Fundamentos de segurança de senhas

A base de toda avaliação de segurança

O que você vai descobrir

🎯 Por que isso é importante

Quebrar senhas não se resume a invadir sistemas — trata-se de entender as fraquezas fundamentais que afetam bilhões de usuários em todo o mundo. O Relatório de Investigações de Violação de Dados da Verizon mostra consistentemente que credenciais comprometidas permanecem como um dos principais vetores de ataque em violações de dados. Profissionais de segurança usam técnicas de quebra de senhas para identificar essas vulnerabilidades antes dos atacantes, tornando-a uma das habilidades mais críticas na avaliação de cibersegurança.

🔍 O que você vai aprender

Você vai entender como as senhas são armazenadas, por que certos algoritmos de hash são vulneráveis e como especialistas em segurança usam ferramentas como hashcat e John the Ripper para avaliar a força das senhas. Este conhecimento forma a base de cada teste de penetração e auditoria de segurança que você conduzirá.

🚀 Sua primeira vitória

Nos próximos 10 minutos, você vai quebrar seu primeiro hash de senha usando ferramentas profissionais, entender por que funcionou e saber exatamente o que torna as senhas vulneráveis a ataques.

🔧 Tente agora mesmo

Vamos quebrar um hash MD5 simples usando uma ferramenta online para ver como senhas fracas caem rapidamente:

Hash: 5d41402abc4b2a76b9719d911017c592
Senha: ?

# Visite https://hackerdna.com/tools/md5
# Cole o hash acima
# Clique em "Reverse MD5 Hash"

Você verá: A senha "hello" aparece instantaneamente, mostrando como as rainbow tables tornam senhas comuns vulneráveis em segundos.

Habilidades que você vai dominar

Entendendo a segurança de senhas

A segurança de senhas opera em um princípio simples: tornar computacionalmente caro para atacantes adivinharem senhas enquanto mantém conveniente para usuários legítimos. Quando você digita uma senha, os sistemas não a armazenam diretamente — eles armazenam uma impressão digital matemática chamada hash.

A matemática por trás da quebra de senhas é direta mas poderosa. Uma senha típica de 8 caracteres usando letras minúsculas tem 26^8 combinações possíveis — cerca de 208 bilhões de possibilidades. Embora isso pareça seguro, placas de vídeo modernas podem testar bilhões de combinações por segundo, tornando essas senhas vulneráveis em horas.

Especialistas em segurança entendem que a força da senha não se resume apenas ao comprimento — é sobre entropia, imprevisibilidade e o custo computacional de adivinhar. Este conhecimento permite que eles avaliem se as políticas de senhas de uma organização realmente protegem contra ataques do mundo real.

Ferramentas e técnicas

🔨 Hashcat: o padrão da indústria

Hashcat é a ferramenta de recuperação de senhas mais rápida do mundo, usada por profissionais de segurança globalmente. Suporta mais de 300 algoritmos de hash e pode utilizar tanto o processamento de CPU quanto de GPU.

# Instalar hashcat (Ubuntu/Debian)
sudo apt update && sudo apt install hashcat

# Ataque de dicionário básico
hashcat -m 0 -a 0 hashes.txt rockyou.txt

# Verificar tipos de hash suportados
hashcat --help | grep -i md5

O parâmetro -m especifica o tipo de hash (0 para MD5), -a define o modo de ataque (0 para dicionário), e os arquivos contêm seus hashes alvo e a lista de senhas.

⚡ John the Ripper: o canivete suíço

John the Ripper se destaca na detecção automática de tipos de hash e na aplicação de estratégias de ataque inteligentes. É particularmente eficaz para formatos de hash mistos e ataques baseados em regras personalizadas.

# Detecção automática e quebra
john --wordlist=rockyou.txt hashes.txt

# Mostrar senhas quebradas
john --show hashes.txt

# Usar regras personalizadas para mutações
john --rules --wordlist=rockyou.txt hashes.txt

🎯 Análise manual de hashes

Entender formatos de hash permite que você escolha as ferramentas e métodos de ataque corretos. Cada algoritmo tem características distintas:

# Identificação de hash por comprimento e formato
MD5:    32 caracteres hex  (5d41402abc4b2a76b9719d911017c592)
SHA-1:  40 caracteres hex  (aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d)
SHA-256: 64 caracteres hex (8c6976e5b5410415bde908bd4dee15dfb167a9c8...)
NTLM:   32 caracteres hex  (8846f7eaee8fb117ad06bdd830b7586c)

# Gerar hashes de teste
echo -n "password" | md5sum
echo -n "password" | sha256sum

Avaliadores de segurança profissionais mantêm habilidades de identificação de hash porque ferramentas automatizadas às vezes identificam formatos incorretamente, levando a ataques falhos ou tempo desperdiçado.

📚 Listas de palavras essenciais

A quebra eficaz de senhas depende de listas de palavras de qualidade. O projeto SecLists fornece coleções abrangentes, enquanto RockYou permanece como o padrão ouro para senhas comuns.

• RockYou.txt : 14 milhões de senhas reais da violação de 2009
• SecLists : Listas curadas para cenários de ataque específicos
• Listas personalizadas : Listas de palavras específicas do alvo baseadas em reconhecimento
• Mutações baseadas em regras : Variações programáticas de senhas

Cenários de ataque do mundo real

🎯 Análise da violação do LinkedIn 2012

Em 2012, o LinkedIn sofreu uma violação massiva expondo 6,5 milhões de hashes de senhas. Pesquisadores de segurança analisaram o incidente e descobriram que o LinkedIn usava hashes SHA-1 sem salt, tornando-os vulneráveis a ataques de rainbow table. A violação foi expandida em 2016 quando foi revelado que 117 milhões de contas foram realmente comprometidas. A análise da KoreLogic de 2016 das senhas do LinkedIn revelou fraquezas críticas em sua implementação de armazenamento de senhas.

