Quanto tempo demora a quebrar uma password?

A propósito dos req­ui­si­tos mín­i­mos para definir uma boa pass­word, e na sequên­cia de um apon­ta­mento que li no Dar­ing Fire­ball, lembrei-me de apon­tar por aqui uma tabela, roubada sem ver­gonha de um estudo da Geod­Soft, que ilus­tra, para dois tipos de com­posições de pass­words, o tempo necessário para quebrá-las.

Os val­ores apre­sen­ta­dos pres­supõem que é uti­lizado um com­puta­dor com capaci­dade para exe­cu­tar, local­mente, 1.000.000 de oper­ações crip­tográ­fi­cas por segundo — val­ores triv­i­ais nas máquinas cor­rentes. Para além disso, e para não haver quais­quer dúvi­das sobre o sig­nifi­cado dos números desta tabela, o con­texto para este exer­cí­cio pres­supõe que a pass­word em análise já foi cap­turada, emb­ora esteja ainda cifrada. Isto é, o tempo apre­sen­tado cor­re­sponde ao tempo necessário para decifrar essa pass­word, assu­mindo que todas as com­bi­nações pos­síveis são tentadas.

Final­mente, para inter­pretarem cor­rec­ta­mente estes dados, resta-me acres­cen­tar que a primeira col­una con­tém o tamanho, em car­ac­teres, dessa pass­word; a segunda col­una apre­senta o caso em que a com­posição é real­izada exclu­si­va­mente com letras mínus­cu­las; e, por último, a ter­ceira col­una ilus­tra uma situ­ação em que são uti­liza­dos car­ac­teres de um con­junto de 95 pos­si­bil­i­dades, cor­re­spon­dentes aos car­ac­teres que podem ser impres­sos no código ASCII.

Pela sim­ples leitura destes dados, sem quais­quer out­ras análises, podemos con­cluir ime­di­ata­mente que (i) pass­words com­postas por letras mínus­cu­las devem ter, no mín­imo, 10 car­ac­teres; (ii) para usar­mos pass­words com um com­pri­mento infe­rior, na casa dos 7 car­ac­teres, temos que usar uma com­posição com­plexa, que inclua vários tipos de car­ac­teres, entre letras maiús­cu­las e minús­cu­las, algar­is­mos, e out­ros car­ac­teres espe­ci­ais, e.g. pontuação.

Para fechar esta nota, é impor­tante referir que este estudo assume que as pass­words não são com­postas por palavras que podem ser encon­tradas num dicionário. Para encon­trar essas chaves, os tem­pos apre­sen­ta­dos já não têm val­i­dade. O tempo para encon­trar essas chaves, actual­mente, é próx­imo de zero; é ime­di­ato. E é por isso que, como se torna óbvio pela evidên­cia dos fac­tos, as pes­soas têm que escol­her umas pass­words mais elab­o­radas. Definitivamente.

(post-scriptum: lembrei-me agora que escrevi, há já algum tempo, uma nota sobre uma for­mula sim­ples para criar pass­words mais com­plexas. Pode ser útil para sen­si­bi­lizar os mais resistentes. Está por AQUI)

Fonte: Miguel Almeida