the bunny dances faster and faster.

chú thỏ sẽ nhảy càng nhanh hơn.

So this was pretty fun.

Nhìn nó khá thú vị ấy chứ.

What we found

Rồi kết quả cuối cùng

was that password meters do work.

là các thước đo này đúng có hiệu quả.

(Laughter)

(Cười)

Most of the password meters were actually effective,

Đa số thực tế là như vậy,

and the dancing bunny was very effective too,

kể cả con thỏ nhảy nhót nữa,

but the password meters that were the most effective

nhưng thước đo hay nhất

were the ones that made you work harder

là cái khiến bạn làm việc nhiều hơn

before they gave you that thumbs up and said

trước khi nó đưa ra sự tán thành và nói rằng

you were doing a good job,

bạn đã đang làm rất tốt,

and in fact we found that most

và hiện thực, chúng tôi thấy rằng phần lớn

of the password meters on the Internet today

thước đo mật khẩu trên Internet ngày nay

are too soft.

They tell you you're doing a good job too early,

quá yếu.

Chúng khen bạn quá sớm,

and if they would just wait a little bit

và nếu chúng chỉ cần đợi thêm một tí

before giving you that positive feedback,

trước khi đưa bạn phản hồi tích cực đó,

you probably would have better passwords.

thì bạn đã có thể có mật khẩu tốt hơn.

Now another approach to better passwords, perhaps,

Một phương thức khác nữa, có lẽ thế,

is to use pass phrases instead of passwords.

là dùng cụm từ mật khẩu thay vì từng từ mật khẩu.

So this was an xkcd cartoon from a couple of years ago,

Đây là bộ phim hoạt hình xkcd cách đây vài năm,

and the cartoonist suggests

và nhà họa sĩ phía sau đề nghị

that we should all use pass phrases,

tất cả chúng ta nên sử dụng cụm mật khẩu

and if you look at the second row of this cartoon,

và nếu bạn nhìn vào hàng thứ 2 của phim hoạt hình này,

you can see the cartoonist is suggesting

bạn có thể thấy nó đang gợi ý

that the pass phrase "correct horse battery staple"

rằng cụm từ mật khẩu "correct horse battery staple"

would be a very strong pass phrase

sẽ rất mạnh

and something really easy to remember.

và cũng rất dễ nhớ.

He says, in fact, you've already remembered it.

Thật ra, anh ta nói không chừng bạn đã nhớ nó rồi.

And so we decided to do a research study

Do đó chúng tôi đã quyết định làm một nghiên cứu

to find out whether this was true or not.

để phân xem điều đó đúng hay sai.

In fact, everybody who I talk to,

Những người tôi từng tiếp xúc,

who I mention I'm doing password research,

người mà tôi nói rằng tôi đang làm nghiên cứu,

they point out this cartoon.

họ đều chỉ đến bộ phim này.

"Oh, have you seen it? That xkcd.

"Ếy, bà đã xem nó chưa? Phim xkcd đó.

Correct horse battery staple."

Correct horse battery staple."

So we did the research study to see

Chúng tôi đã làm một nghiên cứu để xem

what would actually happen.

điều gì thực sự sẽ xảy ra.

So in our study, we used Mechanical Turk again,

Trong nghiên cứu, chúng tôi lại sử dụng Mechanical Turk,

and we had the computer pick the random words

rồi chúng tôi để máy tính chọn ngẫu nhiên các từ

in the pass phrase.

vào trong cụm mật khẩu.

Now the reason we did this

Lý do cho việc đó

is that humans are not very good

là vì con người không giỏi

at picking random words.

việc chọn ra từ ngẫu nhiên.

If we asked a human to do it,

Nếu chúng tôi nhờ ai làm điều đó,

they would pick things that were not very random.

họ sẽ chọn những từ không tự nhiên lắm.

So we tried a few different conditions.

Vì thế chúng tôi đã thử trong điều kiện khác nhau.

In one condition, the computer picked

Trong một trường hợp, máy tính

from a dictionary of the very common words

lọc từ một từ điển chứa nhiều

in the English language,

từ Tiếng Anh thông dụng,

and so you'd get pass phrases like

và vì vậy bạn sẽ có thể nhận được các cụm như

"try there three come."

"try there three come."

