O que torna uma palavra-passe forte
Uma palavra-passe é tão forte quanto o número de tentativas de que um atacante precisa. Esse número depende do comprimento e da aleatoriedade real, não de substituições espertas como um @ no lugar de um a.
Entropia: contar as tentativas
A força de uma palavra-passe é medida em bits de entropia. Uma palavra-passe escolhida ao acaso entre N possibilidades tem log2(N) bits, e cada bit a mais duplica o trabalho do atacante. Uma palavra-passe aleatória de 12 caracteres entre 94 caracteres imprimíveis tem cerca de 79 bits. O segredo está na palavra aleatória: uma palavra-passe escolhida por uma pessoa, como um nome com um ano e um ponto de exclamação, tem muito menos bits do que o comprimento sugere, porque os atacantes testam esses padrões primeiro.
Diceware e frases-passe
Em 1995, Arnold Reinhold publicou o diceware: lance cinco dados para escolher uma palavra de uma lista de 7776 e repita. Cada palavra acrescenta cerca de 12,9 bits, por isso seis palavras dão cerca de 77 bits e continuam fáceis de escrever. A Electronic Frontier Foundation publicou listas melhoradas em 2016, e este gerador usa a lista grande dela. A ideia ficou famosa com a tira de banda desenhada de 2011 que comparava correct horse battery staple com a difícil de memorizar, mas fraca, Tr0ub4dor&3.
O que dizem as diretrizes
As NIST Digital Identity Guidelines (SP 800-63B) preferem o comprimento a regras de composição: aceitar palavras-passe e frases longas, comparar novas palavras-passe com listas de palavras-passe expostas em fugas de dados e não obrigar a mudanças periódicas sem motivo. Regras de complexidade impostas levam sobretudo a padrões previsíveis. Comprimento com aleatoriedade real, e uma palavra-passe diferente para cada site, importam muito mais.
Com que rapidez os atacantes adivinham
Quando um site é invadido, os atacantes testam tentativas offline contra os hashes roubados. Com hashes rápidos e placas gráficas modernas, isso chega a milhares de milhões de tentativas por segundo, o pressuposto por detrás do tempo aqui indicado. Hashes lentos como bcrypt ou Argon2 reduzem muito esse ritmo, mas não sabe o que cada site usa. Aponte para pelo menos 70 a 80 bits, palavras-passe únicas, um gestor de palavras-passe e autenticação de dois fatores.
Perguntas frequentes
Qual deve ser o comprimento de uma palavra-passe?
Para uma palavra-passe aleatória com letras, dígitos e símbolos, 16 caracteres ou mais dão mais de 100 bits. Para uma frase-passe, use pelo menos 5 ou 6 palavras aleatórias. O comprimento é a forma mais simples de ganhar força.
Substituições como P@ssw0rd são fortes?
Não. Os atacantes conhecem as substituições comuns e testam-nas automaticamente, por isso acrescentam muito pouco. O que torna uma palavra-passe forte é a aleatoriedade real.
Devo mudar as palavras-passe com frequência?
As diretrizes atuais dizem que não, a menos que haja um motivo como uma fuga de dados. Mudanças forçadas frequentes tendem a gerar palavras-passe mais fracas e previsíveis. Use palavras-passe únicas e mude uma quando possa ter sido exposta.
Ferramentas relacionadas
Gerador de palavras-passe
Gerador de palavras-passe grátis: palavras-passe e frases-passe aleatórias fortes com crypto.getRandomValues, com comprimento, conjuntos de caracteres, exclusão de caracteres parecidos, geração em massa, entropia, medidor de força e tempo para decifrar. Nada é guardado ou enviado.
Gerador de lorem ipsum
Gerador de lorem ipsum grátis: texto de preenchimento em parágrafos, frases, palavras, itens de lista ou bytes, em latim clássico, no Cícero original ou com vocabulários temáticos, com saída HTML, títulos e semente reproduzível.
Conversor de maiúsculas e minúsculas
Conversor de maiúsculas grátis: MAIÚSCULAS, minúsculas, formato de título com regras de idioma, formato de frase, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case e slugs de URL, além de limpeza de espaços, quebras de linha, marcadores e emojis.
Formatador JSON
Formatador e validador JSON gratuito: embeleze ou minifique JSON, encontre a linha e a coluna de um erro, ordene chaves, explore uma árvore, copie caminhos e converta arrays em CSV, tudo no navegador.
A história do lorem ipsum
De onde vem o lorem ipsum: uma passagem do De finibus bonorum et malorum de Cícero, de 45 a.C., baralhada como texto fictício e espalhada pelas folhas Letraset nos anos 1960 e por programas de paginação como o Aldus PageMaker.
Pronto para experimentar?
Abra o PictorX no seu navegador – sem instalação, sem necessidade de cartão de crédito para começar.
Abrir o gerador de palavras-passe