A sua palavra-passe é segura? “Pa$$w0rd123” pode ser descoberta em segundos. Saiba como criar palavras-passe fortes usando frases em vez de palavras simples.

It usually happens late at night.

Está quase a adormecer, a olhar para uma caixa de login que se recusa a deixá-lo entrar, e o seu cérebro agarra-se àquela palavra-passe que tem usado - com pequenas variações - há anos. Talvez acrescente um ponto de exclamação, troque um “a” por um “@”, ou cole “123” no fim e diga a si mesmo: sim, esta é impossível de quebrar. Sente um orgulho estranho, como se tivesse enganado o sistema com um código secreto que só você poderia inventar.

Na manhã seguinte, lê uma manchete sobre uma violação de dados massiva e sente aquele aperto silencioso no estômago. Será que a sua palavra-passe “inteligente” estava nessa lista? Será que estava a de toda a gente? Há uma verdade crescente e desconfortável por trás dos nossos logins: aquilo que achamos seguro muitas vezes não é. E a palavra-passe em que mais confia pode ser precisamente a que deixa um estranho entrar mais depressa.

O dia em que a minha palavra-passe “inteligente” morreu

O meu alerta começou com um amigo convencido e um portátil. Estávamos sentados num café em Londres, daqueles que cheiram a café queimado e croissants quentes, quando a conversa foi dar às palavras-passe. Eu disse-lhe - orgulhosamente - que usava uma complicada: “Pa$$w0rd123”. Repare nos símbolos, nos números, no glorioso caos de tudo aquilo. De certeza que era suficiente.

Ele sorriu daquela forma ligeiramente irritante que as pessoas têm quando sabem algo que você não sabe. Saiu o portátil. Um clique rápido, uma ferramenta gratuita para quebrar palavras-passe, e ele escreveu a minha obra-prima num verificador de teste. No ecrã, ao lado de “Tempo para quebrar”, dizia: “Menos de um segundo.” Fiquei a ferver. Lembro-me do zumbido da máquina de café atrás de nós e do baque surdo do meu próprio coração nos ouvidos.

Gostamos de acreditar que acrescentar meia dúzia de caracteres especiais e números transforma “password” numa Fort Knox digital. Nessa noite, “Pa$$w0rd123” morreu para mim. Não porque deixasse de funcionar, mas porque percebi que, na verdade, nunca tinha funcionado. E se a minha era assim tão fraca, comecei a pensar quantos de nós andamos por aí com portas que parecem trancadas, mas que, na prática, estão escancaradas.

Porque “Pa$$w0rd123” é basicamente um tapete de boas-vindas

Aqui vai a parte desconfortável: os truques que achamos espertos são exatamente os que os atacantes esperam. Trocar “a” por “@” e “o” por “0” não é genialidade - é básico. Chamam-se substituições “leet speak” e já vêm embutidas nas ferramentas que os criminosos usam. Eles não ficam ali, no escuro, a adivinhar no teclado. Deixam as máquinas fazer o trabalho sujo.

Essas máquinas percorrem listas de palavras-passe conhecidamente fracas, padrões comuns e palavras de dicionário a uma velocidade estonteante. “Password”, “Pa$$w0rd”, “Password123”, “Pa$$w0rd123” - tudo isto é tentado quase instantaneamente. O mesmo acontece com o nome do seu cão mais “2024”, ou o nome do seu filho e a data de nascimento. Se um humano consegue pensar nisso num momento de sono antes do trabalho, uma máquina consegue pensar nisso mil vezes mais depressa.

Complexa nem sempre significa forte

Há aqui um pequeno paradoxo doloroso. Durante anos disseram-nos para usar símbolos, maiúsculas e números. Então enfiamos tudo isso nos mesmos modelos cansados. Sim, “Pa$$w0rd123” parece confusa e complexa, mas por baixo do disfarce está construída sobre a palavra mais óbvia do mundo: “password”. Os atacantes não só sabem isso como contam com isso.

Comprimento e imprevisibilidade ganham à falsa complexidade, sempre. Uma palavra-passe curta, “cheia de coisas” como “M!cr0s0ft!” desfaz-se num instante quando é uma marca. Uma frase mais longa, quase aborrecida, como “janelaroxacarronuvachuva” é muito mais difícil de adivinhar por uma máquina, mesmo sem um único símbolo. As máquinas não querem saber do quão esperto se sente - querem saber de matemática, e a matemática é brutal.

