Senhas que ninguém adivinha
Aula 3 de 16 do curso “Cibersegurança do zero”. Grátis, com animações e teste.
Por que “uma para tudo” é o maior buraco
Sites são hackeados o tempo todo, e bases de e-mails e senhas acabam públicas. Robôs pegam esses pares e testam em e-mail, corretoras, bancos e redes sociais. Isso se chama credential stuffing, preenchimento de credenciais. Se o Dan usa uma senha em nove sites, basta vazar a do mais fraco, e os nove abrem. Ninguém “hackeou” nada: o próprio Dan entregou uma chave para todas as portas.
O comprimento manda
Compare quantas combinações seria preciso testar. 8 minúsculas são uns 200 bilhões; uma placa de vídeo passa por isso rápido. Oito caracteres mistos dão 6·10¹⁵, mas “Dan2004!” não é aleatória: robôs testam nomes, datas e trocas como @ no lugar de a primeiro. Seis palavras aleatórias de uma lista de 7.776 dão 2·10²³ combinações. Uma frase assim é fácil de lembrar e impossível de adivinhar.
Uma frase de palavras aleatórias
Uma boa senha não é “Q7#k!”, que você esquece em uma semana, e sim algumas palavras aleatórias: “cacto-elevador-ruivo-guarda-chuva-sexta”. A palavra-chave é aleatórias. Trecho de música ou “euamomeugato” não serve: robôs testam isso também. Escolha as palavras com dados ou um gerador, não com a cabeça. E cada site precisa da sua própria senha.
Procure você nos vazamentos
O serviço Have I Been Pwned reúne bases de vazamentos conhecidos. Você digita seu e-mail e vê em quais ataques ele apareceu. Se um site da lista sabia sua senha, trate essa senha como pública: troque onde ela se repete. A checagem de senhas do site foi feita para a senha não sair do seu aparelho: só vão os primeiros caracteres do hash dela. Hash é uma “impressão digital” irreversível da senha.
O que diz o NIST
O NIST é o instituto de padrões dos EUA; empresas do mundo todo seguem suas regras de senha. O principal da versão atual: comprimento vence “complexidade”, e se a senha for a única proteção, deve ter pelo menos 15 caracteres. Os sites devem checar senhas contra vazamentos. Trocar por calendário não precisa, só se houver sinal de vazamento. E para você a regra principal é mais simples: uma senha única em cada site. No treino, veja quanto a sua ideia aguentaria.
Teste-se
- O Dan criou “Dan2004!”: maiúsculas, minúsculas, números e símbolo. Por que é fraca?
Resposta certa: Robôs testam nomes e anos de nascimento primeiro, e ela só tem 8. Regras de “letra+número+símbolo” dão uma falsa sensação de força. O padrão “nome+ano+!” está em todo dicionário de ataque. - O Have I Been Pwned mostra o e-mail do Dan no vazamento de um fórum antigo. O que fazer primeiro?
Resposta certa: Trocar essa senha onde ela se repete, começando por e-mail e corretora. O perigo não é o fórum, é a senha dele: robôs testam em todo o resto. Troque primeiro onde estão o dinheiro e as redefinições de senha. - Qual senha é a mais forte?
Resposta certa: Cinco palavras aleatórias com hífen, escolhidas por um gerador. Palavras aleatórias são longas e imprevisíveis. O gerador não conhece suas músicas favoritas, então os robôs também não adivinham.
← Quem caça você e por quê Gerenciador de senhas: lembrar só uma →