Escolher e utilizar gestores de palavras-passe

Módulo 2: Palavras-passe e início de sessão · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: No final desta lição, será capaz de escolher e configurar um gestor de palavras-passe, proteger a palavra-passe principal e partilhar palavras-passe em segurança numa equipa.

Conceitos-chave: gestor de palavras-passe, palavra-passe principal, cofre, encriptação ponto a ponto, cofre partilhado, acesso de emergência, gestor de palavras-passe do navegador

O que faz um gestor de palavras-passe

Na lição 2.1 viu que cada conta precisa de uma palavra-passe própria, longa e aleatória. Ninguém consegue memorizar oitenta. Um gestor de palavras-passe é um programa que faz isso por si. O gestor:

• cria uma palavra-passe forte e aleatória para cada serviço;
• guarda todas as palavras-passe encriptadas num cofre;
• preenche-as no site correto, e apenas nesse;
• avisa frequentemente sobre palavras-passe fracas, repetidas ou expostas em fugas de dados;
• em muitos produtos, também pode guardar os códigos de autenticação de dois fatores e armazenar passkeys (lições 2.3 e 2.4).

A única que terá de memorizar é a palavra-passe principal, com a qual abre o cofre. O NCSC neerlandês recomenda um gestor de palavras-passe como base fixa, também para pequenas organizações, com acordos claros sobre qual o gestor a utilizar e para que contas é obrigatório.

Tipos de gestores de palavras-passe

Não existe um único tipo melhor. O NCSC neerlandês distingue o gestor incorporado no navegador, a aplicação autónoma, e online (cloud) versus offline (local). Na prática, encontrará estas variantes:

Exemplos conhecidos de gestores autónomos são o Bitwarden, o 1Password, o KeePassXC e o Proton Pass, além dos gestores incorporados em navegadores e sistemas operativos. Isto não é uma recomendação: escolha com base nas perguntas abaixo.

Perguntas a fazer ao escolher

• Funciona em todos os seus dispositivos e navegadores, também os dos colegas?
• Pode partilhar cofres com permissões por pasta, e voltar a retirar alguém de um cofre?
• O cofre tem encriptação ponto a ponto, e o que fica e não fica encriptado (por exemplo, os endereços dos sites)?
• Pode proteger o cofre com autenticação de dois fatores ou uma passkey?
• Existe acesso de emergência ou um esquema de recuperação, e como funciona exatamente?
• Pode exportar os seus dados se quiser mudar de fornecedor?
• Nas versões gratuitas: qual é o modelo de negócio?

Encriptação ponto a ponto: e se o fornecedor for pirateado?

Num bom gestor na cloud, o cofre é encriptado no seu próprio dispositivo com uma chave derivada da sua palavra-passe principal. O fornecedor recebe apenas o pacote encriptado. Chama-se a isto encriptação ponto a ponto (por vezes "zero knowledge"). O fornecedor não consegue ler as suas palavras-passe, nem consegue, por isso, repor a sua palavra-passe principal.

Se o fornecedor for pirateado, um atacante pode roubar os cofres encriptados. Pode então tentar decifrá-los offline, como visto na lição 2.1. Nesse momento, a sua palavra-passe principal é a sua única proteção. Por isso:

• A palavra-passe principal é longa e única: uma frase-passe de pelo menos cinco, de preferência seis palavras aleatórias.
• Não a utiliza em mais lado nenhum.
• Após uma fuga de dados no fornecedor, altera a palavra-passe principal e também as palavras-passe das suas contas mais importantes. O cofre antigo e roubado está, afinal, encriptado com a palavra-passe principal antiga.

A autenticação de dois fatores no cofre ajuda contra alguém que tenha a sua palavra-passe principal e queira iniciar sessão através do site. Não ajuda contra a decifração de um ficheiro de cofre roubado. O NCSC neerlandês também o afirma: ter 2FA no gestor não é motivo para uma palavra-passe principal fraca.

Proteger a palavra-passe principal

Esquecer a palavra-passe principal é, num bom gestor, muitas vezes definitivo: o fornecedor não a consegue recuperar. Por isso, resolva isto com antecedência:

• Escreva a palavra-passe principal em papel e guarde-o em casa num local seguro. O NCSC neerlandês considera isto perfeitamente aceitável, desde que não escreva ao lado para que serve.
• Crie o kit de recuperação ou o código de emergência que o gestor disponibiliza, imprima-o e guarde-o junto do papel.
• Introduza a palavra-passe principal apenas na aplicação ou extensão do próprio gestor, nunca num site que a peça.
• Ative o bloqueio automático após alguns minutos de inatividade.

