NCSC diz que Combinar três palavras aleatórias é mais eficaz do que usar combinações complexas para senhas

Obviamente, os invasores estão familiarizados com essas estratégias e usam esse conhecimento para otimizar seus ataques. Contra-intuitivamente, a aplicação desses requisitos de complexidade resulta na criação de senhas mais previsíveis. Diante de mais uma senha com requisitos específicos, os usuários recorrem a variações de algo que já conhecem e usam, acreditando erroneamente que é forte porque atende aos medidores de força de senha (e é aceito pelos serviços online).
Nada disso é ajudado por:

1. O conselho antigo (e pobre) de que as senhas devem ser memorizadas e armazená-las de qualquer forma (seja em um gerenciador de senhas, em um navegador ou em um pedaço de papel) é arriscado.
2. A contínua baixa aceitação de gerenciadores de senhas para armazenar e gerar senhas ( o NCSC tem incentivado organizações e indivíduos a usar gerenciadores de senhas há algum tempo).

Para ser absolutamente claro, há uma série de maneiras que você pode, com segurança, armazenar suas senhas, em um gerenciador de senhas, um navegador ou em um pedaço de papel, para recordá-los não é mais um problema.

1. ‘Existem algoritmos de pesquisa otimizados para três palavras aleatórias’

Isso é verdade, mas também existem algoritmos de pesquisa otimizados para senhas “complexas” geradas por humanos (de longe o tipo mais comum em uso hoje). Houve muitas tentativas de mostrar qual desses algoritmos seria mais rápido para descobrir senhas complexas geradas por humanos ou três senhas de palavras aleatórias, com o ‘vencedor‘ dependendo das suposições feitas sobre o comportamento das pessoas. Mas no final das contas não importa.
Para obter uma vantagem de qualquer algoritmo otimizado, você precisa saber qual algoritmo usar. Portanto, dado um grande banco de dados onde todos estão usando maneiras diferentes de gerar suas senhas, a eficácia de qualquer algoritmo otimizado é reduzida. No mundo real, isso significa que o invasor deve tentar vários algoritmos, o que é mais difícil (e demorado) do que tentar apenas um.
Algumas pessoas comparam as senhas de ‘três palavras aleatórias‘ com as ‘senhas aleatórias criadas por gerenciadores de senhas‘. As últimas são mais fortes do que ‘três palavras aleatórias‘ ou ‘senhas complexas geradas por humanos‘. No entanto, essa comparação não é útil atualmente, pois ainda há uma aceitação muito baixa de gerenciadores de senhas . Esperamos que mais pessoas adotem gerenciadores de senhas e isso também aumente a diversidade de senhas.

2. ‘Três palavras aleatórias irão gerar senhas’ fracas ‘, como aquelas que aparecem em listas de senhas comuns’

Existem muitas senhas comuns que atendem aos requisitos de complexidade. Por exemplo, ‘Pa55word!‘ pode seguir os requisitos de complexidade de um site ou serviço, mas é uma senha ruim, pois pode ser adivinhada. Da mesma forma, existem senhas complexas únicas (geradas usando três palavras aleatórias) que não seriam permitidas. Os requisitos de complexidade por si só são um instrumento contundente; para fornecer uma remoção mais direcionada de senhas fracas, o NCSC recomenda um requisito de comprimento mínimo combinado com a aplicação de listas de negação de senha .

3. ‘As pessoas terão dificuldade em se lembrar de senhas feitas de três palavras aleatórias para várias contas’

Conforme discutimos, para criar senhas que atendam aos requisitos de complexidade, usamos mecanismos de enfrentamento (que são bem conhecidos pelos criminosos cibernéticos). Adotar três palavras aleatórias não é uma panaceia que resolve o problema de lembrar muitas senhas de uma só vez, e esperamos que seja usado junto com o armazenamento seguro.