Módulo 2 · 2.2

Escolher e utilizar gestores de palavras-passe

Módulo 2: Palavras-passe e início de sessão · Tempo de leitura: 9 minutos

Objetivo da lição: Depois desta lição, saberá escolher e configurar um gestor de palavras-passe, proteger a palavra-passe mestra e partilhar palavras-passe em segurança numa equipa.

Conceitos-chave: gestor de palavras-passe, palavra-passe mestra, cofre, encriptação ponto a ponto, cofre partilhado, acesso de emergência, gestor de palavras-passe do navegador

O que faz um gestor de palavras-passe

Na lição 2.1 viu que cada conta precisa de uma palavra-passe própria, longa e aleatória. Ninguém consegue memorizar oitenta. Um gestor de palavras-passe é um software que faz isso por si. Este:

cria uma palavra-passe forte e aleatória para cada serviço;
guarda todas as palavras-passe encriptadas num cofre;
preenche-as no site correto, e apenas aí;
avisa frequentemente sobre palavras-passe fracas, repetidas ou divulgadas em fugas de dados;
em muitos produtos, pode também guardar os códigos da autenticação de dois fatores (2FA) e armazenar passkeys (lições 2.3 e 2.4).

Só precisa de memorizar uma: a palavra-passe mestra com que abre o cofre. O centro nacional de cibersegurança neerlandês (NCSC) recomenda um gestor de palavras-passe como base fixa, também para pequenas organizações, com acordos claros sobre que gestor se utiliza e para que contas é obrigatório.

Tipos de gestores de palavras-passe

Não existe um único tipo que seja o melhor. O NCSC neerlandês distingue o gestor no navegador, a aplicação independente, e o online (cloud) em oposição ao offline (local). Na prática, encontra estas formas:

Tipo	Exemplo de funcionamento	Vantagens	Desvantagens
Integrado no navegador ou no sistema operativo	O navegador ou o telemóvel propõe guardar uma palavra-passe e preenche-a mais tarde	Já está disponível, é fácil, sincroniza dentro do mesmo ecossistema	Muitas vezes sem palavra-passe mestra própria: quem entra no seu computador entra nas suas palavras-passe; menos adequado entre sistemas diferentes e para partilha numa equipa
Aplicação independente com sincronização na cloud	Uma aplicação própria e uma extensão do navegador em todos os seus dispositivos, com o cofre encriptado no fornecedor	Funciona em todos os sistemas, cofres partilhados, gestão para equipas, avisos	Tem de confiar no fornecedor; precisa de uma palavra-passe mestra forte
Local (offline)	Um ficheiro de cofre encriptado no seu próprio computador	Mantém tudo sob o seu controlo	Tem de tratar da cópia de segurança e da sincronização; partilhar é mais difícil
Código aberto, eventualmente alojado por si	O código pode ser verificado publicamente; alguns podem ser executados no seu próprio servidor	Verificável, sem dependência de uma única empresa	Alojar por si significa atualizar, proteger e fazer cópias de segurança por si

Exemplos conhecidos de gestores independentes são o Proton Pass, o 1Password, o Bitwarden e o KeePassXC, além dos gestores incluídos nos navegadores e sistemas operativos. No manual Gestor de palavras-passe na prática comparamos 23 gestores de palavras-passe quanto à facilidade, segurança e privacidade (UE e RGPD), com o país da empresa, o preço e avaliações (ver Leitura adicional). O nosso conselho aí: Proton Pass, ou 1Password se quiser a solução mais fácil de todas. Se tiver dúvidas, escolha com base nas perguntas abaixo.

Perguntas para a escolha

Funciona em todos os seus dispositivos e navegadores, incluindo os dos colegas?
Pode partilhar cofres com permissões por pasta, e retirar alguém de um cofre?
O cofre tem encriptação ponto a ponto, e o que fica ou não encriptado (por exemplo, os endereços dos sites)?
Pode proteger o cofre com autenticação de dois fatores (2FA) ou uma passkey?
Existe acesso de emergência ou um mecanismo de recuperação, e como funciona exatamente?
Pode exportar os seus dados se quiser mudar?
Nas versões gratuitas: qual é o modelo de negócio?

