A lógica por trás de três palavras aleatórias

Views: 484
0 0
Read Time:6 Minute, 33 Second

Uma das páginas mais populares no site da NCSC, quase 5 anos após sua primeira publicação, é ‘Três palavras aleatórias ou #thinkrandom‘. Explica como – combinando três palavras aleatórias – você pode criar uma senha que seja ‘aleatória o suficiente’ para manter os bandidos fora, mas também ‘fácil o suficiente’ para você lembrar.

Neste blog, vamos:

  • explique por que o NCSC continua promovendo a estratégia de ‘três palavras aleatórias’ (tanto em casa quanto no trabalho)
  • responda a algumas preocupações levantadas pelos clientes da NCSC que podem estar considerando essa estratégia

Os problemas dos requisitos de complexidade

Cobrimos, longamente, como impor requisitos de complexidade é uma defesa ruim contra ataques de adivinhação. Nossas mentes lutam para lembrar cadeias de caracteres aleatórias, então usamos padrões previsíveis (como substituir a letra ‘o’ por um zero) para atender aos critérios de ‘complexidade’ necessários.

Claro, os atacantes estão familiarizados com essas estratégias e usam esse conhecimento para otimizar seus ataques. Contraintuitivamente, a aplicação desses requisitos de complexidade resulta na criação de senhas mais previsíveis. Diante de criar mais uma senha com requisitos específicos, os usuários recorrem às variações de algo que já conhecem e usam, acreditando falsamente que é forte porque satisfaz os medidores de força da senha (e é aceito pelos serviços on-line).

Nada disso é ajudado por:

  1. Conselhos de longa data (e ruins) de que as senhas precisam ser memorizadas, e armazená-las de qualquer maneira (seja em um gerenciador de senhas, um navegador ou em um pedaço de papel) é arriscado.
  2. A baixa absorção contínua de gerenciadores de senhas para armazenar e gerar senhas (o NCSC incentiva organizações e indivíduos a usar gerenciadores de senhas há algum tempo).

Para ser absolutamente claro, há várias maneiras de armazenar com segurança suas senhas, em um gerenciador de senhas, navegador ou em um pedaço de papel, portanto, lembrá-las não é mais um problema*.


Por que três palavras aleatórias?

O conselho tradicional de senha construído em torno da ‘complexidade da senha’ falhou porque nos disse para fazer coisas que a maioria de nós simplesmente não pode fazer (ou seja, memorizar muitas senhas longas e complexas).

As senhas geradas a partir de três palavras aleatórias ajudam os usuários a criar senhas exclusivas que são fortes o suficiente para muitos propósitos e podem ser lembradas com muito mais facilidade. Isso também é bom para aqueles que não estão cientes dos gerenciadores de senhas ou estão relutantes em usá-los. No entanto, existem várias outras razões pelas quais o NCSC escolheu a estratégia de três palavras aleatórias.

  1. 1ComprimentoAs senhas feitas a partir de várias palavras geralmente serão mais longas do que as senhas feitas a partir de uma única palavra. O comprimento é um requisito comum (e recomendado) para senhas, e promover o uso de uma ‘senha’ criada combinando palavras fornece uma maneira de conseguir isso sem depender de padrões previsíveis (como a adição de ! no final de uma senha).
  2. 2ImpactoPara ter um impacto significativo, o NCSC precisava ser capaz de promover uma técnica em diferentes mídias, de uma maneira que pudesse ser rapidamente compreendida na maioria dos contextos. ‘Três palavras aleatórias’ contém todas as informações essenciais do título e pode ser rapidamente explicada, mesmo para aqueles que não se consideram especialistas em informática.
  3. 3NovidadeA senha estereotipada é uma única palavra ou nome de dicionário, com substituições de caracteres previsíveis. Ao recomendar várias palavras, desafiamos imediatamente essa percepção e incentivamos uma variedade de senhas que não foram consideradas anteriormente.
  4. 4UsabilidadeO principal problema com a aplicação dos requisitos de complexidade é que é difícil para os usuários gerarlembrar inserir senhas complexas corretamente sem esforço substancial, o que incentiva ainda mais a reutilização de senhas. O poder de três palavras aleatórias está em sua usabilidade, porque a segurança que não é utilizável não funciona.

