Palavras-passe: geração, robustez e políticas úteis

Uma boa política de palavras-passe não consiste em impor o maior número possível de regras. O objetivo é tornar os segredos difíceis de adivinhar, únicos e utilizáveis na prática.

O comprimento é muito importante

Uma frase-passe longa e imprevisível pode ser melhor do que uma string curta cheia de substituições previsíveis. Quando o utilizador não precisa de memorizar o segredo, um gerador aleatório é normalmente a solução mais simples e robusta.

Um indicador de robustez continua a ser uma estimativa

Um teste de robustez pode avaliar comprimento e composição, mas nenhum score local conhece todos os dicionários, todas as fugas de credenciais ou o contexto de um atacante.

Uma palavra-passe aparentemente forte que já tenha sido comprometida ou reutilizada em vários serviços continua a ser perigosa.

Evitar regras que pioram o comportamento dos utilizadores

Obrigar a mudanças muito frequentes sem qualquer incidente pode incentivar variantes previsíveis. Exigir sempre maiúscula, número e símbolo não garante grande entropia. Uma política moderna privilegia geralmente comprimento suficiente, bloqueio de segredos comuns ou comprometidos e autenticação multifator quando o risco o justifica.

As regras devem ser explicáveis e proporcionais à sensibilidade da aplicação.

Comprimento, imprevisibilidade e entropia

A robustez depende sobretudo do espaço de pesquisa que um atacante teria de explorar. Acrescentar um carácter realmente aleatório aumenta esse espaço; acrescentar sistematicamente 1! a uma palavra comum aumenta-o muito menos.

Para um segredo gerado e guardado num gestor de palavras-passe, uma string longa e aleatória é ideal. Para um segredo memorizado, uma frase-passe suficientemente longa pode oferecer um bom compromisso entre robustez e facilidade de utilização.

Uma palavra-passe deve sobretudo ser única

A reutilização transforma a compromissão de um serviço num risco para outros. Uma política útil deve, portanto, incentivar gestores de palavras-passe e bloquear, quando a infraestrutura o permite, segredos conhecidos como comprometidos.

Nenhuma pontuação de robustez substitui a unicidade.

MFA e passkeys mudam o modelo de risco

A autenticação multifator acrescenta uma barreira quando a palavra-passe é comprometida. Nem todos os métodos MFA resistem da mesma forma ao phishing, mas uma segunda prova bem concebida reduz muitos cenários de ataque.

As passkeys utilizam chaves criptográficas em vez de um segredo partilhado memorizado. Podem reduzir os riscos de phishing e reutilização, embora as palavras-passe continuem necessárias em muitas aplicações.

No servidor: nunca guardar a palavra-passe em claro

Um servidor não deveria precisar de recuperar a palavra-passe original. Deve armazenar o resultado de uma função de derivação própria para palavras-passe com um salt único.

Argon2id, scrypt ou bcrypt foram concebidos para tornar os testes massivos dispendiosos. Um hash genérico rápido como SHA-256 utilizado sozinho não é um mecanismo adequado de armazenamento de palavras-passe.

O salt não precisa de ser secreto: evita, entre outras coisas, que dois utilizadores com a mesma palavra-passe tenham automaticamente a mesma impressão. Um pepper do lado do servidor pode complementar a solução, mas não substitui uma função adequada.

Políticas explicáveis ao utilizador

Uma base moderna consiste em definir um comprimento mínimo razoável, aceitar palavras-passe longas, evitar expirações periódicas sem motivo, bloquear segredos manifestamente fracos ou comprometidos e permitir colar valores para não dificultar a utilização de gestores de palavras-passe.

Uma área administrativa sensível não tem necessariamente os mesmos requisitos de um serviço sem dados importantes. A política deve acompanhar o risco real.

Depois de uma compromissão

Se uma palavra-passe ou uma base de credenciais estiver potencialmente comprometida, a resposta não deve limitar-se a aumentar a complexidade mínima. É necessário invalidar acessos afetados, renovar segredos, analisar sessões ativas e compreender a causa do incidente.

Uma política de palavras-passe é, por isso, apenas uma camada da segurança Web global e deve ser combinada com autenticação, autorização, sessões e outras proteções adequadas.