Entropia de Shannon e força da senha

A maioria dos conselhos sobre senhas concentra-se na mistura de letras maiúsculas, minúsculas, números e símbolos, mas isso perde a medida real da força da senha: entropia, a quantidade de aleatoriedade medida em bits. Compreender a entropia de Shannon ajuda a criar senhas que resistam genuinamente a ataques, muitas vezes fazendo o oposto da sabedoria convencional.

O que é entropia de Shannon?

A entropia de Shannon, em homenagem ao matemático Claude Shannon, quantifica a imprevisibilidade de uma mensagem. Para senhas, ele mede quantos bits de informação estão incluídos em sua senha. Quanto mais bits, mais combinações possíveis um invasor deve tentar adivinhar. Uma senha com 64 bits de entropia é astronomicamente mais difícil de decifrar do que uma com 32 bits, mesmo que esta última pareça mais complexa.

Como a entropia é calculada

A entropia é calculada como log₂(resultados_possíveis), onde resultados_possíveis é o número total de senhas exclusivas que alguém pode gerar usando seu método. Uma senha extraída de um alfabeto de 94 caracteres (minúsculas, maiúsculas, dígitos e símbolos) e 8 caracteres tem entropia de aproximadamente 52 bits. Cada caractere adicional adiciona aproximadamente 6,5 bits ao desenhar desse conjunto de 94 caracteres.

A entropia cresce logaritmicamente com o tamanho do alfabeto, mas linearmente com o comprimento. Isso é importante: expandir seu alfabeto de 26 para 52 caracteres dobra a entropia, mas adicionar um caractere ao comprimento sempre adiciona entropia proporcionalmente. É por isso que o comprimento é a alavanca mais poderosa para a força da senha.

Por que o comprimento supera os símbolos

Uma senha de doze caracteres usando apenas letras minúsculas tem mais entropia do que uma senha de oito caracteres usando letras minúsculas, maiúsculas, dígitos e símbolos. A matemática é simples: cada caractere extra de comprimento 12 multiplica suas possibilidades por 26. No comprimento 8, adicionar suporte a símbolos apenas multiplica por aproximadamente 2. Quanto mais longo, mais forte.

Uma frase secreta memorável como "elefantes da selva ao luar nadando" (apenas letras minúsculas, 30 caracteres, extraídas de cerca de 170.000 palavras comuns em inglês) contém cerca de 68 bits de entropia. Uma senha de aparência aleatória como "Kx7@mQ2p" (8 caracteres, alfabeto de 94 caracteres) tem apenas 52 bits, mas a senha é mais fácil de digitar e lembrar.

Atingindo 80 bits de entropia

Especialistas em segurança recomendam 80 bits de entropia para senhas que protegem contas confidenciais. Aqui estão caminhos concretos para 80 bits:

1. Usando letras minúsculas e dígitos (alfabeto de 36 caracteres): 13 caracteres. Exemplo: moonlitjungle42elephant9swim
2. Usando letras minúsculas, maiúsculas, dígitos e símbolos (alfabeto de 94 caracteres): 12 caracteres.
3. Usando uma lista de palavras de 10.000 palavras: 4 palavras. Exemplo: selva-elefante-luar-nadar
4. Usando uma lista de palavras de 7.776 palavras (padrão diceware): 5 palavras.

As abordagens baseadas em palavras ganham em termos de memorização e não são menos seguras matematicamente.

Diceware: o método comprovado

O método de dados cria senhas de alta entropia usando dados físicos e uma lista de palavras. Jogue cinco dados, procure o número de cinco dígitos resultante no dicionário diceware e anote a palavra. Repita 5 vezes para uma senha de 65 bits; repita 6 vezes para 78 bits; 7 vezes para 91 bits. As senhas são memoráveis, fáceis de digitar e genuinamente aleatórias de uma forma que os humanos não conseguem ao tentarem ser criativos.

Teste a entropia da sua senha

Use um verificador de força de senha para medir a entropia de qualquer senha em bits. Crie uma senha de teste com um gerador de senha aleatória e veja quantos bits ele contém. Experimente diferentes comprimentos e alfabetos para desenvolver a intuição. UM Calculadora de entropia de Shannon mostra a matemática: insira qualquer texto e exibe os bits de entropia contidos nele.

Privacidade: as ferramentas são executadas localmente, não em um servidor

Todas as ferramentas do TextArray são executadas inteiramente dentro do seu navegador. Sua senha nunca é enviada para um servidor, nunca é registrada, nunca é armazenada em qualquer lugar, exceto no seu próprio dispositivo. O cálculo da entropia acontece localmente. Você pode se desconectar da internet e ainda gerar senhas e medir sua força. Essa abordagem apenas local significa que suas senhas são somente suas e nenhum vestígio delas chega a um servidor de terceiros.