“Uma senha para governar todos eles”

Tornou-se um conselho padrão para usuários on-line ter senhas fortes e exclusivas para todas as suas contas on-line. Não sem razão: uma violação de dados em uma empresa com um banco de dados de usuário mal protegido leva os invasores a ter listas enormes de endereços de e-mail e senhas associadas, algumas das quais funcionarão nos sites de outras empresas.

Como muitos usuários agora se inscreveram em mais de cem contas que exigem login com senha, seguir esse conselho exigiria a memorização de um número impossível de senhas diferentes.

Uma possível solução para esse problema é ter uma senha mestra, que é então variada de uma maneira específica com base no nome do serviço online. Um exemplo simples disso seria substituir algumas letras da senha mestra pelas primeiras e últimas duas letras do nome dos serviços. O lado negativo de tal sistema é que seriam necessárias apenas duas dessas senhas para revelar as violações de dados para que um invasor trabalhasse no sistema. Posteriormente, o invasor saberia todas as senhas dos usuários em todas as contas. Para alguns dos métodos de substituição mais simples, uma única violação de dados pode ser suficiente.

Realmente não há substituto para o uso de senhas fortes, exclusivas para todas as contas online.

É totalmente impraticável esperar que os usuários memorizem mais de cem senhas. Essas senhas precisam ser armazenadas em algum lugar e, de preferência, armazenadas em backup. Duas opções possíveis são: (1) armazená-las como um arquivo criptografado ou (2) usar um dos muitos gerenciadores de senha (como LastPass, 1Password, Dashlane, KeePassX, etc.). Seja qual for sua escolha, você precisará de uma senha "principal" - uma senha que dá acesso a todas as outras senhas. Essa senha mestra precisará ser memorizada e ela própria precisará ser muito segura, pois por trás dela está o acesso a todas as suas contas on-line.

Escolha da senha mestra

A escolha de uma senha mestra deve ser levada a sério. Se comprometida, toda a sua identidade on-line poderia ser aberta - tudo de e-mail para bancos, mídias sociais e, sem dúvida, o pior de tudo: contas de criptomoeda.

Então, como você escolhe uma senha mestra? Ele precisa ter três qualidades: (1) forte (para que não possa ser facilmente quebrado), (2) memorável (para que você não se esqueça disso) e (3) relativamente rápido para entrar em um teclado e tela sensível ao toque.

Força da senha

Desde que você mantenha sua senha mestra em segredo, um invasor precisará tentar usar uma força bruta contra sua senha - em outras palavras, adivinhar repetidamente sua senha. Dependendo do tipo de autenticação que cada site usa e se os dados da sua conta de usuário foram violados, pode ser possível que bilhões de palpites de senha sejam feitos a cada segundo. Além disso, os invasores têm acesso a vastos bancos de dados de senhas conhecidas (de violações históricas de dados) e palavras de dicionário, que, quando combinadas a substituições de letras comuns e padrões conhecidos de senhas comuns, podem ajudá-los a adivinhar mais senhas primeiro.

A força de uma senha é definida por quantos palpites um atacante precisaria fazer, em média, para adivinhá-la corretamente. O nome do jogo é tornar sua senha tão difícil de adivinhar quanto possível. Isto é conseguido maximizando três parâmetros: comprimento, complexidade e aleatoriedade. A aleatoriedade de uma senha pode ser quantificada pelo termo "entropia".

O que é Entropia de Senha?

Em sua definição mais simples, a entropia de senha é uma medida de quão imprevisível (ou aleatória) é uma senha. É tradicionalmente expresso em "bits", onde um bit é um dígito binário que representa dois estados possíveis (ligado ou desligado, verdadeiro ou falso, 1 ou 0). Por exemplo, a senha com entropia de 10 bits seria uma das possíveis 1.024 possibilidades (1.024 = 2¹⁰ = 2x2x2x2x2x2x2x2x2x2).

