Força e políticas de senhas

Apesar do crescimento da MFA e da autenticação sem senha, as senhas continuam sendo o fator de autenticação mais comum. Uma senha fraca é o ponto de acesso inicial mais comum em violações de segurança.

Senhas fortes têm:

• Comprimento — 16 ou mais caracteres aumentam significativamente a entropia
• Complexidade — combinação de letras maiúsculas, letras minúsculas, números e símbolos
• Imprevisibilidade — nenhuma palavra de dicionário, sequência de teclado ou informação pessoal
• Exclusividade — uma senha diferente para cada conta

Entropia mede a imprevisibilidade em bits. Uma senha que usa 94 caracteres ASCII imprimíveis: cada caractere adiciona aproximadamente 6,5 bits. Uma senha de 16 caracteres tem aproximadamente 104 bits de entropia — na prática, impossível de quebrar por força bruta.

O comprimento é mais importante que a complexidade: "correcthorsebatterystaple" > "P@ss1".

Os invasores sabem que os usuários escolhem:

• Palavras de dicionário com substituições simples (p@ssw0rd)
• Informações pessoais (data de nascimento, nome do animal de estimação)
• Sequências de teclado (qwerty, 123456)
• Nome da empresa + ano
• A mesma senha em todos os lugares

Políticas eficazes de senha (segundo NIST SP 800-63B):

• Mínimo de 8 ou mais caracteres (12 ou mais é preferível)
• Verificar senhas contra listas de senhas conhecidas por terem sido expostas
• Não (NOT) exigir trocas obrigatórias frequentes (isso incentiva senhas fracas)
• Não (NOT) exigir regras arbitrárias de complexidade que os usuários consigam contornar
• Permitir colar para possibilitar o uso de gerenciadores de senhas

Um gerenciador de senhas gera e armazena senhas fortes e exclusivas para cada conta, protegidas por uma única senha mestra. Isso elimina a reutilização de senhas — a causa fundamental dos ataques de preenchimento de credenciais.

Opções populares: Bitwarden (código aberto), 1Password, KeePass, Dashlane.

Uma frase-senha — composta por quatro ou mais palavras aleatórias — combina facilidade de memorização com alta entropia. "TrafficLampFrogBridge" é mais segura que "T!@#k7" e muito mais fácil de lembrar e digitar.

Para ambientes corporativos:

• Impor um comprimento mínimo por meio da Política de Grupo ou de um provedor de identidade
• Bloquear senhas usadas com frequência (lista das 100.000 mais comuns)
• Ativar MFA para todas as contas
• Monitorar padrões de pulverização de senhas e força bruta nos registros
• Usar LAPS para a rotação de senhas de administradores locais

HaveIBeenPwned (HIBP), de Troy Hunt, contém bilhões de credenciais roubadas. As organizações podem usar a API da HIBP para bloquear senhas encontradas em violações conhecidas.

Os usuários podem verificar o próprio e-mail em haveibeenpwned.com.

A biometria (impressão digital, rosto) é conveniente, mas tem limitações: não pode ser alterada caso seja comprometida. É melhor usá-la como segundo fator junto com uma senha forte, não como substituta.

Chaves de acesso (FIDO2/WebAuthn) estão substituindo as senhas por pares de chaves criptográficas. A chave privada nunca deixa o dispositivo. São resistentes a phishing por concepção — não há senha para roubar. Adotadas pela Apple, pelo Google e pela Microsoft.

Senhas fortes dependem mais do comprimento e da exclusividade do que de regras complexas para os caracteres. Os gerenciadores de senhas resolvem o problema da reutilização. As diretrizes do NIST recomendam verificar as senhas em bancos de dados de violações em vez de exigir trocas frequentes. As chaves de acesso (FIDO2) são o futuro da autenticação resistente a phishing.