Com base em estudos realizados a partir de, literalmente, milhares de milhões de tentativas de início de sessão no seu serviço na nuvem Azure, a Microsoft atualiza as suas recomendações relativas a palavras-passe — e rejeita várias boas práticas do setor que há muito eram consideradas válidas.
A Microsoft publicou recentemente um documento técnico intitulado «Orientações da Microsoft sobre Palavras-passe», que explica as suas novas orientações sobre palavras-passe, com base na enorme quantidade de dados que está a recolher nos inícios de sessão do Azure AD. (A empresa regista mais de 10 milhões de ataques a nomes de utilizador e palavras-passe todos os dias.) Algumas dessas orientações são o que se poderia esperar… mas outras desafiam o senso comum em matéria de palavras-passe.
A autora (Robyn Hicock, da equipa de protecção de identidade da Microsoft, com uma longa lista de colaboradores dos seus colegas de equipa, da Microsoft Research e da Microsoft IT) afirma que as práticas de palavras-passe há muito utilizadas caem por terra face aos modernos ataques orientados para as credenciais. Além disso, algumas destas políticas aumentam a facilidade com que as palavras-passe podem ser comprometidas e, por isso, devem ser alteradas ou abandonadas.
A Microsoft recomenda sete acções para fornecer a máxima protecção de identidade baseada em palavras-passe:
- Manter um requisito de comprimento mínimo de 8 caracteres (e mais longo não é necessariamente melhor).
- Eliminar os requisitos de composição de caracteres.
- Eliminar as reinicializações periódicas obrigatórias da palavra-passe para as contas de utilizador.
- Banir as palavras-passe comuns, para manter as palavras-passe mais vulneráveis fora do seu sistema.
- Instrua os seus utilizadores a não reutilizarem a sua palavra-passe para fins não relacionados com o trabalho.
- Impor o registo para autenticação multi-factor.
- Permitir desafios de autenticação multi-factor baseados no risco.
Vamos analisar as recomendações mais invulgares que afetam diretamente a forma como uma organização definiria a sua política de palavras-passe de domínio.
Eliminar antipadrões
Manter um requisito de comprimento mínimo de 8 caracteres. A Microsoft Research descobriu que as palavras-passe longas e complexas para a Web são um fardo para os utilizadores (o que não é surpresa), mas, na verdade, têm uma eficácia limitada por várias razões. A força da palavra-passe é irrelevante se o utilizador for vítima de um ataque de phishing e a revelar, ou se tiver malware do tipo keylogger no seu sistema. Estes são os ataques mais comuns, segundo os autores. A palavra-passe só precisa de ser suficientemente forte para resistir a uma regra de bloqueio do tipo «três tentativas». Note-se que, embora este estudo se refira a palavras-passe da Web, não há razão para que não se aplique também às palavras-passe do Active Directory (e à sua própria política de bloqueio).
Eliminar os requisitos relativos à composição de caracteres. Esta é uma boa ideia em teoria, mas a Microsoft e outras empresas (Bruce Schneier, por exemplo) descobriram que, quando confrontadas com requisitos de complexidade das palavras-passe, as pessoas caem em alguns padrões reconhecíveis que os programas de quebra de palavras-passe exploram. Por exemplo, verifica-se que uma palavra-passe típica consiste numa raiz que é, normalmente, algo pronunciável, mais um sufixo, como um número. E sim, eles sabem que estás a usar «$» em vez de «s», «!» em vez de «i», etc.!
Eliminar as redefinições periódicas obrigatórias de palavras-passe para as contas de utilizador. As alterações periódicas de palavra-passe, mais uma vez uma boa ideia em princípio, falham quando passam pelo cérebro humano. Porquê? Porque as pessoas tendem a criar a sua nova palavra-passe com base na antiga, de uma forma muito previsível. Além disso, uma vez que os criminosos utilizam as palavras-passe assim que as comprometem, não há qualquer benefício na contenção (ou seja, os avisos do tipo «Fomos comprometidos; por favor, altere a sua palavra-passe para evitar que a sua conta seja pirateada» chegam demasiado tarde).
