Microsoft onderzoekt beeldmateriaal als wachtwoorden

Reuters brengt ons op de hoogte van het feit dat Microsoft op dit moment onderzoek doet naar de mogelijkheden van beeldmateriaal voor wachtwoorden. In plaats van dat men een reeks letters of getallen moet onthouden, gaat het hierbij om het klikken op bepaalde plaatjes. Volgens de onderzoekers kiezen steeds meer mensen een eenvoudig wachtwoord dat bijvoorbeeld gewoon een bestaand woord is, zodat een kraakprogramma snel via een woordenboek kan achterhalen wat het betreffende wachtwoord is.

Bij de demonstratie van een prototype in Californië, kregen de toeschouwers een groot scherm met allerlei vlaggen te zien. Door in een bepaalde volgorde op gedeeltes van de plaatjes te klikken, kon men inloggen op het systeem. Het idee hierachter is dat de mens beter in staat is om beelden te onthouden, dan reeksen met letters of cijfers:

People could use any image, the more complex the better, or even video, according to Kirovski. The images would have to be doctored to work with software that could convert pixels to numbers and encrypt them. Even with such a system, people would still be susceptible to "shoulder surfing," in which someone watches a computer user type in their password. In general, it might be more secure, he said, "because people choose such lousy passwords."

Met dank aan bezoeker voor de tip.

Reacties (57)

[Ortep]

Of accepteer in een systeem alleen maar een 'strong' password. Met cijfers er in kan je heel makkelijk te onhouden woorden maken. Vervang de O door de 0 en de I door de 1, de S door de 5. Gooi er nog een hoofdletter in of een leesteken en je kan een makkelijk password maken dat toch moeilijk te kraken is.

0pe1-A5stra bv.

[tofus]

Je beargumentering is niet geheel juist. Door cijfers en letters te gaan vervangen maak je het niet zo heel veel moeilijker om de codering te kraken. Het ligt namelijk zeer voor de hand om 'i''s te vervangen door '1'-s... Een beetje password-cracker zal dus naast alle woorden met 'i' ook dezelfde woorden proberen, maar dan met '1'. Het zou dus beter zijn om 'i' te vervangen door een veel willekeuriger karakter; bijv. '#'.

En dan werkt het alleen maar in geval van brute-force attacks, waar dus ALLE keys moeten worden 'uitgeprobeerd'. Moderne cryptanalytici gebruiken echter geen brute-force attacks. Die gebruiken eerst allerlei statistische analyses om het aantal te doorzoeken keys radicaal te verminderen. Daar helpt de 'vervang'-methode wel iets, als in: je maakt het niet MAKKELIJKER om te kraken... maar echt noemenswaardig complexer maak je 't ook niet.

Sleutelwoord bij encryptie en sterkte van keys is namelijk 'entropy'. Entropy is een maat voor informatiedichtheid: hoe hoger de entropy, hoe hoger de 'randomheid' van de informatie, en dus hoe moeilijker de informatie te achterhalen is (gecomprimeerde files hebben bijv. een hogere entropie dan ongecomprimeerde files; dit geeft aan dat de informatie uit een gecomprimeerd bestand moeilijker te herconstrueren is dan uit een niet gecomprimeerd bestand; en dat klopt ook: je hebt namelijk eerst een unzipper nodig).

Door het random vervangen van keykarakters door andere keykarakters neemt de entropy van je key niet of nauwelijks toe. Het is voor statistische analysers (tools die cryptanalytici gebruiken om de key van block-ciphers te achterhalen) een koekje om door deze vervangingen 'heen te kijken'.

Het enige wat echt goed werkt om je key 'onkraakbaar' te maken, is om bij het opstellen van je key al rekening te houden met potentiele statistische cryptanalyse. En dat houdt dus in dat wanneer je een 128 bits key hebt, je 128 random bits als key zult moeten nemen. Maar probeer zo'n key maar eens uit je hoofd te leren...

