Você não precisa decorar dezenas de senhas nem transformar a sua memória em um chaveiro enferrujado. Um gerenciador de senhas resolve a parte repetitiva: cria combinações únicas, armazena tudo e preenche os acessos nos seus dispositivos. Resta uma senha-mestra, aquela que abre o cofre inteiro. Ela precisa ser difícil de adivinhar e possível de lembrar. O truque está em construir uma frase ou padrão longo, pessoal e improvável, sem reaproveitar exemplos publicados aqui.
Gerenciadores completos funcionam em computadores, notebooks, celulares e tablets. Eles podem gerar sequências que parecem ter sido cuspidas por uma impressora em pane, como BnRB?,S3%2ZBoATD, e usá-las automaticamente nos sites protegidos. Isso é melhor do que repetir a mesma senha em toda parte: se um serviço sofrer uma invasão, a senha vazada não deveria abrir também seu e-mail, sua conta bancária e aquele fórum abandonado de 2012.
O ponto delicado é a senha-mestra. Ela protege todas as outras e, em muitos gerenciadores, não pode ser recuperada pela empresa caso você a esqueça. Essa limitação é incômoda, mas também impede que um funcionário desonesto simplesmente peça uma cópia do cofre. A senha, portanto, não deve ser um amontoado aleatório impossível de guardar, nem o nome do cachorro seguido pelo ano de nascimento. Uma chave para o cofre.
Como transformar uma frase conhecida em senha?
Uma frase conhecida pode virar uma senha-mestra forte quando suas palavras são reduzidas a letras, sinais e números que só você consegue reconstruir. O método sugerido é escolher um verso, trecho de poema ou citação que você saiba de cor, pegar a primeira letra de cada sílaba ou palavra e preservar maiúsculas e pontuação.
Na frase em “No meio do caminho, havia uma pedra; havia uma pedra no caminho!”, por exemplo, as primeiras letras de cada palavra, preservando a pontuação, produzem Nmdc,hup;hupnc!. O trecho poderia receber uma referência que faça sentido para você, como D28, correspondente ao ano de publicação do poema No Meio do Caminho, de Carlos Drummond de Andrade, em 1928. A combinação resultante seria Nmdc,hup;hupnc!D28. A ideia não é copiar essa combinação, naturalmente. É usar uma lembrança como molde, sem deixá-la escrita ao lado da senha.
Quando o texto não tem métrica clara, a primeira letra de cada palavra já funciona como estrutura. A célebre frase de Machado de Assis, “Ao vencedor, as batatas!”, poderia gerar Av,ab!-MdA, acompanhada de um número significativo. O número precisa ser memorável para você, mas não óbvio para quem conhece sua vida. Data de nascimento, placa do carro e aniversário de filho são péssimas escolhas quando aparecem sozinhos. E publicar a própria fórmula em uma matéria, convenhamos, também não ajuda.
Uma frase longa é melhor do que uma senha enfeitada?
Uma frase-senha longa costuma ser mais fácil de memorizar e mais resistente a tentativas automáticas do que uma palavra curta cheia de substituições previsíveis. A recomendação tradicional manda misturar maiúsculas, minúsculas, números e pontuação, mas trocar “o” por “0” e acrescentar “&3” no fim não transforma uma senha previsível em fortaleza.
O quadrinho XKCD satirizou esse tipo de receita com a sequência “Tr0ub4dor&3”, que pode acabar confundindo mais o usuário do que o invasor. Uma combinação de palavras sem relação aparente, como “bateria gigante cavalo corredor”, ganha comprimento e pode ser recordada como uma pequena cena absurda. Quanto mais estranha a imagem mental, melhor: um cavalo corredor, e uma bateria gigante já formam uma reunião que ninguém convocou.
