Każde hasło, które można zapamiętać, można złamać. 11-letnia Amerykanka zarabia na kryptografii
Niezwykłą smykałką do interesów wykazała się jedenastoletnia nowojorczanka, Mira Modi. Postanowiła ona bowiem zarobić na wymyślaniu haseł za opłatą w wysokości dwóch dolarów. Z racji młodego wieku i pomysłowości, działalność Miry spotkały się z uznaniem, warto się jednak zastanowić czy generowane przez nią hasła rzeczywiście są tak bezpieczne, jak rozpisują się o tym amerykańskie media.
Mira zajmuje się generowaniem haseł metodą Diceware. Polega ona na wykorzystaniu listy losowych wyrazów i fraz, przykładowy zbiór złożony z polskich jednostek jest dostępny na dfugazi.eu.org. Do wygenerowania hasła niezbędne są także sześcienne kostki do gry. Po pięciokrotnym rzuceniu kości, sekwencję liczbową dopasowuje się do konkretnego wyrazu.
Nawet przy założeniu, że chcący złamać hasło będzie świadomy tego, jakie jednostki znajdują się na liście oraz z ilu fraz złożone jest hasło, [entropia informacyjna](https://pl.wikipedia.org/wiki/Entropia_(teoria_informacji) wynosi w przypadku Diceware 12,9 bitów na każde słowo. Problem w tym, że dziś może to już nie wystarczać.
Takiego zdania jest na przykład Bruce Schneier, amerykański kryptograf pracujący w Centrum Berkmana przy Uniwersytecie Harvarda. Już przed rokiem opublikował on krytykę metody Diceware. Schneier zauważył, że współczesne narzędzia, którymi dysponują hakerzy nie tylko korzystają ze wspomnianych list, ale także wykorzystują dane z książek adresowych, czy wszelkie dostępne dane przechowywane przez ofiarę. Przywołuje on wyniki zorganizowanego w 2013 roku konkursu na uzyskanie do szyfrowanego pliku złożonego z 16 tysięcy pozycji. Hakerzy mieli na ich złamanie kilka godzin. Najgorszy wynik plasował się na poziomie 62% złamanych haseł, najlepszy – 90%.
Metoda Diceware, co potwierdza także Schneier, pozwala na formułowanie haseł, które są bardzo łatwe do zapamiętania – ciągi niepowiązanych semantycznie wyrazów można kojarzyć bez konieczności posługiwania się dowolnym sposobem mnemotechnicznym. Problem w tym, że kryptolog wychodzi z założenia, że każde hasło, które można zapamiętać, można też złamać i to właśnie mnemotechnika ma gwarantować odpowiedni poziom bezpieczeństwa hasła.
Nie poprzestaje on bowiem tylko na krytyce, formułuje również konstruktywne propozycje przywołując ogłoszoną w 2008 roku metodę, którą nazwał swoim nazwiskiem. Sugeruje ona, że podstawą dla stworzenia hasła powinno być zapamiętane przez użytkownika zdanie. Na jego podstawie, może on skracając na przykłąd wyrazy do pierwszego znaku i zachowując duże litery oraz znaki interpunkcyjne, stworzyć dużo bezpieczniejsze hasło, niż to wygenerowane w metodzie Diceware.
Wracając do Miry – jej biznes jest w dużej mierze inspirowany działalnością ojca, Angwina Modi, zaangażowanego w działalność na rzecz prywatności dziennikarza i członka organizacji ProPublica. Jedenastolatka nie używa do generowania haseł komputera, a efekty swojej pracy wysyła tradycyjną pocztą. Cała historia wpisuje się w popularną ostatnio tendencję przedstawiania młodych Amerykanów, jako technicznych geniuszy-samorodków, zdolnych na przykład do wniesienia do szkoły własnoręcznie zdekonstruowanego zegara.
Oczywiście należy docenić świadomość i zaangażowanie dziewczyny, niemniej przy korzystaniu z jej usług należałoby – szczególnie biorąc pod uwagę autorytet Schneiera – zachować zdrowy rozsądek. Poleganie w kwestii ochrony swoich prywatnych danych czy rachunku bankowego na inicjatywie będącej odpowiednikiem sprzedaży lemoniady, może mieć przykre konsekwencje, choćby ze względu na metodę dystrybucji haseł.