अद्वितीय कार्नेगी मेलन विश्वविद्यालय पासवर्ड डेटाबेस अध्ययन

कार्नेगी मेलन यूनिवर्सिटी पासवर्ड डेटाबेस के एक हालिया अध्ययन में जनसांख्यिकीय विशेषताओं और पासवर्ड का उपयोग करने वाले लोगों की गुणवत्ता के बीच कई दिलचस्प सहसंबंधों का पता चला। इस अध्ययन की विशिष्टता यह है कि जिन खातों की पासवर्ड की जांच की गई, वे सभी कार्नेगी मेलवे विश्वविद्यालय के कर्मचारियों और छात्रों के हैं। ये पासवर्ड विश्वविद्यालय की वेबसाइट पर बहुत महत्वपूर्ण डेटा और फ़ंक्शन तक पहुंचने के लिए उपयोग किए गए थे, पंजीकरण के दौरान पासवर्ड की लंबाई और जटिलता पर प्रतिबंध काफी सख्त थे। विश्वविद्यालय के डेटाबेस में सभी उपयोगकर्ताओं के विस्तृत व्यक्तिगत डेटा थे, और प्रमाणीकरण सर्वर लॉग में पासवर्ड दर्ज करने की गति, सफल और असफल लॉगिन प्रयासों के बारे में जानकारी थी। कुल मिलाकर, सक्रिय और अक्षम खातों से लगभग 40,000 पासवर्ड की जांच की गई।

हैक की गई साइटों से लीक होने के बाद उपलब्ध सामान्य पासवर्ड डेटाबेस में "12345" या "पासवर्ड" जैसे पासवर्ड वाले यादृच्छिक आगंतुकों के रूप में बहुत सारा कचरा होता है और इसके विपरीत, उपयोगकर्ताओं के बारे में बहुत कम जानकारी होती है - आमतौर पर सिर्फ एक उपयोगकर्ता नाम या ईमेल पता।


जैसा कि ऊपर दिए गए ग्राफ में देखा जा सकता है, सबसे मजबूत पासवर्ड कंप्यूटर और इंजीनियरिंग विज्ञान के संकायों के कर्मचारियों और छात्रों के बीच होने की उम्मीद थी। उनके पीछे मानवता और कलाकार बसे। जिन लोगों ने खुद को राजनीति और व्यवसाय के अध्ययन के लिए समर्पित किया वे सबसे कमजोर निकले। कंप्यूटर विज्ञान संकाय के एक छात्र के लिए पासवर्ड लेने की संभावना एक बिजनेस स्कूल में एक छात्र के लिए पासवर्ड से 45% कम है। स्पष्ट रूप से अच्छे कारण के लिए सिस्टम प्रशासक और एकाउंटेंट के बीच की दुश्मनी सबसे अधिक बार मजाक और कहानियों का विषय बन जाती है। एक और नियमितता - पुरुषों में महिलाओं की तुलना में 8% बेहतर पासवर्ड आते हैं।

जनसांख्यिकीय और पेशेवर कारकों के साथ-साथ पासवर्ड के गुणों की भी जांच की गई। तथ्य यह है कि अब पासवर्ड, और अधिक अंक, ऊपरी मामले पत्र और इसमें विशेष वर्ण, बेहतर, हर कोई जानता है। हालांकि, अब यह स्पष्ट हो गया कि कितना बेहतर है। पासवर्ड में एक लोअरकेस लेटर जोड़ने से अनुमान लगाने की संभावना 70% तक कम हो जाती है (मूल पासवर्ड के चयन की संभावना 100% हो जाती है)। ऊपरी मामले में प्रतीक और अक्षर क्रमशः 56% और 46% की कमी देते हैं। बहुत महत्व के पासवर्ड पाठ में वर्णों और संख्याओं की व्यवस्था है। पासवर्ड की शुरुआत में ऊपरी मामले में कई फायदे नहीं हैं। अंत में संख्या और विशेष वर्ण भी इतनी अच्छी तरह से काम नहीं करते हैं। सबसे अच्छा, अगर वे पासवर्ड के साथ "स्मियर" कर रहे हैं। इन आरेखों में पैटर्न स्पष्ट रूप से दिखाई देते हैं:



विशेष रूप से रुचि सूचना एकत्र करने और संसाधित करने की तकनीक है। प्लेनटेक्स्ट पासवर्ड डेटाबेस और उपयोगकर्ता व्यक्तिगत डेटा वैज्ञानिकों के हाथों में कैसे आए? कड़ाई से बोलना, वह नहीं मारा। अध्ययन कठोर परिस्थितियों में विश्वविद्यालय की सुरक्षा सेवा की सहायता से आयोजित किया गया था। तथ्य यह है कि, ऐतिहासिक कारणों से, विश्वविद्यालय सर्वर उपयोगकर्ता पासवर्ड को हैश के रूप में संग्रहीत नहीं किया गया था, लेकिन एन्क्रिप्टेड रिकॉर्ड के रूप में, और एन्क्रिप्शन कुंजी को सुरक्षा सेवा में संग्रहीत किया गया था। वैज्ञानिकों ने हैश और नमक के साथ विश्वविद्यालय को और अधिक आधुनिक तकनीक पर स्विच करने से पहले अनुसंधान करने पर सहमति व्यक्त की।

पासवर्ड डेटाबेस को एक अलग कंप्यूटर पर डिक्रिप्ट किया गया था जो नेटवर्क से जुड़ा नहीं था, केवल कुछ सुरक्षा अधिकारियों के पास ही इसका भौतिक उपयोग था। पासवर्ड केवल रैम में संग्रहीत थे, स्वैप अक्षम था। वैज्ञानिकों को डेटा को देखे बिना ही सांख्यिकीय संकेतक प्राप्त करने के लिए स्क्रिप्ट लिखना था। उनके कोड की प्रत्येक पंक्ति, साथ ही आउटपुट, यह सुनिश्चित करने के लिए सावधानीपूर्वक स्कैन किया गया है कि कोई महत्वपूर्ण डेटा सिस्टम को नहीं छोड़ता है। इस मोड में स्क्रिप्ट डीबग करना बहुत कठिन और धीमा था।

काम के अंत के बाद, सभी स्रोत डेटा को सावधानीपूर्वक नष्ट कर दिया गया था। सांख्यिकीय संकेतक खुद चुने गए थे ताकि विशेष रूप से कमजोर पासवर्ड वाले उपयोगकर्ताओं के एक संकीर्ण समूह की पहचान करना और उनके खातों पर लक्षित हमला शुरू करना असंभव था - यही कारण है कि कुछ मामलों में छोटे समूह "दूसरों" के एक अवैयक्तिक श्रेणी में एकजुट हो गए थे।