Um projeto de código aberto lançado pela Apple deve ajudar os gerenciadores de senhas a identificarem rapidamente requisitos de sites, como mínimo de caractere e exigência ou não de caracteres especiais. As informações liberadas pela empresa são as mesmas usadas no iCloud Keychain, recurso de iPhone e Mac para armazenar senhas e dados de cartões de crédito.
Disponível no GitHub, o projeto reúne requisitos que sites como iCloud, PayPal, AliExpress e Ubisoft definem para a criação de senhas. A iniciativa também indica as páginas que compartilham sistemas de login, bem como endereços das áreas de recuperação de senha. O objetivo é evitar que a falta de padrão entre os gerenciadores e os sites aumente a dificuldade para se cadastrar uma senha forte.
A Apple afirma que a incongruência entre gerenciadores e sites leva os usuários a escolherem termos mais simples, que podem ser facilmente descobertos por terceiros. “Toda vez que um gerenciador de senhas gera uma senha que não é realmente compatível com um site, uma pessoa não apenas apenas tem uma experiência ruim, mas uma razão para ficar tentada a criar sua própria senha”.
A empresa pede a colaboração de gerenciadores para incluir requisitos de mais sites. Caso seja adotada pelas plataformas, a iniciativa deve ajudar tanto na criação de senhas fortes, quanto na alteração por conta de possíveis vazamentos. Uma pesquisa da Universidade Carnegie Mellon indica que, hoje, esta não parece ser uma prática comum.
A partir do histórico de navegação de 249 voluntários, os pesquisadores identificaram quais tinham conta em sites que reportarem ter sofrido vazamento de dados. Entre 63 afetados pelos vazamentos, apenas 21 acessaram páginas para mudança de senha. Desses, seis fizeram a alteração ao menos três meses depois do incidente.
Com uma quantidade pequena de casos analisados, o levantamento não identificou se os usuários que não alteraram a senha ainda mantinham suas contas ativas. Ainda assim, o estudo serve para lembrar da importância de atualizar senhas rapidamente em caso de violações e, quando possível, habilitar verificação de duas etapas.
Nenhum comentário:
Postar um comentário