Por que reutilizar palavras-passe é um problema?
Reutilizar a mesma palavra-passe em várias contas é conveniente, mas cria uma ligação entre essas contas. Se alguém obtiver a sua palavra-passe através de um serviço, poderá tentar utilizar essa mesma palavra-passe noutros sites.
Isto significa que um incidente de segurança que envolva uma conta pode potencialmente colocar várias outras contas em risco.
Utilizar uma palavra-passe diferente para cada conta importante elimina essa ligação direta.
Como acontece a reutilização de palavras-passe?
A reutilização de palavras-passe é compreensível. A maioria das pessoas tem várias contas online, e memorizar uma palavra-passe complexa e diferente para cada serviço pode ser difícil.
Alguém pode criar uma palavra-passe e utilizá-la no e-mail, em compras online, nas redes sociais, no entretenimento e noutros sites. Outra abordagem comum consiste em criar uma palavra-passe básica e fazer pequenas alterações para diferentes contas.
Infelizmente, estas variações podem continuar a deixar as contas ligadas se um atacante conseguir determinar o padrão subjacente.
O que é credential stuffing?
Credential stuffing é uma técnica de ataque em que os atacantes utilizam nomes de utilizador e palavras-passe obtidos de uma fonte e tentam utilizar essas credenciais para aceder a contas noutros serviços.
Esta técnica tira partido da reutilização de palavras-passe. Se uma palavra-passe exposta numa violação de dados também for utilizada noutro site, a segunda conta pode tornar-se um alvo.
Os atacantes não precisam necessariamente de saber quais os sites que uma pessoa utiliza. Ferramentas automatizadas podem testar grandes quantidades de credenciais roubadas noutros serviços online.
Uma palavra-passe deve proteger uma única conta
Um princípio simples de segurança consiste em utilizar uma palavra-passe exclusiva para cada conta.
Se uma palavra-passe individual for exposta, o potencial impacto fica limitado à conta associada a essa palavra-passe, em vez de se estender automaticamente a todas as outras contas que utilizem as mesmas credenciais.
Isto é particularmente importante para contas que permitem o acesso a outros serviços, como a sua conta de e-mail principal.
Por que a sua conta de e-mail é especialmente importante
A sua conta de e-mail principal pode estar ligada a muitos outros serviços online. Pode ser utilizada para redefinir palavras-passe, receber notificações de segurança e verificar a sua identidade.
Reutilizar a palavra-passe do seu e-mail noutros serviços pode, portanto, criar riscos adicionais. Uma palavra-passe obtida através de um serviço não relacionado pode potencialmente ser testada na sua conta de e-mail.
Utilizar uma palavra-passe exclusiva para a sua conta de e-mail é uma parte importante de manter as suas contas online separadas umas das outras.
Mudar um único carácter não é suficiente
Algumas pessoas evitam reutilizar exatamente a mesma palavra-passe criando versões ligeiramente diferentes da mesma palavra-passe.
Por exemplo, alguém pode utilizar uma palavra-passe num site e alterar um número ou acrescentar o nome do serviço para outro site.
Embora estas palavras-passe sejam tecnicamente diferentes, padrões previsíveis podem continuar a torná-las mais fáceis de adivinhar se uma das palavras-passe originais se tornar conhecida.
Palavras-passe verdadeiramente exclusivas não devem ser simplesmente variações da mesma palavra-passe subjacente.
O que torna uma boa palavra-passe exclusiva?
Uma boa palavra-passe de conta deve ser suficientemente longa, difícil de adivinhar e exclusiva dessa conta.
Evite utilizar:
- Palavras comuns ou palavras-passe comuns
- Informações pessoais
- Sequências previsíveis
- A mesma palavra-passe utilizada noutro site
- Variações simples de outra palavra-passe
As palavras-passe geradas aleatoriamente podem ser particularmente úteis porque não precisam de ser memorizadas quando um gestor de palavras-passe as guarda por si.
