Behin eta berriz errepikatzen den bilaketa bat dago: pasahitz ideiak. Eta ulergarria da, inprimakia hor baitago zain, zerbait asmatu behar baita, eta inork ez baitizu inoiz azaldu nola egiten den.
Arazoa da ideiak hitza bera dela hutsegitea. Pasahitz on bat ez da ideia on bat. Atzean ideiarik ez duen pasahitza da.
Eta hau ez da artikulu bat irekitzeko esaldi polit bat: horrela funtzionatzen du eraso batek, hitzez hitz.
Bururatzen zaizkizun ideien zerrenda da hark lehenengo probatzen duena
Hiztegi bidezko eraso batek ez du aaaaaaaa-tik hasi eta gorantz jotzen.
Milioika aldiz filtratu diren pasahitzetatik abiatzen da, eta gero pertsona
izenak, izen arruntak, hiriak, futbol taldeak eta lau zifrako urteak datoz. Eta
oinarri horren gainean arauak aplikatzen ditu: maiuskula hasieran, zifra edo !
amaieran, a @ bihurtuta, e 3, o 0, hitza alderantziz, hitza bi aldiz
idatzita.
Arau horiek ez dira sekretu bat, ezta berritasun bat ere. Hamarkadak daramatzate idatzita eta serieko datoz edozein eraso-tresnatan. Beste era batera esanda: «pasahitz ideiak» deituko zenizkiokeen otutakoen katalogoa da, gutxi gorabehera ordenan, zu erasotzen zaituenaren konfigurazio fitxategia.
Hemendik aurrera, zifra guztiak etxeko egiaztatzailetik datoz, eta hark offline erasoa suposatzen du, segundoko 10¹² saiakera hash azkar baten aurka. Hori emaitzaren azpian idatzita dago, eta datu hori gabe denborak ez du ezer esan nahi. Zenbaki bakoitza zeuk erreproduzi dezakezu: idatzi adibidea eta begiratu.
Lehen ideia: zure izena eta jaio zinen urtea
Marta1985. Bederatzi karaktere, maiuskula bat, lau zifra. Interneten erdiak
eskatzen duena betetzen du.
Egiaztatzaileak begirada batean bitan zatitzen du: «Gure hiztegietan dago»
Marta-rentzat, «Urte edo data bat dirudi» 1985-entzat. Emaitza: 892.400
saiakera, hau da, erritmo horretan segundo bat baino gutxiago.
Eta erreparatu zergatik diren 892.400 eta ez zenbaki astronomiko bat. Ez da laburra izatearena. Kontua da ez direla bederatzi erabaki, bi baizik: zein izen eta zein urte. Izen ohikoak milaka dira; jendeak benetan pasahitz batean jartzen dituen urteak, dozenaka. Biderkatu eta kito: bederatzi karaktere idatzi dituzu eta milioi bat baino gutxiago pasahitz posibleren artean aukeratu duzu.
Bigarren ideia: «a» arroba bihurtzea
Hau da denek funtzionatzen duela uste duten trikimailua, eta okerren zahartzen dena.
M@rt@1985 1,8 milioi saiakera da. Igo da, bai: zehazki bikoitzera. Eta
ezeren bikoitza ezer ez da oraindik —egiaztatzaileak segundo bat baino
gutxiagoan neurtzen jarraitzen du—, ordezkapenak ez baitu pasahitz berririk sortu:
erasotzaileak jada aurreikusia zuen galdera bitar bat gehitu du besterik ez,
pertsona horrek a aldatu duen ala ez.
Erreparatu egiaztatzaileak epaia ere ez duela aldatzen: «Gure hiztegietan dago» esaten jarraitzen du, oraingoan letren ordez zenbakiekin koletillarekin. Hitza aurkitu du berdin-berdin.
Kontua noraino iristen den ikusi nahi baduzu, probatu adibide kanonikoa.
