Entropia de palavras-passe explicada: bits, comprimento e quanto tempo leva a quebrar

O que um bit de entropia realmente significa

A entropia conta quantas possibilidades igualmente prováveis uma palavra-passe poderia ter tido, numa escala logarítmica. Um bit significa duas possibilidades, dois bits significam quatro, dez bits significam 1024. Como a escala é logarítmica, acrescentar um único bit duplica o espaço de procura que um atacante tem de percorrer. Uma palavra-passe de 40 bits esconde-se entre cerca de um bilião de candidatos, enquanto 60 bits chega ao trilião.

A fórmula só vale quando a palavra-passe é escolhida ao acaso. Se for uma pessoa a escolhê-la, a entropia real desaba, porque as pessoas preferem nomes, datas e substituições previsíveis como um zero pela letra O. Uma ferramenta estima a entropia a partir do conjunto de caracteres e do comprimento, mas esse número é um limite superior: pressupõe que cada posição foi sorteada de forma independente, que é exatamente o que faz um gestor de palavras-passe e não faz uma pessoa cansada.

O comprimento vence a complexidade

Acrescentar um tipo de carácter alarga o alfabeto, mas apenas uma vez. Passar de minúsculas (26 símbolos) para minúsculas mais dígitos (36) e depois para um conjunto misto de 94 símbolos imprimíveis eleva a entropia por carácter de cerca de 4,7 bits para 5,2 e para 6,6. Em contrapartida, acrescentar mais um carácter soma esses bits outra vez por cada posição extra. Doze minúsculas aleatórias carregam mais entropia do que oito caracteres do conjunto completo.

É por isso que as frases-passe funcionam. Quatro palavras aleatórias de uma lista de 7776 palavras carregam cerca de 51 bits, aproximadamente a força de uma sopa de 10 símbolos, e são muito mais fáceis de escrever e memorizar. A lição: alongar primeiro e só alargar o alfabeto quando o comprimento se esgotar, pois o comprimento acumula-se enquanto as mudanças de alfabeto não.

Dos bits ao tempo de quebra

Para converter a entropia em tempo, divida o número de possibilidades pela taxa de tentativas do atacante. Uma máquina de GPU de gama média consegue testar milhares de milhões de tentativas por segundo contra um hash rápido, por isso uma palavra-passe de 44 bits, cerca de 17 biliões de combinações, cai em horas. Acrescente 20 bits até 64 e a mesma máquina precisa de milhares de anos, porque esses 20 bits multiplicam o trabalho por cerca de um milhão. É por isso que pequenos aumentos de comprimento produzem saltos enormes de segurança.

O tempo de quebra também depende de como a palavra-passe é armazenada. Um hash lento e com sal como bcrypt ou Argon2 limita de propósito a taxa de tentativas a milhares por segundo, comprando uma margem enorme. Uma base vazada que usou um hash rápido sem sal não oferece tal proteção, por isso a mesma palavra-passe que parece segura num sistema é trivial noutro. Trate as estimativas de tempo de quebra como os piores casos offline e escolha um comprimento que os resista.

Perguntas frequentes

Quantos bits de entropia bastam?

Para contas protegidas por um hash lento e limitação de tentativas, 60 a 70 bits são confortáveis. Para segredos de alto valor ou exposição a um hash rápido, aponte a 80 bits ou mais, o que costuma implicar uma frase-passe longa e aleatória ou uma cadeia gerada por um gestor.

Acrescentar símbolos ajuda mesmo menos do que o comprimento?

Sim. Alargar o alfabeto eleva a entropia por carácter uma só vez, enquanto cada carácter adicional soma entropia vezes sem conta. Para além de um conjunto misto, mais um carácter costuma vencer mais um tipo de símbolo.

Uma palavra-passe reutilizada em vários sites continua segura se tiver alta entropia?

Não. A entropia protege contra a adivinhação, não contra a reutilização. Se um sítio deixar escapar a palavra-passe em texto simples ou num hash fraco, os atacantes experimentam-na em todo o lado. Use uma palavra-passe única de alta entropia por sítio.

Porque é que um verificador classifica a minha palavra-passe esperta como fraca?

Bons verificadores modelam os hábitos humanos, por isso descontam palavras de dicionário, padrões de teclado e substituições leet previsíveis. A sua palavra-passe pode ser longa, mas se a estrutura for adivinhável a entropia efetiva fica muito abaixo do máximo teórico.