Frase-senha vs senha: entropia e segurança explicadas

Toda senha possui uma propriedade mensurável chamada entropia — o número de bits de aleatoriedade que contém. Maior entropia significa mais combinações possíveis. Uma senha com 50 bits tem 2^50 possibilidades. A um bilhão de tentativas por segundo, leva cerca de 13 dias. A 80 bits, mesmo um trilhão de tentativas levaria 38.000 anos.

A percepção crítica é que a entropia depende de como a senha foi gerada, não de como ela parece. "Tr0ub4dor&3" tem apenas cerca de 28 bits. Enquanto isso, "correct horse battery staple" fornece aproximadamente 52 bits com a lista EFF.

A maioria das políticas foca na composição de caracteres em vez da entropia real. "Summer2026!" satisfaz todos os requisitos mas cai em segundos a um ataque de dicionário.

Para uma senha verdadeiramente aleatória: entropia = log₂(C^L). Uma senha de 12 caracteres de um conjunto de 95 tem ≈ 79 bits.

Para frases-senha: entropia = log₂(W^N). Com a lista EFF (7.776 palavras): 4 palavras ≈ 51,7 bits; 5 palavras ≈ 64,6 bits; 6 palavras ≈ 77,5 bits; 7 palavras ≈ 90,5 bits.

Este cálculo assume que o atacante conhece seu método de geração.

Frases-senha oferecem uma vantagem única: trocam complexidade de caracteres por comprimento, alcançando alta entropia enquanto permanecem memoráveis. Uma frase de seis palavras tem aproximadamente 78 bits de entropia — equivalente a uma senha aleatória de 12 caracteres.

O fator memorabilidade não é apenas conveniência — é uma vantagem de segurança. Quando senhas são difíceis de lembrar, usuários as anotam de forma insegura ou as reutilizam.

Frases-senha também resistem melhor à espionagem por cima do ombro.

O método Diceware, desenvolvido por Arnold Reinhold em 1995, usa dados físicos para selecionar palavras. A EFF atualizou a lista em 2016.

Senhas aleatórias alcançam maior entropia por caractere. Uma de 16 caracteres fornece cerca de 105 bits — seriam necessárias 8 palavras Diceware para igualar.

Para contas gerenciadas por um gerenciador, senhas aleatórias são estritamente superiores, pois a memorabilidade é irrelevante.

Senhas aleatórias são também mais compactas, importante em sistemas com limites baixos de comprimento.

A principal desvantagem é que são impossíveis de memorizar.

Use frases-senha para: sua senha mestra; login do computador; PINs de telefone; criptografia de disco; e qualquer credencial onde não possa confiar no preenchimento automático.

Use senhas aleatórias para: todas as contas no gerenciador; chaves API; contas de serviço; senhas de banco de dados.

Para máxima segurança, combine ambas: uma frase-senha forte como mestra e senhas aleatórias únicas para cada conta.

Comece com mínimo de 5 palavras para contas pessoais e 6-7 para alvos de alto valor. Use a lista EFF ou equivalente com pelo menos 7.776 entradas.

Considere adicionar uma ou duas modificações: capitalize uma palavra aleatória, insira um dígito ou use um separador incomum.

Nunca selecione palavras você mesmo. A seleção humana é fortemente enviesada para palavras comuns. Sempre use dados ou um gerador criptográfico.

Tanto frases-senha quanto senhas aleatórias podem fornecer excelente segurança quando usadas corretamente. A escolha depende do contexto: frases-senha para memória humana, senhas aleatórias para gestão por máquinas.

Qualquer que seja o método, o fator mais importante é a unicidade. Uma frase-senha perfeita reutilizada em três sites é muito menos segura que três senhas medíocres mas únicas.