Uma Frase-Senha é uma Ótima Ferramenta que Você pode Empregar, mas Isso é Tudo que Você Precisa?

O ano foi 2011, e os profissionais de segurança estavam perdendo a batalha. Eles estavam digitando de forma incansável tentando convencer os usuários de que criar uma senha realmente forte é muito importante. Eles estavam colocando gráficos e resolvendo equações matemáticas que ilustravam as vantagens de usar uma senha longa que contivesse letras maiúsculas e minúsculas, números, e caracteres especiais. Apesar de tudo isso, as pessoas estavam utilizando 123456 para proteger as suas contas e frequentemente não estavam envergonhadas de admitir que estavam re-utilizando uma senha única para várias contas. Então, um famoso criador de quadrinhos online para o site XKCD apareceu e tentou mudar um pouco a percepção do público.

Senhas vs. Frases-Senhas

Randall Munroe, o autor, tentou avisar às pessoas que, ao invés de fazer malabarismo com letras, números e pontuações, elas deveriam simplesmente pensar em quatro palavras aleatórias do dicionário e colocá-las juntas. Ele conta que a frase resultante é muito mais difícil de quebrar do que uma palavra enfeitada com números e caracteres especiais aleatórios, e ele ainda tentou utilizar a matemática para provar..

Agora, sete anos depois, nós podemos dizer com segurança que o que Sr. Munroe tentou fazer para mudar os hábitos de criação de senhas dos usuários de uma certa forma fracassou. "123456" continua sendo uma das senhas mais utilizadas, e a reutilização de senhas continua sendo o normal ao invés da exceção. O "correcthorsebatterystaple" continua sendo o tópico de alguns debates muito acalorados.

O problema que deu início a tudo isso

Para descobrir o por que algumas pessoas pensam que uma frase-passe é melhor do que uma palavra-passe, nós precisamos ver o que está errado com o método atual, e talvez nós poderemos esclarecer algumas dúvidas no caminho.

Muitas pessoas assumem incorretamente que criar uma senha forte é difícil. Esse não é o caso. Falando nisso, abra um editor de texto, feche seus olhos, e pressione as teclas do seu teclado por alguns segundos. Com toda a probabilidade, o que você vê quando abre os seus olhos é uma senha forte que até mesmo um computador poderoso leva um bom tempo para descobrir. Isso significa que, se é difícil de quebrar, é difícil de lembrar, e essa, realmente, é o xis do problema.

Os apoiadores de frases-senha alegam que graças ao seu comprimento, é tão difícil quanto (senão mais) de quebrar do que palavras. Ao mesmo tempo, você dificilmente encontrará pessoas dispostas a argumentar que lembrar quatro palavras do dicionário é mais difícil de se lembrar do que uma palavra-passe com vinte símbolos aleatórios. Ao que tudo indica, então, frase-senha é a solução que nós precisamos. Infelizmente, não é tão simples assim.

Utilizar uma frase-senha pode não ser tão fácil quanto parece

Elas não parecem ser tão difundidas, porém os especialistas encontraram ferramentas desenvolvidas especificamente para quebrar as frases-senha com base na força bruta. Ao invés de tentarem combinações de símbolos diferentes até que encontrem a senha certa, elas combinam palavras. Embora isso não arruíne completamente a força da frase-senha, tais ferramentas podem tirar algumas complexidades ganhas ao utilizar uma frase-senha longa.

Então você tem o problema com os requisitos da palavra-passe. Como nós já mencionamos, antes de algumas pessoas começarem a argumentar que frases-passe são melhores do que uma palavra-passe, existiu um grande impulso de fazer as pessoas utilizarem vários tipos de símbolos nas suas senhas. Como resultado, os sites começaram a implementar requisitos que forçam a utilizar, por exemplo, um dígito ou caractere especial na sua senha. Tudo isso poderia tornar a sua frase-senha muito mais difícil de lembrar, o que acaba com o seu propósito até um certo ponto. Algumas regras até lhe impedirão de utilizar uma frase-senha.

Os provedores de serviços que armazenam senhas de forma insegura irão muitas vezes impor um limite de caracteres maiúsculos que você pode utilizar para proteger a sua conta. Como nós já mencionamos, a força da frase-senha depende do seu comprimento, e se ela não pode ser longa, você estará mais seguro utilizando uma senha mais curta, porém complexa.

Falando em comprimento, observe os dados de acesso que foram vazados durante uma violação e as chances são de que você encontrará itens que podem ser considerados como frases-senhas. A frase "letmein" (deixe-me entrar), por exemplo, é utilizada com frequência, e caso você ainda não tenha percebido, apesar de ser uma frase, utiliza-la como uma forma de proteger a sua conta não é uma boa ideia. Também não é uma boa ideia utilizar o coro da sua música favorita ou as primeiras palavras do seu livro favorito. Os Hackers já conhecem essas táticas.

Uma frase-senha, tal como uma senha, deve ser aleatória e imprevisível. E, infelizmente, os humanos não são bons em serem imprevisíveis e aleatórios.

Diceware – a solução para o problema de criar frases-senha

Se humanos não são aleatórios e imprevisíveis, então o que fazer? Aqueles que falaram "dados" merecem um tapinha nas costas.

Diceware é um método para criar uma frase-senha utilizando um dado. Ele já está disponível a algum tempo, mas os debates recentes sobre o comprimento e a complexidade de senhas já se popularizaram, e nós vamos lhe mostrar como isso funciona.

Naturalmente, com o aumento da sua popularidade, algumas variações apareceram. Recentemente, por exemplo, os especialistas da Electronic Frontier Foundation (EFF) desenvolveram um Diceware para um dado de 20 lados. Nós, entretanto, focaremos num método tradicional que requer apenas um dado padrão de 6 lados.

Antes de você tirar a poeira da caixa do Monopoly, entretanto, você precisa de uma lista de palavras para o Diceware. Algumas palavras listadas estão a apenas uma busca no Google, e elas até vêm em idiomas diferentes. Se você não está interessado em perder tempo, você pode pegar esta publicada pelo EFF em 2016.

Agora pegue o seu dado e jogue cinco vezes, escreva cada número. Coloque os números juntos para combiná-los e busque por esses número na lista de palavras. A palavra ao lado do número é a primeira palavra na sua frase-passe. Após tentar no escritório, por exemplo, nós obtivemos 36426 que, na lista do EFF, corresponde a "maquinista". Repita o processo para criar outras três palavras, coloque-as juntas, e você terá uma frase-senha muito forte.

Esta não é exatamente a forma mais rápida de criar frases-senhas, mas o resultado é completamente aleatório, o que significa que o esforço extra vale a pena. Infelizmente, essa aleatoriedade também cria problemas.

Lembrar-se de uma frase-senha é fácil, lembrar-se de muitas frases-senhas não é

Como já mencionamos, a principal vantagem da frase-senha é o fato que ela é mais fácil de se lembrar do que uma senha forte. O problema é que, hoje em dia, não precisamos nos lembrar de uma senha ou frase-senha. Nós possuímos muitas contas, e se quisermos mantê-las seguras, nós precisamos protegê-las com os mesmos grupos de palavras ou caracteres.

Ferramentas como o Gerenciador de Senhas do Cyclonis lhe ajudam a manter todas as senhas e frases-senhas organizadas em um cofre criptografado que apenas você tem acesso. Ele pode não gerar frases-senhas, porém as senhas que ele cria podem ser tão longas quanto complexas. Melhor ainda, você não precisa rolar o dado, escrever qualquer número ou buscar por palavras.