Faça login no seu e-mail. Faça login no seu banco. Faça login no Facebook. Faça login na Amazon. Faça login na sua nuvem de fotos. Você consegue contar quantos aplicativos exigem uma senha regularmente? Pense também na sua conta de computador local. Em seguida, adicione seus compartilhamentos de rede de trabalho ou registros pessoais na escola. A lista cresce rapidamente.
Como você acompanha tudo isso?
A maioria das pessoas tenta alguns truques. Alguns trabalhos. Alguns são perigosos. Aqui está o que você pode ter tentado e por que provavelmente deveria parar.
Pare de usar esses métodos
Memorize tudo. Isso funciona se você fizer login diariamente. Ele falhará se você visitar um site apenas uma vez por mês. Esqueceu a senha? Você está bloqueado. Além disso, os cookies do navegador geralmente lembram sua sessão por dias. Talvez você não digite a senha manualmente todos os dias, mas ainda precisará saber se o cookie expirar.
Reutilize a mesma senha. É simples. É terrível para a segurança. Se um hacker quebrar seu nome de usuário e senha de uma conta, ele acessará seu banco, seu e-mail e suas redes sociais. Tudo isso. Uma chave abre todas as portas. Não faça isso.
Escreva no papel. Ideal apenas se você esconder o papel onde ninguém possa encontrá-lo. Se alguém encontrar a lista, você estará exposto. Se você perder os pedaços de papel, estará perdido. E atualizar a lista sempre que você altera uma senha? Essa é uma tarefa que você provavelmente irá pular.
Salve-o em um arquivo simples no seu dispositivo. Melhor que papel. Menos probabilidade de se perder em uma gaveta. Mas se o seu disco rígido falhar, o arquivo desaparecerá. Mais importante ainda, se o seu computador for hackeado, o arquivo ficará vulnerável. Os hackers adoram arquivos de texto simples. Você pode criptografar o arquivo para segurança extra. Isso torna este método semelhante à próxima opção.
Use um software de gerenciamento de senhas. Este é o utilitário que salva e recupera todas as suas senhas. Pode ser um aplicativo independente em seu computador ou um recurso integrado em outra ferramenta. Limita as rotas dos hackers aos seus dados. Ele adiciona recursos para organizar e recuperar informações. É o padrão por um motivo.
Neste artigo, detalhamos os tipos de software de gerenciamento de senhas. Analisamos benefícios e riscos. Examinamos aplicativos específicos no mercado e determinamos quais são confiáveis e quais são imprevisíveis. Mas primeiro, vamos ver como esse problema evoluiu.
História do problema de gerenciamento de senhas
Os primeiros computadores domésticos eram simples. Um computador. Um usuário. Sem internet. Uma única senha foi suficiente. Algumas pessoas colaram a senha em um post-it no monitor. Ninguém o encontrou, a menos que invadisse a casa.
Depois vieram as redes. De repente, você precisava de senhas para todos os sistemas da rede. As notas adesivas não cabiam mais no monitor. Anotá-los tornou-se arriscado. Você precisava de uma solução melhor.
Os designers de software criaram as primeiras ferramentas de gerenciamento de senhas. O objetivo era simples. Gerencie uma lista de contas com nomes de usuário e senhas. Proteja essa lista de hackers. Proteção necessária para funcionar no computador local e nas conexões de rede. À medida que os recursos evoluíram, essas ferramentas atenderam a necessidades de segurança mais complexas.
O problema explodiu com a World Wide Web na década de 1990. Cada site tinha seu próprio sistema de usuário. Alguns sites adicionaram limites para impedir softwares de adivinhação de senhas. Outros sites impunham regras estritas. O comprimento é importante. O conteúdo é importante. As regras variam de acordo com o site.
Um site exige caracteres especiais, como pontos de exclamação ou asteriscos. Outro site os rejeita totalmente. Você não pode usar a mesma senha em todos os lugares se as regras forem conflitantes. Você precisa de senhas exclusivas para cada plataforma.
A computação móvel tornou tudo pior. Os laptops permitem que você navegue na web de qualquer lugar. Mas também aumentam o risco de perda de dados devido a danos ou roubo. Adicione smartphones e tablets à mistura. Agora você gerencia senhas em vários dispositivos. Não apenas um ou dois.
