Eu aprendi três coisas muito simples sobre senhas para computadores neste ano. A primeira é que é melhor que eu não lembre delas. A segunda é que a maior segurança que eu posso ter é o número de caracteres que a minha senha tem. A terceira é que é importante se manter atualizado sobre o que está acontecendo no mundo da segurança da informação para entender o que pode quebrar essa segurança adicional criada ao seguir os dois primeiros passsos. Eu vou tratar da primeira neste post.
Não lembrar de senhas é algo mágico, se você sabe como recuperá-las. E só há uma forma de poder recuperar senhas que você não se lembra: com um gerenciador de senhas.
Desde que eu conheci o programa Lastpass eu mudei minha maneira de lidar com senhas. Invariavelmente eu acabava com variações óbvias que, no fundo no fundo, não me davam tranquilidade. A proposta do Lastpass, como o próprio nome diz, é ser a única senha que você precisa lembrar.
O que faz ele seguro é que a encriptação dos dados acontece no computador do cliente, e não nos servidores da Lastpass. Quando qualquer informação chega nos servidores da Lastpass, é indecifrável. Eles ainda criam mais barreiras uma vez que o usuário e senha chegam na Lastpass: ao invés de verificarem o bloco de 256 bits que é gerado no seu computador contra uma cópia lá, eles mesmos geram outro bloco de 256 bits que eles combinam com o seu bloco de 256 bits, encriptam novamente, e aí sim eles verificam se tudo está correto. Dessa forma eles nunca mantém uma cópia do seu usuário e senha, mesmo que encriptado, dentro dos servidores deles.
Caso queiram um exame melhor do software, vejam abaixo o vídeo do podcast Security Now! que explica a infraestrutura do serviço. A parte que trata do Lastpass começa em 52:44.
LastPass é muito bom mesmo. :)
E para quem é preocupado na segurança da senha-mestre do LastPass, o serviço oferece autenticação multifator via tabela ou Google Authenticator, reduzindo o risco de acesso não autorizado a praticamente zero.
Referências:
http://helpdesk.lastpass.com/security-options/grid-multifactor-authentication/
http://helpdesk.lastpass.com/security-options/google-authenticator/