O que é realmente uma palavra-passe forte

Módulo 2: Palavras-passe e início de sessão · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: Depois desta lição, você consegue explicar porque o comprimento e a unicidade são mais importantes do que carateres estranhos, e o que diz a atual diretriz do NIST sobre palavras-passe.

Conceitos-chave: comprimento, entropia, frase-passe, ataque de dicionário, força bruta, reutilização, mudança obrigatória

Como uma palavra-passe é decifrada

Ao pensar em "decifrar uma palavra-passe", muitas pessoas imaginam alguém a adivinhar na sua página de início de sessão. Isso acontece, mas não é a maior ameaça. Uma boa página de início de sessão abranda após várias tentativas erradas ou bloqueia temporariamente. Adivinhar pela "porta da frente" é, portanto, lento.

Mais perigoso é o ataque offline. Um site não guarda a sua palavra-passe em si (se estiver bem configurado), mas sim um hash: uma espécie de impressão digital a partir da qual não é possível recalcular diretamente a palavra-passe. Se a base de dados de uma loja online sofrer uma fuga, o atacante fica com essas impressões digitais nos seus próprios computadores. Aí não há travão nenhum. Ele experimenta tantas palavras-passe quantas o seu equipamento aguentar e compara cada resultado com a impressão digital exposta.

Para isso, utiliza dois métodos:

• Ataque de dicionário: primeiro tudo o que as pessoas costumam escolher. Listas com milhões de palavras-passe reais de fugas anteriores, palavras de dicionários, nomes, locais, anos. Com regras fixas associadas: maiúscula no início, ano no fim, ponto de exclamação no final, a torna-se @, o torna-se 0.
• Força bruta: depois, todas as combinações possíveis de carateres, do mais curto ao mais longo.

Uma palavra-passe como Zomer2026! parece forte: maiúscula, números, sinal de pontuação, dez carateres. Mas é exatamente o padrão que consta dessas regras: uma palavra, um ano, um sinal. Uma palavra-passe assim cai logo na primeira ronda, muito antes de a força bruta sequer começar.

O comprimento vence os carateres estranhos

A força de uma palavra-passe depende de quantas possibilidades um atacante tem de experimentar. Esse número calcula-se assim: número de carateres possíveis elevado ao comprimento.

Num teclado comum existem 95 carateres que se podem digitar (letras maiúsculas e minúsculas, números, sinais de pontuação e o espaço). Uma palavra-passe aleatória de 8 carateres tem então 95 elevado a 8 possibilidades: cerca de 6,63 × 10^15. Parece muito, mas com equipamento rápido e um método de armazenamento fraco isso é esgotado em questão de dias.

Cada carater extra multiplica o número por 95. Um tipo adicional de carateres (por exemplo, acrescentar sinais de pontuação a algo que só tinha letras) multiplica a base apenas ligeiramente. Por isso, o comprimento rende muito mais do que a complexidade.

Essa última coluna é a entropia: uma medida de quão imprevisível algo é, expressa em bits. Em linguagem simples: cada bit adicional duplica o trabalho do atacante. Uma palavra-passe de 65 bits custa, portanto, não um pouco, mas cerca de 4.000 vezes mais trabalho do que uma de 53 bits.

Importante: estes números só valem se a palavra-passe tiver sido escolhida verdadeiramente ao acaso. Uma palavra-passe inventada por si quase nunca é aleatória. Bakkerij2026! tem treze carateres, mas, em termos de padrão, está em todas as listas de ataque.

A frase-passe

Uma frase-passe é uma palavra-passe composta por várias palavras soltas, por exemplo cinco ou seis. A vantagem: é longa, mas continua fácil de memorizar e de digitar. O NCSC neerlandês recomenda escolher entre quatro e seis palavras sem qualquer relação entre si, e afirma que uma frase longa composta apenas por letras minúsculas é mais segura do que uma palavra-passe curta com todos os tipos de carateres.

Uma frase-passe só é forte se as palavras forem escolhidas ao acaso:

• Bom: um gerador (no seu gestor de palavras-passe) ou dados com uma lista de palavras. O conhecido método dos cinco dados utiliza uma lista de 7.776 palavras, porque 6 elevado a 5 dá exatamente 7.776. Os criadores de uma lista destas recomendam seis palavras para a maioria das aplicações.
• Errado: uma frase conhecida, a letra de uma canção, um provérbio ou algo sobre si próprio. ikhouvanmijnhondbobby é longa, mas as palavras estão relacionadas entre si e são fáceis de adivinhar por quem o conhece ou lê as suas redes sociais.

Uma frase-passe continua a ser uma palavra-passe. Utiliza-se num único sítio e não se partilha.

Único é mais importante do que complicado

A palavra-passe mais forte não ajuda nada se a utilizar em vinte sítios. Na lição 1.4 viu o credential stuffing: um endereço de e-mail exposto juntamente com a respetiva palavra-passe é experimentado automaticamente no correio eletrónico, na contabilidade, em lojas online e nas redes sociais. Se houver uma fuga no mais fraco desses vinte serviços, todos os vinte ficam abertos.

A reutilização é, por isso, a maior fragilidade na prática. E "algumas variantes" não conta como ser único. Example!Mail e Example!Shop são fáceis de adivinhar, em poucas tentativas, para um atacante que já tenha uma palavra-passe exposta.