As soluções atuais respondem aos desafios da web e dos dispositivos móveis. Eles se conectam a navegadores da web. Eles preenchem automaticamente os formulários de login quando você visita sites específicos. O problema não está diminuindo. A computação em nuvem substitui os serviços públicos locais. Os aplicativos da web estão aumentando. Você pode até encontrar o gerenciamento de senhas como um aplicativo da web.
Tipos e benefícios de software de gerenciamento de senhas
Nós avaliamos os desafios. Agora vamos dar uma olhada nos recursos básicos. Diferentes tipos de software oferecem benefícios diferentes. Alguns se concentram na segurança. Outros por conveniência. Compreender os tipos ajuda você a escolher a ferramenta certa.
O software de gerenciamento de senhas não serve apenas para economizar tempo. Trata-se de criar uma barreira entre seus dados confidenciais e possíveis invasores.
Examinaremos aplicações específicas a seguir. Classificaremos quais oferecem recursos e segurança. Quais merecem sua confiança? Quais são apenas propaganda de marketing? A resposta depende de suas necessidades. E sua tolerância ao risco.
Os desenvolvedores não chegaram a um acordo sobre um único modelo para gerenciadores de senhas. O debate gira em torno de onde os dados estão, quão firmemente estão bloqueados e quais ferramentas extras são incluídas para salvar ou recuperar credenciais. Em 2011, surgiram quatro arquétipos distintos. Cada um traz compensações específicas entre conveniência e exposição.
A ferramenta certa depende do seu modelo de ameaça. Se você nunca sai de casa, uma extensão do navegador é suficiente. Se você viaja com seu laptop, a criptografia de hardware pode valer a pena.
Gerenciadores integrados ao navegador
Sistemas operacionais, navegadores e suítes de segurança geralmente vêm com cofres integrados. Chrome, Firefox e Internet Explorer tiveram suas próprias implementações. O Norton 360 incorporou recursos de gerenciamento de identidade em seu conjunto de segurança mais amplo. Essas ferramentas são convenientes. Eles funcionam fora da caixa. Eles não exigem nenhum software extra.
Mas também são a opção menos segura para ambientes de alto risco. Você confia na postura de segurança do navegador para proteger seus segredos mais profundos. Se esse navegador estiver comprometido, suas senhas irão junto. Use isto apenas se você confiar no ecossistema o suficiente para não precisar de uma camada secundária de defesa.
Aplicativos de desktop independentes
Este era o modelo original. Sem nuvem. Sem integração com navegador. Apenas um aplicativo na sua máquina. KeePass e Aurora são os principais exemplos daquela época. Aurora ofereceu criptografia forte, recursos de preenchimento de formulários, um gerador de senha e a capacidade de exportar dados para arquivos legíveis.
Esses aplicativos brilham se você permanecer em um dispositivo. Eles não compartilham seus dados com outros usuários na mesma máquina mais do que o necessário. Eles mantêm tudo local. A desvantagem? Sem sincronização. Se você trocar de computador, estará sozinho. Você precisa mover manualmente o arquivo do banco de dados. É rígido. É seguro. Está isolado.
Segurança Incorporada em Hardware
Alguns gerentes utilizam componentes físicos incorporados ao dispositivo. Os ThinkPads da série T da Lenovo, por exemplo, apresentavam um chipset Embedded Security Subsystem na placa-mãe. Isto não é apenas armazenamento de software. É hardware dedicado.
Quando combinados com as ferramentas de gerenciamento de senhas da Lenovo, os dados são criptografados e armazenados nesse chipset. A recuperação requer uma chave de acesso, uma impressão digital de um leitor integrado ou ambos. Como as credenciais não estão no disco rígido, você pode configurar o BIOS para exigir essa chave de acesso ou biometria apenas para inicializar a máquina.
Esta abordagem visa uma ameaça específica: roubo físico ou hacking. Se você trabalha em espaços compartilhados, viaja com frequência ou se preocupa com a possibilidade de alguém roubar seu laptop e retirar a unidade, a criptografia apoiada por hardware adiciona uma barreira formidável. É menos comum que as soluções em nuvem, mas é significativamente mais difícil de contornar remotamente.
