Questão de Segurança da Informação — Senhas (Gerenciamento, Política, etc.) — INSTITUTO AOCP 2024

Proteção contra ataques de senha: brute force e dictionary attacks

Gabarito: letra C. A estratégia mais eficaz para se proteger contra ataques de senha, como brute force e dictionary attacks, é implementar controles que limitem o número de tentativas de acesso mal-sucedidas em um determinado período. Essa medida dificulta a exploração automatizada de senhas, pois o atacante não consegue testar um número ilimitado de combinações em um curto espaço de tempo, sendo uma recomendação clássica de segurança da informação.

Ataques de força bruta (brute force) consistem em tentar sistematicamente todas as combinações possíveis de senha até encontrar a correta. Já os ataques de dicionário (dictionary attacks) utilizam listas de palavras comuns, senhas conhecidas e variações delas para tentar adivinhar a senha. Ambos os ataques dependem da capacidade de realizar muitas tentativas de autenticação em sequência. Portanto, a defesa mais direta e eficaz é limitar o número de tentativas falhas em um intervalo de tempo, seja bloqueando a conta temporariamente, seja aplicando um atraso progressivo entre as tentativas. Essa prática é amplamente recomendada por guias de segurança, como a OWASP, que sugere "limitar ou atrasar cada vez mais as tentativas de login com falha".

Além do bloqueio por tentativas, outras medidas complementares incluem: exigir senhas fortes (longas e com variedade de caracteres), usar autenticação multifator, armazenar senhas com hash e salt, e educar os usuários sobre boas práticas. No entanto, a alternativa C ataca diretamente o mecanismo que viabiliza os ataques de brute force e dictionary: a possibilidade de tentar inúmeras senhas sem restrição.

A banca explora aqui um tema central da segurança da informação: a defesa em profundidade. Não basta criar senhas complexas se o sistema permite tentativas infinitas; o controle de tentativas é uma camada de proteção que impede a exploração automatizada. As demais alternativas apresentam práticas incorretas ou insuficientes, que serão analisadas a seguir.

Alternativa A — ❌ Incorreta

Usar senhas curtas, mesmo que complexas, é uma prática inadequada. O comprimento da senha é um fator crucial para a segurança: senhas curtas têm um espaço de combinações muito menor, tornando-as vulneráveis a ataques de força bruta, independentemente da complexidade. A recomendação é usar senhas longas (por exemplo, 12 caracteres ou mais) e com variedade de caracteres. A alternativa inverte a lógica: o que importa é o comprimento, não apenas a complexidade.

Alternativa B — ❌ Incorreta

Permitir que os usuários escolham suas próprias senhas, sem nenhuma política de segurança, é arriscado. Usuários tendem a escolher senhas fracas, previsíveis e reutilizadas, facilitando ataques de dicionário. A prática recomendada é implementar uma política de senhas que defina requisitos mínimos de comprimento, complexidade e expiração, além de bloquear senhas comuns. A alternativa não menciona nenhum controle, o que a torna incorreta.

Alternativa C — ✅ Correta ⟵ GABARITO

Implementar controles que limitem o número de tentativas de acesso mal-sucedidas em um determinado período é a estratégia mais eficaz contra ataques de brute force e dictionary. Essa medida impede que o atacante realize um número ilimitado de tentativas, inviabilizando a exploração automatizada. É uma recomendação universal em segurança da informação, presente em guias como o OWASP e em políticas de segurança de grandes corporações.

Alternativa D — ❌ Incorreta

Armazenar senhas em texto simples é uma prática gravíssima de segurança. Se o banco de dados for comprometido, todas as senhas ficam expostas. A prática correta é armazenar apenas o hash da senha (preferencialmente com salt), de modo que, mesmo em caso de vazamento, as senhas originais não sejam reveladas. A alternativa contraria frontalmente os princípios de confidencialidade e integridade da informação.

Alternativa E — ❌ Incorreta

Usar apenas letras maiúsculas e números nas senhas reduz drasticamente o espaço de combinações, tornando-as mais fáceis de serem descobertas por ataques de força bruta. A recomendação é usar uma combinação de letras maiúsculas, minúsculas, números e caracteres especiais, aumentando a entropia da senha. A alternativa limita a complexidade, o que é contraproducente.

Gabarito: letra C