--- id: CP-201 slug: gestor-palavras-passe-zero-knowledge lang: pt title: Gestor de palavras-passe e cifragem Zero-Knowledge description: Como um gestor cifra o seu cofre a partir da palavra-passe mestra e o que deve fazer para que proteja mesmo as suas contas. canonical_url: https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Gestor de palavras-passe e cifragem Zero-Knowledge», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-013 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge/ fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ en: https://startbrain.io/cyberpedia/en/articles/zero-knowledge-password-manager/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ it: https://startbrain.io/cyberpedia/it/articles/gestore-password-zero-knowledge/ nl: https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge/ sources: - "n": 1 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide accessed: "2026-11-03" - "n": 2 title: "SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/132/final accessed: "2026-11-03" - "n": 3 title: Password Storage - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html accessed: "2026-11-03" - "n": 4 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 5 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 6 title: Three random words publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words published: "2021-12-21" accessed: "2026-11-03" - "n": 7 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 9 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 10 title: "Credentials from Password Stores: Password Managers" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/005/ accessed: "2026-11-03" --- # Gestor de palavras-passe e cifragem Zero-Knowledge Um gestor de palavras-passe guarda as credenciais de um colaborador num cofre. Esse cofre abre-se com um único segredo, a palavra-passe mestra [1]. As dezenas de palavras-passe que cada pessoa utiliza são difíceis de memorizar, e o efeito é conhecido: reutilizam-se as mesmas ou escolhem-se palavras-passe comuns, o que os atacantes aproveitam [1]. No caso ideal descrito pelo NCSC, a chave que decifra o cofre é geralmente derivada da palavra-passe mestra e não deveria ser acessível ao fornecedor do serviço de sincronização [1]. Esta propriedade tem uma contrapartida: se a chave de decifragem se perder, não deve ser possível repô-la para recuperar o conteúdo do cofre [1]. ## Em 30 segundos - Onde acontece: sempre que uma palavra-passe é criada, introduzida ou guardada, no trabalho como em casa. - O que o atacante quer: a palavra-passe mestra ou as credenciais em texto simples extraídas da memória [10], porque um ataque bem-sucedido dá acesso a todas as palavras-passe guardadas [1]. - O reflexo: O reflexo: escolher uma frase-passe longa e única como palavra-passe mestra [5][6], ativar a autenticação multifator no gestor [1] e nunca reutilizar esse segredo noutro sítio [4]. - Se já o fez: saber se existe recuperação, quem a pode acionar e se a pretende [1]. ## Perguntas diretas ### O fornecedor pode ler as minhas palavras-passe? O guia do NCSC (Reino Unido) descreve o caso ideal: as credenciais guardadas só são acessíveis ao utilizador, com a sua chave de decifragem, geralmente derivada da palavra-passe mestra. Esta chave não deve ser acessível a outros, fornecedor incluído [1]. Um gestor que oferece recuperação através do fornecedor afasta-se desse caso: o NCSC avisa que o método de recuperação pode ser explorado para aceder às credenciais, sobretudo quando o fornecedor é o responsável por ele [1]. ### O que acontece se me esquecer da palavra-passe mestra? Perde o acesso a todas as palavras-passe guardadas e tem de repor, uma a uma, as contas em causa, o que exige muito tempo [1]. Alguns gestores propõem uma recuperação que envolve outras pessoas autorizadas: um colega, um administrador ou o fornecedor [1]. O NCSC recomenda decidir se se quer esta opção, ponderando os seus riscos face ao custo de um cofre perdido [1]. ### Porque é que a palavra-passe mestra não é usada tal e qual como chave? Uma função de derivação de chave transforma a palavra-passe numa chave de cifragem. O NIST publicou em dezembro de 2010 a recomendação SP 800-132, que descreve a derivação de chaves mestras a partir de palavras-passe ou frases-passe para proteger dados armazenados [2]. O NIST indica em 2023 que prevê uma revisão deste documento [2]. ### Um gestor pode ser atacado? Sim. O NCSC lembra que, como qualquer software, um gestor pode ter vulnerabilidades e que é um alvo natural, uma vez que um ataque bem-sucedido dá acesso a todas as palavras-passe de um utilizador [1]. O mesmo guia conclui que os benefícios superam os riscos [1]. ## Como funciona A palavra-passe mestra passa por uma função de derivação para produzir a chave de cifragem [2]. Para o armazenamento de palavras-passe no servidor, a OWASP recomenda algoritmos lentos, como Argon2id, bcrypt ou PBKDF2, e considera inadequados os algoritmos rápidos, como o SHA-256, porque deixam o atacante testar um número muito elevado de combinações por segundo [3]. Um algoritmo lento e que consome muita memória torna a força bruta mais difícil, mais cara e mais demorada [3]. A afinação faz-se através de um fator de trabalho, ou seja, o número de iterações do algoritmo para cada palavra-passe [3]. A OWASP indica várias configurações