Gestor de palavras-passe e cifragem Zero-Knowledge
Como um gestor cifra o seu cofre a partir da palavra-passe mestra e o que deve fazer para que proteja mesmo as suas contas.
Em 30 segundos
- Onde acontece
- Sempre que uma palavra-passe é criada, introduzida ou guardada, no trabalho como em casa.
- O que o atacante quer
- A palavra-passe mestra ou as credenciais em texto simples extraídas da memória10, porque um ataque bem-sucedido dá acesso a todas as palavras-passe guardadas1.
- O reflexo
- O reflexo: escolher uma frase-passe longa e única como palavra-passe mestra56, ativar a autenticação multifator no gestor1 e nunca reutilizar esse segredo noutro sítio4.
- Se já o fez
- Saber se existe recuperação, quem a pode acionar e se a pretende1.
Do que se trata
Um gestor de palavras-passe guarda as credenciais de um colaborador num cofre. Esse cofre abre-se com um único segredo, a palavra-passe mestra1. As dezenas de palavras-passe que cada pessoa utiliza são difíceis de memorizar, e o efeito é conhecido: reutilizam-se as mesmas ou escolhem-se palavras-passe comuns, o que os atacantes aproveitam1.
No caso ideal descrito pelo NCSC, a chave que decifra o cofre é geralmente derivada da palavra-passe mestra e não deveria ser acessível ao fornecedor do serviço de sincronização1. Esta propriedade tem uma contrapartida: se a chave de decifragem se perder, não deve ser possível repô-la para recuperar o conteúdo do cofre1.
Perguntas diretas
O fornecedor pode ler as minhas palavras-passe?
O guia do NCSC (Reino Unido) descreve o caso ideal: as credenciais guardadas só são acessíveis ao utilizador, com a sua chave de decifragem, geralmente derivada da palavra-passe mestra. Esta chave não deve ser acessível a outros, fornecedor incluído1. Um gestor que oferece recuperação através do fornecedor afasta-se desse caso: o NCSC avisa que o método de recuperação pode ser explorado para aceder às credenciais, sobretudo quando o fornecedor é o responsável por ele1.
O que acontece se me esquecer da palavra-passe mestra?
Perde o acesso a todas as palavras-passe guardadas e tem de repor, uma a uma, as contas em causa, o que exige muito tempo1. Alguns gestores propõem uma recuperação que envolve outras pessoas autorizadas: um colega, um administrador ou o fornecedor1. O NCSC recomenda decidir se se quer esta opção, ponderando os seus riscos face ao custo de um cofre perdido1.
Porque é que a palavra-passe mestra não é usada tal e qual como chave?
Uma função de derivação de chave transforma a palavra-passe numa chave de cifragem. O NIST publicou em dezembro de 2010 a recomendação SP 800-132, que descreve a derivação de chaves mestras a partir de palavras-passe ou frases-passe para proteger dados armazenados2. O NIST indica em 2023 que prevê uma revisão deste documento2.
1Como funciona1 min
A palavra-passe mestra passa por uma função de derivação para produzir a chave de cifragem2. Para o armazenamento de palavras-passe no servidor, a OWASP recomenda algoritmos lentos, como Argon2id, bcrypt ou PBKDF2, e considera inadequados os algoritmos rápidos, como o SHA-256, porque deixam o atacante testar um número muito elevado de combinações por segundo3. Um algoritmo lento e que consome muita memória torna a força bruta mais difícil, mais cara e mais demorada3.
A afinação faz-se através de um fator de trabalho, ou seja, o número de iterações do algoritmo para cada palavra-passe3. A OWASP indica várias configurações mínimas equivalentes para o Argon2id, uma das quais é 19 MiB de memória, 2 iterações e 1 grau de paralelismo e, para o PBKDF2 com exigência FIPS-140, um fator de 600 000 ou mais com HMAC-SHA-2563. Estes valores descrevem o armazenamento de palavras-passe no servidor. As fontes do dossiê não dizem que parâmetros cada gestor adota para o seu cofre.
Quanto à utilização, o gestor também preenche formulários. Só deve propor as credenciais do sítio onde foram guardadas, nunca o conjunto do cofre a um sítio visitado1. O NCSC acrescenta que um gestor pode detetar sítios falsos melhor do que um ser humano1.
