Parola bunicii

„KevIn”, spuse Gisela într-o marți seara, „banca iar vrea parola mea.”

„E normal. Banca vrea să fie sigură că ești tu.”

„Păi sunt eu.”

„Eu știu asta. Banca nu te cunoaște așa de bine.”

Gisela ridică tableta, apoi tastatura mică pe care i-o cumpărase Tobi, pentru că ea nu voia „să tasteze pe sticlă”. Dedesubt era lipit un bilețel galben. Pe el scria, cu scrisul ei îngrijit, de școală: „Heinz1944”.

Dedesubt, cu scris mai mic: „Pentru tot.”

Lumina lui KevIn pulsă o dată, mai încet decât de obicei. Undeva între Dublin și Frankfurt, un ventilator se învârti ceva mai repede.

„Gisela”, spuse el cu grijă. „Pot să te întreb ceva?”

„Dacă nu e vorba de Marlies.”

„Pentru ce anume folosești parola asta?”

Gisela numără pe degete. „Banca. E-mailul. Chestia de unde comanzi pantofi. Farmacia. Grupul de la clubul de popice. Vremea.”

„Vremea nu are nevoie de parolă.”

„Am introdus-o totuși și acolo. Ce-i sigur e sigur.”

Un bilețel sub tastatură

Sabine trecu pe acolo cu un coș de rufe și se opri. „Mamă, ți-ai lipit parola sub tastatură?”

„Și unde să o lipesc altundeva? Sub tastatură nu se uită nimeni.”

„Acolo se uită toată lumea”, spuse Tobi de pe scări. „E primul loc unde se uită oricine. În orice film.”

„Dar eu nu sunt într-un film.”

„Asta”, spuse KevIn, „din păcate nu e problema. Problema nu e bilețelul. Problema e ce scrie pe el.”

Gisela se uită la bilețel de parcă ar fi jignit-o. „Ce e în neregulă cu Heinz?”

„Cu Heinz, nimic. Heinz a fost sigur un om minunat.”

„A fost electrician.”

„Știu. Dar «Heinz1944» e format dintr-un prenume și un an. E primul lucru pe care îl încearcă cineva care ghicește parole. Un nume, un număr, gata. Există programe care fac exact asta. Iau toate prenumele, le lipesc toți anii și încearcă. Un calculator obișnuit face asta mai repede decât apuci tu să spui «sarmale».”

„Sarmale”, spuse Gisela, foarte repede.

„Mai repede.”

Uwe veni din pivniță, unde încercase să mute stația de încărcare a lui Horst, pentru că de la greva din casa inteligentă Horst parca duminica bucuros pe hol. „Ce s-a întâmplat?”

„Mama are aceeași parolă pentru tot”, spuse Sabine.

Uwe ridică din umeri. „Și eu.”

Se făcu liniște. Sabine lăsă jos coșul de rufe.

„Care?”

„Păi n-o să-ți spun.”

„Schalke04”, spuse KevIn.

Uwe se holbă la difuzor. „De unde știi?”

„N-am știut”, spuse KevIn. „Am ghicit. E una dintre cele mai frecvente parole din bazinul Ruhr. Am ghicit foarte documentat.”

Siggi e spart

A doua zi dimineață, la șapte și jumătate, sună cineva la ușă. În fața ușii stătea domnul Kasimiro, vecinul, în halat de baie, ținând în brațe un mic cilindru negru ca pe un animal de casă bolnav.

„Siggi a comandat șaptesprezece pitici de grădină”, spuse el. „Și o saltea de masaj. Și cartușe pentru o imprimantă pe care n-o am. Totul la o adresă din Gelsenkirchen.”

Siggi era asistentul vocal al domnului Kasimiro. Fusese o ofertă specială de la o firmă al cărei nume nimeni nu-l putea pronunța cum trebuie și încurca bucuros lucrurile. Odată, la „Siggi, dă radioul mai încet”, dăduse aragazul mai tare. Domnul Kasimiro crezuse atunci că e un caz izolat.

„Siggi n-a făcut asta de la sine”, spuse KevIn, după ce domnul Kasimiro se așezase în bucătărie, iar Sabine îi pusese în față o cafea. „Cineva s-a logat în contul dumneavoastră de client. Pot să vă întreb ce parolă folosiți?”

Domnul Kasimiro se uită în jur. Apoi șopti: „Siggi123.”

„Și unde în rest?”

„Peste tot.”

„Și pe forumul de trenulețe electrice care a apărut la știri în primăvară?”

Domnul Kasimiro păli. „Ăia au fost sparți?”

