Saltar para o conteúdo 
Os clientes de alojamento devem implementar consistentemente medidas técnicas de segurança de palavras-passe para proteger o acesso ao alojamento de ataques como ataques de força bruta e preenchimento de credenciais. Este artigo mostra como implementar, aplicar e monitorizar políticas à prova de cravidade no lado do servidor - incluindo as melhores práticas para aplicação prática. Especialmente no contexto dos servidores de alojamento, as palavras-passe fracas podem ser uma porta de entrada para os atacantes comprometerem sítios Web inteiros ou roubarem dados sensíveis. Já vi muitas vezes palavras-passe simples serem decifradas num curto espaço de tempo porque não foram seguidas ou implementadas diretrizes importantes. O esforço necessário para a adoção de orientações sólidas em matéria de palavras-passe e de melhores práticas no dia a dia é gerível, uma vez que estas tenham sido claramente definidas e tecnicamente integradas.
Pontos centrais
- Políticas de palavras-passe Definir e aplicar diretamente na interface de administração
- Autenticação multi-fator Proteção ativa para pontos de acesso críticos
- Hash das palavras-passe protege os dados armazenados com bcrypt ou Argon2
- Controlos automáticos contra dados de acesso comprometidos
- Conformidade com o RGPD através de diretrizes documentadas sobre palavras-passe
Implementar de forma consistente diretrizes sensatas para as palavras-passe
A segurança das áreas sensíveis do alojamento começa com a definição e implementação de regras de palavra-passe eficazes. Uma implementação técnica bem pensada garante que as combinações fracas são excluídas assim que a conta é criada. O comprimento mínimo, a complexidade e as funções de bloqueio em caso de tentativas falhadas devem estar activas no sistema. Recomendo diretrizes com, pelo menos 14 caracteres comprimento e utilização forçada de caracteres especiais e letras maiúsculas. Além disso, o sistema deve rejeitar automaticamente as palavras-passe antigas e comuns. Para tornar estas diretrizes mais fáceis de utilizar, as sugestões de palavras-passe podem ser apresentadas diretamente durante a introdução das mesmas. Desta forma, os clientes de alojamento podem ver imediatamente se a sua escolha cumpre os requisitos - por exemplo, através de indicadores coloridos (vermelho, amarelo, verde). Tenho notado que muitos hosters mencionam regras de senha, mas nem sempre as implementam claramente. Uma integração consistente na interface do cliente ou de administração, por outro lado, conduz a um número significativamente menor de erros na atribuição de palavras-passe. A revisão regular das políticas também desempenha um papel importante. Os cenários de ameaça mudam frequentemente ou são acrescentados novos vectores de ataque. Vale a pena atualizar periodicamente a força da palavra-passe e os requisitos de comprimento mínimo. Isto mantém o nível de segurança atualizado sem comprometer necessariamente as contas de alojamento existentes.Como funciona a implementação técnica das políticas de palavras-passe seguras
Em ambientes de alojamento, a segurança das palavras-passe pode ser realizada de forma mais eficiente através de políticas do lado do servidor. Estas incluem módulos modulares para validação de palavras-passe ao introduzir ou alterar palavras-passe. Os sistemas utilizados devem ser concebidos para verificar as palavras-passe quanto ao comprimento do texto simples, tipos de caracteres e correspondências com fugas de palavras-passe conhecidas quando são introduzidas. Neste caso, vale a pena utilizar métodos de hashing seguros, tais como Argon2 ou bcrypt idealmente até com um módulo de segurança de hardware para segurança adicional. Também recomendo o registo rigoroso das tentativas falhadas e a ativação de bloqueios temporários de contas em caso de anomalias. Desta forma, os potenciais ataques de força bruta podem ser identificados atempadamente antes de um atacante conseguir aceder ao sistema. Uma vista de olhos pelos registos já pode fornecer informações sobre se determinados endereços IP ou contas de utilizador estão a causar tentativas de acesso visivelmente frequentes. Outro componente fundamental é a integração nos sistemas de gestão existentes, como o cPanel, o Plesk ou as interfaces de alojamento proprietárias. Se as políticas de senha e os mecanismos de validação só forem activados a nível da aplicação, muitas vezes é demasiado tarde e os utilizadores já atribuíram a sua senha. Por conseguinte, as diretrizes devem ser implementadas e aplicadas no lado do servidor - por exemplo, com plug-ins especiais ou módulos integrados que podem ser perfeitamente integrados no painel de controlo do alojamento.O bloqueio do ecrã por si só não é suficiente - o MFA é obrigatório
A utilização exclusiva de palavras-passe clássicas já não é suficiente para o acesso ao alojamento. Certifico-me de que os clientes de alojamento protegem adicionalmente as suas contas com Autenticação multi-fator podem ser protegidos. A melhor solução de dois factores combina um início de sessão estático com um código gerado dinamicamente - por exemplo, através de uma aplicação ou de um token de segurança físico. Uma vez configurada corretamente, a MFA impede o acesso mesmo que a palavra-passe tenha sido comprometida. Na minha experiência, a combinação com soluções baseadas em aplicações, como o Google Authenticator ou o Authy, é particularmente popular. No entanto, para ambientes particularmente sensíveis, recomendo tokens de hardware (por exemplo, YubiKey), uma vez que estes podem fornecer proteção adicional contra adulterações no dispositivo móvel, ao contrário de uma aplicação para smartphone. É importante planear o processo de recuperação. Se o token for perdido ou danificado, deve haver um procedimento seguro para restaurar o acesso sem que os atacantes possam abusar desse procedimento. Para além do início de sessão no painel de alojamento, deve também tentar aplicar a MFA a outros serviços, como as bases de dados ou a administração do correio eletrónico. A autenticação de dois factores ainda é muito pouco utilizada, sobretudo no sector do correio eletrónico, apesar de este conter frequentemente comunicações de gestão ou de clientes que não devem cair nas mãos erradas.
