211service.com
Varför autokorrigering för lösenord är en bra idé
De flesta av oss har vid ett eller annat tillfälle varit tvungna att ange ett lösenord igen eftersom vi skrivit fel. Kanske har du till och med blivit utestängd från ett konto efter för många stavfel.
Ny forskning visar att dessa frustrationer kan undvikas med samma tillvägagångssätt som används för att fixa stavfel i textmeddelanden och dokument: autokorrigering.
Forskare analyserade inloggningar till datalagringstjänsten Dropbox för att bevisa att att släppa in människor även när de får några tecken fel kan minska huvudvärken utan att nämnvärt skada säkerheten.
Det här är enligt vår uppfattning en ganska stor sak, säger vi Ari Juels , professor vid Jacobs Technion-Cornell Institute vid Cornell Tech, i New York City. Webbplatser bör ändra sina lösenordspolicyer för att göra användarnas liv enklare. Säkerhetsförsämringen är ganska liten.
På ytan låter det som en dålig idé att låta lösenord med stavfel låsa upp ett konto. När allt kommer omkring skulle en angripare som försöker gissa ditt lösenord inte behöva få det exakt rätt. Facebook har kritiserats för att tillåta människor att logga in även när de får fallet med sitt lösenords första tecken fel, eller av misstag har caps lock på.
Men Jules och medarbetare från Cornell Tech, MIT och Dropbox säger att idén inte är farlig om den implementeras på ett sätt som tar hänsyn till hur människor väljer lösenord och de stavfel de gör. Deras papper presenterades på IEEE Symposium on Security and Privacy förra veckan.
De samlade in data om stavfel genom att analysera 24 timmars inloggning till Dropbox, som har hundratals miljoner användare. Nästan 10 procent av inloggningsförsöken som misslyckades gjorde det på grund av en handfull lätt korrigerbara stavfel, som att lämna caps lock på. Cirka 3 procent av användarna som inte kom in på sina konton kunde ha gjort det om autokorrigering hade täckt de tre vanligaste stavfelen: att lämna Caps Lock på, använda fel skiftläge för det första tecknet eller ta bort det sista tecknet.
Att jämföra denna data med mönster på lösenord som avslöjats av dataintrång, såsom de 32 miljoner som läckt ut från sociala spelföretaget RockYou, tyder på att korrigering av de vanliga felen inte ger en angripare som försöker gissa lösenord någon större fördel. I de flesta fall är de gratis gissningar som skapas genom att acceptera stavfel inte värda mycket. Angripare använder lösenordslistor för att prova vanliga lösenord först, och korrigeringar av stavfel på dessa lösenord skapar vanligtvis skräp, inte ett annat vanligt lösenord.
Att acceptera vanliga stavfel kan dock ge en angripare ett steg upp för vissa lösenord. Till exempel om ditt lösenord är 12345 och en angripare gissar 123456, kan han komma in. För att skydda sig mot sådana fall skapade Juels och hans medarbetare två stavfelstoleranta lösenordskontroller som inte accepterar stavfel för vissa lösenord där det kan vara riskabelt, baserat på information från läckta lösenordslistor.
Dessa pjäser testades i scenarier som simulerade vad som skulle hända om en angripare fick 1 000 försök att gissa ett kontos lösenord (osannolikt i praktiken eftersom företag begränsar felaktiga inloggningar). Anfallaren fick aldrig ett övertag på mer än 0,2 procent. Forskarna säger att detta tyder på att fördelarna för människor som försöker komma åt sina konton bör uppväga de möjliga nackdelarna med att acceptera stavfel.
I vissa fall ser vi praktiskt taget ingen säkerhetsförsämring genom att tillämpa en handfull korrigeringar, säger Juels. Vi hoppas att detta dokument kommer att förändra branschens praxis.