A solução não é memorizar, mas sim guardar: um gestor de palavras-passe cria uma palavra-passe longa e aleatória para cada serviço e memoriza-a por si. É esse o tema da lição 2.2. Nesse caso, só precisa de memorizar algumas coisas: a palavra-passe mestra do gestor e, eventualmente, a palavra-passe do seu computador.

O que diz a diretriz do NIST

O NIST norte-americano (National Institute of Standards and Technology) publica a diretriz mais conhecida sobre início de sessão: a SP 800-63B. A quarta versão tornou-se definitiva a 31 de julho de 2025. Muitas organizações em todo o mundo seguem-na. Os pontos mais importantes relativos a palavras-passe são:

• Se a palavra-passe for a única forma de início de sessão, então pelo menos 15 carateres. Se fizer parte da autenticação de dois fatores (2FA), então pelo menos 8.
• Um serviço deve permitir palavras-passe de pelo menos 64 carateres.
• Sem regras de composição: um serviço não pode exigir "pelo menos uma maiúscula, um número e um sinal de pontuação".
• Não obrigar a alterações periódicas. Só alterar se houver um indício de que a palavra-passe foi exposta.
• Verificar novas palavras-passe contra uma lista de palavras-passe comuns e já expostas.
• Permitir colar texto e o uso de gestores de palavras-passe.
• Sem perguntas de segurança ("nome do seu primeiro animal de estimação") nem dicas de palavra-passe.

Porque já não se recomenda a mudança obrigatória

Durante anos, no trabalho, era preciso escolher uma nova palavra-passe a cada três meses. A ideia: uma palavra-passe roubada só funcionaria por pouco tempo. Na prática, as pessoas fazem isto: Zomer2026! passa a Herfst2026!, depois Winter2026!. Um atacante com a palavra-passe antiga adivinha a nova em poucas tentativas. E quem tem de inventar sempre uma nova palavra-passe acaba por escolher palavras-passe mais curtas e por as anotar num papel.

A mudança obrigatória torna, assim, as palavras-passe mais previsíveis. Ainda assim, deve mudar imediatamente sempre que houver um motivo: uma notificação de fuga de dados, um início de sessão estranho, um colega que sai da empresa e conhecia a palavra-passe, ou se a tiver introduzido por engano nalgum sítio.

Na prática: uma política de palavras-passe numa folha A4

Para uma pequena empresa como a Padaria Exemplo, uma política curta é suficiente:

1. Cada conta tem a sua própria palavra-passe pessoal. Nada de início de sessão partilhado para info@example.com cuja palavra-passe cinco pessoas conhecem.
2. As palavras-passe são criadas pelo gestor de palavras-passe: aleatórias, com pelo menos 15 carateres, ou uma frase-passe de pelo menos cinco palavras aleatórias que tenha de digitar.
3. Nunca a mesma palavra-passe em dois sítios.
4. Autenticação de dois fatores (2FA) ativada no correio eletrónico, na contabilidade, no banco, no alojamento e no registo de domínio (lição 2.3).
5. Mudar apenas quando houver um motivo, e nessa altura imediatamente.
6. Nunca enviar palavras-passe por e-mail, chat ou num papel colado ao ecrã.

Também o seu painel de alojamento segue esta lógica. No ambiente da WebOké, por exemplo, pode gerar uma palavra-passe aleatória para a palavra-passe do DA e para caixas de correio; noutros painéis, esse botão costuma chamar-se "Gerar" ou "Generate". Deixe sempre que esse gerador crie pelo menos 15 carateres; muitas vezes pode escolher o comprimento.

Resumo

• Os atacantes decifram sobretudo offline, após uma fuga de dados, com listas e regras. Os padrões previsíveis caem de imediato.
• O comprimento e a verdadeira aleatoriedade rendem muito mais do que carateres estranhos. Cada bit de entropia duplica o trabalho.
• Uma frase-passe de palavras escolhidas ao acaso é longa e, ainda assim, fácil de memorizar.
• Único é mais importante do que complicado: a reutilização transforma uma fuga numa fuga em vinte sítios.
• NIST SP 800-63B-4: pelo menos 15 carateres como único fator, sem regras de composição, sem mudança periódica obrigatória, mas verificação contra palavras-passe expostas.

Questionário

Exercício

Exercício A2.1: Calcular e avaliar. Não introduz nenhuma palavra-passe sua em lado nenhum. Parte 1: calcule quantas possibilidades tem uma frase-passe e uma palavra-passe aleatória (são-lhe dados os números de palavras e carateres), qual das duas é mais forte e quantas vezes mais. Parte 2: avalie seis exemplos de palavras-passe inventadas: previsíveis, demasiado curtas, reutilizadas ou fortes. O programa verifica as respostas e dá uma explicação para cada uma.

Para saber mais

Os passos descritos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.

• Manual DirectAdmin 3.7: Palavras-passe seguras e o que fazer em caso de fuga de uma palavra-passe
• Como altero a palavra-passe ou os limites do meu endereço de e-mail?
• Dicas para criar uma palavra-passe forte (fonte do NCSC neerlandês): https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Quatro passos para tornar as suas palavras-passe mais seguras (fonte do NCSC neerlandês): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (em inglês): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (em inglês, a lista de palavras com dados): https://www.eff.org/dice