Порівняння з іншими користувачами змусило посилити пароль

Якщо сайт показує користувачам оцінку складності їх пароля, частка слабких паролів падає з 75 до 35 відсотків. Ще більшого поліпшення паролів можна досягти, якщо порівнювати їх з паролями інших користувачів або розповідати про те, скільки часу знадобиться зловмисникам на підбір пароля, повідомляється в журналі.

Складність пароля зазвичай визначається тим, скільки спроб потрібно зловмиснику для підбору пароля методом повного перебору. Як правило, для визначення складності пароля використовують інформаційну ентропію, величина якої визначається як двійковий логарифм від кількості спроб для повного перебору. Ентропія пароля залежить від його довжини і того, який набір символів у ньому використовуються. Через це багато сайтів при реєстрації вимагають робити пароль не коротше 6 або 8 символів і використовувати в ньому букви різних регістрів і цифри, а частина з них тим чи іншим чином показує користувачеві оцінку складності пароля, засновану на його ентропії, але так роблять далеко не всі сайти.

Дослідники під керівництвом Стівена Фернелла (Steven Furnell) оцінили ефективність різних способів повідомлення користувача про слабкий пароль. Для цього вони провели два експерименти. У першому брало участь 300 користувачів, яких просили завести акаунт і придумати пароль для нього. Користувачів розбили на п'ять груп, кожній з яких показували різні варіанти порад біля поля введення пароля:

Прохання не використовувати старі паролі

Базові поради про довжину пароля, використання різних типів символів і не використання особистої інформації

Стандартна смужка складності пароля з трьома класами (слабкий, середній, сильний)

Емодзі, який відповідає класу складності

Емодзі з порадою, наприклад, «Нормально, але ти міг би придумати краще»

З'ясувалося, що серед користувачів, які не отримували майже ніяких підказок (перша група) частка слабких паролів була на рівні 75 відсотків. Серед усіх інших груп частка значно впала: до рівня від 45 відсотків у другої і третьої групи і до 35 відсотків у останньої групи, які бачили емодзі з порадою.

Під час другого експерименту 500 інших учасників також просили придумати пароль, але їх розбили на чотири групи з різними підказками про складність:

Проста оцінка складності з трьома класами

Оцінка складності і часу, необхідного на повний перебір

Оцінка складності і порівняння з паролями інших користувачів, наприклад, «Слабкий пароль, що входить в 400 найслабших»

Оцінка складності та ймовірності збігу пароля з паролем іншого користувача

Другий експеримент показав ще більшу різницю, якщо користувач отримує не просто величину складності, а більш наочний і очевидний приклад, такий як швидкість підбору пароля або порівняння з гіршими паролями. У цьому експерименті найефективнішою виявилася оцінка складності і порівняння з паролями інших користувачів, наприклад, «Слабкий пароль, що входить в 400 найслабших».

Раніше вчені показали, що додавання в пароль цифр або букв з різним регістром збільшують стійкість пароля не так сильно, як використання спеціальних символів ASCII або просте подовження пароля з тим же набором символів.