And we looked at that, and we said,

Chúng tôi nhìn vào nó, và nói,

"Well, that doesn't really seem very memorable."

"Chậc, cũng chả dễ nhớ hơn là bao."

So then we tried picking words

Sau đó chúng tôi thử những từ

that came from specific parts of speech,

các đoạn cụ thể trong bài văn nào đó,

so how about noun-verb-adjective-noun.

hợp cấu trúc Danh từ-động từ- tính từ-danh từ.

That comes up with something that's sort of sentence-like.

Điều đó đúc kết ra những cụm giống như câu văn vậy.

So you can get a pass phrase like

Nên bạn có thể nhận được cụm đại loại như

"plan builds sure power"

"plan builds sure power"

or "end determines red drug."

hoặc "end determines red drug."

And these seemed a little bit more memorable,

Và những cái này dường như khá hơn đôi chút,

and maybe people would like those a little bit better.

và có thể mọi người sẽ thích những từ đó hơn.

We wanted to compare them with passwords,

Chúng tôi muốn so sánh chúng với mật khẩu,

and so we had the computer pick random passwords,

nên chúng tôi để máy tính chọn mật khẩu ngẫu nhiên,

and these were nice and short, but as you can see,

chúng hấp dẫn và ngắn, nhưng như bạn thấy đó,

they don't really look very memorable.

chúng trông không dễ nhớ cho lắm.

And then we decided to try something called

Sau đó chúng tôi thử

a pronounceable password.

mật khẩu phát âm được.

So here the computer picks random syllables

Máy tính chọn ngẫu nhiên âm tiết

and puts them together

rồi kết hợp chúng lại với nhau

so you have something sort of pronounceable,

cho ra vài thứ có thể phát âm được,

like "tufritvi" and "vadasabi."

như "tufrivi" và "vadasabi."

That one kind of rolls off your tongue.

Chúng làm cong lưỡi của bạn.

So these were random passwords that were

Đây là những mật khẩu ngẫu nhiên

generated by our computer.

được tạo ra từ máy tính.

So what we found in this study was that, surprisingly,

Ngạc nhiên thay, cái chúng tôi tìm được trong nghiên cứu này,

pass phrases were not actually all that good.

là cụm từ mật khẩu thì không mạnh cỡ vậy.

People were not really better at remembering

Mọi người thật sự không cảm thấy tốt hơn khi ghi nhớ

the pass phrases than these random passwords,

các 'cụm mật khẩu' hơn là các 'từ mật khẩu' ngẫu nhiên này,

and because the pass phrases are longer,

và bởi vì các 'cụm mật khẩu' dài hơn,

they took longer to type

chúng làm mất thời gian lâu hơn khi gõ

and people made more errors while typing them in.

và mọi người mắc lỗi nhiều hơn khi gõ chúng.

So it's not really a clear win for pass phrases.

Vì thế nó là nhược điểm của 'cụm mật khẩu'.

Sorry, all of you xkcd fans.

Xin lỗi, các fan của xkcd.

On the other hand, we did find

Mặt khác, chúng tôi đã tìm thấy

that pronounceable passwords

rằng các mật khẩu phát âm được

worked surprisingly well,

có hiệu quả đáng ngạc nhiên,

and so we actually are doing some more research

và do đó chúng tôi nghiên cứu thêm

to see if we can make that approach work even better.

cách làm tăng hiệu quả của phương cách này.

So one of the problems

Và một trong số các vấn đề

with some of the studies that we've done

với các nghiên cứu của chúng tôi

is that because they're all done

là bởi các mật khẩu đều được tạo ra

using Mechanical Turk,

từ Mechanical Turk.

Đó không phải mật khẩu thực của con người.

these are not people's real passwords.

They're the passwords that they created

Đó là các mật khẩu trang web này tạo ra

or the computer created for them for our study.

hoặc là do máy tính tạo ra cho các nghiên cứu của chúng tôi.

And we wanted to know whether people

Và chúng tôi muốn biết

would actually behave the same way

liệu mọi người có làm như vậy

with their real passwords.

với các mật khẩu thực của họ.

So we talked to the information security office at Carnegie Mellon

Vì thế chúng tôi đã hỏi văn phòng bảo mật thông tin tại Carnegie Mellon

and asked them if we could have everybody's real passwords.

liệu chúng tôi có thể có password thực của mọi người.

