Como lidar bem com senhas?
Para publicação na Jornal da Comunidade, Brasília,
Prof. Pedro Antonio Dourado de Rezende
Departamento de Ciência da Computação
Universidade de Brasília
13 março de 2007
Mariana Spezia: 1.As pessoas fazem confusão na hora de memorizar as senhas. Hoje, temos senhas para tudo: bancos diferentes, emails, sistema do trabalho, cadastro em sites... Além disso, os bancos ainda pedem letras e números diferentes para o atendimento via telefone e site. O que deve ser levado em consideração na hora de criar uma senha? As pessoas gostam de utilizar informações pessoais como data de aniversário, casamento, números sequenciais etc. Isso é aconselhável?
Pedro Rezende: Deve-se levar em conta sua função identificadora. A senha deve ser fácil para aquele que com ela se identifica memorizar, e difícil para o falsário adivinhar. Falsários costumam usar programas que exploram truques estatísticos para adivinhar senhas de forma automática. O risco de algum falsário tentar e ter sucesso é proporcional aos valores em jogo, à dificuldade de rastreamento do golpe, e às características da senha. Doutro lado, esse risco compete com outras formas de invasão, envolvendo por exemplo a interceptação, o phishing ou o desvio do controle por senha.
Bancos, por exemplo, tentam controlar esse risco adequando limites para os valores em jogo a níveis diferenciados de rastreamento, enquanto tentam educar seus clientes a respeito, para que escolham senhas difíceis de adivinhar. Os truques para varredura automatizada giram em torno da estratégia de cobrir primeiro as tentativas mais prováveis de terem sido escolhidas, pela facilidade de memorização. As mais curtas, as palavras mais usadas na língua nativa, as que estão no dicionário, seqüências que seguem algum padrão, até mesmo o de serem pronunciáveis.
MS: 2 É indicado usar a mesma senha para tudo?
Certamente que não, pois a vulnerabiliade dos sistemas e os valores em jogo são via de regra bem diferenciados. Uma boa indicação é tentar equilibrar precaução com potencial prejuízo. Senhas de acesso a conta corrente em bancos, por exemplo, deve ser únicas, ao passo que as senhas para acesso a sites de conteúdo variado, onde a maior precaução seja talvez com a privacidade, não deveriam exigir tanto da memória.
Aliás, neste caso muitas vezes a exigência de senha serve antes, para quem oferece o serviço, ao propósito de coletar informações qualificadas sobre o usuário, informações que crescem em valor quando agregadas. Por isso, para mim a exigência injustificada de senha serve de motivo para recusar o cadastramento e o serviço.
No meio termo, para riscos intermediários, costumo empregar o que se poderia chamar de estratégia musical. Senhas geradas a partir de um tema ou núcleo central, com variações que lembram a natureza do site ou serviço a que se destina.
MS: 3 É comum os hackers desvendarem senhas de fácil dedução ou isso é mito?
Hackers tem sua ética, por sinal mais sadia que muitas de negócios vencedores em informática, e esta só permite desvendar senhas a pedido do legítimo titular. Por exemplo, quando esse esquece a senha e a situação não permite desvios. Crackers, por sua vez, desvendam senhas pelos mais diversos motivos, se o sistema permite. Sistemas que suspendem o acesso online depois de um razoável número de tentativas erradas, por exemplo, neutralizam a utilidade online das ferramentas de varredura automática, e condicionam essa utilidade a uma invasão anterior do sistema, para a captura da lista de nomes de usuários e suas respectivas senhas cifradas.
Portanto, quanto ao mito a resposta é: depende. Em sistemas que atentem a vários usuários e finalidades, é difícil ao administrador proteger-se contra a captura desses dados por alguém que conheça a plataforma do seu sistema mais do que ele. Nesses casos, uma boa ferramenta de varredura pode desvendar, offline, numa semana cerca de 70% das senhas quando o sistema não impõe política de recusa de senhas fáceis, e cerca de 30% quando o sistema impõe uma razoável política restritiva.
MS: 4 Muitas
empresas investem em produtos na área de segurança da informação. Você
acha que as pessoas físicas também deveriam investir nisso ou não há
necessidade?
Não aconselho o investimento enquanto a relação custo/benefício não compensar. A tecnologia em uso hoje poderia facilitar em muito a vida dos cidadãos de uma sociedade cada vez mais informatizada, gerenciando o armazenamento e uso automático de senhas individuais para diversos sites e serviços. As senhas ficam cifradas numa espécie de carteira de senhas, protegidas por uma senha mestra. Quando o usuário precisa acessar algum desses sites ou serviços, basta abrir a carteira com sua senha mestra, e o software da carteira preeenche automaticamente o nome de usuário e a senha correta para aquele site ou serviço.
No Firefox essa carteira já está disponível, para os sites cujos dados de login o usuário queira ali guardar. Trata-se de um fator de segurança adicional desse que talvez seja o melhor e mais seguro navegador web hoje disponível. Sem nenhum custo adicional, que por sinal é zero para a licença de uso desse software livre. Entretanto, a carteira do Firefox só funciona para sites na web, no navegador e computador onde as senhas foram cadastradas, ou em outra instalação do Firefox para onde a carteira tenha sido exportada.
Esse tipo de recurso simplificador do uso de senhas poderia ser mais versátil, entre vários computadores, plataformas e sistemas, por exemplo com o uso de pen drives e cartões inteligentes. Entretanto, a maioria dos fornecedores desses dispostivos para esta finalidade preferem esconder as especificações sobre como os mesmos funcionam, o que limita a interoperabilidade entre sistemas e dispositivos. Isso torna o usuário dependente de um fornecedor, o que pode ser ruim para ele e bom para o fornecedor. Por isso, dada a importância crescente da informática e do seu uso seguro, penso que os consumidores deveriam recusar produtos de informática baseados em padrões e formatos fechados ou de uso limitado por restrições anticompetitivas de propriedade imaterial.
MS: 5 O sr. pode dar dicas sobre como criar uma senha segura?
De sua parte, o usuário pode também usar truques para neutralizar a estratégia geral das ferramentas de varredura automática. Como por exemplo, o de se valer daquilo que em inglês chamam de passphrases: buscar o apoio indireto da memória para que esta retenha com facilidade uma senha longa e impronunciável. Escolhendo, por exemplo, a seqüência formada pela primeira letra de cada palavra de um verso ou de um ditado preferido. Ou então, se obrigado a usar uma senha gerada pelo sistema, buscar esse apoio no sentido oposto, a partir das letras ou números para uma sonorização familiar.