Adgangskoden er Fayleyure

Under gennemgang: Valg af adgangskode til Yahoo! Mail osv.

PokeKey1…ou812$…twasbri11ig!. Alle var mine yndlingsadgangskoder for længe siden. Den første er navnet på den hvalp, jeg kort fik som barn. Den anden blev skamløst løftet fra et Van Halen-albumcover. Den tredje, kan du huske, åbner Jabberwock y. Jeg må have skrevet hver hundrede gange.

Denne historie var en del af vores marts 2005-udgave

• Se resten af ​​problemet
• Abonner

Når jeg ser tilbage, føler jeg mig som en idiot, fordi jeg tror på, at mine vittigt ugætterlige adgangskoder forbedrede min sikkerhed på nogen meningsfuld måde. Adgangskodebeskyttelse er gennemgående, irriterende, ubelejligt og gør ikke meget for at afskrække nogen, der har til hensigt at gøre skade. Men du kan ikke få lovlig adgang til mange tjenester uden det.

Yahoo Mail-registrering er for eksempel kommet langt fra at være en åben invitation til spammere og spoofere. Hvem vil hævde, at dets automatiske ID/adgangskodepåmindelser ikke er en velsignelse for de dovne og afasi blandt os? Men Yahoos ubarmhjertige afhængighed af adgangskodebeskyttelse er en sikkerhedspatch, der føles mere som en udfordring for ondsindede end et seriøst afskrækkende middel. Og Yahoo Mail er blandt de bedre i et ret dårligt parti.

Nutidens adgangskodegodkendelsesordninger er lidt mere end sikkerhedsplaceboer. De inspirerer perverst til misbrug, misbrug og kriminel fortræd ved bevidst at gøre brugerne til det svageste led i sikkerhedskæden. Større teleprocessorkraft har gjort det hurtigere, bedre og billigere at stjæle eller knække adgangskodesekvenser. Sikkerhedsguruen Mark Seiden bemærker, at mange hackangreb ikke har noget at gøre med, hvor stærk et målkodeord er, fordi disse angreb er afhængige af brute-force-opdagelse af alfanumeriske sekvenser. De onde angriber virkelig dit tastatur, siger han. At sikkerhedssystemadministratorer får brugere til at springe gentagne gange gennem digitale bøjler for at forsvare integriteten af ​​vores sekvenser på fire til 12 tegn, falder et sted mellem fornærmelse og joke.

Hvis en virksomhed ønskede at designe et sikkerhedssystem, der gjorde hån mod alt, hvad vi ved om menneskelig adfærd, kognitiv psykologi og kryptografisk analyse, ville det komme med vores nutidige bit-baserede kodeord. Som autentificeringsekspert Richard E. Smith har observeret, er den logiske konklusion af de fleste stærke adgangskodepolitikker – brug ikke navne på familiemedlemmer eller kæledyr; brug ikke fødselsdage eller kalenderdatoer; brug randomiserede sekvenser af specialtegn; brug ikke din adgangskode til mere end et eller to websteder; ændre dine adgangskoder flere gange om året; læg ikke dit kodeord i din PDA eller mobiltelefon - er, at adgangskoder skal være umulige at huske og aldrig bør skrives ned.

På en eller anden måde har verdens ATM-banksystemer formået at klare sig med et minimum af svindel i mere end 20 år ved kun at stole på firecifrede koder. Så hvad forstår banknørderne om adgangskodehåndtering?

Det åbenlyse svar: Jo stærkere og mere kompleks adgangskodeskemaet er, jo dovenere og mere teknisk inkompetent er sikkerhedssystemadministratoren. Som Smith demonstrerer i en række skarpe analyser, gør fremkomsten af ​​ren tekst sniffer-teknologi kombineret med beregningsmæssigt forbedret processorkraft traditionel adgangskodebeskyttelse stadig svagere og mere skrøbelig.

Så hvorfor kræver vi, at millioner af mennesker bruger mere og mere tid og hukommelse på en sikkerhedsprocedure, der giver mindre og mindre beskyttelse? Verden har ikke brug for bedre eller mere sikre adgangskoder; det skal vænne sig selv fra adgangskoder og pinkoder som godkendelsesmedie. Vi ville være langt mere sikre med flere lagdelte tilgange til autentificering – mistænkelige motorer på udkig efter afvigende adfærd – og mere subtile, men vedvarende måder at spore og udfordre online identiteter på.

Den globale tåbelighed ved adgangskodementaliteten blev smukt fremhævet i en undersøgelse foretaget sidste år, der viste, at 70 procent af de adspurgte sagde, at de ville afsløre deres computeradgangskoder til en chokoladebar. Sød. En tredjedel af de adspurgte gav frivilligt deres adgangskoder til interviewere uden at blive tilbudt bestikkelse. Endnu en undersøgelse opdagede, at hele 79 procent af de adspurgte mennesker på gaden i London afslørede så ønskværdige sikkerhedsfølsomme data som moderens pigenavn og fødselsdato. Vi er forbløffet over niveauet af uvidenhed fra forbrugere om behovet for at beskytte deres online identitet, opsnuste en talsmand for RSA, det banebrydende krypteringsfirma, der sponsorerede forskningen.

Faktisk er jeg forbløffet over dovenskaben hos globale virksomheder, der gør deres brugere primært ansvarlige for sikkerheden og integriteten af ​​komplekse systemer. Hvis adgangskoder er nær så vigtige for online autentificering, identitet og sikkerhed i et årti, som de er i dag, vil det være det klarest mulige signal om, at den virtuelle verden er blevet et endnu mere farligt og flygtigt sted for både transaktioner og interaktioner.

Michael Schrage er forsker og konsulent i innovationsøkonomi og forfatter til Seriøs leg (2000).

skjule