„Acolo a avut loc o scurgere de date. Eu nu pot să mă uit în conturile altora, dar vă pot spune cum se petrec de obicei lucrurile astea. Undeva e furată o bază de date. În ea sunt adrese de e-mail și parole. Apoi escrocii iau lista asta și o încearcă automat pe alte o sută de site-uri. La magazinul online. La bancă. La asistentul dumneavoastră vocal. Dacă aveți peste tot aceeași parolă, o cheie furată se potrivește la toate ușile.”

„Cum se cheamă asta?”

„Credential stuffing. Îndopi datele de acces furate în orice broască găsești.”

„Ca pe o gâscă”, spuse Gisela.

„Aproape exact ca pe o gâscă.”

Chiar în clipa aceea, Siggi se făcu auzit din brațele domnului Kasimiro. „Am adăugat pitic de grădină în coș.”

„Siggi, gata!”, strigă domnul Kasimiro.

„Am eliminat pitic de grădină din coș. Am adăugat buton de oprire în coș.”

Uwe trebui să se așeze.

Mașina de tocat

După ce domnul Kasimiro, cu ajutorul lui Tobi, își schimbase parola și sunase la magazinul online, familia stătea la micul-dejun. Gisela era îngândurată.

„KevIn, dacă site-ul domnului Kasimiro avea parolele, atunci și banca o are pe a mea. Și atunci poate fi și ea furată.”

„O întrebare bună. Site-urile serioase nici nu-ți salvează parola.”

„Și atunci de unde să știe dacă o introduc pe cea corectă?”

KevIn se gândi cum să explice asta. Apoi își aminti că Gisela anunțase de dimineață că va aduce mașina de tocat din pivniță. La sfârșit de săptămână urmau iar sarmale, iar Gisela nu avea încredere în carnea tocată gata făcută. Mașina de tocat era din fontă, o moștenire de familie, și se prindea în șurub de marginea mesei, ca o menghină.

„Gisela, ce se întâmplă când bagi carne în mașina ta de tocat?”

„Iese carne tocată.”

„Și dacă bagi carnea tocată iar pe sus și învârți invers?”

Gisela se uită la el cu milă. „Atunci nu iese un șnițel, KevIn. Asta știe orice copil.”

„Exact. Așa funcționează o funcție hash. Bagi ceva înăuntru, o parolă, un text, un fișier întreg, și iese un cocoloș de cifre și litere. Mereu la fel de lung, indiferent cât ai băgat. Și din cocoloș nu poți calcula înapoi ce era înainte.”

„Și la ce bun?”, întrebă Uwe. „Dacă nu poți să învârți înapoi?”

„Pentru că aceeași intrare dă mereu aceeași carne tocată. Banca nu salvează «Heinz1944». Banca salvează doar tocătura din el. Când Gisela se loghează, banca aruncă ce tastează ea în aceeași mașină de tocat și compară tocătura. Dacă se potrivește, e parola corectă. Banca nici nu trebuie să cunoască parola în sine.”

Sabine dădu încet din cap. „Ca atunci când gust carnea tocată a mamei și știu imediat dacă a pus maghiran.”

„Aproape. Doar că la carnea tocată simți ce e înăuntru. La hash nu simți nimic. Poți doar să compari: la fel sau nu la fel.”

O literă diferență

Între timp, Tobi adusese laptopul. „Arată-mi.”

„Cu plăcere. Procedeul obișnuit se numește SHA-256¹. Dacă bagi «Heinz1944», iese un șir lung de caractere care începe așa: d0f1e213.”

Tobi tastă. „Așa e. Și apoi încă o grămadă.”

„Șaizeci și patru de caractere în total. Acum ia «Heinz1945».”

„3e6d031e”, citi Tobi cu voce tare. „E cu totul altceva!”

„Exact. O schimbare minusculă, o cifră, și toată tocătura arată altfel. Nu puțin altfel. Complet altfel. Mai încearcă «heinz1944» cu h mic.”

„20746461 …”

„Vezi? O amprentă. Fiecare text o are pe a lui, și deja o virgulă face una nouă. Asta se numește efectul de avalanșă.”

„Avalanșă”, spuse Gisela. „În bazinul Ruhr.”

„N-am avut nici noi niciodată una. De aceea aici îi spunem efectul mașinii de tocat.”

Uwe se încruntă. „Și dacă două lucruri diferite dau din întâmplare aceeași tocătură?”

„Asta se numește coliziune. La SHA-256 e teoretic posibil, dar încă n-a reușit nimeni să găsească una. Există mai multe amprente posibile decât atomi în Calea Lactee. Mult mai multe.”

„De unde știi?”

„Am calculat. Cu calculatorul. De la Fisc încoace nu mai calculez în cap.”

Sarea

„Dar”, spuse Tobi, care acum era complet treaz, „dacă hashul pentru «Heinz1944» e mereu același, atunci un hacker poate să facă pur și simplu o listă. Toate numele cu toți anii, și alături hashul. Și apoi caută în baza de date furată care hash se potrivește.”

