Senhas complexas que usam uma combinação de caracteres e são alteradas com frequência não são mais a melhor prática de gerenciamento de senhas. Essas informações são baseadas em orientações recém-publicadas pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST), que desenvolve e emite orientações para ajudar organizações a proteger sistemas de informação.

Durante anos, senhas complexas, combinando letras maiúsculas e minúsculas, números e símbolos, foram preferidas por especialistas e provedores de serviços porque acreditava-se que elas tornavam as senhas mais difíceis de adivinhar ou quebrar por meio de ataques de força bruta.
No entanto, senhas complexas são contraproducentes e, na verdade, enfraquecem a segurança. Senhas complexas fazem com que os usuários desenvolvam maus hábitos, como escolher senhas simples ou reutilizar senhas antigas.
Em suas diretrizes mais recentes, o NIST incentivou o uso de senhas mais longas em vez de senhas complexas.
O primeiro motivo é que os usuários geralmente têm dificuldade em lembrar senhas complexas, o que os leva a usar senhas baseadas em regras fáceis de adivinhar ou usar a mesma senha para vários sites. Isso é agravado pelo fato de que muitas organizações exigem que você altere sua senha a cada 60 a 90 dias. O NIST não recomenda mais isso.
A força da senha é frequentemente medida pela entropia, o número de combinações possíveis que podem ser criadas usando os caracteres da senha. Quanto maior o número de combinações, mais difícil será quebrar a senha usando ataques de força bruta ou adivinhação.
O comprimento desempenha um papel muito maior no número de combinações possíveis do que a complexidade. Uma senha mais longa com mais caracteres tem exponencialmente mais combinações possíveis.
O segundo motivo é que senhas longas com muitas palavras simples são mais fáceis de lembrar, garantindo que os usuários não recorram a práticas inseguras, como anotar senhas ou reutilizá-las.
Além disso, senhas longas, devido ao grande número de combinações possíveis, são mais difíceis de serem quebradas por algoritmos complexos do que senhas curtas e complexas.
Por exemplo, alterar uma senha de 4 para 6 dígitos aumenta o número de combinações possíveis de 10.000 para 1.000.000.
O NIST recomenda que os usuários criem senhas com até 64 caracteres. Nesse caso, uma senha que usa apenas letras minúsculas e palavras será extremamente difícil de quebrar, e se ela incluir letras maiúsculas e símbolos, quebrá-la será quase matematicamente impossível.