Opinião.23 Dez 2015

Passwords & Passphrases

É cada vez mais frequente encontrarmos sites que requerem um login para permitir o acesso à informação completa ou a determinadas funcionalidades. O acesso mediante login nestes sites, à semelhança das lojas online, obriga o utilizador a criar uma Password com regras específicas, que nem sempre são as mesmas de site para site. Isto leva a que o utilizador se veja na necessidade de memorizar várias Passwords uma vez que utilizar a mesma para todos os sites nem sempre é possível e além disso também compromete a segurança. A alternativa seria utilizar palavras fáceis de memorizar mas isso torna-as mais vulneráveis a hacking por brute-force.

Para que a Password seja suficientemente forte deve incluir:
- algarismos
- minúsculas
- maiúsculas
- símbolos de pontuação
- mínimo de 8 caracteres

Além disso não deve fazer uso de:
- palavras de dicionário
- palavras utilizadas no nome, utilizador, empresa, etc...

Quando o utilizador consegue finalmente criar a Password com a desejada segurança é geralmente tão aleatória que se torna difícil memorizá-la. Se multiplicarmos isto por vários sites o mais natural é acabarmos por baralhar as Passwords. Há quem prefira utilizar um Password Manager, um género de App, para guardar todas as Passwords e aceder a estas mediante uma Master Password. Mas atenção, a maioria destas aplicações não disponibilizam, por questões de segurança, uma forma de recuperar essa Master Password caso a esqueçamos! Além disso estas ferramentas têm geralmente um custo associado e os responsáveis pelo desenvolvimento dos sites não devem delegar esse custo e responsabilidade no utilizador, devendo isso sim disponibilizar formas fáceis e fiáveis de fazer login no seu site.

É fundamental encontrar formas de conjugar a necessária segurança com a facilidade de utilização e a verdade é que a tradicional Password não é a forma mais simples de o conseguir. A solução poderá estar nas Passphrases. As Passphrases são semelhantes às Passwords mas enquanto estas últimas são curtas (mínimo 8 caracteres), difíceis de memorizar e fáceis de desbloquear, as primeiras são mais extensas (mínimo 16 caracteres) aumentado a segurança e tornando-se mais fáceis de memorizar por serem menos restritivas na sua composição.

Fazendo um teste com um Password Checker, comparando uma Password com todas as recomendações de segurança referidas e uma Passphrase simples, apenas com minúsculas e utilizando palavras de dicionário, poderemos verificar que a segunda é virtualmente impossível de descodificar por brute-force enquanto a primeira levaria menos de 2 anos. Este exemplo torna claro que o número de caracteres, mais que a complexidade na conjugação destes, tornam a encriptação contra ataques brute-force mais eficazes.

Além dos brute-force attacks os hackers recorrem também ao que se denomina por dictionary attacks. A maioria das Passwords compostas por palavas de dicionário são geralmente constituídas por uma a duas palavras, tornando-as muito vulneráveis a este tipo de ataque, enquanto a Passphrase tem pelo menos cinco palavras o que torna o número de combinações infinito e praticamente impossível de descodificar.

A necessidade de utilizar mais caracteres nas Passphrase também leva a que os utilizadores não utilizem simplesmente dados pessoais, como datas de nascimento ou o nome de um animal de estimação, porque são obrigados a utilizar outros elementos de discurso para elaborar uma frase. É também este aspeto que as torna mais fáceis de memorizar porque decoramos com maior facilidade uma frase que faça sentido que um conjunto de caracteres mais ou menos aleatórios.

Se pegarmos na frase "Eu estudei em Londres durante 5 anos" podemos transformá-la na Password "EeeLd5a." reunindo todos os requisitos de segurança e mesmo assim será vulnerável a ataques brute-force, enquanto a Passphrase "EuestudeiemLondresdurante5anos" é indecifrável. A diferença reside simplesmente no número de caracteres e nas combinações possíveis com as palavras que a compõem. Esta simplicidade torna a implementação deste mecanismo mais simples e mais fácil de utilizar porque não cria regras diferentes de site para site.

Para passarmos a utilizar o Passphrase primeiro devemos substituir a designação. O termo Password dá aos utilizadores a ideia de que eles devem usar uma palavra o que não é seguro. A designação Passphrase tem implícita a necessidade de inserir uma frase e não apenas palavras ou caracteres soltos e sem sentido. Em seguida será necessário alterar as regras para criação da Passphrase, aumentado o limite de caracteres aceites de 8 para 16 (mínimo), indicando ainda que é necessário inserir pelo menos uma maiúscula e um algarismo. Os utilizadores estão habituados a estas regras de utilização mas devemos mostrar-lhe que a Passphrase é diferente e mais segura, colocando uma nota junto do campo de input ou um pop-up ao passar sobre a designação. É importante não obrigar o utilizador a contar os caracteres pelo que o input deve dar indicação que os dados inseridos já reúnem os requisitos necessários.

Esta pequena mudança vai tornar os acessos mais seguros e ao mesmo tempo melhorar a usabilidade do site fazendo com que o utilizador não esqueça a sua Passphrase nem tenha de a guardar num ficheiro ou aplicação que depois não consegue encontrar ou aceder.

Jorge Mendes