1. O Que Diz a Norma NIST SP 800-63B?
O National Institute of Standards and Technology (NIST) dos Estados Unidos publica a referência global mais respeitada em gestão de identidades digitais (Special Publication 800-63B). Nos últimos anos, a instituição revisou suas diretrizes históricas, derrubando mitos populares:
- Expiração periódica forçada (ex: obrigar troca a cada 30 ou 60 dias).
- Exigência arbitrária de caracteres especiais que resultam em sufixos previsíveis como "!" ou "#".
- Perguntas secretas baseadas em dados pessoais públicos (nome da mãe ou primeiro carro).
- Priorizar o comprimento (no mínimo 14 a 16 caracteres).
- Permitir uso de espaços e caracteres Unicode em frases-passe.
- Validar credenciais contra listas públicas de senhas comprometidas e vazadas.
- Adotar autenticação em dois fatores (MFA/2FA) em todas as contas críticas.
2. O Conceito Matemático de Entropia
A força de uma senha é mensurada cientificamente pela sua entropia de informação, expressa em bits (H). A equação matemática básica é dada por:
H = L × log2(R)
Onde L é o comprimento em caracteres e R é o tamanho do conjunto de símbolos possíveis (letras maiúsculas, minúsculas, números e pontuação).
O aumento do comprimento (L) tem impacto muito mais severo no custo computacional de um ataque de força bruta do que a simples troca de caracteres isolados. Cada caractere a mais multiplica o número de tentativas necessárias para quebrar o hash criptográfico.
3. Senhas Curtas Complexas vs Frases-Passe (Passphrases)
Uma das maiores inovações de segurança para o usuário final é a adoção de frases-passe (sequências de 4 ou mais palavras aleatórias):
| Tipo | Exemplo Ilustrativo | Comprimento | Memorização | Resistência a Força Bruta |
|---|---|---|---|---|
| Senha Curta com Símbolo | Tr0c@12! | 8 caracteres | Difícil e frustrante | Baixa (quebrável em minutos/horas por GPUs modernas) |
| Frase-Passe Aleatória | tucano-nuvem-piano-relogio | 26 caracteres | Muito fácil e natural | Extrema (séculos para quebra mesmo com clusters dedicados) |
Gere Senhas Criptograficamente Fortes
Utilize nossa ferramenta gratuita no navegador baseada na Web Crypto API com zero tráfego de rede.
4. As Três Regras de Ouro do CERT.br
O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) do NIC.br recomenda três pilares para proteção pessoal e corporativa:
1. Nunca reutilizar a mesma senha em sites diferentes
Se um fórum simples ou loja virtual sofrer vazamento de banco de dados, criminosos testam a mesma combinação de e-mail e senha no seu provedor de e-mail principal, contas bancárias e redes sociais (ataque de credential stuffing).
2. Utilizar um gerenciador de senhas confiável
Softwares de gerenciamento modernos (como Bitwarden, 1Password ou soluções de código aberto como KeePass) armazenam seus acessos em um cofre criptografado local com chave mestre forte, gerando senhas exclusivas de 20+ caracteres para cada conta.
3. Habilitar verificação em duas etapas (2FA / MFA)
Prefira aplicativos autenticadores baseados em códigos temporários (TOTP, como Google Authenticator ou Aegis) ou chaves físicas de segurança FIDO2 em vez de SMS, que é vulnerável a clonagem de chip (SIM swap).
5. Erros Mais Comuns de Segurança
- Substituições óbvias de dicionário: trocar "a" por "@" ou "e" por "3" em palavras comuns já está totalmente mapeado em dicionários de ataques automatizados como hashcat.
- Anotar em locais desprotegidos: salvar senhas em arquivos de texto sem criptografia, rascunhos de e-mail ou adesivos no monitor anula qualquer complexidade técnica.
- Compartilhar credenciais por aplicativos de mensagem: senhas enviadas em conversas ficam salvas em backups em nuvem e históricos visíveis.
Fontes Oficiais e Referências Primárias
- NIST Special Publication 800-63B: Digital Identity Guidelines - Authentication and Lifecycle Management (pages.nist.gov/800-63-3/sp800-63b.html).
- CERT.br / NIC.br: Cartilha de Segurança para Internet - Fascículos sobre autenticação e proteção de contas (cartilha.cert.br/fasciculos).
- CISA (Cybersecurity & Infrastructure Security Agency): Recomendações oficiais de senhas e autenticação multifator (cisa.gov).