Gerador de senhas

O instituto de padrões dos Estados Unidos, o NIST (National Institute of Standards and Technology), reescreveu suas diretrizes de senha na SP 800-63B e as endureceu de novo na revisão 4, publicada em 2024. A orientação central vai contra as velhas regras corporativas: os serviços devem aceitar senhas de pelo menos 64 caracteres, não devem exigir mistura de maiúsculas, números e símbolos, não devem obrigar as pessoas a trocar a senha de tempos em tempos e devem, em vez disso, comparar as senhas novas com listas de senhas vazadas e comuns.

O raciocínio é aritmético. Regras de composição levam as pessoas a padrões previsíveis, como "Verao2024!", que os atacantes testam primeiro. Já cada caractere aleatório a mais multiplica o trabalho de um ataque de força bruta pelo tamanho do conjunto de caracteres. Passar de 12 para 16 caracteres aleatórios entre os 94 símbolos ASCII imprimíveis soma cerca de 26 bits, o que torna a adivinhação aproximadamente 78 milhões de vezes mais difícil.

A entropia mede quantas senhas igualmente prováveis o gerador poderia ter produzido. Para uma senha aleatória, ela é o comprimento × log2(tamanho do conjunto). Com os quatro conjuntos de caracteres, o conjunto tem 94 símbolos, cerca de 6,55 bits por caractere, então 16 caracteres dão cerca de 105 bits. Excluir caracteres parecidos reduz o conjunto para 84 e custa um pouco menos de um quinto de bit por caractere. A tabela acima usa a mesma conta e supõe um atacante offline fazendo 10 bilhões de tentativas por segundo, um número razoável para uma máquina com GPUs contra um hash rápido; um hash lento como o bcrypt reduz essa taxa em várias ordens de grandeza.

As frases-senha funcionam da mesma forma, com palavras no lugar de caracteres. A lista incluída aqui tem 367 palavras curtas e comuns, então cada palavra soma cerca de 8,5 bits e seis palavras dão cerca de 51 bits: fácil de digitar e de lembrar, mas mais fraca que uma senha aleatória de 16 caracteres. Escolher "dígito aleatório" como separador soma cerca de 3,3 bits por intervalo. Para uma frase-senha que protege algo importante, use oito palavras ou uma lista Diceware de 7.776 palavras, em que cada palavra vale 12,9 bits.

O medidor classifica abaixo de 40 bits como fraca, de 40 a 59 como razoável, de 60 a 79 como forte e 80 ou mais como muito forte. Ele avalia as configurações do gerador, não o texto da senha, que é a única forma honesta de pontuar uma senha: "correct horse battery staple" tem nota alta em verificadores baseados em padrões, mas é a primeira frase que qualquer atacante testa.

Use uma senha diferente para cada conta e deixe um gerenciador de senhas lembrar delas; a reutilização é o que transforma o vazamento de um site em várias contas invadidas. Salve a senha no gerenciador antes de enviar o formulário de cadastro e ative a autenticação em dois fatores onde ela estiver disponível. Para proteger um documento em vez de uma conta, uma boa frase-senha funciona bem com Proteger PDF com senha, que criptografa o arquivo com a senha que você escolher.