2O que fazer2 min
Escolha uma frase-passe longa como palavra-passe mestra. A CISA propõe uma sequência de 4 a 7 palavras sem relação entre si5. O NCSC aconselha três palavras aleatórias, por exemplo «applenemobiro», e desaconselha datas de nascimento, equipas desportivas, nomes de familiares ou de animais, que as redes sociais revelam muitas vezes6. Substituir um «o» por um zero traz pouca força, porque os cibercriminosos conhecem o truque6. A CNIL dá como exemplo uma palavra-passe de pelo menos 12 carateres de 4 tipos e observa que pode ser mais curta se a conta tiver proteções complementares4.
Nunca reutilize esta palavra-passe mestra. A CNIL pede uma palavra-passe própria e única para cada conta sensível, para evitar ataques em cascata4.
Ative a autenticação multifator no gestor. Com ela, o atacante tem de conhecer a palavra-passe mestra e possuir o segundo fator1. O NCSC pede que seja usada em todos os gestores com sincronização na nuvem e nas contas com privilégios, como as contas de administrador1. A OWASP cita uma análise da Microsoft segundo a qual a autenticação multifator teria impedido 99,9 % dos comprometimentos de contas7.
Decida se quer um meio de recuperação, ponderando os seus riscos face ao custo de um cofre perdido, e saiba quem o poderia acionar1. Se a sua empresa tiver uma política, siga-a. O NCSC recomenda que os responsáveis definam uma regra clara sobre a exportação do cofre em texto simples, porque, depois de exportadas, as palavras-passe deixam de estar protegidas1.
Deixe o gestor gerar as palavras-passe das suas outras contas: facilita o uso de palavras-passe únicas, longas e aleatórias1. O NIST observa que colar nos campos de introdução facilita o uso dos gestores8. Esta versão do NIST SP 800-63 é substituída pela SP 800-63-4 desde 1 de agosto de 20258.
3Os riscos2 min
- Uma palavra-passe mestra fraca. O atacante pode tentar adivinhá-la por força bruta10. Para a política de palavra-passe mestra, o MITRE remete para as recomendações do NIST10.
- O phishing. O MITRE preconiza formar os utilizadores para reconhecerem as tentativas de phishing que roubam cookies de sessão ou credenciais10.
- O cofre aberto na memória. Depois de a base de dados ser desbloqueada, as credenciais podem ser copiadas na memória, e há atacantes que dela extraem a palavra-passe mestra ou as credenciais em texto simples10. O MITRE aconselha bloquear de novo o gestor após um curto período10.
- O software desatualizado. O MITRE recomenda atualizar regularmente navegadores, gestores e software associado10, e o NCSC verificar se o fabricante corrige depressa as suas falhas1.
- As extensões e o navegador. O gestor apoia-se muitas vezes numa extensão do navegador para preencher formulários1. O MITRE cita, entre os alvos de certo código malicioso, os dados das extensões de navegador e dos gestores10. Num computador partilhado, o Cybermalveillance.gouv.fr desaconselha guardar as palavras-passe no navegador9.
- As bases de cofres roubadas. O MITRE cita agentes e software malicioso que visaram essas bases: o Threat Group-3390 obteve uma base KeePass numa máquina comprometida e o Indrik Spider exportou palavras-passe de gestores10.
- A perda do segredo sem recuperação. Se a chave se perder e não existir recuperação, o cofre fica ilegível1.
- As notas em texto simples. Post-its, ficheiros de texto, mensagens ou telemóveis não foram concebidos para guardar palavras-passe4.
Ficha
- Identificador
- CP-201
- Ala
- 3. Protocolos e defesa
- Competência Brain
- Controlar os acessos (control_access)
- Reflexo Brain
- cr-013
- Esquema
- G3 · Corte anatómico
- Idiomas
- en, es, fr, it, nl, pt
- Fontes
- 10 fontes verificadas em 3 de novembro de 2026
Fontes10 fontes
- NCSC (Royaume-Uni), «Password manager buyers guide». https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultado em 3 de novembro de 2026)
- NIST, «SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC». https://csrc.nist.gov/pubs/sp/800/132/final (consultado em 3 de novembro de 2026)
- OWASP, «Password Storage - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (consultado em 3 de novembro de 2026)
- CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de janeiro de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado em 3 de novembro de 2026)
- CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Three random words», 21 de dezembro de 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (consultado em 3 de novembro de 2026)
- OWASP, «Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (consultado em 3 de novembro de 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado em 3 de novembro de 2026)
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de novembro de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Credentials from Password Stores: Password Managers». https://attack.mitre.org/techniques/T1555/005/ (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Gestor de palavras-passe e cifragem Zero-Knowledge», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp201_pt_2026,
author = {Brain},
title = {Gestor de palavras-passe e cifragem Zero-Knowledge},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge/},
note = {CC BY 4.0}
}