...een iets minder veilige, maar zeker veiliger dan de O=0 en i=1 (of andere) substituties werkt, is om een zgn. passphrase te kiezen (bijv. de eerste regel uit je favoriete boek). Zorg dat je passphrase ongeveer twee a drie keer zoveel bits beslaat als je key (voor 128 bits keys dus passphases van 32-48 karakters). Vervolgens bereken je een cryptografische hashwaarde dat bij deze phrase hoort (bijv. dmv. SHA1, of MD5). Dit levert een 160 bits hashwaarde op, en wanneer je van deze hash de eerste 128 bits gebruikt als key voor encryptie, heb je een redelijk veilig systeem. Brute force is natuurlijk nog steeds mogelijk, maar een stuk complexer, omdat voor iedere passphrase eerst een hash moet worden uitgerekend. Dat kost rekenkracht, en dus vertraagd het de brute-force attack flink. Nog belangrijker is dat een passphrase van 32 karakters natuurlijk veel moeilijker te brute-forcen is dan een password van bijv. 15 karakters.

Maar ook deze methode valt of staat met de complexiteit van de gekozen passphrase.

Enneh...als je je totale aantal mogelijkheden uitbreid met 7, neemt je complexiteit natuurlijk niet ook meteen met factor 7 toe; slechts met factor (totaal aantal nieuwe combos)/(totaal aantal oude combos). Als je dus (hypothetisch voorbeeld) van normaal 70 'voorkeur' karakters naar 77 gaat, neemt je complexiteit MAXIMAAL maar met factor 1,1 toe. Om factor 7 te halen, moet je in de nieuwe situatie 490 karakters hebben om uit te kiezen.

[Verwijderd]

grappig voorbeeld;

de wachtwoorden Opel-Astra en 0pe1-A5stra zijn alleen visueel gelijk. Het is dus precies die visuele geheugencapaciteit die gebruikt wordt om een dergelijk antwoord te onthouden; de link tussen s en 5 is puur visueel...

Wat dus overeenstemt met

... dat de mens beter in staat is om beelden te onthouden, dan reeksen met letters of cijfers:

[catfish]

klopt idd, maar het gaat er juist om dat opel en astra in de library staan van zo'n kraakprogramma en ope1 en A5tra niet, daar nog eens wat hoofdletters bij en je hebt snel een password dat bijna niet te kraken is (op de makkelijke manier)

[Ortep]

Dat kan je wel doen, maar dat heeft het aantal mogelijkheden al weer met een factor 7 groter gemaakt. En dus de 'kraak tijd' ook. En dan heb je nog niet de mogelijkheid er bij geteld om ook met hoofdletters te strooien op plaatsen waar dat niet gebruikelijk is. En vergeet niet, ik heb ook de - tussen Opel en Astra zitten. Die kan je ook nog vervangen door een ander leesteken. (_-=~+ ). Dan is ja aantla mogelijkheden weer een factor 6 vergroot. Totaal dus al bijna 50 keer meer. Twee hoofdletters er in? Hoppa weer 4 keer mee. Totaal al 200 keer meer mogelijkheden en nog steeds leesbaar voor een mens. Stel ook nog als eis dat een passwoord minimaal 8 tekens moet zijn en je bent voorlopig onder de pannen.

[-=scred=-]

lijkt mij echt iets om dan die library in een tekstververweker te laden en een paar keer kopieren
en dan zoek-vervang o-0 i-1 s-5 en aangezien dat
maar 7 mogelijkheden heeft kan je weer er vrolijk tegenaan. of is dit al eens gedaan?

[deadinspace]

Strong password nodig?

[marcelm@nothing marcelm]$ makepasswd
3fHcCgmg

Blijft imho de beste manier; beter dan een 'versterkt' gewoon woord, stukken beter dan die plaatjes-zooi en helemaal tig keer beter dan je voornaam.

[Sardia]

Niet bepaald strong voor windows.
Windows slaat passwords op in blokken van 7 characters, backwards compatible met LANMAN(alleen hoofdletters); dus case-insensitive.
door cijfers te gebruiken maak je het nauwelijks moeilijker voor l0pht-crack.
een strong password is bv:
4uT~I`-3.[oâ|-
Een veelvoud van 7(want de laatste twee van een pw van 9 chars is zo gekraakt, door de bloks van 7), met een zo divers mogelijk character gebied, inclusief <alt>+<nummer> characters.
Ideaal zou ook zijn als je er control-character in zou duwen, of non-printables.

Het onthouden is een ander verhaal:
0nH()uDé|\/
is niet zo moeilijk te onthouden(hoewel ik passwords prefereer zonder logica).

[Dope-E]

en jij onthoudt dat
waarschijnlijk heb je dan een stuk of 10 van die wachtwoorden voor bep. sites:

fdAdfHf
asdWGdAw
ryQgUtrE
enz.
Best knap dat je dat altijd onthoud

Het gaat er hier dus ook om dat users makkelijk hun password kunnen onthouden en deze niet snel kraakbaar zal zijn(mbv dictionary).

