Tudo o que você sabe sobre senhas seguras está errado!

Se você é ligado em tecnologia certamente já deve ter lido algum tutorial de como criar senhas fortes e seguras. E, veja só que coincidência, em setembro do ano passado nós publicamos aqui no Showmetech um artigo exatamente desse tipo. Foi o…

DICA: Como criar “Senhas Infalíveis” para serviços online

E, veja só você, parte das dicas que nós demos nessa matéria estão desatualizadas. Quer dizer, elas nunca foram realmente válidas. Basicamente qualquer “manual” de como criar senhas seguras diz exatamente a mesma coisa: misture letras maiúsculas e minúsculas, use números e caracteres especiais e nunca use frases. Isso se tornou uma regra universal e, muitos sites e serviços web exigem que a sua senha siga esses padrões.

A situação piora no meio corporativo, onde os funcionários são obrigados a criarem novas senhas periodicamente. Ou seja, além de ter que criar um password difícil de lembrar, você ainda precisa alterá-lo justamente quando está começando a decorá-lo. Se você encontrasse o cara que bolou estas regras, o que falaria para ele? Bem, você sabe quem criou este conjunto de regras e padrões para senhas seguras?

O criador das regras para senhas seguras

O nome do cidadão é Bill Burr. Em 2003 ele era o diretor do NIST, ou National Institute of Standards and Technology (Instituto Nacional de Padrões e Tecnologia, em tradução livre), um órgão dos Estados Unidos. Há 14 anos a internet não era como hoje. Ainda não existia nem o embrião do Facebook! Porém, a chamada Web 2.0 começava a ganhar vida e se proliferar. Aos poucos, diversos sites permitiam que seus usuários se cadastrassem, obviamente, exigindo uma senha.

O então diretor do NIST resolveu redigir um documento de 8 páginas sobre regras que tornariam as senhas mais difíceis de serem descobertas por hackers. Mal sabia ele que este documento viria a se tornar a “Bíblia” neste assunto e milhões de pessoas seriam forçadas a seguir tais diretrizes nos mais diversos sites e empresas.

Porém, o bicho homem é preguiçoso e péssimo para lembrar de coisas. Desta forma, para seguir as tais regras e, ainda assim, criar senhas fáceis foi que surgiram aberrações como “Senh@“, “Senha123“, “123Abc“, “P@55w0rd” e “1A2b3c“. Ou seja, as pessoas continuaram a usar senhas fáceis de deduzir ou de quebrar, mesmo seguindo as regras. A diferença é que isso dava mais trabalho para todo mundo, desde o usuário final até o administrador do servidor que precisava pedir para todo mundo trocar a senha a cada 3 meses.

Arrependimentos

Em entrevista ao The Wall Street Journal, Bill Burr, hoje com 72 anos e aposentado, diz se arrepender de ter criado o tal manual. Em suas próprias palavras:

Eu me arrependo de muito do que fiz (…). No fim, as coisas só se tornaram mais complicadas para a maioria das pessoas e a verdade é que eu estava apontando para o suspeito errado.

Bill ainda disse que baseou seu documento em um paper sobre segurança dos anos 80. Ou seja, muito antes da internet ser criada. Nem se sonhava no conceito de Web 2.0 ou um mundo totalmente globalizado.

A definição de senhas seguras foi atualizada

Com isso, o famigerado manual redigido por Bill Burr foi atualizado recentemente no NIST e removeu a grande maioria das antigas diretrizes. Saiu a necessidade de se criar senhas com um mix de letras maiúsculas, minúsculas, números, símbolos e caracteres especiais. Também foi extinta a recomendação de se trocar de senha periodicamente. Isso só será necessário se houver alguma falha de segurança. Então HBO, acho melhor você já ir trocando as suas.

O novo documento diz que é muito melhor criar senhas frases que, embora sejam grandes, são fáceis de lembrar. Por exemplo, a senha “horsecarrotsaddlestable” é muito mais segura do que uma “P@55w0rd“. A primeira, com os métodos atuais, demoraria 1 trilhão de anos para ser quebrada. Já a segunda seria quebrada em poucos minutos, na melhor das hipóteses, horas. Veja, abaixo, as novas regras para se criar senhas seguras:

• Use frases grandes, elas são fáceis de lembrar e difíceis de quebrar;
• Não use a mesma senha em sites/serviços diferentes;
• Use e abuse da verificação em duas etapas;
• Use um gerenciador de senhas, como o LastPass ou 1Password, eles são realmente eficientes.

Leia também…

Tutorial: Como ativar a verificação em duas etapas no WhatsApp, Gmail e Facebook!
Tutorial: Como ativar a verificação em duas etapas do Instagram

Se você manjar bastante de inglês, pode tirar um tempinho e ler o novo documento original do NIST, chamado de “NIST Special Publication 800-63B“. Ele é um pouquinho extenso mas certamente é bem interessante para quem se interessa por segurança digital.

Fontes: Gizmodo e The Wall Street Journal