Requisitos mínimos recomendados para as palavras-passe
A panorâmica que se segue facilita a obtenção de uma visão geral das normas básicas e a sua integração nas plataformas de alojamento:| Categoria | Requisito |
|---|---|
| Comprimento mínimo | Pelo menos 12 caracteres, de preferência 14 ou mais |
| Complexidade | Combinação de letras maiúsculas e minúsculas, números e caracteres especiais |
| Duração da utilização | Renovar de 90 em 90 dias (pode ser automatizado) |
| Evitar | Sem palavras-passe predefinidas ou elementos de palavra-passe (123, admin) |
| Armazenamento | Encriptado com bcrypt ou Argon2 |
Ferramentas de rotação de senhas e controlo de acesso
Um software especializado permite aos administradores do alojamento alterar automaticamente os acessos a contas privilegiadas. Ferramentas como o Password Manager Pro ou plataformas semelhantes são particularmente úteis. Estes programas alteram regularmente as palavras-passe das contas de serviço, documentam as alterações, impedem a duplicação e comunicam imediatamente as violações de segurança. Também recomendo a manutenção de registos e protocolos auditáveis - isto ajuda tanto operacionalmente como quando auditado por terceiros. Em ambientes de alojamento maiores ou para grandes clientes, pode ser utilizado um sistema centralizado de gestão de identidade e acesso (IAM). Este sistema é utilizado para definir conceitos de funções e aplicar diferentes requisitos de palavra-passe e MFA com base nessas funções. Por exemplo, aplica-se um nível de segurança mais elevado aos administradores do que aos simples utilizadores. Durante a implementação, é essencial garantir que todas as interfaces estão corretamente ligadas. O offboarding também é frequentemente subestimado: quando os funcionários deixam a empresa, o seu acesso deve ser desativado ou reatribuído imediatamente. Para além do acesso baseado em palavras-passe, a gestão das chaves SSH em ambientes de alojamento é também importante. Embora muitos aconselhem a autenticação sem palavra-passe para o acesso SSH, as chaves também devem ser armazenadas de forma segura e rodadas se houver alguma suspeita de que possam ter sido comprometidas. Na pior das hipóteses, uma chave SSH roubada pode levar a um acesso não detectado, o que é muito mais difícil de detetar do que a utilização de uma palavra-passe quebrada.Reconhecer e eliminar as armadilhas da gestão incorrecta das palavras-passe
Apesar das diretrizes claras, observo repetidamente as mesmas deficiências na prática. Estas incluem o armazenamento de palavras-passe em e-mails, notas não encriptadas ou ficheiros de texto livre. Alguns utilizadores utilizam senhas idênticas para vários serviços ou transmitem os seus dados de acesso através de canais inseguros. Para contrariar este comportamento, defendo vivamente a centralização Medidas administrativas e de segurança de. A situação torna-se particularmente complicada quando os administradores utilizam indevidamente as suas próprias palavras-passe privadas para aceder à empresa ou vice-versa. Uma conta privada comprometida pode rapidamente tornar-se uma porta de entrada para os recursos da empresa. Para mim, é importante que os fornecedores de alojamento informem os seus clientes sobre estes perigos a intervalos regulares. Materiais de formação, webinars ou pequenos vídeos explicativos na área do cliente podem fazer maravilhas neste domínio. Também sigo normas como a NIST SP 800-63B, que fornecem diretrizes claras para a frequência, complexidade e intervalos de alteração das palavras-passe. As empresas que alojam os dados mais sensíveis, em particular, devem, pelo menos, seguir estas diretrizes, de modo a fechar pontos de ataque óbvios.
