Quando ti viene chiesto di creare una password - per un nuovo account online o per ripristinare le informazioni di accesso per un account esistente - lo sei probabile scegliere una password che sai che puoi ricordare. Molte persone usano password di base estremamente semplicio più oscuro uno riutilizzano attraverso molti siti. La nostra ricerca ha scoperto che altri - anche quelli che usano password diverse per ogni sito - hanno un metodo per escogitarli, ad esempio basandoli tutti su una frase familiare e apportare modifiche site-specific.

In tutti questi casi, le persone creano password deboli facilmente intuibili, specialmente quando si scontrano con un software di cracking automatico delle password in grado di testare migliaia di possibilità al secondo. Una ragione per questa debolezza potrebbe essere la connessione emotiva dei loro utenti alla loro preesistente routine di creazione di password.

Gli sforzi di sicurezza informatica spesso incoraggiano le persone a scegliere password più forti, ma raramente riconoscono l'idea che le persone abbiano questa sensazione di attaccamento. Si concentrano sul miglioramento misurabile della sicurezza senza rendersi conto che stanno cercando di persuadere le persone a passare a metodo meno personale.

Tendenze insicure

Le password sono fondamentali per la sicurezza informatica per persone e aziende. Una sola password errata può garantire a un hacker l'accesso a un intera rete di computer e server di archiviazione dati.

Di conseguenza, molti sistemi informatici costringere gli utenti a creare nuove password regolarmente - per esempio, ogni 30 o 45 giorni - e richiedono che ogni password contenga lettere maiuscole, numeri e caratteri di punteggiatura anche se gli esperti federali sconsigliano entrambe queste pratiche. Richiedere regolarmente alle persone di scegliere nuove password difficili da ricordare porta a sfortunati effetti collaterali. Le persone potrebbero riutilizzare una password complessa su diversi siti, o potrebbero scrivere la nuova password - che è sicuro solo se ti fidi delle altre persone chi ha accesso dove memorizzi il record.

Formare le persone per creare password sicure non ha fatto molta differenza per la sicurezza totale delle password su Internet. Le persone possono non capisco i rischi relativo a password deboli - sebbene alcuni esperti la colpa difetti di carattere, stupidità or semplicemente indifferenza.

L'effetto dotazione

La nostra ricerca ha identificato un'altra spiegazione del perché le persone scelgono password deboli: le persone sentono di possedere e sono affezionate a loro dal modo in cui di solito creano password. Nell'economia comportamentale, questo tipo di risposta è chiamato il effetto dotazione, in cui la gente così sopravvaluta i loro beni esistenti che essi non voglio scambiarli con altri oggetti - anche se il nuovo oggetto è migliore o più prezioso.

L'effetto dotazione è di solito applicato ai beni fisici e può aiutare a spiegare perché tua nonna non vuole ottenere una nuova lavatrice per sostituire quella vecchia di decenni. La nostra ricerca suggerisce che lo stesso processo psicologico influenza il modo in cui le persone contemplano le loro routine per la creazione di password.

Nel nostro studio, abbiamo chiesto ai partecipanti 419 come hanno creato le loro password. Molti usavano qualcosa che già conoscevano, come il nome di un animale domestico o il proprio compleanno. Altri avevano sviluppato un sistema personale. Potrebbero avere una password di root e quindi personalizzarla per ogni sito diverso, utilizzare un modello sulla tastiera o creare una frase stupida.

Quando abbiamo sondato più a fondo, abbiamo scoperto che le persone provavano un senso di proprietà e orgoglio personale per la loro routine di creazione di password. Uno ha detto: "Penso che il mio modo sia un buon sistema". Inoltre, abbiamo scoperto che hanno sopravvalutato il loro metodo e si sono sentiti minacciati da suggerimenti che erano difettosi.

Abbiamo fornito uno scenario in cui "Terry" deride la routine di creazione di password di "Pat", e poi ha chiesto alle persone come pensavano che Pat avrebbe reagito. Le risposte più popolari erano: diventare difensivi, evitare la conversazione o ritirarsi da essa. Tutti questi suggeriscono che una critica di una password personale è stata percepita come un attacco o una minaccia.

Queste risposte le abbiamo trovate allineate perfettamente con l'effetto dotazione, compresa la scoperta che i partecipanti lavoravano nell'illusione che le loro password fornissero maggiore protezione di quanto effettivamente non facessero.

Più che un'abitudine

Le persone che si sentono attaccate al loro metodo di scelta delle password è più che un'abitudine. Psicologicamente parlando, un'abitudine è a comportamento causato da un evento o un oggetto nell'ambiente - come lavarsi i denti prima di andare a letto, lavarsi le mani prima dei pasti o spegnere le luci quando si esce da una stanza. Sono spesso quasi automatici e non richiedono una decisione deliberata o molto pensiero. Qualcosa che è un'abitudine sembra accadere naturalmente, senza che nessuna decisione intenzionale inneschi la sua attivazione.

La scelta di una password è diversa. Richiede sempre cognizione deliberata e faticosa. Questo è ciò che fa entrare in gioco l'effetto dotazione. I programmi di formazione sulla sicurezza informatica dovrebbero includere informazioni non solo su come scegliere password più sicure, ma dovrebbe anche riconoscere che gli utenti potrebbero provare un senso di perdita per il cambiamento.

Le persone non sceglieranno le password più forti solo perché gli viene richiesto. Se sentono che i loro metodi esistenti vengono trattati con disprezzo, potrebbero percepirlo come un attacco personale e diventare ancora meno propensi ad adottare pratiche più sicure.

Invece, gli esperti di sicurezza dovrebbero trovare modi per minimizzare il senso di perdita degli utenti e forse anche incoraggiarli a trovare una nuova connessione emotiva a un metodo di scelta più sicuro.

Autori: Merrill Warkentin, James J. Rouse Professore a contratto di Sistemi Informativi, Mississippi State University; Karen Renaud, Professore di Cybersecurity, Università di Abertaye Robert Otondo, Professore associato di sistemi informativi, Mississippi State University

Questo articolo è ripubblicato da The Conversation sotto una licenza Creative Commons. Leggi il articolo originale.