Você pode determinar a entropia de qualquer senha gerada aleatoriamente a partir de seu comprimento e do conjunto de caracteres usado. Por exemplo, se você escolhesse aleatoriamente uma senha de 8 caracteres usando apenas as 26 letras minúsculas, o número total de senhas possíveis seria 26⁸ (pouco mais de 208 bilhões). Isso se traduz em pouco mais de 37 bits de entropia (encontrada calculando o logaritmo de base de 26⁸). Uma senha como essa é muito fraca para ser usada como uma senha mestra. Dependendo de como a senha é armazenada, ela pode ser suscetível a ser quebrada pela força bruta.

Note que uma senha deve ser escolhida completamente aleatoriamente de todas as opções possíveis, caso contrário sua entropia é reduzida. O uso da senha de letra minúscula de 8 caracteres "senha" não seria contada como entropia de 37 bits, já que essa não é apenas uma das senhas mais usadas, mas também é uma palavra do dicionário. Os invasores verificarão primeiro todas as senhas comuns e palavras do dicionário e, portanto, quebrariam essa senha depois de menos de 208 bilhões de tentativas.

É muito difícil avaliar a entropia de senhas escolhidas pelo usuário (não aleatórias). Isso ocorre porque os humanos escolhem senhas que tendem a seguir padrões previsíveis: usando palavras e nomes inteiros, substituindo previsivelmente certas letras por números e símbolos etc. A melhor maneira de maximizar a entropia de uma nova senha é a senha ser selecionada aleatoriamente que possível.

Vale a pena ressaltar que, para cada aumento de 1 bit na entropia de senha, um atacante levaria em média o dobro do tempo para decifrar a senha (pois há o dobro de senhas possíveis). Dessa forma, uma senha de 50 bits é duas vezes mais difícil de decifrar do que uma de 49 bits e 1.024 vezes mais difícil de decifrar do que uma senha de 40 bits.

Maximizar a força da senha

É claro que senhas aleatórias mais longas são mais difíceis de decifrar do que senhas curtas, assim como senhas compostas por um número maior de possíveis caracteres (o conjunto de caracteres). O que não é tão óbvio é que o alongamento de senhas é muito mais eficaz para fortalecê-las, em comparação com a expansão do conjunto de caracteres.

Tomemos o exemplo anterior de nossa senha de 37 bits (8 caracteres, composta aleatoriamente apenas de letras minúsculas). Dobrar o conjunto de caracteres para incluir letras maiúsculas aumentaria nossa força de senha para 45 bits. No entanto, simplesmente adicionando mais dois caracteres (tornando a senha 10 caracteres em vez de 8) é mais eficaz, gerando uma força de senha de 47 bits. É também mais rápido digitar 10 letras minúsculas do que 8 letras maiúsculas e minúsculas (especialmente em uma tela sensível ao toque) - provavelmente mais fáceis de lembrar também.

Dobrar o comprimento da senha para 16 caracteres tem um efeito surpreendente, levando a força para mais de 75 bits. Em termos matemáticos, o comprimento da senha é exponencialmente mais importante que o tamanho do conjunto de caracteres usado.

Ao escolher uma senha para criar, é um compromisso entre garantir a entropia suficiente para que um ataque de força bruta leve um período de tempo impraticável e garanta que a senha não seja difícil de lembrar ou digitar.

1Password recomenda pelo menos 40 bits de entropia e considera 75 bits de entropia para ser uma "barra verde completa" no seu sistema de ranking. William McLaughlin, analista de segurança da Independent Security Evaluators, recomenda um mínimo de 80 bits de entropia para proteger contra ataques offline, como um compromisso entre usabilidade e segurança.

Exemplos de senha forte

Abaixo estão exemplos de senhas que atendem pelo menos 80 bits de entropia.

Usar letras maiúsculas e minúsculas mais números (alfanuméricos sensíveis a maiúsculas e minúsculas) precisa de 14 caracteres:

uDQwfng7Suv4yJ

Apenas letras minúsculas e números (alfanuméricos), você precisaria de 16 caracteres:

41mkbvrclnr8uqqz

Apenas em letras minúsculas, teria 18 caracteres:

ugaeivczglgyydsauo

Essas senhas são as mais curtas possíveis (considerando seus conjuntos de caracteres), embora ainda possuam pelo menos 80 bits de entropia. No entanto, eles não são necessariamente fáceis de lembrar. Se isso é o que você está pensando, então uma senha pode funcionar melhor para você.