Encriptação ponto a ponto: e se o fornecedor for atacado?

Num bom gestor na cloud, o seu cofre é encriptado no seu dispositivo com uma chave derivada da sua palavra-passe mestra. O fornecedor recebe apenas o pacote encriptado. Chama-se a isto encriptação ponto a ponto (por vezes "zero knowledge"). O fornecedor não consegue ler as suas palavras-passe e, por isso, também não consegue repor a sua palavra-passe mestra.

Se o fornecedor for atacado, um atacante pode roubar os cofres encriptados. Pode então tentar quebrá-los offline, como na lição 2.1. Nesse momento, a sua palavra-passe mestra é a sua única proteção. Por isso:

A palavra-passe mestra é longa e única: uma frase-passe de pelo menos cinco, de preferência seis palavras aleatórias.
Não a utiliza em mais nenhum lado.
Após uma fuga no fornecedor, altera a sua palavra-passe mestra e também as palavras-passe das suas contas mais importantes. Afinal, o cofre antigo roubado está encriptado com a palavra-passe mestra antiga.

A autenticação de dois fatores (2FA) no cofre ajuda contra alguém que tenha a sua palavra-passe mestra e queira iniciar sessão através do site. Não ajuda contra a quebra de um ficheiro de cofre roubado. O NCSC neerlandês também o diz: a 2FA no gestor não é razão para uma palavra-passe mestra fraca.

Proteger a palavra-passe mestra

Esquecer a palavra-passe mestra é, num bom gestor, muitas vezes definitivo: o fornecedor não a consegue recuperar. Por isso, trate disto antecipadamente:

Escreva a palavra-passe mestra em papel e guarde-o em casa num local seguro. O NCSC neerlandês considera isso perfeitamente aceitável, desde que não escreva para que serve.
Crie o kit de recuperação ou o código de emergência que o seu gestor disponibiliza, imprima-o e guarde-o junto do papel.
Introduza a palavra-passe mestra apenas na aplicação ou extensão do próprio gestor, nunca num site que a peça.
Ative o bloqueio automático após alguns minutos de inatividade.

Porque é que o preenchimento automático ajuda contra o phishing

Um gestor de palavras-passe associa cada palavra-passe ao endereço do site. Em https://meubanco.example preenche a sua palavra-passe. Num endereço parecido como https://rneubanco.example (rn em vez de m) ou https://meubanco-seguro.example não faz nada, porque esses endereços não constam do item.

Uma pessoa muitas vezes não vê a diferença entre rn e m. O gestor compara caracteres e não fica cansado nem apressado. É uma verdadeira proteção, mas só se o deixar funcionar:

O seu gestor de repente não preenche nada num site onde sempre o fazia? Não o contorne copiando a palavra-passe à mão. Observe primeiro o endereço com muita atenção. É precisamente neste momento que o gestor o está a avisar.

Por vezes também existe uma boa razão para não preencher: um serviço que mudou para um novo endereço. Nesse caso, confirme-o por outra via, por exemplo escrevendo o senhor mesmo o endereço que já conhecia.

Partilhar numa equipa

Numa pequena empresa há sempre contas usadas em conjunto: a loja online em plataforma-loja-online.example, a conta em correiorapido.example, as redes sociais da empresa. O ideal é cada pessoa ter a sua própria conta (módulo 7). Se não for possível, utilize um cofre partilhado:

Crie cofres ou pastas por tema ("Loja online", "Finanças", "Redes sociais") e dê acesso apenas a quem precisa.
Nunca partilhe por e-mail, chat ou folha de cálculo. Quem tem acesso ao cofre partilhado vê lá a palavra-passe.
Alguém sai da empresa? Retire essa pessoa do cofre e altere as palavras-passe que ela podia ver. Retirá-la do cofre não basta: pode tê-las copiado ou guardado.
Organize o acesso de emergência: o que acontece se o senhor, o proprietário, ficar doente ou deixar de estar disponível? Muitos gestores têm uma função que dá acesso a uma pessoa de confiança após um tempo de espera. Ou guarde os dados de recuperação num envelope selado junto de uma segunda pessoa.

