7 regras essenciais de senha a serem seguidas em 2024, de acordo com especialistas em segurança

Procurando conselhos sobre como proteger sua casa e escritório contra ataques cibernéticos? Um bom lugar para começar é com as pessoas que fazem isso todos os dias em nome do governo dos Estados Unidos.

O pessoal do Instituto Nacional de Padrões e Tecnologia (NIST) criou uma página simples de Noções Básicas de Segurança Cibernética que resume as informações técnicas em suas Diretrizes de Identidade Digital de quatro volumes em um conjunto de diretrizes nítidas para proprietários e gerentes de pequenas empresas.

Além disso: Por que você deve desligar o telefone pelo menos uma vez por semana – de acordo com a NSA

(Para aqueles que desejam mergulhar no relatório completo, você encontrará alguns bons conselhos para profissionais de TI e prestadores de serviços na seção “Senhas” do Apêndice A. Este conteúdo será especialmente útil se você estiver tentando convencer seu departamento de TI departamento pare de forçar alterações regulares de senha.)

Para uma coleção de diretrizes mais simples e prática, experimente o site Secure Our World, administrado pela Cybersecurity & Infrastructure Security Agency (CISA). É direcionado a um público de consumidores sem formação técnica, o que o torna uma fonte sólida de informações que você pode compartilhar com amigos e familiares para ajudá-los a lidar com ameaças comuns.

Além disso: pare de pagar por software antivírus. Veja por que você não precisa disso

Analisei as versões mais recentes de todos esses documentos e compilei uma lista de sete regras a serem seguidas quando se trata de senhas.

1. Certifique-se de que todas as suas senhas sejam fortes o suficiente

O que torna uma senha forte?

• É longo o suficiente – um mínimo de 15 caracteres, usando as diretrizes mais recentes do NIST, com 64 caracteres como comprimento máximo razoável de senha.
• É aleatório, com uma mistura de letras maiúsculas e minúsculas, números e símbolos que não são encontrados em um dicionário e não incluem nenhuma parte do seu nome ou o nome do serviço que eles desbloqueiam.
• Não é fácil adivinhar.

De todos esses fatores, os especialistas concordam que o comprimento é o mais importante. Na verdade, os especialistas do NIST afirmam que análises recentes de bancos de dados de senhas violados mostram que ter uma senha mais longa é muito mais importante do que tentar torná-la complexa.

Além disso: Como criar uma chave de acesso para sua conta do Google

Frases secretas compostas por três ou mais palavras não relacionadas separadas por símbolos e números também podem ser eficazes.

2. Use um gerenciador de senhas

A pessoa média tem dezenas de senhas. Se você tem uma vida online ativa, pode ter centenas de credenciais. Nenhum ser humano consegue memorizar nem mesmo um punhado de senhas longas, aleatórias e exclusivas. Nem deveriam ser obrigados a fazê-lo! Instale um gerenciador de senhas em cada dispositivo e deixe-o cuidar do trabalho de criar senhas longas, exclusivas e impossíveis de adivinhar e salvá-las em um enclave criptografado e seguro.

Além disso: Os melhores gerenciadores de senhas de 2024: testados por especialistas

Tecnicamente, um caderno de papel e caneta pode fazer parte desse trabalho, embora com muito mais atrito. Um gerenciador de senhas baseado em software, entretanto, faz muito mais: cria instantaneamente senhas verdadeiramente aleatórias, salva suas credenciais em um banco de dados criptografado e sincroniza tudo em vários dispositivos.

A camada de proteção mais importante, porém, não é imediatamente óbvia. Seu gerenciador de senhas sabe quais domínios estão associados a um conjunto de credenciais salvo e não inserirá uma senha em um domínio que não esteja autorizado. Portanto, se um invasor habilidoso criar um e-mail de phishing que o faça pensar que é do seu banco ou corretora, e você clicar em um link que leva a um domínio falso, o gerenciador de senhas se recusará a inserir suas credenciais.

Esse passo forçará você a parar e olhar com mais atenção para a mensagem, que é o passo anti-phishing mais importante de todos.

3. Nunca reutilize uma senha

É um instinto humano natural ter um conjunto favorito de credenciais (nome de usuário e senha) que você reutiliza em vários sites. Sim, isso torna as coisas mais fáceis de lembrar, mas também garante que uma violação de dados em um site dará aos invasores acesso a esse conjunto de credenciais, que por sua vez tentarão em outros sites que não foram afetados pela violação.

Além disso: você tem um PC com Windows 10 que não pode ser atualizado? Você tem 5 opções antes que o suporte termine no próximo ano

Um bom gerenciador de senhas deve sinalizar senhas reutilizadas e oferecer-se para criar substituições fortes e exclusivas.

Observação: simplesmente colocar um ponto de exclamação ou um número no final da sua senha antiga não se qualifica como criação de uma nova senha. Nem criar uma nova variação de uma de suas senhas comumente usadas.

4. Evite dicas de senha

A ideia de uma dica de senha é que ela seja composta de alguma palavra, nome ou data que seja significativa para você. Por definição, esse tipo de senha é fácil de adivinhar, e adicionar uma dica de senha torna o trabalho ainda mais fácil para quem deseja invadir suas contas.

Além disso: você tem um problema no Windows que não consegue resolver? Experimente este truque definitivo para solução de problemas

Os especialistas do NIST são inflexíveis em seus conselhos: as pessoas que gerenciam serviços on-line seguros não devem absolutamente usar dicas de autenticação baseadas em conhecimento (por exemplo, “Qual era o nome do seu primeiro animal de estimação?”) ou perguntas de segurança.

A melhor dica de senha contém quatro palavras: “Verifique seu gerenciador de senhas”.

5. Altere as senhas padrão

Uma das maneiras mais insidiosas de os invasores invadirem uma rede doméstica ou empresarial é passar por um dispositivo dessa rede, usando vulnerabilidades em sua interface de gerenciamento. Esse poderia ser o seu roteador Wi-Fi, por exemplo, com sua senha padrão que geralmente é apenas senha. Câmeras baseadas em IP e campainhas instaladas como parte de um sistema de segurança residencial também são possíveis pontos de entrada.

Se você tiver algum desses dispositivos em sua rede, substitua as senhas padrão por credenciais mais robustas.

6. Use autenticação multifator sempre que possível

Não importa quão fortes você crie suas senhas e quão cuidadosamente você tente protegê-las de serem comprometidas, coisas acontecem. (Não é exatamente assim que a expressão funciona, mas é bastante próxima.)

Além disso: o que são chaves de acesso? Experimente a magia transformadora de não usar senha

A proteção mais eficaz, de longe, é garantir que ninguém possa fazer login em suas contas em um novo dispositivo, a menos que possa fornecer uma segunda forma de identificação, de preferência usando um aplicativo autenticador em um dispositivo que você possui. (Os códigos enviados para o seu telefone por SMS são uma opção aceitável, mas correm maior risco de serem controlados por um invasor determinado.)

Você não precisa usar 2FA para tudo, mas deve insistir em um segundo fator para serviços de alto valor, como e-mail e mensagens, mídias sociais, contas bancárias e corretores.

7. Não altere suas senhas a menos que seja necessário

Os especialistas concordam que não é necessário alterar as senhas regularmente. Na verdade, as organizações que exigem que os usuários alterem suas senhas sem motivo estão, na verdade, tornando suas redes menos seguro.

Por que? Porque as pessoas que são forçadas a alterar as senhas regularmente provavelmente escolherão senhas fracas e fáceis de adivinhar. Se você fez um trabalho sólido ao escolher uma senha forte e exclusiva, não há necessidade de alterá-la em circunstâncias normais.

Além disso: ainda tem um PC com Windows 10? Você tem 5 opções antes que o suporte termine no próximo ano

Então, quando deve você alterou sua senha?

Obviamente, você deve substituir uma senha se ela for inaceitavelmente fraca ou se for uma duplicata de uma que você usa em outro lugar. Você também deve alterar qualquer senha ao primeiro sinal de que ela foi comprometida devido a uma violação de dados.

Dito isto, se o seu departamento de TI ou serviço online insistir em forçar uma alteração de senha, você deve fazer o que eles dizem. Deixe seu gerenciador de senhas criar a senha mais longa e mais forte que atenda às suas demandas.

Este artigo foi publicado originalmente em 24 de julho de 2024 e atualizado pela última vez em 25 de outubro de 2024.