A verdade sobre essas estatísticas assustadoras

Se já viu aqueles gráficos virais a dizer “esta palavra-passe demora 3 minutos a ser quebrada” e “esta demora 3 milhões de anos”, eles baseiam-se no número de combinações possíveis que a sua palavra-passe pode ter. Palavras-passe curtas com pouca variação de caracteres têm muito poucas combinações, por isso caem depressa. Quando estica para 15, 18, 20 caracteres com palavras imprevisíveis, o número de combinações explode para valores que quase parecem inventados.

Esse é o consolo estranho: não ganha por ser esperto; ganha por ser um bocadinho aborrecido e muito mais aleatório. Quando finalmente aceitei isto, percebi que o meu cérebro estava a lutar a batalha errada. Eu não estava a tentar criar algo que um atacante não conseguisse adivinhar - estava apenas a tentar criar algo de que me conseguisse lembrar. E esses dois objetivos sabotavam-se silenciosamente um ao outro.

O cansaço das palavras-passe de que ninguém fala em voz alta

Todos já tivemos aquele momento em que escrevemos a mesma palavra-passe em quatro sites diferentes e rezamos para que funcione em pelo menos um. Diz a si mesmo que um dia vai tratar de tudo “a sério” - palavras-passe únicas, atualizações regulares, talvez até uma folha de cálculo. Depois a vida acontece, a caixa de entrada enche, e nada muda. Sejamos honestos: ninguém faz isto todos os dias.

Por isso, a maioria das pessoas acaba com uma pequena rotação de palavras-passe quase iguais, recicladas entre banco, compras, redes sociais, e-mail. Parece gerível. Também significa que, no segundo em que um site sofre uma violação, as chaves das suas outras contas podem estar, potencialmente, dentro da base de dados de outra pessoa. É assim que um ataque a um site de moda aparentemente inofensivo se transforma num problema de login bancário um mês depois.

O que realmente alimenta esta confusão não é preguiça - é design. A memória humana não foi feita para dezenas ou centenas de cadeias aleatórias de texto. O seu cérebro é incrível com histórias, caras, emoções, lugares. É péssimo com “N5g!r2@KqL”. Está a lutar contra a evolução sempre que tenta memorizar mais um monstro “forte” de oito caracteres. Não admira que as pessoas se agarrem ao “Pa$$w0rd123”.

O génio discreto das frases-passe

Há uma forma diferente de pensar sobre palavras-passe que é estranhamente suave: frases-passe. Em vez de um aglomerado apertado de caracteres, usa uma sequência de palavras sem relação, como uma pequena frase estranha que só você diria. Copia a forma como o seu cérebro se lembra naturalmente das coisas. Não código, mas linguagem.

Pense em algo como “bule amarelo violino autoestrada nuvem”. Parece parvo - e essa é a ideia. É comprida, imprevisível e única. Para uma ferramenta de cracking, esse tipo de frase é um pesadelo, porque não é apenas uma palavra de dicionário; é uma cadeia de palavras que normalmente não vivem juntas. Ganha comprimento e aleatoriedade sem transformar o seu cérebro num armazém de disparates.

Como construir uma frase-passe que realmente funciona

Um método simples é o truque de “quatro ou cinco palavras aleatórias”. Não escolha a sua equipa de futebol favorita, o nome do seu parceiro ou a sua terra natal. Pegue em palavras totalmente não relacionadas do que o rodeia ou de um livro: “espelho”, “comboio”, “abóbora”, “rio”, “bilhete”. Junte-as: “espelhocomboioabóborariobilhete” ou, se o site permitir, com espaços: “espelho comboio abóbora rio bilhete”.

Pode salpicar uma maiúscula ou um número se um site o exigir, mas a verdadeira força vem do comprimento e da aleatoriedade das palavras. Evite sequências óbvias como “um dois três quatro” ou citações conhecidas de músicas ou filmes. Quer o tipo de combinação estranha que lhe arranca um meio sorriso, porque sabe que mais ninguém inventaria exatamente aquela frase.

