Gerador de senhas

Entropia por tamanho e conjunto de caracteres

O que entropia significa na prática

• 40 bits: hoje pode ser quebrada em dias com uma única GPU. Serve para contas descartáveis.
• 60 bits: resiste a ataques online, mas é vulnerável a quebra offline dedicada.
• 80 bits: forte contra quebra offline com o hardware atual.
• 100 bits: praticamente não vale o esforço de atacar até a computação quântica amadurecer.
• 128 bits: equivale à força de uma chave AES-128.

Para a maioria das contas online, 16 caracteres do conjunto completo (105 bits) são mais que suficientes. Contas bancárias, senha mestra do gerenciador, carteiras cripto e criptografia completa de disco merecem 20 caracteres ou mais.

Por que as classes de caracteres importam

Cada classe adiciona opções por caractere. Com 26 letras minúsculas, um caractere contribui com log₂(26) = 4,7 bits. Adicionar maiúsculas dá 52 caracteres e 5,7 bits por caractere. Adicionar dígitos dá 62 caracteres e 5,95 bits. Adicionar símbolos chega a 94 caracteres e 6,55 bits. Em 16 caracteres, essa diferença acumula cerca de 30 bits, a distância entre “dá para quebrar” e “não compensa tentar”.

Quando excluir caracteres ambíguos

Se a senha tiver que ser digitada da tela para um dispositivo sem copiar e colar, como instaladores em console, algumas carteiras de hardware ou uma senha lida em voz alta, excluir 0, O, 1, l e I evita erros de transcrição. O custo de entropia é pequeno, em geral 2-3 bits de mais de 80.

Fluxo com um gerenciador de senhas

1. Instale um gerenciador de senhas como Bitwarden, 1Password ou KeePass.
2. Defina uma frase-senha mestra forte com 6-8 palavras aleatórias. Use o gerador de frases-senha se quiser.
3. Use o gerador do gerenciador para cada site e aceite as configurações fortes padrão.
4. Nunca reutilize senhas entre sites, nem em contas que pareçam temporárias.
5. Ative 2FA em tudo que oferecer suporte.

Senhas digitadas manualmente devem ser raras: a senha mestra do gerenciador, criptografia completa de disco e talvez o login do computador de trabalho.

Coisas que não ajudam

• Trocar a cada 90 dias. Rotação forçada incentiva padrões previsíveis, como Verão2024 para Outono2024. A NIST SP 800-63B recomenda explicitamente evitar isso.
• Anotar em papel na carteira. É mais seguro do que reutilizar senhas fracas, mas pior do que usar um gerenciador de senhas.
• Perguntas de segurança com respostas reais. “Primeira escola” costuma ser fácil de descobrir por pesquisa. Gere respostas falsas aleatórias e salve no gerenciador.