{"id":21181,"date":"2024-09-28T20:56:29","date_gmt":"2024-09-28T23:56:29","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=21181"},"modified":"2024-09-28T20:56:57","modified_gmt":"2024-09-28T23:56:57","slug":"senhas-que-nunca-expiram-podem-ser-uma-decisao-arriscada","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2024\/09\/exploits\/senhas-que-nunca-expiram-podem-ser-uma-decisao-arriscada\/","title":{"rendered":"Senhas que nunca expiram podem ser uma decis\u00e3o arriscada"},"content":{"rendered":"\n<p><strong>Por que senhas que &#8216;Nunca Expiram&#8217; podem ser uma decis\u00e3o arriscada<\/strong><\/p>\n<p>\u00a0<\/p>\n<div class=\"flex max-w-full flex-col flex-grow\">\n<div class=\"min-h-8 text-message flex w-full flex-col items-end gap-2 whitespace-normal break-words [.text-message+&amp;]:mt-5\" dir=\"auto\" data-message-author-role=\"assistant\" data-message-id=\"0dbe0766-6fe8-4d84-ba7c-093a79519eab\">\n<div class=\"flex w-full flex-col gap-1 empty:hidden first:pt-[3px]\">\n<div class=\"markdown prose w-full break-words dark:prose-invert light\">\n<p style=\"text-align: justify;\">Senhas s\u00e3o a primeira linha de defesa na maioria dos sistemas de seguran\u00e7a digital. Embora a renova\u00e7\u00e3o peri\u00f3dica de senhas possa ser frustrante para os usu\u00e1rios, especialmente quando eles precisam criar novas combina\u00e7\u00f5es dif\u00edceis de lembrar, optar por nunca expirar as senhas pode ser uma decis\u00e3o arriscada para a seguran\u00e7a cibern\u00e9tica de uma organiza\u00e7\u00e3o. Neste artigo, vamos explorar o motivo pelo qual as senhas expiram, as implica\u00e7\u00f5es de permitir que senhas nunca expirem e os riscos associados a essa pr\u00e1tica.<\/p>\n<p>\u00a0<\/p>\n<p><strong>Por que as senhas expiram?<\/strong><\/p>\n<p style=\"text-align: justify;\">A pr\u00e1tica de exigir que senhas sejam alteradas a cada 90 dias surgiu para proteger contra ataques de for\u00e7a bruta. Em um ataque de for\u00e7a bruta, os invasores tentam todas as combina\u00e7\u00f5es poss\u00edveis de uma senha at\u00e9 encontrar a correta. Normalmente, as organiza\u00e7\u00f5es armazenam as senhas de seus usu\u00e1rios como hashes, vers\u00f5es criptografadas geradas por algoritmos de hash criptogr\u00e1fico. Quando o usu\u00e1rio insere sua senha, ela \u00e9 convertida em um hash e comparada ao hash armazenado no banco de dados. No entanto, se o invasor tiver acesso ao banco de dados de senhas criptografadas, ele pode tentar usar diversas senhas at\u00e9 encontrar a correta.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Embora as pol\u00edticas de expira\u00e7\u00e3o de senhas sejam eficazes em retardar os ataques de for\u00e7a bruta, essa abordagem foi originalmente desenvolvida para uma \u00e9poca em que os ataques n\u00e3o eram t\u00e3o sofisticados quanto hoje. Al\u00e9m disso, o avan\u00e7o na capacidade computacional reduziu o tempo necess\u00e1rio para quebrar senhas mais simples. No entanto, o per\u00edodo de 90 dias ainda \u00e9 amplamente recomendado por padr\u00f5es de conformidade, como PCI DSS.<\/p>\n<p>\u00a0<\/p>\n<p><strong>For\u00e7a bruta e expira\u00e7\u00e3o de senhas<\/strong><\/p>\n<p style=\"text-align: justify;\">Imagine uma organiza\u00e7\u00e3o que for\u00e7a a mudan\u00e7a de senhas a cada 90 dias. Isso significa que um invasor, ao tentar um ataque de for\u00e7a bruta tem um tempo limitado para descobrir a senha antes que ela seja alterada. Com o aumento da complexidade das senhas, como a exig\u00eancia de caracteres especiais, n\u00fameros e letras mai\u00fasculas, a probabilidade de o invasor obter sucesso diminui consideravelmente antes do pr\u00f3ximo per\u00edodo de expira\u00e7\u00e3o.<\/p>\n<p>\u00a0<\/p>\n<p><strong>O que leva algumas organiza\u00e7\u00f5es a eliminar a expira\u00e7\u00e3o de senhas?