Hvorfor autokorrektur for adgangskoder er en god idé

De fleste af os har på et eller andet tidspunkt været nødt til at indtaste et kodeord igen, fordi vi har tastet det forkert. Måske er du endda blevet låst ude af en konto efter for mange tastefejl.

Ny forskning viser, at disse frustrationer kunne undgås ved at bruge den samme tilgang, som bruges til at rette stavefejl i tekstbeskeder og dokumenter: autokorrektur.

Forskere analyserede logins til datalagringstjenesten Dropbox for at bevise, at det at lade folk komme ind, selv når de tager nogle få tegn forkert, kan reducere hovedpine uden at skade sikkerheden væsentligt.

Det her er efter vores mening en ret stor sag, siger Ari Juels , professor ved Jacobs Technion-Cornell Institute ved Cornell Tech, i New York City. Websteder bør ændre deres adgangskodepolitikker for at gøre brugernes liv lettere. Sikkerhedsforringelsen er ret lille.

Umiddelbart lyder det som en dårlig idé at lade adgangskoder med stavefejl låse op for en konto. En angriber, der prøver at gætte din adgangskode, behøver trods alt ikke at få den helt rigtig. Facebook er blevet kritiseret for at tillade folk at logge ind, selv når de får tilfældet med deres kodeords første tegn forkert, eller ved et uheld har caps lock på.

Men Jules og samarbejdspartnere fra Cornell Tech, MIT og Dropbox siger, at ideen ikke er farlig, hvis den implementeres på en måde, der tager højde for, hvordan folk vælger adgangskoder, og de tastefejl, de laver. Deres papir blev præsenteret på IEEE Symposium on Security and Privacy i sidste uge.

De indsamlede data om tastefejl ved at analysere 24 timers logins til Dropbox, som har hundredvis af millioner af brugere. Næsten 10 procent af loginforsøg, der mislykkedes, gjorde det på grund af en håndfuld let korrigerelige tastefejl, såsom at lade Caps Lock være på. Omkring 3 procent af brugerne, der ikke kom ind på deres konti, kunne have gjort det, hvis autokorrektur havde dækket de tre mest almindelige tastefejl: at lade Caps Lock være på, bruge det forkerte bogstav til det første tegn eller slette det sidste tegn.

Sammenligning af disse data med mønstre på adgangskoder afsløret af databrud, såsom de 32 millioner lækket fra det sociale spilfirma RockYou, tyder på, at korrigering af disse almindelige fejl ikke giver en angriber, der forsøger at gætte adgangskoder, en stor fordel. I de fleste tilfælde er de gratis gæt, der er oprettet ved at acceptere stavefejl, ikke meget værd. Angribere bruger adgangskodelister til at prøve almindelige adgangskoder først, og anvendelse af tastefejlrettelser på disse adgangskoder skaber normalt junk, ikke en anden almindelig adgangskode.

At acceptere almindelige tastefejl kan dog give en angriber et ben for nogle adgangskoder. For eksempel hvis din adgangskode er 12345, og en angriber gætter 123456, kan han komme ind. For at beskytte sig mod sådanne tilfælde har Juels og hans samarbejdspartnere oprettet to typo-tolerante adgangskodetjekkere, der ikke accepterer stavefejl for visse adgangskoder, hvor det kunne være risikabelt, baseret på oplysninger fra lækkede adgangskodelister.

Disse checkere blev testet i scenarier, der simulerede, hvad der ville ske, hvis en angriber fik 1.000 forsøg på at gætte en kontos adgangskode (usandsynligt i praksis, da virksomheder begrænser forkerte logins). Angriberen fik aldrig en fordel på mere end 0,2 procent. Forskerne siger, at dette tyder på, at fordelene for folk, der forsøger at få adgang til deres konti, bør opveje de mulige ulemper ved at acceptere stavefejl.

I nogle tilfælde ser vi stort set ingen sikkerhedsforringelse ved at anvende en håndfuld rettelser, siger Juels. Vi håber, at dette papir vil ændre praksis i branchen.

skjule