O que é uma senha forte e como criar uma senha realmente segura?

A maioria de nós escolhe a senha pensando em lembrar dela: um nome, uma data de nascimento, um número de celular ou a mesma senha de sempre com um número a mais. O problema é que aquilo que facilita lembrar a senha também facilita adivinhá-la. Neste guia vamos ver o que exatamente é uma senha forte, como as senhas são quebradas na prática, quais hábitos enfraquecem uma senha e como proteger o e-mail e as contas importantes com o Gerador de Senhas, um gerenciador de senhas e a verificação em duas etapas.

O que é uma senha forte?

Uma senha forte é aquela que nem um computador fazendo bilhões de tentativas por segundo consegue descobrir em um tempo razoável. Duas características constroem essa força: comprimento e aleatoriedade. Aparência complicada, sozinha, não basta; P@ssw0rd! tem símbolo, número e letra maiúscula, mas está entre as primeiras senhas que as ferramentas de quebra testam.

O motivo aparece quando se olha o método de ataque. O atacante raramente testa senhas na tela de login do site, porque os sites bloqueiam depois de algumas tentativas erradas. O perigo real surge quando o banco de dados de um site vaza. Nesse caso, o atacante tem a versão com hash das senhas e faz tentativas sem limite no próprio computador: primeiro listas de senhas comuns e vazadas, depois essas mesmas senhas com regras previsíveis, como primeira letra maiúscula, @ no lugar de a ou um ano no final, e por último todas as combinações possíveis.

Entropia: a força da senha sem complicação

A força de uma senha gerada de forma realmente aleatória é medida em "entropia", cuja unidade é o bit. Cada bit de entropia dobra o número de possibilidades que o atacante precisa testar. Se cada caractere for escolhido ao acaso de um conjunto com N símbolos, a entropia da senha é igual ao comprimento da senha multiplicado pelo logaritmo na base 2 de N.

Um teclado em inglês tem 94 caracteres imprimíveis: 26 letras minúsculas, 26 maiúsculas, 10 dígitos e 32 símbolos. Cada caractere aleatório desse conjunto tem um pouco mais de 6,5 bits de entropia, então uma senha aleatória de 16 caracteres tirada dele tem cerca de 105 bits de entropia.

Para deixar os números mais concretos, imagine um atacante que faz um trilhão de tentativas por segundo contra um hash rápido. Ele testa todas as possibilidades de uma senha aleatória de 8 caracteres em menos de duas horas, mas para uma de 16 caracteres precisaria de mais de um trilhão de anos. A velocidade real depende do tipo de hash e do hardware, mas o padrão não muda: cada caractere aleatório a mais deixa o trabalho do atacante dezenas de vezes mais difícil.

Uma condição importante: essa conta só vale para senhas geradas de forma realmente aleatória. Uma senha que junta um nome, um @, um ano de nascimento e um ponto de exclamação pode ter nove caracteres, mas, por ser feita de padrões comuns, é descoberta logo nas primeiras etapas do ataque.

Erros comuns que enfraquecem a senha

• Uma senha para várias contas: o erro mais perigoso. Quando um site pouco importante vaza, o atacante testa automaticamente o mesmo e-mail e a mesma senha no e-mail, nas redes sociais e nas lojas online.
• Informações pessoais: seu nome ou o dos filhos, data de nascimento, número de celular, número de documento, placa do carro ou time do coração; informações que muitas vezes estão nas redes sociais.
• Substituições simples: p@ssw0rd no lugar de password ou $ no lugar de s não acrescentam segurança; essas regras estão nas ferramentas de quebra de senha há anos.
• Ano ou símbolo no final: um ano, 123 ou ! no fim de uma palavra estão entre as primeiras variações testadas; o mesmo vale para trocar só o ano do final quando chega a hora de mudar a senha.
• Padrões de teclado: qwerty, 1qaz2wsx e 123456 aparecem nas listas das senhas vazadas mais comuns.
• Guardar de forma insegura: mandar a senha por aplicativo de mensagem, anotar no bloco de notas do celular ou em uma captura de tela sincronizada com a nuvem.

Frase-senha: uma senha que dá para memorizar

Para as poucas senhas que você realmente precisa decorar, como a senha mestra do gerenciador de senhas ou a senha de login do notebook, uma "frase-senha" (passphrase) é uma boa escolha: várias palavras aleatórias e sem relação entre si, em sequência. A força da frase-senha também vem da aleatoriedade. Se cada palavra for sorteada de uma lista de 7776 palavras, como no método Diceware, que escolhe as palavras jogando dados, cada palavra tem cerca de 13 bits de entropia, e seis palavras passam de 77 bits.

Não "escolha" as palavras você mesmo; um verso famoso, um provérbio ou uma frase com sentido, por mais longos que sejam, não são aleatórios. É melhor montar a frase-senha com letras sem acento, porque alguns sistemas têm problemas com caracteres fora do ASCII em senhas. Para as demais contas, cuja senha o gerenciador preenche, uma sequência aleatória é mais curta e mais prática. O Gerador de Senhas deste site faz as duas coisas: o menu Modo alterna entre uma sequência aleatória e uma frase-senha montada com essa mesma lista de 7.776 palavras; a página gerador de frase-senha já abre nesse modo.