<\/strong><\/p>\n<p style=\"text-align: justify;\">Recentemente algumas organiza\u00e7\u00f5es decidiram abandonar as pol\u00edticas de expira\u00e7\u00e3o de senhas, especialmente para reduzir a carga sobre as equipes de TI. Isso ocorre porque grande parte das solicita\u00e7\u00f5es de suporte t\u00e9cnico est\u00e1 relacionada a redefini\u00e7\u00e3o de senhas esquecidas. Segundo a Gartner, entre 20% a 50% das chamadas aos servi\u00e7os de help desk est\u00e3o associadas a problemas com senhas. Al\u00e9m disso, cada redefini\u00e7\u00e3o de senha custa, em m\u00e9dia 70 d\u00f3lares, de acordo com a Forrester.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Portanto, algumas empresas acreditam que exigir uma senha forte e \u00fanica no momento da cria\u00e7\u00e3o e permitir que ela nunca expire pode reduzir os custos de suporte e simplificar a experi\u00eancia do usu\u00e1rio. Por\u00e9m, essa abordagem apresenta v\u00e1rios riscos.<\/p>\n<p>\u00a0<\/p>\n<p><strong>Quais s\u00e3o os riscos de senhas que nunca expiram?<\/strong><\/p>\n<p style=\"text-align: justify;\">Embora possa parecer que uma senha forte e permanente oferece seguran\u00e7a, essa cren\u00e7a pode ser enganosa. Mesmo senhas robustas podem ser comprometidas por meio de ataques de phishing, viola\u00e7\u00f5es de dados ou outros incidentes cibern\u00e9ticos. Um estudo da Specops Breached Password Report revelou que 83% das senhas comprometidas atendiam aos padr\u00f5es regulamentares de comprimento e complexidade.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Al\u00e9m disso, muitos usu\u00e1rios tendem a reutilizar suas senhas em diferentes plataformas, como redes sociais, e-mails pessoais e outros servi\u00e7os online. Se a senha usada em um ambiente corporativo for comprometida em outro servi\u00e7o todos os sistemas que dependem daquela senha estar\u00e3o vulner\u00e1veis. Um levantamento da LastPass indicou que embora 91% dos usu\u00e1rios compreendam os riscos de reutilizar senhas, 59% ainda o fazem.<\/p>\n<p>\u00a0<\/p>\n<p><strong>Reutiliza\u00e7\u00e3o de senhas e viola\u00e7\u00f5es de dados<\/strong><\/p>\n<p style=\"text-align: justify;\">Imagine que um funcion\u00e1rio usa a mesma senha para sua conta de e-mail pessoal e para acessar os sistemas da empresa. Se a conta de e-mail for comprometida em uma viola\u00e7\u00e3o de dados, os atacantes podem tentar a mesma senha em outras plataformas, como o sistema da empresa, especialmente se a senha n\u00e3o tiver um prazo de expira\u00e7\u00e3o. Isso aumenta o risco de uma viola\u00e7\u00e3o corporativa massiva.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Outro risco \u00e9 que uma vez que um invasor consiga acesso ao sistema de uma organiza\u00e7\u00e3o com uma senha comprometida, ele pode permanecer ativo por muito tempo sem ser detectado. Estudos mostram que leva em m\u00e9dia 207 dias para uma organiza\u00e7\u00e3o identificar uma viola\u00e7\u00e3o de seguran\u00e7a, o que d\u00e1 ao invasor tempo suficiente para explorar dados valiosos.<\/p>\n<p>\u00a0<\/p>\n<p><strong>Como detectar senhas comprometidas<\/strong><\/p>\n<p style=\"text-align: justify;\">Dada a vulnerabilidade das senhas, independentemente de qu\u00e3o fortes elas sejam \u00e9 fundamental que as organiza\u00e7\u00f5es implementem estrat\u00e9gias que detectem credenciais comprometidas. Uma pol\u00edtica robusta de senhas deve incluir medidas como:<\/p>\n<p>\u00a0<\/p>\n<ul>\n<li style=\"text-align: justify;\"><strong>Cria\u00e7\u00e3o de Senhas Fortes:<\/strong> Encorajar a cria\u00e7\u00e3o de senhas longas e complexas com pelo menos 15 caracteres.<\/li>\n<li style=\"text-align: justify;\"><strong>Autentica\u00e7\u00e3o Multifator (MFA):<\/strong> Adicionar camadas adicionais de seguran\u00e7a, como o uso de MFA, que exige um c\u00f3digo tempor\u00e1rio al\u00e9m da senha para acessar o sistema.<\/li>\n<li style=\"text-align: justify;\"><strong>Monitoramento Cont\u00ednuo:<\/strong> Implementar ferramentas de monitoramento que detectem tentativas de login suspeitas ou o uso de senhas que j\u00e1 foram comprometidas em outras viola\u00e7\u00f5es de dados.