Inilah Mengapa Mengubah Kata Sandi Anda Sering Mungkin Ide yang Buruk

Mantra di antara mereka yang secara teratur menggunakan internet untuk sebagian besar hal seperti ini: "Ganti kata sandi Anda setiap beberapa bulan / minggu untuk menjaga keamanan akun Anda." Tampaknya sederhana dan masuk akal: dengan kata sandi baru yang berputar, kata kunci itu harus lebih sulit karena informasi pencuri mendapatkan akses ke informasi pribadi Anda. Tetapi Kepala Teknisi Komisi Perdagangan Federal, Profesor Lorrie Cranor dari Universitas Carnegie Mellon, tidak setuju dengan teori ini.

Pada konferensi keamanan BSides minggu lalu di Las Vegas, Cranor menguraikan poinnya, yang muncul setelah melihat saran yang diberikan oleh FTC sendiri. “Saya pergi ke orang-orang media sosial dan menanyakan itu kepada mereka,” Cranor menjelaskan. “Mereka berkata, 'Ya, itu saran yang bagus karena di FTC kami mengganti kata sandi kami setiap 60 hari'.” Penyesatan itu lebih dari cukup untuk membuat bel alarm berbunyi di pikiran Cranor.

41% dari kata sandi yang baru diubah berubah secara offline berdasarkan transformasi kata sandi sebelumnya, kata penelitian melalui Lorrie Cranor @BSidesLV

- Claus Cramon Houmann (@ClausHoumann) 2 Agustus 2016

Sebagai seorang periset kata sandi berdasarkan profesi, Cranor mengatakan bahwa bahaya mengubah kata sandi sering kali terletak pada kenyataan bahwa mengubah kata sandi sering kali menimbulkan kerentanan ketika muncul kombinasi yang rumit untuk perlindungan akun Anda. Mengutip sebuah studi dari University of North Carolina di Chapel Hill yang mengeksplorasi lebih dari 10.000 akun yang sudah kadaluwarsa untuk pola: “Para peneliti UNC mengatakan jika orang harus mengubah kata sandi setiap 90 hari, mereka cenderung menggunakan pola dan mereka melakukan apa yang kita sebut transformasi, "kata Cranor. "Mereka mengambil kata sandi lama mereka, mengubahnya sedikit, dan mereka membuat kata sandi baru."

Terlebih lagi, para peneliti mampu menciptakan cara untuk memprediksi pola kata sandi - tindakan yang tidak biasa ketika sebuah skrip dapat dirancang untuk melakukan hal itu. Pada akhirnya, algoritma ini meretas 17 persen akun dalam waktu kurang dari lima upaya.

Cara berpikir Cranor secara perlahan membuat perbedaan, paling baru di FTC. "Saya senang melaporkan bahwa untuk dua dari enam kata sandi pemerintah saya, saya tidak perlu mengubahnya lagi," candanya.