Criar uma senha forte com o Gerador de Senhas

O Gerador de Senhas cria a senha dentro do seu navegador com crypto.getRandomValues, a fonte de aleatoriedade criptograficamente segura que os navegadores oferecem para tarefas de segurança. A senha gerada não é enviada a nenhum servidor nem guardada em lugar nenhum. O passo a passo:

1. Deixe o menu Modo em Senha para obter uma sequência aleatória. No mesmo menu estão também Frase-senha e PIN, ou seja, a frase-senha comentada acima e um PIN de 3 a 12 dígitos saem desta mesma ferramenta.
2. No controle Comprimento, escolha de 4 a 128 caracteres; o padrão é 16. Para e-mail e contas sensíveis, use 20 ou mais.
3. Escolha os conjuntos de caracteres: Maiúsculas, Minúsculas e Números vêm ligados por padrão. Marcando Símbolos, entram também 26 símbolos, como !@#$%.
4. Se a senha for lida de um papel ou digitada à mão, ative Excluir caracteres ambíguos para deixar de fora os caracteres parecidos 0, O, 1, l e I. Para o Wi-Fi de visitantes, em vez de ditar a senha, você também pode criar um QR Code de Wi-Fi.
5. Pelo menos um de cada tipo vem marcado por padrão: garante um caractere de cada conjunto que você selecionou, desde que o comprimento dê espaço para um de cada. Deixe ligado quando o site exigir um dígito ou um símbolo.
6. Clique em Gerar. Gerar 10 cria dez senhas de uma vez; como Pelo menos um de cada tipo está ligado, todas já trazem um caractere de cada conjunto escolhido, então você pode ficar com a primeira. A lista só existe para o caso de você preferir escolher uma mais fácil de ler.
7. Copie a senha com Copiar e cole direto no gerenciador de senhas e no formulário do site.

Com os ajustes padrão (16 caracteres de 62 letras e dígitos), a entropia fica em torno de 95 bits, e ligando os símbolos (88 caracteres) chega a cerca de 103 bits. Se um site não aceitar símbolos, desmarque-os e aumente o comprimento para 20; o resultado, com cerca de 119 bits, é ainda mais forte que uma senha de 16 caracteres com símbolos. Você não precisa calcular o número: a linha abaixo do resultado já o mostra, com os ajustes padrão como Cerca de 95 bits de entropia. A etiqueta Força abaixo da senha é só um indicador simples baseado no comprimento e nos tipos de caractere; o critério que conta é mesmo o comprimento e a aleatoriedade.

Gerenciador de senhas: o único jeito prático de ter senhas diferentes

Ninguém consegue decorar senhas aleatórias e diferentes para dezenas de contas, e nem é para fazer isso. Um gerenciador de senhas guarda todas as senhas em um cofre criptografado e pede a você apenas uma frase-senha forte. A maioria dos gerenciadores preenche o formulário de login automaticamente e, como confere o endereço do site, normalmente não preenche a senha em uma página falsa que só imita a aparência do site original; uma ajuda real contra phishing.

• O gerenciador de senhas embutido no navegador ou no sistema operacional é o começo mais simples e fica disponível nos aparelhos sincronizados com a mesma conta.
• Gerenciadores de senhas independentes, como o Bitwarden (código aberto e com versão gratuita) ou o KeePassXC (código aberto e totalmente offline), funcionam em vários navegadores e sistemas operacionais.
• Ative também a verificação em duas etapas no próprio gerenciador de senhas e guarde os códigos de recuperação dele em um lugar seguro, fora do celular.

Verificação em duas etapas: a segunda camada de proteção

Até a senha mais forte pode ser digitada em uma página de phishing ou roubada por um programa malicioso. Na verificação em duas etapas (2FA), para entrar é preciso, além da senha, algo vindo de um aparelho que está com você. Os métodos não oferecem a mesma segurança:

Anote em um lugar seguro os códigos de recuperação (backup codes) exibidos na ativação, para não perder o acesso à conta se perder o celular. E nunca envie um código de verificação para ninguém; mensagens como "mande pra gente o código que você recebeu" estão entre os golpes mais comuns.

Senha forte para o e-mail

O e-mail é a sua conta mais importante, porque quase todos os serviços mandam o link de recuperação de senha para ele; quem assume o seu e-mail consegue trocar a senha da maioria das outras contas. Para o seu e-mail principal, faça o seguinte:

• Crie uma senha aleatória com pelo menos 20 caracteres, que não seja usada em nenhum outro lugar.
• Ative a verificação em duas etapas com um app autenticador ou uma passkey.
• Mantenha atualizados o número de celular e o e-mail de recuperação; um número que já não está com você pode virar uma porta de entrada.
• De tempos em tempos, revise a lista de aparelhos e sessões conectados à conta e encerre os que você não reconhecer.
• Pesquise o seu e-mail no site haveibeenpwned.com para ver se ele aparece em vazamentos conhecidos.
• Digite a senha do e-mail só em uma página cujo endereço você mesmo abriu, nunca a partir de um link recebido em uma mensagem.

Quando trocar a senha?

A troca obrigatória e periódica de senha, por exemplo a cada três meses, não é mais recomendada; a diretriz do NIST, dos Estados Unidos, também diz que os serviços não devem obrigar os usuários a isso, porque leva a mudanças previsíveis, como trocar só o último número da senha. Mantenha uma senha boa, mas troque-a imediatamente nestes casos: o serviço avisou sobre um vazamento de dados ou o seu e-mail apareceu em uma lista de vazamentos, você mandou a senha para alguém ou a digitou em um aparelho público, você viu atividade estranha na conta, ou usou a mesma senha em outro lugar.