Gerenciadores de senhas baseados na Web
O modelo de nuvem mudou o jogo. Aplicativos da Web como RoboForm e PasswordSafe permitiam acesso de qualquer dispositivo conectado à Internet. Você fez login com uma senha mestra e recuperou todo o resto.
RoboForm e PasswordSafe espelharam muitos recursos de aplicativos independentes como Aurora, mas adicionaram acessibilidade entre plataformas. Os navegadores de desktop e móveis podem acessar o mesmo cofre. Esta é a escolha certa se você faz malabarismos com vários sistemas operacionais. Você quer suas senhas em todos os lugares, instantaneamente. A compensação? Você está confiando seus dados a um servidor de terceiros. Se esse servidor for violado, toda a sua vida digital ficará exposta.
Riscos de usar software de gerenciamento de senhas
O único ponto de falha
Você não carregaria extratos bancários, chaves de casa e cartões de crédito em uma mochila sem segurança. Então, por que colocar todas as credenciais digitais em um aplicativo sem fazer perguntas? Os gerenciadores de senhas são convenientes, com certeza. Mas eles concentram o risco. Se um hacker obtiver aquela chave mestra, ele será dono de tudo.
Pense no seu gerenciador de senhas como sua casa física. Ele contém todos os seus objetos de valor. Uma chave abre a porta da frente. Se essa chave for roubada, o invasor não leva apenas a sua TV. Eles levam sua identidade, seu dinheiro, seus segredos. O software em si não importa tanto quanto a forma como você tranca a porta.
Fortalecendo suas defesas
Você não pode eliminar o risco. Você só pode gerenciar isso. Trate sua senha mestra como códigos de lançamento nuclear.
- A segurança física é importante. Não deixe seu laptop na mesa de uma cafeteria enquanto você toma um café. Use uma fechadura Kensington se estiver em um espaço público. O roubo é a forma mais comum pela qual as credenciais saem de sua posse.
- Bloqueie suas contas de usuário. Uma senha de dispositivo fraca é um backdoor. Forçar um login na inicialização. Forçar um login ao ativar. Mude essa senha regularmente.
- Bloqueios de tela não são negociáveis. Afastar-se? Bloqueie a tela. Sempre.
- Sem compartilhamento. Nunca forneça sua senha mestra ao suporte de TI, familiares ou amigos. Sempre.
- Firewalls são sua primeira linha de defesa. Mantenha-os ativos. Bloqueie o acesso indesejado à rede.
- A complexidade vence. Escolha uma senha mestra que leve meses para ser usada com força bruta. Não é seu aniversário. Não “senha123”.
- Gire a chave. Altere sua senha mestra a cada dois ou três meses. E torne-o diferente do login do seu sistema operacional. Se forem iguais, você criou um único ponto de falha duas vezes.
- Ajuda sobre biometria. Se você esquecer as senhas, use uma impressão digital ou digitalização facial. Ele remove a carga de memória. Mas lembre-se: a biometria ainda está vinculada à chave de criptografia subjacente.
Tranque as portas. Perder a chave? Você está fora. Tornar a fechadura muito difícil de arrombar? Os ladrões seguem em frente. Mas e se eles trouxerem uma marreta? Ou um pé de cabra? O bloqueio não é a única vulnerabilidade. A casa em si pode ser mal construída.
Ameaças específicas por tipo de gerente
O aconselhamento genérico cobre o básico. Mas ferramentas específicas têm pontos fracos específicos. Ignore-os por sua conta e risco.
Armazenamento local e malware
O software que armazena senhas em seu disco rígido enfrenta um inimigo principal: malware. Não é mágica. É um código. O malware verifica seu sistema de arquivos em busca de locais conhecidos de armazenamento de senhas. Ele os encontra. Isso os exfiltra.
Você interrompe isso com um software antivírus confiável e atualizado. Período. Esse é o seu escudo contra o código que caça seus segredos.
Gerenciadores baseados em navegador
Os gerenciadores de senhas de navegador são arriscados. Eles são convenientes. Eles também costumam ser mal protegidos.