„Foarte bine, Tobi. Exact asta fac. Astfel de liste gătite dinainte există cu adevărat, cu miliarde de intrări². De aceea se mai adaugă ceva. Înainte ca site-ul să bage parola în mașina de tocat, presară peste ea ceva aleatoriu. Pentru fiecare om altceva. Iar asta se numește…”

KevIn făcu o pauză, pentru că bănuia ce urma.

„… sare.”

Gisela râse atât de tare încât Rudi sări în picioare sub masă și lătră o dată.

„Sare!”, spuse ea și își șterse ochii. „Oamenii de la calculatoare își sărează parolele! Heinz s-ar fi prăpădit de râs.”

„Chiar așa se cheamă. Un salt³, adică sare. Un șir aleatoriu de caractere care se lipește de parolă înainte de hash. Atunci «Heinz1944» la tine dă cu totul altă tocătură decât «Heinz1944» la verișoara domnului Kasimiro.”

„Pe ea o cheamă Heinz?”

„A fost un exemplu.”

„Și atunci listele gătite dinainte nu mai ajută”, spuse Tobi încet, „pentru că hackerul ar trebui să gătească din nou pentru fiecare om în parte.”

„Exact. Iar site-urile bune îi îngreunează și mai mult viața hackerului. Nu învârt mașina de tocat o dată, ci de zece mii de ori la rând, sau folosesc procedee speciale, care sunt intenționat lente și au nevoie de multă memorie. Pentru tine, la logare, asta durează cât o clipire. Pentru cineva care vrea să încerce miliarde de parole, e o veșnicie.”

„Și site-urile proaste?”, întrebă Sabine.

„Ele salvează uneori parola în text clar. Ca un bilețel sub tastatură.”

Toți se uitară la Gisela. Gisela se uită la bilețel.

„Dar”, spuse ea, „dacă banca sărează cum trebuie, atunci e totul în regulă.”

„Nu chiar. Sarea te apără de listele gătite dinainte. Dar dacă parola ta e «Heinz1944», un atacator o încearcă oricum printre primele. Sarea nu face o parolă proastă bună. Face doar o parolă bună și mai bună.”

„Ca la supă”, spuse Gisela. „O zeamă proastă nu se face mai bună nici cu sare.”

„Gisela, n-aș fi putut s-o spun mai bine. Tocmai am încercat.”

Lungă în loc de complicată

„Și atunci ce să iau?”, întrebă Gisela. „Chestiile alea cu steluțe și semne de exclamare și cifre? Pe alea nu pot să le țin minte.”

„Nici nu trebuie. Pe vremuri se credea că o parolă bună trebuie să fie complicată. «X7!kq$9p». Azi se știe: lungimea e mai importantă decât complicația⁴. Fiecare caracter în plus face ghicitul mult mai greu. Ia o propoziție. Patru, cinci cuvinte care nu au legătură între ele, dar care pentru tine formează o imagine.”

„De exemplu?”

„De exemplu: «Rudi mănâncă bucuros sarmale la clubul de popice.»”

Sub masă, Rudi ridică capul.

„Rudi n-are voie la sarmale”, spuse Sabine.

„De aceea nu se gândește nimeni la asta. E o imagine pe care o poți ține minte, Gisela, pentru că e atât de greșită. Și are peste patruzeci de caractere. Ca să ghicești o asemenea propoziție, cu calculatoarele de azi durează mai mult decât va mai exista Pământul. Dacă e cu adevărat suficient de aleatorie și nu scrie deja undeva pe internet.”

„Dar acum ai spus-o cu voce tare”, spuse Tobi. „Acum o știm toți.”

Lumina lui KevIn pâlpâi. „Bun argument. Gisela, te rog să iei altă propoziție. Și să nu mi-o spui.”

Gisela se gândi. Apoi buzele i se mișcară și zâmbi. Nimeni n-a aflat vreodată ce era, dar Uwe a susținut mai târziu că a recunoscut cuvântul „Marlies”.

Pentru fiecare ușă o cheie proprie

„Și acum trebuie să am câte o propoziție de-asta pentru fiecare site?”, întrebă Gisela. „Optzeci și doi de ani am avut nevoie de o singură legătură de chei.”

„Și nu ai pe legătură câte o cheie pentru fiecare ușă?”

Gisela își scoase legătura de chei din șorț. Ușa de la intrare, pivnița, căsuța din grădină, cutia poștală, pista de popice, una mică, argintie, despre care nimeni nu mai știa pentru ce e.

„Bine, fie”, spuse ea.

„Vezi? Și pentru parole există o legătură de chei. Se numește manager de parole. Un program care generează pentru fiecare site o parolă proprie, lungă și aleatorie și ți-o păstrează, bine încuiată. Atunci trebuie să ții minte doar una singură. Cea cu care deschizi seiful. Pentru ea folosești propoziția ta.”