[Tijntje]

Waarom niet met iris scan of vinger afdruk dat lijkt mij het veiligst

[AlterEgo]

Dacht ik ook, totdat ik een keer mijn koffer in een kluisje stopte met vingerafdruk-identificatie.
Lekker handig, geen kaartjes of sleuteltjes om kwijt te raken.
Nou mooi niet dus: het kreng ging met geen mogelijkheid meer open.
Volgens de beheerder/monteur was betrouwbaarheid slecht en de gevoeligheid voor storingen door vuil uitstekend.

[Tijger]

Omdat je daarvoor hardware nodig hebt en die kan duur zijn en uitvallen.

Je kunt ook challenge responses maken met 'tokens' maar het punt is gebruiksvriendelijkheid met goede beveiliging te combineren en zodra je extra hardware gaat introduceren (tenzij al ingebouwd) haken juist de mensen die nu al geen password langer dan 5 letters onthouden af.

[maroesjk]

Stel je een plaatje van (zeg) 640*480 voor en dat in hokjes van 32*32 pixels (grootte icoontje) deelt, dan heb je 20*15 = 300 vakjes. Dat is al meer dan maximaal met

een byte

gegenereerd kunnen worden (256 tekens). Bedenk je eens wat dat zou zijn voor een plaatje van 800*600 (+- 470 vakjes). Dat wordt lang zoeken om een '8 clicks' lang password te kraken......

Tenzij je natuurlijk gaat kijken wat 'blikvangers' zijn binnen het plaatje. De gebruiker zal daar eerder klikken...

Ik denk niet dat dit dé doorbraak in security voor de 21 eeuw gaat zijn. Geef mij maar gewoon mijn ouderwets getypte password.

thanx for showing the mistake Gerco

[Gerco]

Ik wil niet vervelend zijn, maar met 2 bytes kun je 2^16 = 65536 verschillende tekens maken... geen 256.

[J3roen]

Het lijkt een goed idee, maar het is dan natuurlijk wel veel makkelijker voor mensen om over je schouder mee te kijken en je "password" te zien zoals ook al in het artikel staat.

Ik verwacht niet dat ze er ver mee zullen komen...

[kreator]

Dat niet alleen, ze kunnen zelfs op afstand met bv pcanywhere meekijken... Terwijl als je dat doet met een password je toch alleen maar sterretjes ziet...

edit:

Het grote nadeel van op afstand meekijken is dat gebruikers dit natuurlijk niet in de gaten hebben....terwijl de meeste mensen het wel weten als iemand over de schouder staat mee te loeren...

[Verwijderd]

sub7 kan gewoon je toetsaanslagen loggen

misschien is een combinatie van beide ideeën wel goed (ik bedoel password + passpics, en niet pcanywhere + sub7 )

[Ludewig]

Microsoft is zeker niet de eerste die de mogelijkheden onderzoekt om plaatjes te gebruiken als password.

- Slashdot had al in december 2001 een post over een soortgelijk systeem:
http://slashdot.org/article.pl?sid=01/12/28/1348217&mode=thread
Dit systeem is in opdracht van University of Californië van Berkeley ontwikkeld.

de demonstratie van een prototype in Californië

Microsoft heeft dus weer eens goed om zich heen gekeken in Californië

- Realuser heeft Passface ontwikkeld. Hiermee bestaat je password uit een reeks gezichten.
http://www.realuser.com/

[Verwijderd]

Even with such a system, people would still be susceptible to "shoulder surfing," in which someone watches a computer user type in their password.

Dat staat er inderdaad .

[PuzzleSolver]

Ach dan maak je toch gewoon de muispointer onzichtbaar

[PWA]

...of sterretjes ipv plaatjes?!

[Sponzie]

Absoluut niet tofus, want ik denk niet dat er iemand is met het password 92813aACs8 om even iets totaal willekeurigs te noemen. Het gaat er juist om dat er nu teveel mensen zijn die een simpel woord kiezen als password..

[tofus]

En jij dacht dat mensen wel massal vlaggen van landen als Bolivia, Algerije, Tjetjenie etc. gaan kiezen?

Ik denk dat je net als bij woorden een voorkeur krijgt voor 'makkelijke' combinaties.

