Ars Technica přišla se zajímavým článkem na téma bezpečnost hesel. Podle poslední studie provedené na MIT (Massachusetts Institute of Technology) a CMU (Carnegie Mellon Univeristy), má značně degradující efekt na kvalitu hesla jeho gramatická přesnost. Již více než před 2 roky jsem uvedl článek na téma zjišťování hesel hrubou silou. Z něho vyplynulo že délka hesla má mnohem vyšší vliv na jeho bezpečnost než jeho složitost. Nová studie toto tvrzení zcela nevyvrací, nicméně uvádí, že gramatika může výrazně změnit polohu jazýčku vah.
Tým doktorandů a doktorů upravili volně dostupný program John the Ripper (slouží k prolamování hesel hrubou silou) a zabudovali tam algoritmus, který využívá gramatiku pro hesla s minimálně šestnácti znaky. Na testovacím vzorku 1434 hesel obsahujících 16 a více znaků, značně překonal nejlepší lamače hesel, pokud měly hesla gramatickou strukturu. Hesla ve stylu "většíalepší heslo" nebo "kouzelnávíla" byla mnohem slabší, protože v sobě měly gramatickou strukturu. 10% hesel se podařilo rozlousknout pouze za pomoci vyvinutého algoritmu.
Tento přístup je velmi důležitý, protože se všichni snaží definovat co nejsofistikovanější pravidla pro vytváření nových hesel, protože nové techniky dělají z průměrných hesel hesla slabá a ze slabých katastrofické díry. Jako vždy je však problém se zapamatováním dlouhých hesel. Jak je vidět z uskutečněného výzkumu, nepomůže, pokud vaše heslo bude dlouhé, pokud bude využívat gramatiku. Překvapivě vyšlo z výzkumu, že heslo "Th3r3canonlyb3#1!" je slabší než heslo "Hammered asinine requirements" i přes použití širší sady znaků. Výsledkem práce byl také důkaz, že bezpečnost hesla není přímou funkcí jeho délky.
Závěr práce tvrdí: "Dlouhá hesla jsou slibným autentifikačním mechanismem. Nicméně pro získání cílené úrovně bezpenčosti s dlouhými hesly musíme pochopit efekt struktůry která v nich je. Pro skutečné zabezpečení je nutné vytvářet pravidla a nástroje, které jsou schopny rozpoznat tyto struktůr v heslech. Jako první kork, jsme vyvinuli některé techniky pro dosažení těchto cílů. Studovali jsme gramatickou strukturu, ale další typy struktur, jako poštovní adresa, emailová adresa či URL reprezentovaná v dlouhých heslech může mít podobný efekt na bezpečnost. K plnému pochopení efektu struktur v dlouhých heslech je nutný ještě další výzkum."