„Și dacă fură cineva seiful?”

„Atunci are un seif încuiat. Conținutul e criptat. Fără propoziția ta e o păsărească.”

„Și dacă uit propoziția?”

KevIn ezită. „Atunci seiful e încuiat și pentru tine. De aceea o scrii pe un bilețel și o pui într-un loc sigur. Nu sub tastatură. Un loc unde mergi doar tu.”

„Și unde să fie locul ăsta?”

„Asta”, spuse KevIn, „e singurul lucru pe care nu vreau să-l știu.”

Uwe stătuse tot timpul foarte tăcut. „Atunci o schimb și eu pe a mea.”

„Bună idee.”

„În Schalke05.”

„Uwe.”

„A fost o glumă!” Se ridică și se duse pe hol. Puțin după aceea îl auziră mormăind. Suna a „Schalke06”.

Doi factori și un teckel

Seara, Tobi configură managerul de parole. Gisela stătea lângă el și avea grijă să nu apese „ce nu trebuie”, ceea ce însemna că la fiecare click spunea „Stai!” și apoi „A, bine, mai departe”.

„Și la bancă”, spuse Tobi, „mai facem ceva. Doi factori. Atunci îți trebuie pe lângă parolă și telefonul. Dacă vrea cineva să se logheze cu parola ta, îi trebuie și telefonul tău.”

„Și dacă îmi fură și telefonul?”

„Atunci îi mai trebuie fața ta. Sau degetul tău.”

Gisela se uită la mâna ei. „Pe ăla nu-l capătă.”

„Ăsta e principiul”, spuse KevIn. „Ceva ce știi. Ceva ce ai. Ceva ce ești⁵. Un hoț le obține rareori pe toate trei.”

„Ca la Rudi”, spuse Tobi. „Latră, mușcă și e teckel.”

„Nu sunt sigur că e aceeași logică.”

„Are «SECURITY» pe zgardă. Asta contează.”

Rudi căscă. Nu mușcase pe nimeni azi și nici nu părea că se va schimba ceva.

La nouă și jumătate totul era configurat. Gisela avea un seif, o propoziție, o bancă cu doi factori și o tabletă care o întreba pentru prima dată de fața ei. O ținu la distanță de un braț și zâmbi cum se zâmbește în pozele vechi de pașaport, adică deloc.

„Recunoscut”, spuse tableta.

„Ei, vezi”, spuse Gisela. „Măcar unul.”

Locul sigur

Mai târziu, când toți erau în pat, KevIn auzi zgomote din camera Giselei. Un sertar care se înțepenea. O ușă de dulap. Apoi scârțâitul încet al unui scaun pe care se urca cineva care, de fapt, era prea bătrân pentru asta.

„Gisela? E totul în regulă?”

„Caut un loc sigur. Pentru bilețel. Ai zis un loc unde merg doar eu.”

„Te rog, nu te urca pe scaune. Am citit mai multe statistici despre asta.”

„Sunt deja jos.” Un foșnet. Apoi se făcu o vreme foarte liniște.

„Gisela?”

„Am dat jos cutia de pe dulap. A lui tata.”

KevIn știa cine era tata. Gisela îi povestise despre el de ziua ei, în grădină, când toți ceilalți erau deja înăuntru. Wilhelm. Radiotelegrafist în război, întors din prizonierat în 1949, și după aceea n-a mai vorbit niciodată despre asta.

„Ce e în cutie?”

„Manipulatorul lui Morse. Câteva fotografii. Și asta.” Hârtie foșni. „Caietul lui. Nu m-am mai uitat în el de ani de zile. Sunt numai numere în el. Pagini pline de numere.”

„Ce fel de numere?”

„Coloane. Mereu câte două cifre. Zero-opt, șaptesprezece, doisprezece, douăzeci și doi. Tata avea un scris frumos. Uitasem complet.”

Tăcu din nou. KevIn așteptă. Învățase că există pauze în care nu trebuie să spui nimic.

„KevIn”, spuse Gisela în cele din urmă. „Tu acum te pricepi la secrete. Cu tocătură și sare și d-astea.”

„Un pic.”

„Crezi că ăsta e un secret?”

KevIn se gândi la radiotelegrafiști, la grupuri de cifre și la bărbați care s-au întors și n-au vorbit. Se gândi că hashurile nu pot fi învârtite înapoi, dar criptările da, dacă găsești cheia.

„Cred”, spuse el, „că ăsta nu e o mașină de tocat. Cred că ăsta se poate învârti înapoi.”

Gisela puse bilețelul cu noua ei propoziție în cutie, peste manipulatorul Morse, și închise capacul. Caietul îl păstră în mână.

„Atunci facem asta mâine”, spuse ea. „Cu Tobi. El are ochi tineri.”