Gerador de frase-senha

Como funciona a força de uma frase-senha

A força é medida em bits de entropia: o logaritmo na base 2 de quantas frases igualmente prováveis poderiam ter sido geradas. Cada palavra aleatória tirada de uma lista de N palavras acrescenta log2(N) bits, e você multiplica isso pelo número de palavras para obter o total. Lista de palavras maior, mais palavras, mais entropia.

A lista de palavras deste gerador

Esta ferramenta usa uma lista integrada compacta de palavras em inglês comuns (cerca de 90), então cada palavra acrescenta cerca de 6,5 bits. Uma frase de 5 palavras fica, portanto, em torno de 33 bits, e o número opcional de dois dígitos acrescenta mais uns 6. Isso serve para logins memorizáveis e de baixo risco, mas fica bem abaixo do que você precisa para uma senha mestra. Para segredos de alto valor, use mais palavras, combine a frase com um gerenciador de senhas e prefira uma lista Diceware completa.

Listas de palavras de referência e sua entropia

Usando uma lista Diceware completa de 7.776 palavras (12,9 bits por palavra):

• 4 palavras ≈ 51,6 bits (modesta)
• 6 palavras ≈ 77,4 bits (forte)
• 8 palavras ≈ 103,2 bits (nível de senha mestra)

Como a entropia se compara ao esforço de quebra

• 50 bits: resiste à maioria dos ataques online; quebrável offline por um adversário motivado em alguns meses.
• 70 bits: resiste à quebra offline com o hardware atual por anos.
• 90 bits: além da capacidade de quebra em massa atual no futuro previsível.
• 120 bits: supera a segurança das chaves AES-128, geradas a partir de 128 bits de aleatoriedade.

Por que palavras aleatórias vencem uma senha curta “complicada”

Uma senha de 10 caracteres misturados como Xp!9k@Lm3* tem cerca de 66 bits de entropia se for realmente aleatória. Uma frase de 6 palavras como correct-horse-battery-staple-pine-kelp de uma lista Diceware completa tem 77 bits. A frase é mais forte, mais fácil de digitar e mais fácil de lembrar. A famosa tirinha do xkcd explica a intuição: os humanos são péssimos para gerar entropia à mão, então produzimos senhas “complicadas” e previsíveis que os crackers já viram milhões de vezes.

Dicas

• Memorize as duas ou três primeiras palavras por imagens. Construa uma imagem mental esquisita ligando as palavras. O resto vem em seguida.
• Não a reutilize entre contas. Uma frase-senha é tão segura quanto o site mais fraco que a armazena. Use um gerenciador e frases únicas para cada login.
• O número acrescentado ajuda só um pouco. Adicionar dois dígitos eleva a entropia em cerca de 6 bits; não substitui acrescentar mais palavras.
• Trate as frases-senha mestras de outro jeito. Para as senhas mestras de um gerenciador e para a criptografia de disco, use 7 palavras ou mais de uma lista Diceware completa, não a integrada compacta.

O que não ajuda

• Deixar letras aleatórias em maiúscula. Acrescenta entropia insignificante e prejudica a memorização.
• Adicionar um único símbolo. Acrescenta uns poucos bits apenas se a posição dele também for aleatória. Quase não vale a pena.
• Trocar letras por números (“p@ssw0rd”). As ferramentas de quebra lidam com essas trocas desde os anos 2000. Nenhuma melhoria real.