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Al\u00e9m disso, \u00e9 importante que a organiza\u00e7\u00e3o implemente solu\u00e7\u00f5es automatizadas que auxiliem no monitoramento e na preven\u00e7\u00e3o do uso de senhas fracas ou j\u00e1 violadas. Ferramentas como o Specops Password Policy podem monitorar continuamente se as senhas usadas pelos funcion\u00e1rios fazem parte de listas de senhas comprometidas conhecidas.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<div dir=\"auto\" data-message-author-role=\"assistant\" data-message-id=\"0dbe0766-6fe8-4d84-ba7c-093a79519eab\">\u00a0<\/div>\n<div class=\"min-h-8 text-message flex w-full flex-col items-end gap-2 whitespace-normal break-words [.text-message+&amp;]:mt-5\" dir=\"auto\" style=\"text-align: center;\" data-message-author-role=\"assistant\" data-message-id=\"0dbe0766-6fe8-4d84-ba7c-093a79519eab\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter\" src=\"https:\/\/www.ethicalhacker.com.br\/site\/wp-content\/uploads\/Specops.webp\" alt=\"\" width=\"607\" height=\"326\" \/>Picture show with building stronger passwords and length-based ageing<br \/>\n<div class=\"flex w-full flex-col gap-1 empty:hidden first:pt-[3px]\">\n<div class=\"markdown prose w-full break-words dark:prose-invert light\">\n<p>\u00a0<\/p>\n<p style=\"text-align: left;\"><strong>Implementa\u00e7\u00e3o de autentica\u00e7\u00e3o multifator<\/strong><\/p>\n<p style=\"text-align: justify;\">Se uma empresa utiliza autentica\u00e7\u00e3o multifator, mesmo que uma senha seja comprometida, o invasor ainda precisaria de uma segunda forma de autentica\u00e7\u00e3o, como um c\u00f3digo tempor\u00e1rio enviado para o celular do funcion\u00e1rio para obter acesso ao sistema. Isso reduz drasticamente o risco de intrus\u00f5es com credenciais roubadas.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: left;\"><strong>Conclus\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\">Embora permitir que senhas nunca expirem possa parecer uma solu\u00e7\u00e3o conveniente para reduzir a carga de TI e melhorar a experi\u00eancia do usu\u00e1rio, essa pr\u00e1tica envolve riscos significativos. As senhas podem ser comprometidas por diversos meios e a reutiliza\u00e7\u00e3o de senhas aumenta a vulnerabilidade. As organiza\u00e7\u00f5es devem adotar uma abordagem mais abrangente para a seguran\u00e7a de senhas, combinando a cria\u00e7\u00e3o de senhas fortes, monitoramento cont\u00ednuo e autentica\u00e7\u00e3o multifator para proteger seus sistemas e dados de forma eficaz.<\/p>\n<\/div>\n<p>\u00a0<\/p>\n<\/div>\n<p style=\"text-align: left;\">Fonte: <a href=\"https:\/\/thehackernews.com\/2024\/09\/why-never-expire-passwords-can-be-risky.html\" target=\"_blank\" rel=\"noopener\">https:\/\/thehackernews.com\/2024\/09\/why-never-expire-passwords-can-be-risky.html<\/a><\/p>\n<p>\u00a0<\/p>\n<\/div>\n<\/div>\n\n\n","protected":false},"excerpt":{"rendered":"<p>Por que senhas que &#8216;Nunca Expiram&#8217; podem ser uma decis\u00e3o arriscada \u00a0 Senhas s\u00e3o a primeira linha de defesa na maioria dos sistemas de seguran\u00e7a digital. Embora a renova\u00e7\u00e3o peri\u00f3dica de senhas possa ser frustrante para os usu\u00e1rios, especialmente quando eles precisam criar novas combina\u00e7\u00f5es dif\u00edceis de lembrar, optar por nunca expirar as senhas pode [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":21200,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-21181","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21181","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=21181"}],"version-history":[{"count":11,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21181\/revisions"}],"predecessor-version":[{"id":21195,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21181\/revisions\/21195"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/21200"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=21181"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=21181"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=21181"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}