Por que é tão difícil gerir palavras-passe exclusivas?
O problema normalmente não é compreender que as palavras-passe devem ser exclusivas. O desafio é lembrar-se de todas.
Se tiver dezenas de contas online, criar uma palavra-passe forte e diferente para cada conta e memorizar todas manualmente é pouco prático.
Esta é uma das principais razões pelas quais existem gestores de palavras-passe.
Como um gestor de palavras-passe ajuda
Um gestor de palavras-passe permite-lhe guardar uma palavra-passe diferente para cada conta sem ter de memorizar todas as palavras-passe.
Em vez de memorizar dezenas de credenciais, normalmente só precisa de se lembrar da palavra-passe utilizada para desbloquear o seu cofre de palavras-passe.
Muitos gestores de palavras-passe também podem gerar palavras-passe aleatórias para novas contas, facilitando a criação de credenciais exclusivas sem ter de as inventar.
E se uma das suas palavras-passe for exposta numa violação?
Se um serviço que utiliza sofrer uma violação de dados e a sua palavra-passe for exposta, deve alterá-la assim que for possível e seguir todas as orientações de segurança fornecidas pelo serviço afetado.
Se tiver reutilizado essa mesma palavra-passe noutros sites, essas contas também devem ser consideradas potencialmente afetadas. Altere também a palavra-passe reutilizada nesses serviços e substitua-a por uma palavra-passe exclusiva.
Se cada conta já utilizar uma palavra-passe diferente, uma palavra-passe comprometida não fornece automaticamente as mesmas credenciais para as suas outras contas.
Deve alterar todas as palavras-passe regularmente?
Alterar regularmente todas as palavras-passe simplesmente porque passou algum tempo não é necessariamente a abordagem mais útil quando as palavras-passe já são fortes e exclusivas.
Em vez disso, preste especial atenção às situações em que uma palavra-passe possa ter sido exposta, comprometida ou reutilizada.
Quando se sabe ou suspeita que uma palavra-passe foi comprometida, é importante alterá-la rapidamente.
E quanto às passkeys?
As palavras-passe não são a única forma de autenticar-se em serviços online. Alguns sites e aplicações já suportam passkeys (chaves de acesso), que utilizam credenciais criptográficas em vez de palavras-passe tradicionais.
As passkeys podem reduzir ou eliminar alguns dos problemas associados à reutilização de palavras-passe, porque foram concebidas de forma diferente das palavras-passe tradicionais.
No entanto, as palavras-passe continuam a ser amplamente utilizadas, e boas práticas de segurança continuam a ser relevantes para os muitos serviços que dependem delas.
KeenPassword Vault
O KeenPassword Vault inclui um gerador de palavras-passe integrado que pode criar palavras-passe exclusivas para as suas contas. As palavras-passe geradas podem depois ser guardadas no seu cofre encriptado local.
Como as palavras-passe são guardadas no cofre, não precisa de memorizar cada palavra-passe individual. Só precisa de se lembrar da palavra-passe principal utilizada para desbloquear o seu cofre.
O KeenPassword Vault funciona totalmente offline e mantém o seu cofre encriptado guardado localmente no seu computador Windows. Não requer uma conta online nem sincronização com a nuvem.
Considerações finais
Reutilizar palavras-passe cria uma ligação entre as suas contas. Se uma palavra-passe reutilizada for exposta, os atacantes podem tentar utilizá-la noutros serviços onde utilize as mesmas credenciais.
Utilizar uma palavra-passe exclusiva para cada conta ajuda a evitar que uma única palavra-passe comprometida se torne automaticamente a chave para outras contas.
O desafio é lembrar-se de todas essas palavras-passe exclusivas. Um gestor de palavras-passe resolve esse problema ao guardar as suas credenciais de forma segura e permitir-lhe utilizar palavras-passe fortes e exclusivas sem ter de memorizar cada uma delas.