Início / Glossário de segurança de senhas

Glossário de segurança de senhas

Definições claras dos termos por trás de senhas, hashing e segurança de contas.

Ataques

Força bruta: Tentar todos os valores possíveis até um funcionar. Seus únicos limites são a velocidade de tentativa e o número de possibilidades — por isso comprimento vence complexidade.
Ataque de dicionário: Força bruta restrita a candidatos prováveis — palavras reais, nomes, senhas vazadas, padrões de teclado. Muito eficaz contra senhas inventadas por pessoas.
Credential stuffing: Tentar automaticamente um usuário e senha vazados de um site em muitos outros. Só funciona porque as senhas são reutilizadas.
Phishing: Enganar você para digitar a senha em uma página ou mensagem falsa. A força da senha não importa aqui; 2FA e cautela ajudam.
Keylogger: Malware ou hardware que registra tudo o que você digita e captura as senhas ao serem inseridas, por mais fortes que sejam.

Entropia: O quão imprevisível é um segredo, medido em bits — grosso modo o número de tentativas necessárias em média, como potência de dois. Cada bit a mais dobra o trabalho para quebrá-lo.
Hash: Uma função de mão única que transforma qualquer entrada em uma impressão de comprimento fixo. Os sites guardam o hash da sua senha, não a senha.
Salt (salga): Um valor aleatório único misturado a cada senha antes do hash. Faz senhas iguais gerarem hashes diferentes e inutiliza tabelas pré-calculadas (rainbow).
Key stretching: Hashing propositalmente lento (bcrypt, scrypt, Argon2, PBKDF2) que torna cada tentativa cara e desacelera a quebra offline em ordens de magnitude.
CSPRNG: Um gerador aleatório criptograficamente seguro, como o crypto.getRandomValues() do navegador. Sua saída não pode ser prevista ou reproduzida, ao contrário de Math.random().

Autenticação em dois fatores (2FA): Uma segunda prova de identidade além da senha — um código de app, uma confirmação ou uma chave física. Bloqueia um atacante que só tem a senha.
Passkey (FIDO2): Uma credencial sem senha vinculada ao seu dispositivo com criptografia de chave pública. Nada secreto é enviado ao site, então não dá para phishing nem vaza numa brecha.
Senha mestra: A única senha que abre um gerenciador de senhas. É a única que você memoriza, então faça uma frase longa e nunca a reutilize.

Frase-senha: Uma senha formada por várias palavras aleatórias. Fácil de digitar e lembrar, e forte quando as palavras são escolhidas por software e não por você.
Gerenciador de senhas: Um app que cria, guarda e preenche uma senha única para cada conta atrás de uma só senha mestra — o hábito isolado mais eficaz para a segurança das contas.
Vazamento de dados: Um incidente em que os dados de usuários de um serviço — muitas vezes com hashes de senhas — são roubados e geralmente publicados. Verifique sua exposição com o verificador de vazamentos deste site.