Veja o Firefox. Ele criptografa senhas. Em seguida, ele grava a string codificada em um arquivo de texto simples próximo ao URL. Qualquer pessoa com acesso a esse arquivo pode lê-lo. Segurança física, senhas de usuário e bloqueios de tela protegem esse arquivo. Mas se o malware for executado na sua máquina, ele lê esse arquivo de texto. Fácil.
Segurança do Sistema Integrado
Alguns navegadores se esforçam mais. O Internet Explorer no Windows usa o registro do Windows. Ele aproveita a criptografia Triple DES. Para ver as senhas, você precisa de acesso de administrador ao registro.
Se você bloqueou sua conta do Windows e bloqueou malware, as senhas do IE são relativamente seguras. Mas confie nesse bloqueio. Se sua conta de administrador estiver comprometida, a criptografia não significa nada.
Unidades criptografadas por hardware
Chips de segurança incorporados e criptografia de hardware parecem ser a solução definitiva. Eles não são. Eles amplificam um risco específico: esquecer sua senha.
Esses sistemas geralmente exigem uma senha de inicialização. Defina-o. Esqueça. Você não pode iniciar seu computador. As máquinas de hoje funcionam durante semanas sem serem reiniciadas. Você pode esquecer essa senha antes mesmo de reiniciar.
Pior ainda, se você mover o disco rígido para outra máquina, a senha de inicialização poderá não impedi-lo. Mas os dados criptografados por hardware? Ele permanece bloqueado. A menos que o fabricante forneça uma chave de recuperação, você bloqueou seus dados. Verifique as etapas de recuperação antes de ativar a criptografia de hardware. Não presuma que você vai se lembrar. Suponha que você não vai.
Estamos na linha de chegada e a categoria final exige um cuidado diferente. Aplicativos da web. Esses gerenciadores de senhas nativos da nuvem transferem a carga de segurança da sua máquina local para um servidor de terceiros. É a mesma dinâmica que vemos na computação em nuvem em geral: você confia sua vida digital a uma empresa.
A preocupação aqui não é apenas com um laptop perdido. É uma questão de escala.
Ao armazenar credenciais em um aplicativo da web, você está criando um honeypot. Os hackers nem sempre desejam atingir usuários individuais. É ineficiente. Eles querem o banco de dados mestre. Eles querem um cofre que contenha milhares de chaves. Se a empresa por trás do software falhar ou se a sua infraestrutura for violada, as consequências serão enormes. Este é o mesmo ambiente de alto risco onde operam os bancos e as agências governamentais. A questão não é se eles serão visados, mas quando.
Então, como você se protege quando o risco está incorporado ao modelo de negócios?
Escolhendo o provedor de aplicativos da Web certo
Você não pode eliminar totalmente o risco. Você só pode gerenciar isso. A única maneira de minimizar a exposição é ser implacável durante o processo de seleção.
Não clique no primeiro banner que você vê. Vá mais fundo.
- Pesquise a empresa. Quem é o proprietário do software? Eles têm um histórico de violações de dados? Quão transparentes eles são sobre suas práticas de segurança?
- Leia as avaliações de especialistas. Auditorias de segurança independentes são mais importantes do que textos de marketing. Procure empresas que realmente testaram os protocolos de criptografia e autenticação, e não apenas escreveram uma revisão com base no design da interface do usuário.
O fator conveniência é real. Os aplicativos da Web são sincronizados entre dispositivos instantaneamente. Você pode acessar suas senhas de qualquer navegador, em qualquer lugar. Mas é preciso comparar essa facilidade com o potencial de um vazamento catastrófico de dados. Às vezes, a compensação vale a pena. Às vezes não é.
Perguntas comuns
Qual é um exemplo confiável de software de gerenciamento de senhas?
LastPass é um exemplo bem conhecido. Já existe há tempo suficiente para ter um histórico público, para melhor ou para pior. Ao avaliar as opções, procure nomes estabelecidos semelhantes que priorizem a segurança em vez de recursos chamativos.
Olhando para o futuro
Isso encerra o mergulho profundo no gerenciamento de senhas. A paisagem muda rapidamente. Surgem novas ameaças. Novas soluções aparecem. Fique atento. Mantenha suas ferramentas atualizadas. E lembre-se, nenhum software é realmente do tipo “configure e esqueça”. Você ainda é a primeira linha de defesa.
