O Que Faz uma Senha Forte

A “força” da senha é entendida por muitas pessoas como sendo determinada pela variedade de tipos de caracteres em uma senha. Mas, enquanto os formulários de inscrição podem pensar que a complexidade é segurança, os atacantes discordam. A complexidade não defende mais contra um modelo de ameaça moderno. O que faz senhas fortes? Precisamos primeiro examinar o modelo de ameaça real enfrentado pela maioria das pessoas.

A Complexidade da Senha Perde o Foco

A “força” da senha muitas vezes é apenas uma função da complexidade, ou a quantidade de aleatoriedade em uma senha, medida pelo uso de símbolos, números e letras maiúsculas e minúsculas. Mas adicionar alguns caracteres diferentes à sua senha não aumenta de forma significativa sua “força”, apesar do que aquela enganosa barra verde de “força” ao lado da sua senha sugere. A complexidade aumenta a dificuldade de um ataque de força bruta, mas esse tipo de ataque é incomum.

Em vez disso, o roubo de credenciais acontece em enormes roubos de dados ou vazamentos de grandes organizações. A força da senha não o ajudará se os atacantes tiverem sua senha em texto simples.

Use Senhas Únicas

A maioria das pessoas é extremamente vulnerável a algo chamado “credential stuffing”: credenciais comprometidas são testadas em plataformas populares para explorar a tendência humana de reutilização de senhas. Isso representa um perigo muito maior do que uma senha “fraca”. Afinal, uma senha “super forte”, completamente aleatória, reutilizada em cada plataforma se tornaria desastrosa após um vazamento.

Em vez de pensar na força da senha como uma propriedade singular, precisamos pensar na força do seu sistema de autenticação. Senhas modernas criam esse sistema e devem ser consideradas como tal. Usar senhas únicas é muito mais fácil com um gerenciador de senhas, então comece com um hoje se você ainda não tiver.

Leia também: 10 dos Melhores Gerenciadores de Senhas para Web, Desktop e Mobile

O Comprimento É Mais Importante do que a Complexidade

Por anos fomos treinados para pensar na complexidade como o fator mais importante de uma senha. E enquanto sabemos que ataques de força bruta são raros, a complexidade nem é a melhor defesa contra a quebra de força bruta: o comprimento é na verdade muito mais importante.

O comprimento da senha tem uma relação exponencial com o tempo de quebra, então aumentos moderados no comprimento podem resultar em aumentos maciços no tempo de quebra. A complexidade, por outro lado, tem uma relação mais linear com o tempo de quebra.

Tome este exemplo: Uma máquina de quebra de alto desempenho pode quebrar uma senha que parece complexa como *nRyU86) em apenas oitenta minutos. Aumentar o comprimento por uma única letra maiúscula estende esse tempo para quase trinta e seis horas, enquanto mudar uma letra para um símbolo não proporciona nenhuma mudança significativa no tempo de quebra.

Vamos aproveitar ao máximo os poderes exponenciais do comprimento. Que tal uma frase de quatro palavras, usando palavras conhecidas do dicionário e totalizando dezesseis caracteres de comprimento? Mesmo ao contabilizar ataques de dicionário (ataques que usam um banco de dados de palavras conhecidas para adivinhar senhas em vez de gerar palpites aleatórios), ainda levaria noventa bilhões de anos para quebrar a senha.

Esqueça a complexidade. As melhores senhas são na verdade frases. Você nunca conseguiria lembrar uma senha complexa igualmente forte. Mas o cérebro adora histórias engraçadas e imagens surpreendentes. Se você gerar uma história absurdamente memorável para uma frase gerada aleatoriamente, terá dificuldades para esquecer.

Leia também: Frases Fazem Melhores Senhas?

A geração de frases aleatórias verdadeiramente é crítica. Escolher palavras relacionadas a você, como seu mês de nascimento, tornará a frase mais fácil de adivinhar. Use os Dados de Senha da EFF para gerar frases aleatórias de forma segura e protegida.

Ative Todos os Sistemas de Autenticação de Dois Fatores

Todos os sistemas vazam. A força da senha não o salvará. Então, como você pode se defender? Sistemas de autenticação de dois fatores (2FA) fornecem uma camada extra de segurança. O 2FA pede dois tipos de credenciais: algo que você conhece (ou seja, sua senha) e algo que você tem (ou seja, seu telefone). Na maioria dos sistemas de 2FA, esses códigos são gerados por um servidor remoto. O servidor envia o código ativo para o usuário no momento do login.

Infelizmente, os atacantes podem interceptar códigos SMS com relativa facilidade por meio de clonagem de cartão SIM. Para evitar essa escuta, gere códigos no seu dispositivo móvel com um aplicativo de 2FA como Authy, Google Authenticator ou um gerenciador de senhas com suporte a 2FA como o 1Password.

Conclusão

A “força” de uma única senha é uma cortina de fumaça. Um sistema de autenticação forte é mais importante. Vazamentos e roubos de dados inevitavelmente acontecem. Senhas únicas mantêm o dano contido. A autenticação de dois fatores pode reduzir o dano de credenciais roubadas a zero.