mínimas equivalentes para o Argon2id, uma das quais é 19 MiB de memória, 2 iterações e 1 grau de paralelismo e, para o PBKDF2 com exigência FIPS-140, um fator de 600 000 ou mais com HMAC-SHA-256 [3]. Estes valores descrevem o armazenamento de palavras-passe no servidor. As fontes do dossiê não dizem que parâmetros cada gestor adota para o seu cofre. Quanto à utilização, o gestor também preenche formulários. Só deve propor as credenciais do sítio onde foram guardadas, nunca o conjunto do cofre a um sítio visitado [1]. O NCSC acrescenta que um gestor pode detetar sítios falsos melhor do que um ser humano [1]. ## O que fazer Escolha uma frase-passe longa como palavra-passe mestra. A CISA propõe uma sequência de 4 a 7 palavras sem relação entre si [5]. O NCSC aconselha três palavras aleatórias, por exemplo «applenemobiro», e desaconselha datas de nascimento, equipas desportivas, nomes de familiares ou de animais, que as redes sociais revelam muitas vezes [6]. Substituir um «o» por um zero traz pouca força, porque os cibercriminosos conhecem o truque [6]. A CNIL dá como exemplo uma palavra-passe de pelo menos 12 carateres de 4 tipos e observa que pode ser mais curta se a conta tiver proteções complementares [4]. Nunca reutilize esta palavra-passe mestra. A CNIL pede uma palavra-passe própria e única para cada conta sensível, para evitar ataques em cascata [4]. Ative a autenticação multifator no gestor. Com ela, o atacante tem de conhecer a palavra-passe mestra e possuir o segundo fator [1]. O NCSC pede que seja usada em todos os gestores com sincronização na nuvem e nas contas com privilégios, como as contas de administrador [1]. A OWASP cita uma análise da Microsoft segundo a qual a autenticação multifator teria impedido 99,9 % dos comprometimentos de contas [7]. Decida se quer um meio de recuperação, ponderando os seus riscos face ao custo de um cofre perdido, e saiba quem o poderia acionar [1]. Se a sua empresa tiver uma política, siga-a. O NCSC recomenda que os responsáveis definam uma regra clara sobre a exportação do cofre em texto simples, porque, depois de exportadas, as palavras-passe deixam de estar protegidas [1]. Deixe o gestor gerar as palavras-passe das suas outras contas: facilita o uso de palavras-passe únicas, longas e aleatórias [1]. O NIST observa que colar nos campos de introdução facilita o uso dos gestores [8]. Esta versão do NIST SP 800-63 é substituída pela SP 800-63-4 desde 1 de agosto de 2025 [8]. ## Os riscos - Uma palavra-passe mestra fraca. O atacante pode tentar adivinhá-la por força bruta [10]. Para a política de palavra-passe mestra, o MITRE remete para as recomendações do NIST [10]. - O phishing. O MITRE preconiza formar os utilizadores para reconhecerem as tentativas de phishing que roubam cookies de sessão ou credenciais [10]. - O cofre aberto na memória. Depois de a base de dados ser desbloqueada, as credenciais podem ser copiadas na memória, e há atacantes que dela extraem a palavra-passe mestra ou as credenciais em texto simples [10]. O MITRE aconselha bloquear de novo o gestor após um curto período [10]. - O software desatualizado. O MITRE recomenda atualizar regularmente navegadores, gestores e software associado [10], e o NCSC verificar se o fabricante corrige depressa as suas falhas [1]. - As extensões e o navegador. O gestor apoia-se muitas vezes numa extensão do navegador para preencher formulários [1]. O MITRE cita, entre os alvos de certo código malicioso, os dados das extensões de navegador e dos gestores [10]. Num computador partilhado, o Cybermalveillance.gouv.fr desaconselha guardar as palavras-passe no navegador [9]. - As bases de cofres roubadas. O MITRE cita agentes e software malicioso que visaram essas bases: o Threat Group-3390 obteve uma base KeePass numa máquina comprometida e o Indrik Spider exportou palavras-passe de gestores [10]. - A perda do segredo sem recuperação. Se a chave se perder e não existir recuperação, o cofre fica ilegível [1]. - As notas em texto simples. Post-its, ficheiros de texto, mensagens ou telemóveis não foram concebidos para guardar palavras-passe [4]. ## Fontes 1. NCSC (Royaume-Uni), «Password manager buyers guide». https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultado em 3 de novembro de 2026) 2. NIST, «SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC». https://csrc.nist.gov/pubs/sp/800/132/final (consultado em 3 de novembro de 2026) 3. OWASP, «Password Storage - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (consultado em 3 de novembro de 2026) 4. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de janeiro de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado em 3 de novembro de 2026) 5. CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado em 3 de novembro de 2026) 6. NCSC (Royaume-Uni), «Three random words», 21 de dezembro de 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (consultado em 3 de novembro de 2026) 7. OWASP, «Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (consultado em 3 de novembro de 2026) 8. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado em 3 de novembro de 2026) 9. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026) 10. MITRE ATT&CK, «Credentials from Password Stores: Password Managers». https://attack.mitre.org/techniques/T1555/005/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.