Na sequência das recomendações atualizadas da Microsoft sobre palavras-passe, o Instituto Nacional de Padrões e Tecnologia (NIST) divulgou as suas próprias diretrizes atualizadas sobre palavras-passe. Estas recomendações coincidem com muitas das recomendações da Microsoft, o que lhes confere uma credibilidade adicional; em algumas áreas, vão ainda mais longe. Quando duas entidades influentes do setor da segurança chegam, de forma independente, a conclusões tão semelhantes, isso constitui um forte sinal de que as empresas devem analisar cuidadosamente as suas políticas de palavras-passe — tanto para os seus sistemas internos como para os seus serviços externos que dispõem de um repositório de identidades.
Porque é que o documento do NIST é importante
O que é esta nova publicação do NIST? A SP 800-63-3 intitula-se «Diretrizes de Autenticação Digital» e define os requisitos para satisfazer quatro Níveis de Garantia (LOAs – o grau de certeza de que uma entidade é o que ou quem afirma ser). Um dos documentos, a SP 600-63-3B, intitula-se «Autenticação e Gestão do Ciclo de Vida» e centra-se nas orientações relativas às palavras-passe.
Por que razão este documento é tão importante? Uma das muitas funções do NIST consiste em fornecer diretrizes para o setor público, ou seja, para todas as aplicações do governo federal. Muitas dessas diretrizes são apenas recomendações, mas algumas são requisitos que todas as aplicações têm de cumprir. Trata-se de um âmbito de influência alargado — mas é ainda mais vasto do que isso, porque muitos outros setores e empresas seguem estas diretrizes.
Vamos analisar as recomendações do NIST, comparar com as recomendações da Microsoft e ver em que as do NIST vão mais longe. Um tema comum em ambos os conjuntos de recomendações é uma maior facilidade de utilização, especialmente quando as recomendações reforçam a segurança ou quando as políticas existentes, pouco intuitivas, não a reforçam. Estudos demonstraram que, quanto mais rigorosas forem as políticas de palavras-passe, maior é a probabilidade de os utilizadores contornarem as regras ou utilizarem um método previsível (1, 2, etc.) que seja facilmente violado.
O NIST incentiva a utilização de frases-passe fáceis de memorizar
O NIST exige agora um mínimo de 8 caracteres, o que não é radical, mas também exige agora um máximo superior a 64 caracteres para incentivar o uso de frases-passe. Este é um dos temas do documento: reforçar os sistemas para que possam lidar com palavras-passe mais seguras de uma forma que seja mais fácil de memorizar para o utilizador. Por outras palavras, colocar o fardo nos sistemas – e não nos utilizadores. Juntamente com a Microsoft, recomendam também um dicionário de palavras-passe comuns que pode ser utilizado para impedir palavras-passe fracas (por exemplo, «passw0rd!») quando o utilizador tenta defini-las.
Outro requisito que todos ficaremos contentes por ver é a permissão de espaços, todos os caracteres ASCII e até mesmo, potencialmente, caracteres Unicode (como emojis) nas palavras-passe. Consegues imaginar usar emojis nas tuas palavras-passe? Alguém vai ter de me mostrar alguns atalhos de teclado antes de eu tentar isso! Os espaços podem causar problemas porque é difícil distinguir entre um e dois espaços, mas isto torna-se um pouco mais fácil com outra nova recomendação: que o utilizador possa visualizar a palavra-passe que introduziu, desde que esta volte a ficar oculta após um determinado período de tempo. Temos visto esta funcionalidade tornar-se mais comum, e fico contente por ver isso.
Parar de expirar as palavras-passe
Tanto a Microsoft como o NIST abordam a questão da expiração das palavras-passe e ambos recomendam que estas não devam expirar arbitrariamente após um determinado intervalo, a menos que haja indícios de violação. Ao contrário dos sistemas de identidade locais, como o Active Directory, a maioria dos sites sempre seguiu esta regra. No entanto, não lhes estou a dar crédito por serem visionários nas suas políticas de palavras-passe; simplesmente não queriam os transtornos que a expiração das palavras-passe causaria aos seus serviços de assistência e aos seus clientes.
O NIST rejeita a autenticação baseada no conhecimento (dicas) que possa ser descoberta ou quebrada por força bruta por um atacante. Sejamos realistas: a maioria dos malfeitores já sabe o apelido de solteira da tua mãe. Recomendam também que não se utilizem regras de composição, porque são demasiado complicadas para o utilizador e não oferecem tanta segurança como se pensava inicialmente.
É altura de começar a afastar-se dos SMS
Uma grande mudança, que suscitou muitos comentários, é a descontinuação ( «ainda não vamos rejeitá-la, mas também não vamos continuar a melhorá-la») da utilização do SMS como segundo fator de autenticação. Além disso, rejeita categoricamente a utilização de um número de VoIP (por exemplo, o Google Voice) para a autenticação por SMS, uma vez que não se trata, na verdade, de um segundo fator: não é algo que o utilizador possua. A preocupação em relação ao SMS, em geral, prende-se com o facto de o serviço não ser tão seguro como deveria, uma vez que não foi concebido para este tipo de utilização. Os criminosos desenvolveram malware capaz de redirecionar mensagens SMS, e a troca de cartões SIM permite que um criminoso se aproprie das mensagens de um utilizador.
Infelizmente, se estiver num setor que tenha de cumprir políticas de conformidade, como a HIPAA, não pode simplesmente implementar estas novas recomendações nos casos em que estas entrem em conflito com as políticas. Terá de esperar, possivelmente durante anos, até que as políticas se adaptem às recomendações.
Discorda de alguma destas novas diretrizes? Trata-se de um rascunho de especificação, e o NIST incentiva vivamente a participação e o envio de comentários no GitHub.