Frases de Frase

Existem várias maneiras de gerar senhas aleatoriamente. Um dos primeiros exemplos foi a lista de Diceware de Arnold Reinhold de 1995. Ele usa rodadas de cinco jogadas de dados para selecionar palavras aleatoriamente de uma lista de 7.776 palavras.

Recentemente, a lista de palavras Diceware foi aprimorada pela Electronic Frontier Foundation (EFF), baseada em uma pesquisa de reconhecimento de palavras realizada no Centro de Pesquisa em Leitura da Universidade de Ghent. É uma lista de palavras bem reconhecidas e concretas, com palavras insultantes e difíceis de lembrar removidas.

A EFF recomenda uma frase-senha de seis palavras gerada usando essa lista de palavras, o que daria 77 bits de entropia. No entanto, para ser consistente com nossos exemplos anteriores que atenderam ou excederam 80 bits, usaremos sete palavras (o que na verdade fornece entropia de 90 bits). Sua senha seria então algo parecido com isto:

nêutron shifty exato aqua veludo sizzle equinócio

Há prós e contras de usar uma frase secreta. Por um lado, muitas pessoas acham mais fáceis de lembrar do que uma série de caracteres (apesar de serem mais longos). A desvantagem é que as senhas podem demorar mais para serem digitadas, principalmente em uma tela sensível ao toque.

Como escolher uma senha aleatoriamente

É muito importante que qualquer senha seja escolhida da maneira mais aleatória possível. A maioria dos gerenciadores de senhas fará um bom trabalho gerando senhas com base no tamanho e no tamanho do conjunto de caracteres escolhido. Isso é certamente bom o suficiente para selecionar senhas aleatórias exclusivas para cada conta on-line individual. Para essas senhas, você não precisa se preocupar com a facilidade com que elas entram ou se lembram, já que, em teoria, você nunca deve precisar inseri-las manualmente, nem lembrar delas.

Definir seu gerenciador de senhas para gerar senhas de 16 caracteres usando letras maiúsculas e minúsculas, números e símbolos para todas as suas senhas deve ser suficiente. Supondo que 8 símbolos estejam incluídos neste conjunto de caracteres, essas senhas terão uma entropia de 98 bits. Eles não precisam ser lembrados.

Os computadores não são capazes de gerar senhas completamente aleatoriamente, razão pela qual esses geradores de números aleatórios são chamados de "pseudoaleatórios". A natureza determinista da computação torna impossível dizer que qualquer número gerado seja completamente "aleatório". Por esse motivo, pode não ser sensato ter sua senha mestra gerada por um gerenciador de senhas ou mesmo em um computador.

Esta é outra razão pela qual a lista de palavras Diceware / EFF para gerar senhas a partir de rolagens de dados criará para você uma senha mestra aleatória muito boa com entropia confiável.

Pensamentos finais

Esse post simplesmente cobre considerações ao gerar uma senha mestra, uma parte pequena, mas importante, do assunto muito maior da segurança on-line. Você pode criar uma senha mestra incrivelmente forte, digamos entropia de 256 bits, e ainda ter suas contas on-line formadas por um número incontável de outras maneiras além de um ataque de força bruta. Garantir uma senha mestra forte é uma etapa em muitas etapas necessárias para proteger sua segurança on-line e de forma alguma substitui a necessidade de outras formas de segurança.

Algumas outras recomendações relevantes incluem:

Mantenha sua senha mestra secreta, não apenas de observadores casuais, mas também de vírus sofisticados, sites comprometidos, keyloggers, etc.

Recuse-se a preencher pedidos de "informações memoráveis" (como o nome de solteira da mãe, o nome do primeiro animal de estimação etc.) ou, quando obrigatório, trate-os como senhas únicas fortes adicionais (nunca as insira "honestamente").

Use a autenticação de dois fatores (2FA), sempre que disponível, e certamente para contas importantes, como sites relacionados a e-mail e criptografia. O 2FA, no qual um código é enviado via SMS para seu número de telefone, não é um formulário seguro de 2FA, pois seu número de telefone pode ser facilmente "roubado" de você.

De Colin McCrae
Fonte: https://medium.com/edgefund/choosing-a-master-password-5d585b2ba568
Tradução @aldenio