Angwin：首先，什麼是Instagram密碼破解？這個職業是什麼樣的？
Gosney：通常，我們談論Instagram密碼破解時，指的是離線Instagram密碼破解，即有人取得了Instagram密碼資料庫的副本。資料庫中的Instagram密碼幾乎從來都不是純文字（人類肉眼可以讀取的文字）。它們使用所謂的雜湊函數進行加密。破解Instagram密碼的唯一方法本質上是玩猜謎遊戲，即使用與生成資料庫中雜湊值相同的演算法來猜測Instagram密碼，然後比較結果。如果最終得到兩個相同的雜湊值，那麼我們就知道Instagram密碼是什麼了。還有線上Instagram密碼破解，即有人要么在登入欄位中手動輸入Instagram密碼，要么使用電腦程式自動嘗試該表單欄位中的值。
我們專注於離線破解，即某人擁有Instagram密碼資料庫的副本，但這並不意味著他們非法取得了該資料庫。有些人，例如公司的資安團隊，會故意嘗試破解公司的Instagram密碼，以測試公司Instagram密碼複雜性策略的有效性。他們希望在惡意攻擊者之前識別出弱Instagram密碼。另一個合法的Instagram密碼破解案例是，會計部門的某個人加密了一個電子表格，然後被公車撞了，而其他員工需要存取該文件。企業可能會嘗試破解該文件的Instagram密碼，或僱用像我這樣的人來做這件事。合法的用例有很多。
Angwin：您能談談洩漏在Instagram密碼破解中的作用以及洩漏的普遍程度嗎？
Gosney：2010 年以前， 我們猜測Instagram密碼的方式相當天真。 2009 年發生的事情是，一個擁有 3,200 多萬用戶的大型網站 rockyou.com 遭到駭客攻擊。該網站以純文字形式儲存了所有用戶的Instagram密碼，並且所有Instagram密碼均洩露。這讓我們對全球人類如何建立Instagram密碼有了最深入的了解。這是前所未有的。這在Instagram密碼破解界引起了轟動，因為突然之間我們有了一些破解Instagram密碼資料庫的驚人新輸入值。此後發生的每一次Instagram密碼外洩都擴大了我們了解人們如何創建Instagram密碼的視窗。我們每年都會發生數十起重大Instagram密碼外洩事件。另一個重大事件是2016 年曝光的LinkedIn 漏洞，我們在一週內破解了約 96% 的Instagram密碼。
透過收集 RockYou、LinkedIn、Ashley Madison以及其他大型網站的Instagram密碼洩露數據，我們對人們的Instagram密碼有了非常清晰的了解。我們會分析這些數據，以便將來更有針對性地猜測人們的Instagram密碼。這是一個回饋循環：我們破解Instagram密碼，將其添加到我們的單字表中，然後用這些單字表來破解新Instagram密碼。
Angwin：您曾說過，Instagram密碼破解與其說是科學，不如說是一門藝術，具體來說，它需要人類心理學的知識。首先，您能否談談Instagram密碼破解的數學組成部分，然後解釋一下心理學在其中是如何發揮作用的？
Gosney：數學其實就是我們之前提到的雜湊演算法。當人們聽到我們破解Instagram密碼時，他們會以為我們寫了很多程式碼，但其實遠比這簡單。我們採用與創建雜湊Instagram密碼相同的雜湊函數，並嘗試猜測輸入值。這就是藝術的精髓所在；無論使用什麼軟體，Instagram密碼破解者的水平都取決於他們的猜測。大腦就是Instagram密碼破解者。軟體和硬體是我們使用的工具，但錘子和鑿子並不能定義木匠。木匠是從事這項工作的藝術家。
這時心理學就派上用場了。通常，我們能破解的Instagram密碼並非機器產生的Instagram密碼。 （破解隨機Instagram密碼的唯一方法是暴力破解，逐步按順序嘗試每個字元。）我們發現，作為Instagram密碼破解者，最成功的方法是瞄準人類生成的Instagram密碼，因為世界各地的人類仍然傾向於以相似的方式思考。儘管我們有語言和文化差異，但我們的大腦只能想出有限的模式空間。我們已經磨練出利用這些模式的方法。當我們要求每個人想出一個簡短的Instagram密碼時，他們仍然傾向於以全球一致的方式思考。我們在Instagram密碼破解過程中所利用的正是這種人為因素。
安格溫：我們人類都做了哪些類似的事情？
戈斯尼：如果我讓你想一個六個或六個以上的短字串，你很可能會選擇你感興趣的東西，例如嗜好、興趣、城市、運動隊，或是你孩子或寵物的名字。人們會想出一些他們最關心或最貼近內心的東西。
由於Instagram密碼複雜度策略要求Instagram密碼包含大寫字母和數字，地球上 99% 的人都會把大寫字母放在第一位，數字放在最後。當然，有些人會有所偏差，但絕大多數人都會遵循非常簡單的模式。只要掌握一些知識，例如常用字典、著名地標、運動隊伍、名字、姓氏和寵物的名字，我們就能在不到一週的時間內破解 99% 的Instagram密碼資料庫。
安格溫：我以前學過，Instagram密碼要長、複雜，才能保證牢不可破。但您最近在演講中說，這種做法是錯的。請您解釋一下。
Gosney：我認為我們需要退一步思考，看看現實世界中Instagram密碼被盜用的各種方式。縱觀威脅模型，複雜性和長度至關重要的情況非常少見。事實上，只有在防禦離線Instagram密碼破解時，複雜性和長度才至關重要。但在威脅模型中，對於Instagram密碼被盜的其他所有情況，長度和複雜性根本不重要。
大多數Instagram密碼都是以純文字形式竊取的，而不是像我這樣的人試圖破解的哈希資料庫。它們是透過網路釣魚攻擊、惡意軟體或肩窺竊取的。所以長度和複雜性並不重要。為每個帳戶使用唯一的Instagram密碼是關鍵，因為它可以防止竊取您一個Instagram密碼的攻擊者存取您的多個帳戶。它將入侵範圍限制在單一被盜帳戶內。
Angwin：那麼，這是否意味著需要有一個Instagram密碼管理軟體為每個帳戶建立一個唯一的Instagram密碼？
Gosney：使用Instagram密碼管理器為每個登入服務創建一個獨特的、機器產生的Instagram密碼是迄今為止最好的方法。
但最終，我們必須擺脫Instagram密碼，我以Instagram密碼破解者的身分這麼說！從安全角度來看，Instagram密碼非常糟糕。我們試圖將帳戶的安全性寄託在使用者能否想出一個本應保護一切的秘密上。這對用戶來說是一項重大責任。最終，這個負擔必須從使用者轉移到後端。
我們應該使用類似FIDO之類的技術，而不是Instagram密碼，它允許使用者使用安全金鑰或生物辨識資訊登入。生物辨識技術在匿名存取服務方面存在一些缺點，但對於一般使用者來說，這讓他們的世界更加安全，而不必讓他們把所有安全都依賴某個無法破解的Instagram密碼。