Porque é que o preenchimento automático ajuda contra o phishing

Um gestor de palavras-passe associa cada palavra-passe ao endereço do site. Em https://mijnbank.example, preenche a sua palavra-passe. Num site semelhante, como https://rnijnbank.example (rn em vez de m) ou https://mijnbank-veilig.example, não faz nada, porque esses endereços não estão associados ao item.

Uma pessoa, muitas vezes, não nota a diferença entre rn e m. O gestor compara carateres e não se cansa nem se apressa. Esta é uma proteção real, mas só se o deixar funcionar:

O seu gestor, de repente, não preenche nada num site onde isso costumava acontecer sempre? Não contorne o problema copiando a palavra-passe manualmente. Primeiro, observe com muita atenção o endereço. Este é exatamente o momento em que o gestor o está a avisar.

Por vezes, há também um bom motivo para não preencher: um serviço que mudou para um novo endereço. Nesse caso, verifique isso por outra via, por exemplo, digitando você mesmo o endereço que já conhecia.

Partilhar numa equipa

Numa pequena empresa, há sempre contas que são utilizadas em conjunto: a loja online em webwinkelplatform.example, a conta em koeriersdienst.example, as redes sociais da empresa. O ideal é que cada pessoa tenha a sua própria conta (módulo 7). Se isso não for possível, utilize um cofre partilhado:

• Crie cofres ou pastas por tema ("Loja online", "Financeiro", "Redes sociais") e dê acesso apenas a quem precisa.
• Nunca partilhe por e-mail, chat ou uma folha de cálculo. Quem tiver acesso ao cofre partilhado vê a palavra-passe aí.
• Alguém sai da empresa? Retire-o do cofre e altere as palavras-passe a que tinha acesso. Retirar do cofre, por si só, não é suficiente: pode tê-las copiado ou guardado.
• Organize o acesso de emergência: o que acontece se você, o proprietário, estiver doente ou indisponível? Muitos gestores têm uma funcionalidade que permite a uma pessoa de confiança obter acesso após um período de espera. Ou pode guardar os dados de recuperação num envelope selado junto de uma segunda pessoa.

Na prática: mudar numa tarde

1. Escolha um gestor e instale-o no computador e no telemóvel, com a extensão do navegador.
2. Crie uma palavra-passe principal (frase-passe), escreva-a e guarde o kit de recuperação.
3. Ative a autenticação de dois fatores no cofre.
4. Importe as palavras-passe que o seu navegador já guardava. Uma exportação é frequentemente um ficheiro não encriptado: elimine-o imediatamente após a importação, também da reciclagem.
5. Comece pelas contas mais importantes e dê a cada uma uma palavra-passe nova e única: a sua caixa de correio (info@example.com), o seu alojamento e registo de domínio, o seu banco e a sua contabilidade (por exemplo, em boekhoudpakket.example).
6. Atualize o resto à medida que for iniciando sessão. Os avisos sobre palavras-passe repetidas ajudam-no.

Utiliza um serviço no ambiente WebOké, como uma caixa de correio ou o Nextcloud, com aplicações no telemóvel? Para isso, por vezes cria uma palavra-passe de aplicação separada (consulte o Centro de Conhecimento 436). Também essa guarda no gestor, junto do item correto. Noutros fornecedores, o funcionamento é semelhante.

Resumo

• Um gestor de palavras-passe cria, guarda e preenche palavras-passe únicas; o utilizador só precisa de memorizar a palavra-passe principal.
• Tipos: incorporado no navegador ou sistema, aplicação autónoma com cloud, local, código aberto ou autoalojado. Escolha com base nos dispositivos, na partilha, na encriptação e na recuperação.
• Com encriptação ponto a ponto, a sua palavra-passe principal é a última linha de defesa se o fornecedor for pirateado.
• Se o gestor não preencher, observe o endereço em vez de copiar.
• Partilhe através de um cofre partilhado e altere as palavras-passe quando alguém sai da empresa.

Questionário

Exercício

Exercício D2.2: Configurar o seu gestor de palavras-passe. Escolha um gestor de palavras-passe, crie uma palavra-passe principal e um kit de recuperação, ative a autenticação de dois fatores no cofre e dê às suas cinco contas mais importantes uma palavra-passe nova e única. Assinale a lista de verificação e responda às perguntas de reflexão. Não introduz nenhuma palavra-passe em lado nenhum.

Para saber mais

Os passos nos artigos WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores, o funcionamento é semelhante.

• Manual DirectAdmin 3.7: Palavras-passe seguras e o que fazer em caso de fuga de uma palavra-passe
• Criar uma palavra-passe de aplicação (necessária para ligar aplicações e dispositivos)
• Manual do Nextcloud 3.5: Palavras-passe de aplicação: quando e como
• NCSC neerlandês, Como escolher um gestor de palavras-passe?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• NCSC neerlandês, Quatro passos para tornar as suas palavras-passe mais seguras: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken