Troque senhas por passphrases: entropia e segurança
O velho conselho de “misture maiúsculas, números e símbolos” está ficando para trás. A orientação atual prioriza comprimento e entropia: passphrases (frases-seguras) com 3 ou 4 palavras aleatórias são mais fáceis de lembrar e muito mais difíceis de quebrar via força bruta. Este artigo explica o porquê, como implantar a mudança sem fricção e quais políticas aplicar no Active Directory e no Azure AD — alinhado ao NIST 800-63B e a evidências recentes sobre tempo de quebra de senhas.
Tabela de conteúdos
A matemática que importa: entropia e combinações
Quando atacantes obtêm hashes de senha, eles tentam adivinhar o segredo correto calculando milhões (ou bilhões) de hashes por segundo com GPUs. O que determina o tempo de quebra é o número de combinações possíveis. Uma senha “complexa” de 8 caracteres (ex.: P@ssw0rd!) tem cerca de 218 trilhões de combinações — o que hoje pode ser testado em meses. Agora, aumente para 16 caracteres apenas em minúsculas: são 26^16 possibilidades, bilhões de vezes mais difíceis de explorar. Em termos práticos, comprimento supera truques de complexidade.
Esse é o conceito de entropia efetiva: a aleatoriedade que o atacante precisa percorrer. Quatro palavras comuns e aleatórias (por exemplo, “tapete-estática-pretzel-invocar”) oferecem muito mais entropia do que empilhar símbolos em cadeias curtas — e são memorizáveis. Para uma visão atualizada de tempos de quebra, consulte esta análise de referência: Hive Systems.
Por que passphrases vencem na prática
- Menos resets e tickets. Memorizáveis, reduzem anotações inseguras e variações recicladas. O help desk agradece.
- Maior resistência a ataques. Patterns previsíveis (substituir “a” por “@”, “o” por “0”) são explorados em ataques de dicionário. Passphrases aleatórias contornam esses padrões.
- Alinhadas ao NIST 800-63B. A orientação moderna prioriza comprimento e bloqueio de credenciais vazadas em vez de regras rígidas de complexidade.
Regra de ouro para o usuário
Escolha 3–4 palavras comuns e sem relação + um separador. Evite letras de músicas, nomes próprios ou frases famosas. Nunca reutilize entre contas.
Exemplos: manga-geleira-notebook-fornalha ou grilo.rodovia.mostarda.piano. Sem teatro de complexidade: apenas comprimento e aleatoriedade.
Como implantar sem caos
- Piloto controlado. Selecione 50–100 pessoas de áreas diferentes. Entregue a diretriz de passphrases e monitore (sem impor) por duas semanas para observar padrões.
- Modo aviso (warn-only). Mostre alertas quando a passphrase for fraca ou comprometida, sem bloquear. Eleva a consciência sem criar gargalo no suporte.
- Meça e só então imponha. Acompanhe: taxa de adoção, redução de resets, incidência em lista banida, pontos de fricção reportados.
“Comprimento mínimo elevado e checagem contra senhas comprometidas oferecem mais segurança com menos fricção do que regras de complexidade.”
Diretriz inspirada no NIST 800-63B
Política de senhas para a era das passphrases
- Aumente o mínimo de caracteres. De 8 para 14+. Passphrases encaixam naturalmente nesse patamar.
- Abandone regras rígidas de complexidade. Maiúsculas, números e símbolos não substituem comprimento.
- Bloqueie credenciais vazadas. Não negociável. Compare em tempo real com listas de senhas comprometidas.
Durante a transição, o SSPR (self-service password reset) reduz carga no suporte, e auditoria de senhas revela contas que ainda usam segredos curtos ou padronizados. Soluções como o Specops Password Policy ajustam mínimos, bloqueiam bilhões de senhas vazadas e integram-se ao SSPR, sincronizando com Active Directory e Azure AD com atualizações diárias de listas banidas.
| Tipo | Comprimento | Combinações | Risco prático |
|---|---|---|---|
| Senha “complexa” curta | 8 | ~218 trilhões | Quebrável em meses via GPU |
| Passphrase simples (minúsculas) | 16 | 26^16 | Bilhões de vezes mais difícil |
Como fica no dia a dia
Suponha um mínimo de 15 caracteres e fim das regras de complexidade. No próximo ciclo, um usuário cria guarda-chuva-porte-cascata-esboço. A política verifica contra base de credenciais vazadas: está limpo. Seis meses depois, sem chamado de reset, sem post-it e sem tropeçar em símbolos. Nada revolucionário — apenas simples e eficaz.
A segurança que realmente importa
Passphrases não são bala de prata. MFA continua essencial, assim como monitoramento de credenciais comprometidas e higiene de identidade. Mas, se você vai investir em política de senhas, invista no que realmente dificulta o atacante: mínimos mais longos, regras mais simples e bloqueio de senhas vazadas.
Passphrase é melhor que senha complexa?
Sim. Resposta direta: passphrases longas têm mais entropia. Passphrases com 3–4 palavras aleatórias geram espaço de busca muito maior que senhas curtas com símbolos, reduzindo a eficácia de força bruta e ataques de dicionário. Estudos como Hive Systems indicam tempos de quebra significativamente maiores. Validação: NIST 800-63B incentiva comprimento e bloqueio de senhas comprometidas.
Qual tamanho mínimo recomendado hoje?
14–16 caracteres como base. Eleve o mínimo para 14+ (ou 15) e aceite frases-seguras. Isso equilibra segurança e usabilidade para AD/Azure AD. Validação: práticas inspiradas no NIST 800-63B e em benchmarks de tempo de quebra publicados.
Devo manter regras de maiúsculas e símbolos?
Não necessariamente. Priorize comprimento com palavras aleatórias e bloqueio de credenciais vazadas. Regras de complexidade isoladas têm retorno decrescente. Validação: recomendações modernas de identidade e orientação alinhada ao NIST.
Como evitar passphrases fracas?
Use palavras não relacionadas e evite trechos de músicas, citações e nomes próprios. Cheque em tempo real contra listas banidas e conjuntos vazados. Validação: políticas com blocklist atualizada e auditorias regulares de senha.
Passphrase substitui MFA?
Não. MFA permanece essencial. Passphrases elevam a barreira de quebra de hash, mas MFA cobre phishing, sequestro de sessão e outras técnicas. Validação: boas práticas de Zero Trust e guias de identidade corporativa.
Considerações finais
Trocar “senhas complexas” por passphrases longas é uma evolução baseada em dados: aumenta a entropia efetiva, reduz chamados de suporte e alinha sua organização a referências como o NIST 800-63B. Combine essa mudança com MFA, SSPR, auditoria contínua e bloqueio de credenciais vazadas para obter segurança real sem sacrificar a experiência do usuário.