Not surprisingly, they were a little bit reluctant

Không ngạc nhiên, họ hơi miễn cưỡng

to share them with us,

để chia sẻ chúng với chúng tôi,

but we were actually able to work out

nhưng chúng tôi đã tiếp cận được

a system with them

một hệ thống mật khẩu

where they put all of the real passwords

nơi mà họ chứa tất cả các password thực

for 25,000 CMU students, faculty and staff,

cho 25.000 sinh viên CMU, các cán bộ giảng dạy và nhân viên,

into a locked computer in a locked room,

vào một máy tính được khóa trong phòng bảo mật,

not connected to the Internet,

không kết nối internet,

and they ran code on it that we wrote

và họ chạy mã lệnh mà chúng tôi viết

to analyze these passwords.

để phân tích các password này.

They audited our code.

Họ kiểm tra code của chúng tôi.

They ran the code.

Họ đã chạy code đó.

And so we never actually saw

Và chúng tôi thật sự không thấy được

anybody's password.

các mật khẩu của bất kỳ ai.

We got some interesting results,

Chúng tôi thu được vài kết quả thú vị,

and those of you Tepper students in the back

và những học sinh trường Tepper ở phía cuối

will be very interested in this.

sẽ rất thích thú về điều này.

So we found that the passwords created

Chúng tôi đã tìm thấy rằng các password được tạo

by people affiliated with the school of computer science

bởi những người trong trường tin học

were actually 1.8 times stronger

thì thực sự mạnh hơn gấp 1.8 lần

than those affiliated with the business school.

so với những người học tại trường kinh tế.

We have lots of other really interesting

Chúng tôi cũng có nhiều

demographic information as well.

thông tin nhân khẩu học thú vị khác nữa

The other interesting thing that we found

Điều thú vị khác mà chúng tôi tìm thấy

is that when we compared the Carnegie Mellon passwords

là khi so sánh các mật khẩu của Carnegie Mellon

to the Mechanical Turk-generated passwords,

với các mật khẩu được tạo bởi Mechnical Turk,

there was actually a lot of similarities,

thưc sự có rất nhiều sự giống nhau,

and so this helped validate our research method

và điều này xác nhận phương pháp nghiên cứu của chúng tôi

and show that actually, collecting passwords

và cho thấy rằng, việc tổng hợp password

using these Mechanical Turk studies

theo kết quả của Mechanical Turk này

is actually a valid way to study passwords.

là một cách hợp lý để nghiên cứu password.

So that was good news.

Đó là một tin tốt lành.

Okay, I want to close by talking about

Okay, tôi muốn kết thúc bằng việc nói về

some insights I gained while on sabbatical

vài hiểu biết mà tôi đã đúc kết được khi đi

last year in the Carnegie Mellon art school.

nghiên cứu tại trường nghệ thuật Carnegie Mellon.

One of the things that I did

Tôi đã làm một việc

is I made a number of quilts,

là tạo ra một số mền long,

and I made this quilt here.

và tôi đã làm cái mền này đây.

It's called "Security Blanket."

Nó được gọi là "Tấm mền Bảo Mật."

(Laughter)

(Cười)

And this quilt has the 1,000

Và cái mền này có tới 1.000

most frequent passwords stolen

password bị đánh cắp nhiều nhất

from the RockYou website.

từ website RockYou.

And the size of the passwords is proportional

Và kích cỡ của password thì tương ứng

to how frequently they appeared

với mức độ xuất hiện của chúng

in the stolen dataset.

trên bộ dữ liệu đánh cắp.

And what I did is I created this word cloud,

Và cái mà tôi làm là tạo ra đám mây từ này,

and I went through all 1,000 words,

và tôi duyệt qua tất cả 1.000 từ

and I categorized them into

và tôi phân loại chúng vào

loose thematic categories.

các loại chuyên đề mơ hồ.

And it was, in some cases,

Và trong vài trường hợp,

it was kind of difficult to figure out

nó khó để nhận ra

what category they should be in,

chúng thuộc thể loại nào,

and then I color-coded them.

và sau đó tôi đánh màu cho chúng.

So here are some examples of the difficulty.

