Gere senhas fortes e aleatórias

Entropia: como a força é medida

Aqui, força é entropia, medida em bits. Para uma senha aleatória, a conta é simples: o comprimento vezes o log2 do número de caracteres possíveis. Cada bit a mais dobra o número de tentativas necessárias para testar todas as opções.

Com os quatro conjuntos ativados e os parecidos de fora, sobram 81 caracteres, cerca de 6,34 bits cada. O Octoolo classifica o resultado como Fraca abaixo de 50 bits, Razoável a partir de 50, Forte a partir de 75 e Excelente a partir de 100.

Comprimento ajuda mais que variedade. Acrescentar símbolos a uma senha de 16 caracteres ganha uns 8 bits; deixá-la quatro caracteres mais longa ganha uns 25. E a conta só vale para senhas escolhidas ao acaso. Uma senha inventada por uma pessoa, como Brasil2024!, tem uma fração da entropia que o comprimento sugere, porque os atacantes testam esses padrões primeiro.

Aleatório do jeito certo

Dois detalhes separam um bom gerador de um fraco, e nenhum deles aparece no resultado.

• A fonte aleatória. O Octoolo usa o crypto.getRandomValues, o gerador aleatório criptográfico do motor web em que ele roda, o mesmo tipo usado para criar chaves de criptografia. Funções aleatórias comuns de muitas linguagens de programação ficam previsíveis depois que um atacante vê saída suficiente delas.
• Sem viés. Transformar um número aleatório num de 81 caracteres com um simples resto de divisão deixa alguns caracteres um pouco mais prováveis que outros. O Octoolo descarta os números aleatórios que causariam isso e sorteia de novo, então cada caractere do conjunto tem exatamente a mesma chance.

Uma coisa que ele não faz é obrigar cada tipo de caractere a aparecer em toda senha. Cada caractere é sorteado do conjunto inteiro, então uma senha pode sair sem número ou sem símbolo, com mais frequência quanto mais curta for. Se um site exige um de cada, gere algumas e pegue uma que sirva.

Como atender às regras dos sites

• Um símbolo foi recusado? O conjunto de símbolos é ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? / ~, e alguns sites rejeitam alguns deles. Desative !@# e acrescente dois ou três caracteres de comprimento para compensar a entropia.
• Limite de comprimento? Alguns sistemas antigos cortam senhas, às vezes sem avisar. Se uma senha nova não funcionar quando você entrar, defina um comprimento menor e tente de novo.
• Um PIN ou código numérico? Use só 0–9 e desative Sem caracteres parecidos, porque essa opção deixa de fora os números 0 e 1.
• Vai digitar numa TV ou num videogame? Letras e números sem os parecidos, e alguns caracteres a mais de comprimento, são mais fáceis de digitar com o controle.

Sejam quais forem as regras, use cada senha em uma conta só. Uma senha forte repetida em dois sites é tão segura quanto o site mais fraco.

Depois de gerar

Uma senha forte só ajuda se for exclusiva de uma conta e guardada num lugar seguro. Esse é o trabalho de um gerenciador de senhas, e o Octoolo tem um no app Senhas: o Gerenciador de senhas guarda seus logins num cofre criptografado no seu PC, e o gerador dele também cria frases-senha de 3 a 10 palavras, mais fáceis de digitar e de lembrar. Para saber se uma senha antiga apareceu num vazamento, use a verificação de senha vazada.

Uma observação sobre copiar: se o histórico da área de transferência do Windows (Win V) estiver ativado, tudo o que você copia, inclusive uma senha desta lista, fica nesse histórico até você limpar. O botão de copiar do próprio Gerenciador de senhas mantém os segredos fora do histórico e limpa a área de transferência depois de pouco tempo.