O Que é Entropia de Senha e Como Usá-la Para o Seu Próprio Benefício

Anos atrás, os especialistas em segurança perceberam que, exceto para os seus próprios dispositivos, os usuários não escolheriam senhas fortes. Eles viram que precisamos ativamente incentivar as pessoas a proteger melhor as suas contas. Isso, mais ou menos, é o porquê de agora termos medidores de força de senha em praticamente todos os formulários de inscrição. A questão é, um medidor de força funcional precisa basear a sua avaliação em algum tipo de fator razoavelmente confiável, e não apenas em um julgamento arbitrário. Um desses fatores é a entropia da senha.

O que é a entropia de senha?

Tradicionalmente ligada à termodinâmica, a palavra "entropia" vem da "entropia" grega que significa "virada para". No contexto das senhas, é usado como uma medida de quão aleatória é uma senha. Quanto maior a entropia de uma senha, mais difícil será usar a força bruta. É medido em bits e existe uma fórmula matemática para calculá-la.

E = log₂(R) * L

“E” significa entropia. “R” é o número de caracteres disponíveis. “L” é o tamanho da senha. Você também pode obter a entropia da senha calculando primeiro o número de caracteres disponíveis (R) para a potência do número de caracteres na senha (L) e, em seguida, calculando o logaritmo binário (log ₂) do resultado (E = log ₂ (R _{L )). Vamos ver como isso funciona em ação.}

Criando senhas com maior entropia

Digamos que você tenha uma senha com seis caracteres e que seja composta apenas por letras minúsculas, por exemplo, "puzzle". O intervalo de caracteres disponíveis é 26, significando que o log ₂ (R) fica um pouco acima de 4.7. Multiplique isso por 6 (o tamanho da senha) e você obtém a entropia que é 28,2 bits.

Vamos trocar "puzzle" por "puzzLe". Desta vez, temos uma letra maiúscula, o que significa que o número de caracteres disponíveis sobe para 52 (26 letras minúsculas e 26 letras maiúsculas). O logaritmo binário de 52 é 5.7, e a entropia sobe para 34.2 bits.

Substituiremos agora algumas letras por um número e um caractere especial - "pu>zL3". Se coletarmos todas as letras do alfabeto em inglês (maiúsculas e minúsculas), adicionarmos os números e incluirmos os chamados símbolos especiais que são mais comumente encontrados em senhas, acabaremos com 94 caracteres possíveis. O logaritmo binário de 94 é de cerca de 6,6 significando que a entropia de uma senha como "pu>zL3" é 39,6 bits.

O que faz da entropia uma boa maneira de estimar a força de uma senha

Você pode ver que a entropia é uma forma ilustrativa (embora um pouco geek) de demonstrar como a adição de uma variedade maior de caracteres afeta a força de uma senha. Também mostra, no entanto, que o comprimento é tão importante quanto.

Se você pegar "pu>zL3", adicionar alguns símbolos no início e colocar mais alguns na parte de trás, você terminará com algo como ")g^pu>zL3/9". Você ainda tem a mesma variedade de caracteres possíveis, mas a senha agora tem 11 caracteres, o que significa que a entropia fica em 72,6 bits - uma melhoria gigantesca.

A entropia é uma boa maneira de julgar o quão difícil seria forçar uma senha. Uma alta entropia não significa (e nunca será) uma senha invencível.

Alta entropia não é suficiente

A maioria das pessoas concorda que ")g^pu>zL3/9" é uma senha razoavelmente forte. Da mesma forma, a maioria das pessoas concorda que "P@ssword123" é uma senha horrível. No que diz respeito à entropia, no entanto, elas são idênticas. Ainda temos uma senha com onze caracteres, ainda com letra maiúscula, símbolo e alguns números. Use a fórmula e você terá o mesmo resultado - 72,6 bits. No entanto, abra qualquer dicionário de senhas e você encontrará "P@ssword123" bem perto do topo, e se você for ao site HaveIBeenPwned de Troy Hunt, você verá que ela foi comprometida pelo menos 1.022 vezes.

Nunca deve se confiar na entropia por si só para nos dizer se devemos ou não usar uma senha específica. Temos que ter em mente outras coisas, tais como se a senha é usada em outro site, por exemplo, e se ela pode ou não ter sido roubada durante uma violação de dados de um serviço on-line.

Para ajudá-lo a levar tudo isso em consideração, incluímos um analisador de senhas especial no nosso Gerenciador de Senhas do Cyclonis. Além de usar um algoritmo complexo (baseado no zxcvbn do Dropbox) para verificar a força de uma senha, ele monitora a sua idade, compara-a com o resto dos seus dados de login para garantir que você não a reutilizou e avisa se pode ter sido comprometida. Com base em todas essas informações, o Analisador de Senhas calcula a sua Pontuação Total de Força - uma representação visual da resiliência geral das suas senhas não apenas contra tentativas de força bruta, mas também contra outros ataques. Com o gerador de senhas embutido, você também poderá criar senhas exclusivas de alta entropia para todas as suas contas com o clique de um botão. Para saber mais sobre como tudo funciona, clique aqui.