Olá a todos. Recentemente um especialista em segurança, Fernando Cima, comentou em seu blog uma dúvida curiosa: o que é mais forte: uma senha pequena, mas complexa ou uma senha longa que usa caracteres simples, minúsculos? O texto é muito bom. A referência do artigo que ele selecionou também. Tanto que eu resolvi comentar lá e acabei escrevendo bastante, com alguma prova matemática embutida. Acabei de postar, mas ele deve aprovar nos próximos dias. Vejam o que eu concluí com o artigo dele, com o do Infoworld e com as minhas contas (início do comentário postado no blog do Fernando) Olá Cima, mto bom o post, gostei. Resolve, dentre outras coisas, um problema que incomoda muitos usuários, ainda mais os que não tem tanta experiência: a senha de 8 complexa caracteres. É realmente mais difícil memorizar uma senha complexa do que uma longa que seja mais simples. Só pra tornar o resultado do teste mais palpável, resolvi pedir ajuda pra minha namorada (que faz Mat. Aplicada/USP. Obrigado amor!) pra validar meu raciocínio: - Senha complexa: 94 caracteres possíveis, segundo link que você passou. Vou usar 100 pra facilitar as contas no meu exemplo, o que teoricamente deixa a senha complexa mais complexa ainda (até porque nem sei quais são esses 6 caracteres a mais...) - Senha simples: 26 caracteres (tô desconsiderando o cedilha). Usando esses dados, uma senha complexa de 8 caracteres tem, portanto, 100^8 = 10 quatrilhões. Uma simples de 11 caracteres tem 26^11 = pouco mais* que 3 quatrilhões. Só que, se você pegar 12 caracteres, esse número passa pra mais de 95 quatrilhões... e portanto a senha simples de 12 dígitos é só umas nove vezes e meia mais forte que a complexa de 8. No exemplo do artigo ele usa uma de 15, que passa de 1 sextilhão (nem sei se a palavra certa é essa). O desafio dele era, na verdade, uma complexa de 10 contra uma simples de 15, mas a de 10 daria 10 quintilhões, que continua sendo cerca de 16x mais fraca que a de 15. Ele sabia que a chance de perder os 100 dólares era pequena. No entanto, devemos tomar um certo cuidado. Incentivar senhas simples também pode complicar o trabalho se as senhas forem passphrases. Caso o programa usado pra quebrar a senha tenha um ótimo dicionário (nos termos da Física, um dicionário ideal =), o tempo pra se quebrar as senhas fica menor. Mesmo assim, o testador não tem como descobrir que a senha é uma passphrase, e um caractere fora do padrão dele complica tudo. Por outro lado, se tiver mais de um computador testando o hash, o tempo necessário para quebrar cai pela metade... e assim por diante quanto maior o número de computadores. Como vocês podem ver, as possibilidades de mudança no teste são grandes, e isso passa a não ter muita validade se você quiser levar em conta todas elas. Em resumo: senhas simples entre 15 e 17 caracteres são muito melhores do que as complexas de 8. Adicione à isso uma política de troca de senhas a cada dois meses, você estará "matematicamente seguro" contra o poder de processamento dos computadores dos dias de hoje. Abraços e parabéns. Essa vai pro meu blog também. -- Vinicius Canto MVP Visual Developer - Scripting MCP Windows 2000 Server, Windows XP e SQL Server 2000 Blog sobre Scripting: http://viniciuscanto.blogspot.com *pouco mais aqui foi uma ironia... qualquer arredondamento com números dessa ordem dá bastante diferença.