# Formato de hash do LinkedIn (SHA-1, sem salt)
# Original: "password123"
# Hash: 482c811da5d5b4bc6d497ffa98491e38

# Método de ataque usado por pesquisadores
hashcat -m 100 -a 0 linkedin_hashes.txt rockyou.txt

# Resultado: Milhões de senhas quebradas em horas

Insight do especialista: A falta de salt significava que senhas idênticas produziam hashes idênticos, permitindo que atacantes quebrassem múltiplas contas simultaneamente quando usuários compartilhavam senhas comuns.

⚡ Análise de senhas do Ashley Madison 2015

A violação do Ashley Madison em 2015 expôs 36 milhões de contas de usuários e forneceu aos pesquisadores de segurança um conjunto de dados único para análise de senhas. O site usava tanto hashing bcrypt quanto MD5, com atacantes conseguindo quebrar aproximadamente 11 milhões de senhas dos hashes MD5 mais fracos, como documentado em múltiplas análises de segurança .

# Abordagem de hashing duplo do Ashley Madison
# Hashes Bcrypt (mais fortes): $2a$12$...
# Hashes MD5 (mais fracos): 5d41402abc4b2a76b9719d911017c592

# Atacantes focaram nos hashes MD5
hashcat -m 0 -a 0 ashley_madison_md5.txt rockyou.txt

# Resultado: 11 milhões de senhas MD5 quebradas
# Hashes Bcrypt permaneceram largamente intactos

Insight do especialista: Esta violação demonstrou a importância crítica de usar algoritmos de hashing fortes e consistentes em todo o armazenamento de senhas, pois atacantes sempre vão mirar na implementação mais fraca.

🔍 RockYou 2009: o desastre do texto simples

A violação do RockYou em dezembro de 2009 expôs 32 milhões de senhas de usuários armazenadas em texto simples, fornecendo aos pesquisadores de segurança um conjunto de dados sem precedentes de escolhas de senhas do mundo real. Esta violação se tornou a base para a famosa lista de palavras RockYou.txt usada na quebra de senhas hoje, como analisado em inúmeros relatórios de segurança .

# Análise de senhas do RockYou revelou:
# Senhas mais comuns: 123456, 12345, 123456789, password
# 290.731 usuários escolheram "123456" como senha
# 79.078 usuários escolheram "password"

# A violação criou a famosa lista de palavras
# rockyou.txt - 14,3 milhões de senhas únicas
# Ainda o padrão ouro para ataques de dicionário
hashcat -m 0 -a 0 target_hashes.txt rockyou.txt

Insight do especialista: O RockYou revelou que usuários consistentemente escolhem senhas previsíveis, com as 5.000 senhas mais comuns representando mais de 20% de todos os usuários. Esses dados revolucionaram as estratégias de ataque de dicionário.

Contramedidas defensivas

🛡️ Algoritmos de hashing fortes

Aplicações modernas devem usar funções de hashing adaptativas como bcrypt, scrypt ou Argon2. Esses algoritmos incluem salting integrado e fatores de trabalho configuráveis que tornam ataques de força bruta computacionalmente caros.

• Bcrypt : Padrão da indústria com parâmetro de custo ajustável
• Scrypt : Função com uso intensivo de memória resistente a ataques ASIC
• Argon2 : Vencedor do Password Hashing Competition, recomendado pela OWASP
• PBKDF2 : Aceitável quando configurado adequadamente com alto número de iterações

🔐 Políticas de senhas abrangentes

Políticas de senhas eficazes equilibram segurança com usabilidade. A pesquisa da Publicação Especial NIST 800-63B fornece diretrizes baseadas em evidências para requisitos de senhas.

• Comprimento mínimo : 8 caracteres para senhas escolhidas pelo usuário, 6 para geradas pelo sistema
• Comprimento máximo : Pelo menos 64 caracteres para suportar frases-senha
• Composição de caracteres : Sem requisitos complexos que reduzem a entropia
• Verificação de lista negra : Prevenir senhas comumente comprometidas

⚡ Autenticação multifator

A autenticação multifator (MFA) fornece defesa em profundidade ao exigir fatores de autenticação adicionais além das senhas. Mesmo se as senhas forem comprometidas, atacantes não podem acessar contas sem o segundo fator.

• Tokens baseados em tempo : Aplicativos TOTP como Google Authenticator
• Chaves de hardware : Chaves de segurança FIDO2/WebAuthn para resistência a phishing
• Fatores biométricos : Impressão digital ou reconhecimento facial em dispositivos confiáveis
• SMS/Voz : Aceitável para aplicações de baixo risco apesar dos riscos de SIM swapping

🔍 Monitoramento contínuo

As organizações devem implementar sistemas de monitoramento para detectar ataques de credential stuffing, padrões de login incomuns e contas comprometidas. Serviços como Have I Been Pwned fornecem APIs para verificar exposição de senhas em violações conhecidas.

🎯 Você domina os fundamentos de segurança de senhas!

Você agora entende os princípios matemáticos por trás dos ataques de senhas, pode identificar formatos de hash vulneráveis e sabe quais ferramentas os especialistas em segurança usam para avaliação. Esta base prepara você para técnicas avançadas de quebra e testes de segurança do mundo real.

Pronto para dominar ataques de dicionário e otimização de listas de palavras