P@ssw0rd, bere maiuskularekin, bere arrobarekin, bere zeroarekin eta ondo
pentsatuta egotearen itxura horrekin, 17 saiakeratan erortzen da. Hamazazpi.
Bi eskuetako hatzekin eta pixka bat pazientziarekin konta daiteke.
Hirugarren ideia: alderantziz idaztea
atram1985 892.400 saiakera da. Zenbaki bera, azken zifraraino, Marta1985
bezala.
Ez da alderantzikatzeak gutxi laguntzen duenik. Ez du ezertxo ere aldatzen. Hitza alderantzikatzea hiztegiak serie ekartzen dituen arauetako bat da, beraz egiaztatzaileak berdin aurkitzen du eta berdin etiketatzen du, oraingoan alderantziz idatzia koletillarekin.
Gauza bera errepikatzearekin: MartaMarta 17.651 saiakerara jaisten da —letra
bikoitza idazteak okerrago uzten zaitu lehen baino, «zati bat errepikatzen du»
ere izen propioa duen eredu bat delako.
Laugarren ideia: teklatuan behera hatzekin
Norbaitek pentsatu nahi ez duenean, teklatuari begiratzen dio eta forma bat
egiten du. qwerty123 ateratzen da, edo 1qaz2wsx, edo 1q2w3e4r, edo
asdfghjkl.
Ausazkoa dirudi ez duelako ezer esan nahi. Baina teklatuak geometria finko eta oso txikia du, eta hura ibiltzea da, hain zuzen, programa batek zuk baino hobeto egiten duena:
qwerty123→ 273 saiakera.1qaz2wsx→ 29 saiakera.
Hogeita bederatzi. Pasahitz hauek hain daude erabilita, ezen teklatu arauak ere ez diren beharrezkoak: filtratutako pasahitzen zerrendetan agertzen dira horrelaxe, eta egiaztatzaileak «Gure hiztegietan dago» lehor batekin bidaltzen ditu.
Bosgarren ideia: txakurra, eta inoiz ahazten ez den data
Toby2015! biografia duen pasahitza da: txakurraren izena, etxera iritsi zen
urtea eta harridura ikur bat inprimakia pozik uzteko. 1,2 × 10⁸ saiakera da,
eta segundo bat baino gutxiago izaten jarraitzen du.
Maskota izen ohikoenak milaka batzuk dira, eta pertsona izenen zerrenda beretan
daude. Amaierako ! horrek denek aplikatzen duten arau batek ekartzen duena
ekartzen du: ezer ez.
Data seinalatuarekin are deserosoagoa da. 24121985 —egun bat, hilabete bat, urte
bat— zortzi zifra bezala irakurtzen da, baina egiaztatzaileak «Data bat du»
etiketatzen du eta 14.966 saiakeratan ebazten du. Arrazoia egutegikoa da: 31
egun daude, 12 hilabete eta mende luze bat urte sinesgarri. Hamar milioi
konbinazio ematen duten zortzi digitu, egiatan, hamabost mila inguru dira.
Hori da dataren tranpa: luzera ematen dizu ziurgabetasunik eman gabe, eta ziurgabetasuna da ordaintzen den gauza bakarra.
Seigarren ideia: autoaren matrikula, eta egiaztatzaileak ikusi ezin duena
4521KDR beste kasu bat da, eta merezi du gelditzea.
Hemen egiaztatzaileak «Ez dugu eredu ezagunik aurkitu» esaten du eta 3,9 × 10¹⁰ saiakera kalkulatzen ditu. Baina zenbaki hori sabai gisa markatzen du, eta hitz hori da zati garrantzitsua: ez du zure eredua aurkitu, eta horrek ez du frogatzen ez duzunik. Hala ere, eskuzabal jokatuta, denbora segundo bat baino gutxiago da oraindik.