Wie onthoudt er in vredesnaam 13 vlaggen (of andere willekeurige plaatjes) in de juiste volgorde? Dat zijn volgens mij dezelfde personen die ook wachtwoorden als '9123Ab7Qtt' onthouden...

Ik durf te wedden dat, in het geval van vlaggen, Amerika, Frankrijk, Duitsland en Engeland veruit de 'populairste' keuzes zullen zijn.

Maar dan noch: zolang je security gaat aanpassen aan de luiheid van mensen (namelijk het feit dat mensen geen moeite willen doen een complex wachtwoord te onthouden), ben je aan het dweilen met de kraan open, en zul je hooguit een vals gevoel van veiligheid bewerkstelligen.

En valse veiligheid is bijna nog erger dan geen veiligheid, want het maakt je net zo kwetsbaar terwijl je in de waan verkeerd dat er niks aan de hand is.

Kortom: zolang je met mensen te maken hebt, zal 100% veiligheid nooit te behalen zijn. En als je dat accepteert, kom je al snel tot de conclusie dat een wachtwoord gewoon het beste werkt; zowel qua mogelijke combinaties (en dan mag een gebruiker zelf bepalen of 'ie alle mogelijkheden ook daadwerkelijk gebruikt), als qua 'makkelijk te onthouden'.

En los van al deze argumenten: Microsoft heeft al meerdere malen bewezen dat ze absoluut geen kaas van informatie-beveiliging hebben gegeten. Er is al lang en breed onderzoek gedaan naar methoden die beter werken dan passwords, en wetenschappers komen iedere keer weer op hetzelfde uit: passwords zijn niet ideaal, maar een betere methode, die ook voor mensen werkbaar is, bestaat er niet.

Microsoft heeft echter schijt aan wetenschap, en denkt alleen aan features waarmee ze klanten over de drempel kunnen trekken om hun nieuwe 'update' ook aan te schaffen. Microsoft zal, als ze serieus naar de beveiliging kijken, op dezelfde conclusie uitkomen als eerder wetenschappelijk onderzoek reeds uitwees. Als ze naar verkoopbaarheid kijken (en we zijn van Microsoft niet anders gewend), dan is dit weldegelijk een succes voor ze. Al was het alleen maar omdat het onmogelijk is om hun ongelijk aan te tonen zonder zwaar wiskundig te worden. En de meeste niet-cryptofielen (zoals de meeste tweakers hier) snappen daar toch niks van, en laten zich dus makkelijk overtuigen.

Tip: Lees eens iets van Bruce Schneier, als je echt geinteresseerd bent in deze materie.

[tofus]

Let wel: Microsoft probeert hier de methode van inloggen te versimpelen. En versimpelen staat dus haaks op 'complexer maken'. Terwijl 'complexer maken' het enige is dat wetenschappelijk bewezen werkt, althans: op het gebied van cryptografie.

Je kunt een model niet versimpelen en daarmee veel complexer maken (alhoewel: als IEMAND een kans heeft om hierin te slagen, is het Microsoft wel ;p). Dat heet in de wiskunde een 'paradox'.

Een plaatje is natuurlijk veel complexer dan een letter. Maar het gaat in deze niet om de data van de plaatjes, maar gewoon om het aantal plaatjes waar je uit kunt kiezen. Het gaat dus gewoon om combinatoriek, en nog een combinatoriek met een kleinere set aan mogelijkheden ook. Kortom: het aantal keuzemogelijkheden wordt verkleind, de inlogprocedure wordt versimpeld en de veiligheid neemt af.

Tot deze conclusie zijn cryptanalytici jaren geleden ook al gekomen.

[Sponzie]

Ok, ik ben blij om te lezen dat je er waarschijnlijk wel degelijk verstand van hebt Ik was al bang dat er weer eens zo'n .. tjah.. laat maar. In ieder geval; Microsoft zal het op zn eigen manier wel weer kunnen verkopen. Het staat toch leuk, inloggen met plaatjes? Dat vindt het gemiddelde gezinnetje ook ben ik bang.. als het maar geen standaard gaat worden bij Windows. Maar zo stom zullen ze *hopelijk* niet zijn.

