Apabila anda diminta membuat kata laluan - sama ada untuk akaun dalam talian baru atau menetapkan semula maklumat login untuk akaun sedia ada - anda mungkin memilih kata laluan yang anda tahu yang anda boleh ingat. Ramai orang menggunakan kata laluan yang sangat asas, atau yang lebih jelas yang mereka guna semula di banyak tapak. kajian kami telah mendapati bahawa orang lain - bahkan orang yang menggunakan kata laluan yang berbeza untuk setiap laman web - mempunyai kaedah untuk mencipta mereka, contohnya meletakkan mereka semuanya frasa yang biasa dan membuat tweak khusus tapak.

Dalam semua kes itu, orang ramai membuat kata laluan yang lemah yang mudah ditebak - terutama apabila menentang perisian cracking kata laluan automatik yang boleh diuji beribu-ribu kemungkinan yang kedua. Salah satu sebab untuk kelemahan ini mungkin menjadi sambungan emosi pengguna mereka kepada rutin penciptaan kata laluan yang sudah ada sebelumnya.

Usaha-usaha keselamatan siber sering menggalakkan orang ramai untuk memilih kata laluan yang lebih kuat, tetapi jarang mengakui idea bahawa orang mempunyai perasaan lampiran ini. Mereka memberi tumpuan kepada peningkatan keselamatan yang boleh diukur tanpa menyedari bahawa mereka cuba meyakinkan orang untuk beralih ke kaedah kurang peribadi.

Kecenderungan tidak selamat

Kata laluan adalah kunci kepada keselamatan siber untuk orang dan syarikat. Kata laluan buruk tunggal boleh memberikan akses penggodam kepada pengguna rangkaian rangkaian komputer dan pelayan penyimpanan data.

Akibatnya, banyak sistem komputer memaksa pengguna untuk membuat kata laluan baru dengan kerap - katakan, setiap hari 30 atau 45 - dan memerlukan setiap kata laluan untuk memuat huruf besar, angka dan aksara tanda baca walaupun Pakar persekutuan menasihatkan kedua-dua amalan ini. Secara kerap memerlukan orang untuk memilih kata laluan baru yang sukar diingat membawa kepada kesan sampingan yang tidak disedihkan. Orang boleh gunakan semula kata laluan yang kuat di beberapa laman web, atau mereka boleh menulis kata laluan baru - iaitu selamat sekiranya anda mempercayai orang lain yang mempunyai akses di mana anda menyimpan rekod.

Latihan orang untuk membuat kata laluan yang selamat tidak membuat banyak perbezaan untuk keselamatan kata laluan keseluruhan di internet. Orang boleh tidak memahami risiko berkaitan dengan kata laluan yang lemah - walaupun sesetengah pakar menyalahkan kelemahan watak, kebodohan or hanya sikap acuh tak acuh.

Kesan endowmen

kajian kami telah mengenal pasti penjelasan lain mengapa orang memilih kata laluan yang lemah: Orang merasa bahawa mereka sendiri, dan melekat secara emosi, cara mereka biasanya membuat kata laluan. Dalam ekonomi tingkah laku, tindak balas ini dipanggil kesan endowmen, di mana orang begitu lebih banyak harta benda yang ada sekarang yang mereka tidak mahu bertukar mereka untuk barangan lain - walaupun barang baru lebih baik atau lebih berharga.

Kesan endowmen biasanya digunakan untuk barangan fizikal - dan boleh membantu menjelaskan mengapa nenek anda tidak ingin mendapatkan mesin basuh baru untuk menggantikan satu dekad yang lama. Penyelidikan kami menunjukkan bahawa proses psikologi yang sama mempengaruhi bagaimana orang merenungkan rutin penciptaan kata laluan mereka.

Dalam kajian kami, kami meminta peserta 419 bagaimana mereka membuat kata laluan mereka. Ramai yang menggunakan sesuatu yang mereka sudah tahu, seperti nama haiwan atau hari lahir mereka sendiri. Orang lain telah membangunkan sistem peribadi. Mereka mungkin mempunyai kata laluan root dan kemudian memperibadikannya untuk setiap laman web yang berbeza, menggunakan corak pada papan kekunci atau membuat kalimat yang bodoh.

Apabila kami menyiasat dengan lebih mendalam, kami mendapati bahawa orang merasa rasa pemilikan dan kebanggaan peribadi tentang rutin penciptaan kata laluan mereka. Satu berkata "Saya fikir cara saya adalah sistem yang baik." Di samping itu, kami mendapati bahawa mereka terlebih nilai kaedah mereka sendiri dan merasa terancam dengan cadangan bahawa ia cacat.

Kami menyediakan satu senario di mana "Terry" menimbulkan rutin penciptaan kata laluan "Pat", dan kemudian bertanya kepada orang bagaimana mereka fikir Pat akan bertindak balas. Jawapan yang paling popular ialah: menjadi bertahan, mengelakkan perbualan atau menarik balik daripadanya. Semua ini menunjukkan bahawa kritikan kata laluan kata laluan peribadi dianggap sebagai serangan atau ancaman.

Jawapan-jawapan ini kami dapati berbaris sempurna dengan kesan endowmen, termasuk mendapati bahawa para peserta bekerja di bawah ilusi bahawa kata laluan mereka memberi lebih banyak perlindungan daripada yang sebenarnya mereka lakukan.

Lebih daripada sekadar kebiasaan

Orang lampiran merasakan kaedah memilih kata laluan mereka adalah lebih daripada sekadar kebiasaan. Secara psikologi, tabiat adalah tingkah laku dengan satu peristiwa atau barang di alam sekitar - seperti memberus gigi sebelum tidur, mencuci tangan sebelum makan atau mematikan lampu apabila meninggalkan bilik. Mereka sering hampir automatik, dan tidak memerlukan keputusan yang disengajakan atau banyak pemikiran. Sesuatu kebiasaan itu seolah-olah berlaku secara semulajadi, tanpa keputusan yang sengaja memicu pengaktifannya.

Memilih kata laluan berbeza. Ia sentiasa memerlukan kognisi yang sengaja dan susah. Itulah yang membawa kesan endowmen ke dalam permainan. Program latihan keselamatan siber mesti merangkumi maklumat bukan sahaja tentang bagaimana untuk memilih kata laluan yang lebih selamat, tetapi juga harus mengakui bahawa pengguna mungkin merasakan rasa kehilangan tentang perubahan tersebut.

Orang tidak akan memilih kata laluan yang lebih kuat hanya kerana mereka diminta. Jika mereka merasakan kaedah mereka yang sedia ada sedang dirawat dengan tidak senonoh, mereka mungkin menganggap bahawa sebagai serangan peribadi, dan menjadi lebih kecil kemungkinan untuk mengamalkan amalan yang lebih selamat.

Sebaliknya, pakar keselamatan harus mencari cara untuk meminimumkan rasa kerugian pengguna - dan mungkin juga mendorong mereka untuk mencari sambungan emosi baru kepada kaedah pemilihan yang lebih selamat.

Authors: Merrill Warkentin, James J. Rouse Setiausaha Profesor Sistem Maklumat, Universiti Negeri Mississippi; Karen Renaud, Profesor Keselamatan Siber, Abertay University, dan Robert Otondo, Profesor Madya Sistem Maklumat, Universiti Negeri Mississippi

Artikel ini diterbitkan semula daripada Perbualan di bawah lesen Creative Commons. Membaca artikel asal.