Algumas pessoas gostam de construir uma mini-história privada: “AvóDançaNaTerçaNoTelhado” ou “RaposaCalmaRoubaPizzaAzul”. É esquisito, é vívido, fica colado na cabeça. E, de repente, a sua “palavra-passe” transforma-se numa imagem mental que é fácil de lembrar e difícil de quebrar.

Fazer as frases-passe caberem na sua vida real

Há um senão no meio disto tudo: provavelmente já tem dezenas de contas. A ideia de mudar tudo de um dia para o outro parece decidir mudar de casa na hora de almoço. Portanto, não mude. Comece pequeno. Escolha as importantes: e-mail, banco, principais redes sociais, talvez o armazenamento na cloud. Estas são as joias da coroa.

Transforme primeiro esses logins-chave em frases-passe. Assim, mesmo que uma conta antiga de compras seja hackeada na próxima semana, os danos ficam contidos. O seu e-mail é muitas vezes a chave-mestra para repor tudo o resto, por isso esse merece carinho extra. É a versão digital da sua porta de entrada.

Onde os gestores de palavras-passe entram nisto

Se a ideia de memorizar mais do que três frases-passe ainda lhe encolhe os ombros de tensão, é aqui que um gestor de palavras-passe ganha discretamente o seu lugar. É um cofre que guarda todas as suas palavras-passe feias e longas para que não tenha de o fazer. Abre esse cofre com uma frase-passe mestre forte, algo sólido como “TapeteRadioTempestadeLimaoJardim”. Depois deixa a aplicação tratar do resto.

Muita gente resiste a isto ao início porque parece pôr todos os ovos no mesmo cesto. A verdade é que a maioria de nós já está a fazer isso - só que com um cesto muito fraco. Uma boa frase-passe a proteger um gestor de palavras-passe bem construído é infinitamente mais seguro do que as mesmas três más palavras-passe espalhadas por cinquenta sites. Não é sobre perfeição; é sobre passar de um cadeado de papel para uma porta a sério.

E os códigos de dois fatores e as biometria?

A maioria dos grandes serviços hoje incentiva a autenticação de dois fatores: um código por SMS, uma notificação na app, um pequeno número de seis dígitos que aparece e desaparece como um truque de magia. Pode parecer mais um obstáculo, mas é dos poucos que realmente compensa. Porque mesmo que alguém adivinhe ou roube a sua palavra-passe, ainda precisa desse segundo código, recente.

Impressões digitais e reconhecimento facial acrescentam outra camada. No telemóvel ou portátil, essas biometrias são um fecho conveniente por cima da sua palavra-passe, não um substituto total. Não significam que possa voltar ao “Pa$$w0rd123” e esperar pelo melhor. Pense nelas como um ferrolho numa porta que, por baixo, ainda precisa de ser sólida.

A melhor combinação, neste momento, é simples: uma frase-passe forte, um gestor de palavras-passe para o caos, e dois fatores ligados sempre que estiver disponível. Não o torna à prova de bala. Apenas o tira da categoria de “alvo fácil” onde a maioria dos atacantes fica satisfeita em atuar.

A pequena decisão que muda tudo

A segurança pode parecer abstrata até ao dia em que deixa de o ser. Um alerta estranho de login no seu e-mail. Um link de reposição de palavra-passe que não pediu. Uma notificação bancária que não consegue explicar. As pessoas descrevem a sensação da mesma forma: um arrepio frio e depois uma correria. Nessa altura, não está a pensar no comprimento de caracteres. Está a pensar: porque é que não tratei disto mais cedo?

A boa notícia é que isto não é uma montanha técnica impossível. É um punhado de pequenas escolhas feitas de forma ligeiramente diferente. Trocar “Pa$$w0rd123” por “RaposaJanelaEcoNeveBateria”. Ligar aquela funcionalidade de código extra de que o seu e-mail não se cala. Dizer que sim a um gestor de palavras-passe em vez de tentar guardar a internet toda na cabeça.

Da próxima vez que estiver a olhar para aquela caixa de login tarde da noite, dedos a pairar sobre as teclas, pare um segundo. Pergunte a si mesmo se as palavras que está prestes a escrever cairiam em menos de um segundo no portátil do seu amigo. Depois imagine um estranho, algures numa sala escura a zumbir com ventoinhas, a ver mais uma palavra-passe fraca a cair. Esse é o momento em que pode, em silêncio, escolher uma história diferente.