Respondendo a preocupações

Agradecemos que alguns proprietários de sistemas possam ter preocupações usando a técnica de três palavras aleatórias em detrimento de outras. Pode não ser necessário em todas as organizações. Por exemplo, alguns já estarão usando boas estratégias para criar senhas fortes e exclusivas, e outros ficarão desconfortáveis em mudar para um modelo tão diferente do que usam atualmente.

No entanto, se você não estiver usando ‘três palavras aleatórias’ por qualquer um dos seguintes motivos, considere adotá-lo.

1. ‘Existem algoritmos de pesquisa otimizados para três palavras aleatórias’

Isso é verdade, mas também existem algoritmos de pesquisa otimizados para senhas ‘complexas’ geradas por humanos (de longe o tipo mais comum em uso atualmente). Houve muitas tentativas de mostrar qual desses algoritmos seria mais rápido em descobrir senhas complexas geradas por humanos ou três senhas de palavras aleatórias, com o ‘vencedor’ dependendo das suposições feitas sobre o comportamento das pessoas. Mas, em última análise, não importa.

Para poder obter uma vantagem de qualquer algoritmo otimizado, você precisa saber qual algoritmo usar. Então, dado um grande banco de dados onde todos estão usando maneiras diferentes de gerar suas senhas, a eficácia de qualquer algoritmo otimizado é reduzida. No mundo real, isso significa que o atacante deve tentar vários algoritmos, o que é mais difícil (e leva mais tempo) do que tentar apenas um.

Algumas pessoas comparam senhas de ‘três palavras aleatórias’ com as ‘senhas aleatórias criadas por gerenciadores de senhas’. Estes últimos são mais fortes do que ‘três palavras aleatórias’ ou ‘senhas complexas geradas por humanos’. No entanto, esta não é atualmente uma comparação útil a ser feita, pois ainda há uma absorção muito baixa de gerenciadores de senhas. Esperamos que mais pessoas adotem gerenciadores de senhas e isso também aumentará a diversidade de senhas.

2. ‘Três palavras aleatórias gerarão senhas ‘fracas’, como as que aparecem em listas de senhas comuns’

Existem muitas senhas comuns que estão em conformidade com os requisitos de complexidade. Por exemplo, ‘Pa55word!’ pode seguir os requisitos de complexidade de um site ou serviço, mas é uma senha ruim, pois é bastante adivinhezível. Da mesma forma, existem senhas complexas exclusivas (geradas usando três palavras aleatórias) que não seriam permitidas. Os requisitos de complexidade por si só são um instrumento contundente; para fornecer uma remoção mais direcionada de senhas fracas, o NCSC recomenda um requisito de comprimento mínimo combinado com a aplicação de listas de negação de senha.

3. ‘As pessoas terão dificuldade em lembrar senhas feitas a partir de três palavras aleatórias para várias contas’

Como discutimos, para criar senhas que atendam aos requisitos de complexidade, usamos mecanismos de enfrentamento (que são bem conhecidos pelos criminosos cibernéticos). Adotar três palavras aleatórias não é uma panacéia que resolve a questão de lembrar muitas senhas em um único golpe, e esperamos que ela seja usada junto com armazenamento seguro.


Rumo à ‘diversidade de senhas’

Para dificultar os atacantes, precisamos aumentar a diversidade do uso de senhas. Isso significa reduzir o número de senhas detectáveis por algoritmos de pesquisa baratos e eficientes, forçando um invasor a executar vários algoritmos de pesquisa (ou usar algoritmos ineficientes) para recuperar um número útil de senhas.

Atualmente, os requisitos de complexidade estão trabalhando ativamente contra a diversidade de senhas (por todos os motivos mencionados acima). Isso levou à convergência nas estratégias e a uma redução na diversidade de senhas. Para aumentar a diversidade, precisamos incentivar as pessoas a usar outras estratégias de construção de senhas (como ‘três palavras aleatórias’), que usam comprimento em vez de conjuntos de caracteres para alcançar a força desejada. Isso efetivamente incentiva a adoção de senhas que não são usadas no momento, aumentando a diversidade de senhas no ecossistema.

Enquanto isso, esperamos que esforços mais amplos em todo o setor de tecnologia para reduzir nossa dependência de senhas a longo prazo dêem frutos antes que a convergência se torne um problema para três palavras aleatórias.

FONTE: NCSC

POSTS RELACIONADOS