← Voltar ao Material de Estudo
Iniciante · Aula 5

Senhas e Autenticação na Prática

⏱️ 20-25 minutos · 📚 Trilha Iniciante

Já vimos o básico de senhas e MFA na aula anterior. Agora vamos entender como as senhas são quebradas de verdade, por que "senha123!" não engana ninguém, e como os ataques mais recentes contornam até o MFA — e o que fazer a respeito.

🎯 O que você vai aprender

  • Como ataques de força bruta, dicionário e credential stuffing funcionam
  • Por que comprimento importa mais que complexidade
  • MFA fatigue: como atacantes contornam o segundo fator
  • O que são passkeys e por que são o futuro da autenticação

Como uma senha é "quebrada" de verdade

  • Força bruta: testar todas as combinações possíveis até acertar. Quanto mais longa a senha, exponencialmente mais demorado.
  • Ataque de dicionário: testar palavras e senhas comuns (as listas de "senhas mais vazadas" têm milhões de entradas) em vez de combinações aleatórias — muito mais rápido que força bruta pura.
  • Credential stuffing: pegar combinações de e-mail/senha vazadas de um site e testá-las em massa em outros sites, apostando que a pessoa reutilizou a senha.
  • Rainbow tables: tabelas pré-computadas de hashes de senhas comuns, usadas para reverter rapidamente um hash vazado para a senha original (por isso sites sérios usam "salt" — um valor aleatório somado à senha antes de gerar o hash, que invalida essas tabelas).

Comprimento vence complexidade

"P@ssw0rd1" parece complexa, mas é uma das primeiras tentativas de qualquer ataque de dicionário (substituições óbvias de letra por símbolo são previsíveis). Uma passphrase aleatória de quatro palavras sem sentido entre si ("javali-turquesa-13-guarda-chuva") tem muito mais entropia (mais combinações possíveis) e é mais fácil de lembrar.

Regra prática: priorize comprimento (14+ caracteres) e unicidade (nunca repetida em outro serviço) acima de exigir símbolos específicos.

MFA fatigue (bombardeio de notificações)

Com apps autenticadores que enviam notificação push ("aprovar login?"), atacantes que já roubaram a senha da vítima podem tentar logins repetidamente, disparando dezenas de notificações — na esperança de que a vítima aprove uma delas por cansaço ou confusão. Esse tipo de ataque já foi usado em invasões reais de grandes empresas.

Defesa: nunca aprovar uma notificação de login que você não iniciou, e usar MFA com "number matching" (onde você precisa digitar um número exibido na tela de login, não só apertar "aprovar").

Passkeys: o próximo passo

Passkeys usam criptografia de chave pública/privada em vez de senha: seu dispositivo guarda uma chave privada (protegida por biometria ou PIN local) e o site só conhece a chave pública correspondente. Como não existe "senha" para vazar ou digitar, passkeys são resistentes a phishing e a vazamentos de banco de dados — o site invadido não tem nada de útil para o atacante roubar.

💡 Exemplo prático

Uma pessoa usa "Julia2010" no Instagram, no e-mail pessoal e no sistema do trabalho. O Instagram sofre um vazamento de dados. Meses depois, alguém testa essa mesma combinação de e-mail/senha no sistema corporativo (credential stuffing) e consegue entrar — não porque a empresa foi invadida diretamente, mas porque a senha foi reaproveitada.

⚠️ Erro comum

Trocar a senha só quando "01" vira "02" no final ("Senha01" → "Senha02"). Políticas de troca periódica sem mudança real de padrão dão falsa sensação de segurança — um atacante que conhece o padrão anterior adivinha o próximo facilmente.

✅ Pontos-chave

  • Credential stuffing é o motivo número um para nunca reutilizar senhas.
  • Comprimento importa mais que símbolos especiais para resistir a força bruta e dicionário.
  • MFA fatigue explora cansaço humano — nunca aprove um login que você não iniciou.
  • Passkeys eliminam a senha do processo, sendo resistentes a phishing por design.

🔗 Para se aprofundar