Waarschijnlijk is het inderdaad zo dat veel mensen een patroon van bekende vlaggen zullen kiezen, maar dat zijn natuurlijk wel weer dezelfde mensen die nu een password hebben in de trant van OnzePC of GOD of LOVE right? En die mensen zullen ook wel niet veel te verbergen hebben op die pc. Want zeg nou zelf, mensen die hun data wel degelijk goed beveiligd willen hebben zullen toch ook nooit voor een eenvoudig password kiezen omdat ze weten dat dat te makkelijk te kraken is? Daarom zullen diezelfde mensen ook niet voor een simpel vlaggenpatroon kiezen. Verder denk ik dat het wel degelijk makkelijker is om 10 "willekeurige" plaatjes te onthouden (uit een verzameling van 62 vlaggen), dan een willekeurig password van 10 tekens dat uit letters en cijfers bestaat. De mens denkt nu eenmaal in beelden.

Maar wat maakt het uit? Een reeks van 10 tekens kan misschien iets moeilijker te onthouden zijn, maar zelfs dan nog zal die belangrijke reeks toch wel onthouden worden. Die plaatjes zijn pure marketing en maakt de beveiliging echt niet beter.. alleen aantrekkelijker voor tante Clara en ome Piet met hun kleine kinderen.

[Verwijderd]

Dit is in mijn ogen precies het zelfde als een 'cijferslot' / pincode met 0 t/m 9 en vervang deze dan een aantal plaatjes en gebruik dit als wachtwoord..eigenlijks dus niks nieuws!

[Tijger]

nee, want het alfabet kent maar een eindig aantal karakters, plaatjes kun je in principe oneindig in aantal hebben.

[Ortep]

nee, want het alfabet kent maar een eindig aantal karakters, plaatjes kun je in principe oneindig in aantal hebben.

Maar je kan er niet meer dan een stuk of 30 op je scherm hebben. Dus blijft het hetzelfde of ik op plaatje 1,7,12,2,20 druk als op letter 1,7,12,2,20. Waarbij je dan ook de letters nog eens als hoofdletter kan hebben, 52 tekens, de 10 cijfers er bij, 62 tekens en nog een stuk of 20 leestekens. Daar kan je aardig mee aan de gang.

[Interstice]

Ehh fout

Zoals je in het artikel kan lezen kunnen plaatjes nogal moeilijk gekraat worden. Altans dat suggereren ze. Maaar wat dan als je die plaatjes gewoon in een libary gooit en die lekker eindeloos laat proberen?

[Verwijderd]

een idee wat hier in de verte op lijkt en wat ik ergens weleens gelezen/gehoord/verzonnen heb is dit: stel je wachtwoord is (in plaatjes) zon maan vis roos. whatever .

nu zie je op het scherm bijvoorbeeld 16 vierkantjes, met in elk vierkantje vier plaatjes (waaronder andere, zoals raket, ijsje,boom, etc). elk vierkantje is een knop. jouw wachtwoord plaatjes bevinden zich in willekeurige vierkantjes. je klikt die vierkantjes aan waarin jouw plaatjes staan. iemand die meekijkt weet dat een van die vier plaatjes in dat vierkantje een deel van jouw wachtwoord is, en kan na een boel keer meekijken wel je wachtwoord weten. maar stel dat er nou meer dan vier plaatjes in een knopje zitten? en dat je wachtwoord langer is dan 4 plaatjes? dan wordt 't exponentieel lastiger. of als je ze niet aanklikt, maar als de vierkantjes (willekeurige) letters hebben die je in moet typen, dan is het net zo moeilijk als een wachtwoord meelezen dat ingetikt wordt, alleen is dat wachtwoord in dit geval steeds anders.

juist ja . ik ben niet zo'n uitlegger, maar in imho toch een interessante techniek.

[Verwijderd]

En zo uiteindelijk kan je een moeilijkheidsgraad instellen voor het verband tussen een tekening en jou paswoord

vb je paswoord is "venster", dus klik je op een plaatje met water, want water loopt naar de zee, en de zee heeft een eb en vloed, en eb en vloed wordt bepaald door de maan, en de maan staat aan de hemel, en een ster ook, en das nu net een deel van je paswoord

[Tarantino]

Ik krijg een beetje "Knoop in je zakdoek" gevoel. Klik op het plaatje dat bij je past.

[Verwijderd]

Ook microsoft wil een soort "memory" invoeren...hmm daar was ik vroeger altijd al goed in

[Verwijderd]

Na Windows XP in de teletubbie stijl, nu de wachtwoorden!!

Microsoft goes Teletubbies