O conselho atualizado tanto de Schneier como da Microsoft é que, a menos que ache que a sua palavra-passe possa estar comprometida, não a altere. Eu alteraria esta recomendação para dizer: reforce as suas palavras-passe ao longo do tempo, mas não tente mantê-las na memória: submeta-se aos nossos mestres robóticos e utilize um utilitário como o LastPass para gerar palavras-passe longas, complexas e difíceis de memorizar, e guarde-as no seu cofre encriptado. Assim, só precisas de te lembrar de uma palavra-passe complexa – a palavra-passe principal do teu cofre. Assim que delegares a gestão a um utilitário deste tipo, sentes-te realmente muito mais livre; podes criar instantaneamente uma palavra-passe complicada de 18 caracteres, como «wO2AECJ^OZhbXwY#0Y», para um site e ter a certeza de que é praticamente impossível de descodificar.
Aplicar padrões de sucesso
Banir as palavras-passe comuns. A Microsoft acredita que o passo mais importante que pode dar para a segurança é banir uma lista de palavras-passe fracas conhecidas (por exemplo, abcdefg, passw0rd, etc.) do seu sistema para o reforçar contra ataques de força bruta. A Microsoft descobriu que banir estas palavras-passe (o que faz para o Azure AD) é altamente eficaz na remoção de palavras-passe fracas do sistema.
Se estiver a ler isto numa empresa tradicional, provavelmente estará a pensar: «Tudo isto é muito bonito, mas como é que implemento uma política destas no meu ambiente de Active Directory local?» Se for um especialista em AD como eu, sabe que isto requer um filtro de palavras-passe personalizado que tem de ser instalado em todos os controladores de domínio do AD, e a Microsoft não fornece funcionalidades de bloqueio de palavras-passe de série.
Existem produtos de terceiros, tais como Anixis Password Policy Enforcer ou nFront Password Filter , que oferecem esta funcionalidade. A Microsoft está, alegadamente, a trabalhar no seu próprio suporte para esta funcionalidade; no seu feed do Twitter, a autora afirma: «Temos algo em desenvolvimento para isto. Fiquem atentos», mas, claro, não há forma de saber quando esta funcionalidade estará disponível. Uma vez que esta funcionalidade teria de se integrar com o Active Directory do Windows Server, o tempo que demorará depende da forma como for implementada. Se fizer parte do Active Directory, o prazo para uma integração profunda no Windows Server 2016 já passou — o que significa uma espera de dois anos até ao lançamento da próxima versão do Windows Server. Um filtro de palavras-passe atualizado (passfilt.dll) pode ser disponibilizado para download a qualquer momento.
Informe os seus utilizadores para que não reutilizem a sua palavra-passe para fins não relacionados com o trabalho. Não é difícil deduzir que, assim que um utilizador define o que considera ser uma boa palavra-passe para o trabalho, a volte a utilizar em outros sites. Infelizmente, trata-se de uma prática tão comum que os criminosos tentam sempre utilizar credenciais comprometidas em vários sites; a Microsoft regista 12 milhões de credenciais divulgadas (a Microsoft mantém uma extensa lista de credenciais comprometidas) que são testadas nos seus sistemas todos os dias.
Este é um padrão realmente difícil de implementar, porque só é possível fazê-lo através da sensibilização dos utilizadores. E é uma batalha árdua, porque torna as coisas mais difíceis para os utilizadores.
Exija o registo para a autenticação multifator. A autenticação multifator (MFA) está a ser rapidamente adotada por empresas e pelos maiores fornecedores de SaaS. Dispor de um segundo conjunto de informações de segurança (como um endereço de e-mail alternativo ou um número de telemóvel) que possa ser verificado fora da banda representa uma melhoria significativa na segurança. Ative a MFA sempre que puder! Sim, pode ser um pouco incómodo – mas é, de longe, menos incómodo do que ter uma conta comprometida.
Activar desafios de autenticação multi-factor baseados no risco. Este padrão leva a MFA para o nível seguinte, accionando uma solicitação de MFA quando é detectada actividade suspeita (como um endereço IP geograficamente diferente daquele com que o utilizador iniciou sessão anteriormente). Isto requer, obviamente, que a capacidade esteja disponível no seu sistema de segurança de início de sessão.
Tenha em atenção que, se a sua empresa tiver requisitos de conformidade, poderá não ser possível implementar algumas ou todas estas sugestões. No entanto, é sempre bom estar a par do que se passa no mundo real. E não há nada mais real do que os dados provenientes de um local onde ocorrem 10 milhões de ataques por dia.
