O blogger de segurança escandinavo Anders Nilsson, dedicou algum tempo à ferramenta de análise de passwords Pipal, confrontando-a com 450.000 passwords em texto simples roubadas do Yahoo Voices por hackers.
E o que ele descobriu não inspira muita confiança de que os utilizadores estejam a assimilar a mensagem sobre a importância da segurança das passwords.
Por favor repita em voz alta para si mesmo:
"A palavra 'password' não é definitivamente viável como password!"
Assim como "123456", "welcome" ou "qwerty" não representam qualquer desafio para os hackers.
O facto é que, cada vez que é divulgada na Internet uma lista de passwords roubadas, os hackers adicionam-nas às suas próprias bases de dados para que as suas ferramentas de manipulação de passwords as testem na próxima tentativa de invasão de contas, ou de adivinhar as passwords de terceiros.
As suas passwords necessitam de ser únicas e indecifráveis. Isso significa não só deixar de utilizar palavras do dicionário, como ter em mente que não será a única pessoa em todo o mundo a lembrar-se de "qwertyabcd" ou "password1234".
A resposta típica do utilizador comum da Internet é: "Mas como poderei memorizar tantas passwords diferentes e complicadas?"
Simples. Utilize um programa de gestão de passwords eficiente.
Existem vários que podemos recomendar, inclusivamente alguns gratuitos, entre os quais o 1Password, o KeePass e o LastPass. Estes softwares podem guardar todas as suas diferentes passwords por si em segurança, e gerar passwords robustas para os próximos websites em que pretender criar conta.
Mas é preciso tornar claro que nem toda a responsabilidade reside nos utilizadores.
Não só os websites devem ter grandes cuidados no que diz respeito a proteger a informação dos utilizadores, como por exemplo não armazenando passwords em texto simples, mas também devem esforçar-se mais para garantir que os utilizadores definem passwords mais robustas.
Gostaríamos de ver mais websites verificarem as passwords escolhidas pelos seus novos utilizadores, confrontando-as perante uma base de dados de passwords comuns e um dicionário.
Se as passwords introduzidas pelos utilizadores forem demasiado comuns, se se tratarem de sequências óbvias ou não obedecerem a regras de criação de passwords sensíveis a níveis de complexidade ou comprimento, então deveriam ser rejeitadas obrigando o utilizador a definir uma nova.
Quando os websites alertam os utilizadores para a necessidade de alterarem as suas passwords devido a uma falha de segurança, deveriam também reforçar a importância de definirem passwords únicas, difíceis de desvendar. Caso contrário, o que impedirá que a nova password seja "abcdefg"?
Estaríamos num mundo mais seguro se os websites controlassem as passwords submetidas pelos utilizadores, rejeitando as escolhas "fracas".
E não são apenas os utilizadores que necessitam de ter passwords robustas. A equipa responsável pela gestão e manutenção do website também necessita de ter passwords complexas, difíceis de descobrir.
O início de 2009, por exemplo, foi marcado por um ataque a diversas contas de celebridades no Twitter, possível graças à infiltração de um hacker ña consola de administração do Twitter.
De que modo o hacker o conseguiu?
Um membro da equipa do Twitter utilizava como password a palavra "Happiness".
A Sophos disponibilizou um vídeo no YouTube que demonstra como criar passwords difíceis de desvendar mas simples de recordar. Além disso, explicamos de que modo alguns programas de gestão de passwords, como os 1Password, KeePass e LastPass, o podem ajudar a manter diferentes passwords.
Se já conhece estes "truques" para criar passwords eficazes, parabéns! Mas seja um bom samaritano e partilhe-os com os seus familiares e amigos.