Funções de Derivação de Chaves: PBKDF2, bcrypt e Argon2

Armazenar senhas exige uma classe especial de função criptográfica chamada função de hash de senhas (PHF) ou função de derivação de chaves (KDF). Hashes criptográficos comuns, como SHA-256, são projetados para serem rápidos — uma GPU moderna pode calcular bilhões de hashes SHA-256 por segundo. Essa velocidade é catastrófica para o armazenamento de senhas: um invasor que roubar um banco de dados de hashes poderá testar bilhões de tentativas por segundo. As KDFs de senhas são intencionalmente lentas, ajustáveis para tornar ataques de força bruta computacionalmente inviáveis e, ao mesmo tempo, permitir um login legítimo em milissegundos.

Antes de existirem KDFs específicas para senhas, os invasores usavam tabelas arco-íris — mapeamentos pré-computados de valores de hash para senhas em texto simples. Um salt é um valor aleatório exclusivo para cada usuário, acrescentado antes ou depois da senha antes do cálculo do hash, fazendo com que cada hash seja único mesmo para senhas idênticas. Os salts são armazenados junto com o hash no banco de dados — não são secretos, apenas aleatórios. Um salt adequado deve ter pelo menos 16 bytes, ser gerado por um gerador de números aleatórios criptograficamente seguro e ser armazenado por usuário (nunca reutilizado entre contas).

PBKDF2 (Password-Based Key Derivation Function 2) é definido na RFC 8018 e aprovado pelo NIST. Ele funciona aplicando repetidamente uma função HMAC (geralmente HMAC-SHA-256) à senha e ao salt, durante um número configurável de iterações. A quantidade de iterações é o fator de trabalho — o NIST recomenda pelo menos 600.000 iterações de PBKDF2-HMAC-SHA256 desde 2023. O PBKDF2 é amplamente usado (Django, iOS Keychain, WPA2-PSK), mas tem uma fraqueza: pode ser implementado com eficiência em GPUs, tornando-o menos resistente a GPUs que as alternativas.

O bcrypt foi projetado por Niels Provos e David Mazieres em 1999 e continua sendo amplamente usado. Sua principal inovação é um fator de custo (parâmetro de rodadas), em que cada incremento dobra o tempo de computação. O bcrypt usa uma cifra Blowfish modificada com uma configuração de chave Eksblowfish que exige muitos recursos de CPU e memória, tornando significativamente mais difícil acelerá-lo em GPUs em comparação com o PBKDF2. O bcrypt também limita a entrada da senha a 72 bytes (senhas maiores são truncadas), o que exige aplicar SHA-256 primeiro a senhas longas em algumas implementações.

O Argon2 venceu a Password Hashing Competition em 2015 e é a recomendação atual da OWASP. Ele possui três variantes: Argon2d (mais rápido, vulnerável a canais laterais, ideal para criptomoedas), Argon2i (em tempo constante, ideal para hash de senhas) e Argon2id (híbrido, recomendado para a maioria dos usos). O Argon2id pode ser configurado em três dimensões: custo de tempo (iterações), custo de memória (RAM necessária) e paralelismo (threads). Os altos requisitos de memória tornam extremamente difícil paralelizá-lo em GPUs e completamente inviável em ASICs.

As GPUs têm milhares de núcleos, mas memória limitada por núcleo — são excelentes para paralelizar computações simples que exigem pouca memória. Funções resistentes à memória, como Argon2 e scrypt, exigem grandes quantidades de RAM para cada cálculo de hash. Se um invasor quiser executar 10.000 cálculos de Argon2id em paralelo, cada um exigindo 64 MB de memória, precisará de 640 GB de RAM de GPU — muito além do que qualquer agrupamento de GPUs tem disponível. Essa propriedade, chamada resistência à memória, força os invasores a usar computações lentas e sequenciais ou investir em custos extraordinários de hardware que tornam os ataques antieconômicos.

O fator de trabalho adequado depende do seu hardware e da latência aceitável. A meta geral é de 100 a 300 ms no hardware de produção do servidor para cada autenticação. À medida que o hardware melhora, você deve aumentar o fator de trabalho — por isso o bcrypt e o Argon2 armazenam os parâmetros junto com o hash, permitindo atualizações transparentes: no próximo login, verifique a senha e depois calcule novamente o hash com os novos parâmetros mais altos. A OWASP mantém os parâmetros mínimos recomendados atuais para PBKDF2, bcrypt e Argon2id, que devem ser revisados anualmente.

O scrypt, projetado por Colin Percival em 2009, foi a primeira KDF resistente à memória amplamente adotada e é usado pelo Litecoin e por muitos gerenciadores de senhas. O scrypt é parametrizado por N (custo de CPU/memória), r (tamanho do bloco) e p (fator de paralelização). Assim como o Argon2, valores altos de N exigem grandes quantidades de RAM por cálculo. O scrypt é considerado seguro, mas o Argon2id geralmente é preferido para novas aplicações porque venceu a PHC e recebeu mais análises criptográficas. Ambas são escolhas aceitáveis.

Várias abordagens de hash nunca devem ser usadas para senhas: MD5 (quebrado, bilhões de hashes por segundo em hardware comum), SHA-1 (o mesmo problema), SHA-256 sem salt (rápido, tabelas arco-íris triviais) e criptografia simples (reversível; o roubo da chave equivale ao roubo de todas as senhas). Vazamentos históricos, como o do LinkedIn (2012), usaram SHA-1 sem salt, expondo 117 milhões de senhas que foram quebradas em poucos dias. A Adobe (2013) criptografou, em vez de aplicar hash às senhas — um mal-entendido fundamental que expôs 153 milhões de contas. Esses incidentes fazem parte do conteúdo programático do exame Security+.

As KDFs também são usadas para derivar chaves de criptografia a partir de senhas (em vez de armazenar hashes de senhas). Quando um usuário define uma senha mestra para um cofre criptografado, o aplicativo usa uma KDF para derivar a chave de criptografia AES-256 real a partir dessa senha. É por isso que os gerenciadores de senhas podem descriptografar seu cofre localmente — eles executam a KDF com sua senha mestra para reconstruir a chave de criptografia, que nunca sai do seu dispositivo. A HKDF (função de derivação de chaves baseada em HMAC) é o padrão para derivar várias chaves a partir de um único segredo de alta entropia, usado no TLS 1.3 para derivar chaves de handshake e de aplicação.

Os ataques de preenchimento de credenciais reutilizam pares de nome de usuário e senha roubados em uma violação para tentar acessar outros serviços. KDFs fortes reduzem a janela para quebra off-line após uma violação — se o invasor precisar gastar 300 ms por tentativa em vez de microssegundos, quebrar uma senha aleatória de 10 caracteres se torna computacionalmente inviável. No entanto, KDFs não protegem contra a reutilização de senhas em diferentes sites — para isso, os usuários precisam usar senhas exclusivas. A combinação de senhas exclusivas + armazenamento com Argon2id + MFA torna os ataques baseados em credenciais praticamente ineficazes.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: as KDFs de senha são intencionalmente lentas, com fatores de trabalho ajustáveis para tornar os ataques de força bruta off-line computacionalmente inviáveis; funções com alta exigência de memória, como Argon2id e scrypt, impedem a paralelização em GPU ao exigir uma grande quantidade de RAM por cálculo; e MD5, SHA-1 e hashes sem salt são completamente inadequados para o armazenamento de senhas, como demonstrado por várias violações de grande repercussão. A seguir, exploraremos a criptografia pós-quântica e os algoritmos selecionados pelo NIST para substituir RSA e ECC.