Nem todo gerenciador aceita espaços na senha-mestra. Nesse caso, use um separador, como hífen ou sinal de igual, preferindo caracteres que não exijam a tecla Shift. Escolha palavras que normalmente não caminham juntas e ligue-as por uma história ou imagem. “burro-carregado-conta-urgente-subterraneo” (evite o uso de acentos) é comprida, mas pode ser lembrada como um burro carregando uma conta urgente para algum lugar subterrâneo. O método parece ridículo. Essa é parte da vantagem.
Há geradores de frases-senha na internet, incluindo o CorrectHorseBatteryStaple.net. Ainda assim, uma preocupação é legítima: uma frase produzida pelo algoritmo de outra pessoa pode estar registrada em algum lugar. Se quiser evitar isso, gere várias frases e retire uma palavra de cada conjunto, ou combine palavras escolhidas por você. O resultado deve ser único, longo e impossível de confundir com uma lista de senhas de demonstração.
Adicionar caracteres torna a senha realmente mais forte?
Adicionar caracteres pode aumentar muito a resistência de uma senha, desde que o preenchimento não seja previsível. Quando ataques por dicionário e outros atalhos falham, resta testar possibilidades em massa; cada posição extra amplia o espaço de busca e torna essa operação mais demorada. Comprimento não é um detalhe cosmético. É a muralha.
O pesquisador Steve Gibson oferece uma calculadora de espaço de busca em seu site. Ela estima quanto tempo um ataque de força bruta levaria, considerando o tamanho e os tipos de caracteres usados. Não é exatamente um medidor universal de segurança, porque modelos de ataque variam, mas permite visualizar a diferença entre uma senha curta e outra mais extensa. Para uma combinação como bS,wLtYdWdB?, a estimativa citada é de mais de 45 anos contra uma estrutura de ataque massivo.
O preenchimento sugerido não é digitar três pontos de exclamação, embora muita gente faça algo parecido — e os invasores provavelmente já tenham incluído “!!!” em seus dicionários. Uma alternativa é alternar teclas próximas, formando algo como vcvcvcvc, ou repetir uma sequência curta de três teclas, como lkjlkjlkjlkj. Ao acrescentar vcvcvcvc ao exemplo anterior, a estimativa mencionada passa de 45 anos para mais de um quatrilhão de séculos. Não use esses exemplos literalmente; o padrão deve ser seu.
A autenticação multifator protege a senha-mestra?
A autenticação multifator protege melhor o cofre porque exige uma segunda prova além da senha-mestra. Se alguém observar você digitando a senha ou um trojan capturar o que foi digitado, ainda poderá faltar um código produzido por um aplicativo autenticador, um dispositivo físico ou outro fator configurado na conta.
Autenticação multifator costuma combinar pelo menos dois entre três tipos de evidência: algo que você sabe, como a senha; algo que possui, como um celular ou aplicativo; e algo que é, como uma impressão digital. A maioria dos gerenciadores permite ativar um aplicativo autenticador. Assim, a senha sozinha não basta para abrir o cofre. Mas não trate o segundo fator como licença para escolher uma senha fraca: mecanismos falham, celulares são perdidos e sessões podem ser sequestradas.
Uma configuração razoável começa com um gerenciador confiável, senhas diferentes para cada serviço e uma senha-mestra que não apareça em nenhum outro lugar. Depois, ative a autenticação multifator e guarde os códigos de recuperação conforme as instruções do serviço. Não mantenha uma cópia da senha em um arquivo chamado “senhas.txt” na área de trabalho. Seria como instalar uma porta blindada e deixar a chave pendurada na maçaneta.
O melhor desenho combina lembrança e entropia: um verso transformado por uma regra pessoal, uma frase de palavras desconexas ou uma sequência longa com preenchimento não óbvio. Não sei se existe senha absolutamente impossível de quebrar; ataques, vazamentos e descuidos humanos não respeitam adjetivos. Existe, porém, uma senha que não depende de aniversário, não se repete em serviços diferentes e ganha uma camada extra quando o segundo fator entra em cena. O cofre começa na memória, mas não termina nela.