Na prática: mudar numa só tarde

Escolha um gestor e instale-o no computador e no telemóvel, com a extensão do navegador.
Crie uma palavra-passe mestra (frase-passe), escreva-a e guarde o kit de recuperação.
Ative a autenticação de dois fatores (2FA) no cofre.
Importe as palavras-passe que o seu navegador já guardava. Uma exportação é muitas vezes um ficheiro não encriptado: elimine-o logo após a importação, também da reciclagem.
Comece pelas contas mais importantes e dê a cada uma nova palavra-passe aleatória: a sua caixa de correio (info@example.com), o seu alojamento (hosting) e registo de domínio, o seu banco e a sua contabilidade (por exemplo em contafacil.example).
Atualize as restantes quando iniciar sessão nelas. Os avisos sobre palavras-passe repetidas ajudam.

Utiliza um serviço no ambiente WebOké, como uma caixa de correio ou o Nextcloud, com aplicações no telemóvel? Para isso cria por vezes uma palavra-passe de aplicação separada (ver Base de conhecimento 436). Também essa é guardada no gestor, no item correto. Noutros fornecedores funciona de forma semelhante.

Resumo

Um gestor de palavras-passe cria, guarda e preenche palavras-passe únicas; só precisa de memorizar a palavra-passe mestra.
Tipos: integrado no navegador ou sistema, aplicação independente com cloud, local, código aberto ou alojado por si. Escolha com base nos dispositivos, partilha, encriptação e recuperação.
Com encriptação ponto a ponto, a sua palavra-passe mestra é a última defesa se o fornecedor for atacado.
Se o gestor não preencher, verifique o endereço em vez de copiar.
Partilhe através de um cofre partilhado e altere as palavras-passe quando alguém sair.

Questionário

Exercício

Exercício D2.2: Configurar o seu gestor de palavras-passe. Escolha um gestor de palavras-passe, crie uma palavra-passe mestra e um kit de recuperação, ative a autenticação de dois fatores (2FA) no cofre e dê às suas cinco contas mais importantes uma palavra-passe nova e única. Assinale a lista de verificação e responda às perguntas de reflexão. Não introduz nenhuma palavra-passe em lado nenhum.

Exercício D2.2: Configurar o seu gestor de palavras-passe

Como fazer: (1) Escolha um tipo de gestor de palavras-passe (integrado, aplicação separada com nuvem, local, de código aberto ou alojado por si) com base nas perguntas da lição 2.2. (2) Instale-o no seu computador e telemóvel, com a extensão do navegador. (3) Crie uma palavra-passe principal: uma frase-passe com pelo menos cinco, de preferência seis, palavras aleatórias. Escreva-a em papel e guarde-o num local seguro em casa, junto com o kit de recuperação ou o código de emergência do gestor. (4) Ative a autenticação de dois fatores (2FA) no cofre. (5) Importe as palavras-passe existentes do seu navegador e elimine imediatamente o ficheiro exportado, incluindo da reciclagem. (6) Dê às suas cinco contas mais importantes uma nova palavra-passe aleatória de pelo menos 15 carateres: caixa de correio, alojamento ou registo do domínio, banco, contabilidade, e a conta de que todas as outras dependem. (7) Se trabalha com outras pessoas: crie um cofre partilhado para as contas partilhadas e inclua apenas as pessoas que precisam delas.

Gestor de palavras-passe escolhido e instalado em todos os meus dispositivos
A palavra-passe principal é uma frase-passe e não é usada em mais nenhum sítio
A palavra-passe principal e o kit de recuperação estão em papel, num local seguro
A autenticação de dois fatores (2FA) está ativada no cofre
Ficheiro exportado eliminado após a importação
As cinco contas mais importantes têm uma palavra-passe nova e única
O bloqueio automático está ativado
(equipa) Cofre partilhado apenas com as pessoas necessárias

Porque escolheu este tipo de gestor, e qual é para si a maior desvantagem?

Quem pode aceder às suas palavras-passe se amanhã estiver indisponível durante um mês, e como é que isso está organizado?

Em que conta o gestor não preencheu automaticamente, e o que verificou nessa altura?

As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.

Leitura adicional

Os passos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores funciona de forma semelhante.

Cookies na WebOké

Definições de cookies

Necessários

Marketing