Và đây là vài ví dụ của sự khó khăn.

So "justin."

So "justin."

Is that the name of the user,

đó có phải là tên của một người dùng,

their boyfriend, their son?

bạn trai của họ, con trai của họ?

Maybe they're a Justin Bieber fan.

Có lẽ chúng là 1 fan của Justin Bieber.

Or "princess."

Hoặc "princess."

Is that a nickname?

Đó là môt nickname?

Are they Disney princess fans?

Họ là fan của công chúa Disney?

Or maybe that's the name of their cat.

Hoặc có lẽ đó là tên của con mèo của họ.

"Iloveyou" appears many times

"Iloveyou" xuất hiện nhiều lần

in many different languages.

trong nhiều ngôn ngữ khác nhau.

There's a lot of love in these passwords.

Có nhiều chữ love trong các password này

If you look carefully, you'll see there's also

Nếu bạn nhìn kĩ, bạn sẽ nhìn thấy

some profanity,

vài lời tục tĩu,

but it was really interesting to me to see

những nó cũng thú vị

that there's a lot more love than hate

khi có nhiều YÊU hơn là GHÉT

in these passwords.

trong các password này.

And there are animals,

Và có những con vật,

a lot of animals,

rất nhiều động vật,

and "monkey" is the most common animal

và "monkey" là con vật thông dụng nhất

and the 14th most popular password overall.

và đứng thứ 14 trong tất cả các password thông dụng nhất.

And this was really curious to me,

Và điều này gây cho tôi tò mò,

and I wondered, "Why are monkeys so popular?"

tôi tự hỏi, "Tại sao khỉ lại thông dụng nhất ?"

And so in our last password study,

Và trong nghiên cứu cuối cùng của chúng tôi,

any time we detected somebody

mỗi khi chúng tôi tìm thấy ai đó

creating a password with the word "monkey" in it,

tạo 1 mật khẩu với từ "monkey",

we asked them why they had a monkey in their password.

chúng tôi hỏi tại sao lại có con khỉ trong mật khẩu của họ.

And what we found out --

Và chúng tôi tìm ra --

we found 17 people so far, I think,

chúng tôi tìm được 17 người

who have the word "monkey" --

mà có từ "monkey" --

We found out about a third of them said

1/3 trong số họ nói rằng

they have a pet named "monkey"

họ có một thú nuôi tên là "monkey"

or a friend whose nickname is "monkey,"

hoặc là một người bạn của họ có nickname là "monkey",

and about a third of them said

và 1/3 họ nói rằng

that they just like monkeys

họ thích khỉ

and monkeys are really cute.

và khỉ rất dễ thương.

And that guy is really cute.

Và nó thật sự dễ thương.

So it seems that at the end of the day,

Và dường như cuối ngày,

when we make passwords,

khi chúng tôi tạo password,

we either make something that's really easy

chúng tôi cũng tạo ra vài thứ thật sự dễ nhớ

to type, a common pattern,

để đánh máy, một mẫu phổ biến,

or things that remind us of the word password

hoặc những thứ gợi chúng tôi tới từ 'password'

or the account that we've created the password for,

hoặc là tài khoản mà chúng tôi đã tạo mật khẩu cho,

or whatever.

hoặc là bất cứ thứ gì.

Or we think about things that make us happy,

Hoặc chúng tôi nghĩ về điều làm chúng tôi hạnh phúc,

and we create our password

và chúng tôi tạo mật khẩu

based on things that make us happy.

dựa trên các điều mà làm chúng tôi hạnh phúc.

And while this makes typing

Và khi điều này làm cho việc đánh máy

and remembering your password more fun,

và ghi nhớ mật khẩu thú vị hơn,

it also makes it a lot easier

nó cũng trở nên dễ dàng hơn

to guess your password.

để đoán mật khẩu của bạn.

So I know a lot of these TED Talks

Và tôi biết rất nhiều bài TED

are inspirational

gây cảm hứng

and they make you think about nice, happy things,

và làm cho bạn nghĩ về những thứ tốt đẹp, hạnh phúc,

but when you're creating your password,

nhưng khi bạn tạo password,

try to think about something else.

hãy cố nghĩ đến những thứ khác.

Thank you.

Xin cám ơn.

(Applause)

(Vỗ tay)