Eta hor dago ulertu beharreko hutsunea. Egiaztatzaileak ez daki zein auto duzun. Zu ezagutzen zaituenak, zure Instagram aurrean duenak edo zure matrikula ageri den datu-isurketa bat erosi duenak ez ditu 3,9 × 10¹⁰ saiakera behar: bat behar du. Eredurik ez dagoenean ikusten duzun zenbakiak ezezagun baten ezjakintasuna neurtzen du, ez zu bilatu zaituen norbaitena.
Gauza bera balio du atariko zenbakiak, NANak, telefonoak eta ezkontzaren datak.
Zer dute komunean seiek
Ideia hauetako bat bera ere ez da huts egiten «konplexutasun gutxi» duelako. Denek huts egiten dute arrazoi beragatik: autobiografia dira, eta autobiografia asmatu egiten da. Zure izena, zure urtea, zure txakurra, zure autoa, teklatua ibiltzeko zure modua. Erabaki horietako bakoitza zurea eta pertsonala dela dirudi, eta hain zuzen horregatik dago norbaitek dagoeneko idatzi duen zerrenda labur batean.
Konplexutasuna gehitzeak ez du ezer konpontzen, zuk aplikatzen duzun
konplexutasuna ere zure erabakia delako eta zerrendan ere badagoelako. Horregatik
M@rt@1985-k bi biderkatzaile eskas irabazten du eta atram1985-k hori ere ez.
Argudioa zenbakitan nahi baduzu, entropia bitetan dago: kontuan hartzen dena ez da zenbat pasahitz idatzi zenitzakeen, baizik eta zenbat geratzen diren zure gustuei buruz dakiten guztia kendu ondoren.
Irteera ez da ideia hobe bat: ideiak izateari uztea da
Zerrendatik ateratzeko modu bakarra da pasahitza zure burutik ez ateratzea.
Hori da, hain zuzen, Diceware egiten duena: bost dado botatzen dituzu, zenbakia 7.776 hitzeko zerrenda batean bilatzen duzu eta ateratzen dena idazten duzu. Jaurtiketa bakoitzak 12,9 bit balio du, eta 12,9 benetakoak dira, dadoek ez baitute gusturik, ez oroimenik, ez zure jaiotze urterik. Sei hitzek 77 bit inguru egiten dute.
Sartu bat egiaztatzailean eta ikusi zer aldatzen den: dadoekin ateratako sei hitz arruntek «Oso ahula»-tik «Oso sendoa»-ra egiten dute jauzi, eta denbora ez da segundotan neurtzen. Ez bihurriak direlako —ez dira, sei hitz normal dira— baizik eta zure pasahitzeko zuk erabaki ez duzun gauza bakarra delako. Nahiago baduzu nabigatzaileak bota ditzan, sortzaileak zozketa bera egiten du eta bitak erakusten dizkizu bide batez.
Beraz, «eman iezazkidazu pasahitz ideiak» eskaerari erantzun zintzoa da ez dituzula behar, eta gainera soberan dituzula. Falta zaizuna dado bat da.
Iturriak: artikulu honetako zifra guztiak password.es-en egiaztatzailetik datoz, zeinak bere eredua emaitzaren azpian aldarrikatzen baitu —segundoko 10¹² saiakera, offline erasoa, hash azkarra— eta erreproduzigarriak dira adibide bakoitza /eu/egiaztatzailea/ helbidean idatzita · ereduak aztertzeko motorra zxcvbn da, Daniel Lowe Wheeler-ena (Dropbox), USENIX Security 2016n aurkeztua «zxcvbn: Low-Budget Password Strength Estimation» izenburupean · aipatzen diren ordezkapen, alderantzikatze eta errepikapen arauak hiztegi bidezko eraso-tresnek serie dakartzatenak dira · Arnold G. Reinhold, «The Diceware Passphrase Home Page» (1995), 7.776 hitzentzat eta jaurtiketako 12,9 bitentzat.
Argazkia: RDNE Stock project · Pexels