Quão forte é minha senha

A força de uma senha se resume em uma pergunta, quanto esforço custaria a um invasor adivinhá-la. Dois fatores dominam a resposta, o comprimento e a imprevisibilidade. O comprimento importa porque cada caractere a mais multiplica o número de combinações possíveis. A imprevisibilidade importa porque uma senha baseada em uma palavra, um nome ou uma data é testada muito antes do que uma sequência sem sentido. Uma senha curta é quebrada rápido mesmo com hardware modesto, enquanto uma longa e aleatória torna a tentativa tão cara em tempo de cálculo que deixa de ser viável. Entender esses dois fatores permite julgar qualquer senha sem precisar de uma ferramenta que a avalie por você.

Os especialistas medem a imprevisibilidade de uma senha com o conceito de entropia, expresso em bits. De forma simples, cada bit de entropia duplica o número de tentativas necessárias para adivinhar a chave. Uma senha com mais bits de entropia é exponencialmente mais difícil de quebrar. A entropia cresce com o comprimento e com o tamanho do conjunto de caracteres, mas despenca quando a senha segue um padrão ou contém palavras reais. Por isso uma sequência de doze caracteres aleatórios pode ter uma entropia real muito maior do que uma de vinte formada por uma frase com sentido. Não é preciso calcular a entropia à mão, basta lembrar que comprimento e aleatoriedade são as duas alavancas que a elevam.

Muitas páginas mostram um medidor de força enquanto você digita uma senha. É uma ajuda visual útil, mas convém encará-la com cautela. Esses medidores costumam se basear em regras aproximadas, como a presença de maiúsculas ou símbolos, e nem sempre detectam que uma senha segue um padrão conhecido. Uma chave pode parecer forte segundo o medidor e ser, na verdade, fraca se for uma variante de uma palavra comum. Se um medidor desse tipo funciona no seu navegador, ele avalia a senha no seu próprio dispositivo, não a envia a nenhum servidor. Ainda assim, não dependa só da barra colorida, mas dos princípios de comprimento e imprevisibilidade que de fato determinam a segurança real.

Certos erros enfraquecem uma senha por mais longa que pareça. O mais grave é a reutilização, pois um vazamento em um serviço expõe a mesma chave em todos os outros em que você a use. Outros erros frequentes são incluir dados pessoais, usar palavras de dicionário, recorrer a sequências do teclado como as primeiras letras de uma linha, ou aplicar substituições óbvias como trocar uma letra por um número parecido. Os invasores conhecem todos esses truques e os incorporam aos seus dicionários. Evitá-los é tão importante quanto alongar a senha. A forma mais confiável de escapar de todas essas falhas de uma vez é não criar a senha você mesmo, mas deixar que um gerador escolha cada caractere ao acaso.

Saber o que torna uma senha forte se traduz em algumas práticas concretas. Use senhas longas, de dezesseis caracteres ou mais sempre que possível, e realmente aleatórias. Atribua a cada conta uma chave única, para que um vazamento fique isolado. Guarde as suas senhas em um gerenciador, que permite lidar com muitas chaves diferentes sem memorizá-las, e ative a verificação em duas etapas nas contas importantes. Verifique de vez em quando se os seus endereços aparecem em vazamentos conhecidos e troque de imediato qualquer chave afetada. Com esses hábitos, a pergunta sobre quão forte é a sua senha deixa de gerar dúvidas, porque cada uma cumprirá, por concepção, os critérios que realmente importam.