Exemplo prático: Requisitos de palavra-passe para fornecedores de alojamento
Tenho reparado que cada vez mais hosters, como o webhoster.de, se baseiam em regras de palavras-passe predefinidas. Os clientes não têm a liberdade de escolher a sua própria palavra-passe, mas recebem combinações seguras geradas diretamente pelo servidor. Isto elimina completamente as configurações que são susceptíveis de manipulação. Além disso, a autenticação utilizando pelo menos dois factores é necessária para cada início de sessão. Estes fornecedores já suportam verificações automáticas ao criar uma conta ou ao alterar uma palavra-passe. A desvantagem de algumas gerações automatizadas é que os utilizadores têm dificuldade em memorizar estas palavras-passe. Por esta razão, um gestor de senhas conveniente é frequentemente oferecido no centro de atendimento ao cliente. Isto significa que os clientes não têm de escrever longas cadeias de caracteres de cada vez que se registam, mas podem, em vez disso, registar-se comodamente utilizando um sistema seguro. É importante que estes serviços sejam intuitivos e seguros e que as palavras-passe não sejam enviadas em texto simples por correio eletrónico. No entanto, ainda há fornecedores que apenas implementam uma proteção muito rudimentar. Por vezes, não há obrigação de utilizar a MFA, por vezes não há limite para o número de tentativas falhadas ao introduzir uma palavra-passe. Os clientes devem prestar atenção a este aspeto e, se necessário, optar por um serviço diferente que cumpra as normas de segurança actuais.Conformidade com o RGPD através de medidas técnicas
O RGPD da UE estipula que os sistemas relevantes para a proteção de dados devem ser protegidos por medidas técnicas adequadas. Qualquer pessoa que opere ou utilize serviços de alojamento pode apresentar uma política de palavras-passe documentada como prova. A rotação automatizada de senhas e os registos de auditoria também estão entre os TOMs. Um controlo de palavras-passe bem implementado não só apoia a segurança, como também fornece provas regulamentares no caso de uma auditoria. Durante uma auditoria do GDPR, um conceito de senha ausente ou insuficiente pode levar a avisos ou multas caras. Por conseguinte, recomendo que este conceito seja integrado na arquitetura de segurança numa fase inicial e que seja revisto regularmente. A importância de uma documentação precisa é frequentemente subestimada. Deve-se registar claramente o grau de complexidade das palavras-passe, em que ciclos ocorre uma atualização e quantas tentativas falhadas são permitidas até que a conta seja bloqueada. Esta informação pode ser uma vantagem decisiva no caso de uma auditoria ou de um incidente de segurança. O tema da proteção por palavra-passe também é relevante quando se trata de tratamento de dados por encomenda (DPO). O fornecedor deve garantir contratualmente que tomará as devidas precauções. Caso contrário, os clientes podem rapidamente encontrar-se numa zona cinzenta se as palavras-passe forem comprometidas.
Recomendações organizacionais para clientes de alojamento
A segurança técnica também inclui a parte organizacional. Aconselho os clientes de alojamento a formarem regularmente todos os utilizadores, especialmente no que diz respeito a phishing, engenharia social e reutilização de palavras-passe. Devem também escolher plataformas que tenham políticas de palavras-passe documentadas e aplicadas. Isto inclui, por exemplo, a opção de ativação de MFA ou a especificação de palavras-passe do lado do servidor. Se quiser estar do lado seguro, utilize gestores de palavras-passe centralizados e confie em verificações recorrentes de regras individuais. Especialmente em empresas com muitos funcionários, as diretrizes relativas às palavras-passe devem ser complementadas por processos internos claros. Estes podem incluir diretrizes para atribuir novas contas, lidar com o acesso de convidados ou proteger os logins de gestão. Também recomendo o princípio do duplo controlo quando se atribui um acesso particularmente crítico, por exemplo, a bases de dados ou a dados de clientes. Isto reduz o risco de ameaças internas e exclui melhor o erro humano. Pode ser útil criar uma FAQ interna ou um wiki sobre a utilização de palavras-passe. Aí, os utilizadores podem encontrar ajuda sobre como recuperar a sua palavra-passe ou configurar a MFA. Esta oferta de autoajuda não só alivia a equipa de apoio, como também promove uma cultura de segurança independente e responsável entre os funcionários.Proteção por palavra-passe e WordPress: um caso especial de acesso ao CMS
Na prática, muitos projectos Web dependem do WordPress ou de plataformas CMS semelhantes. É sobretudo aqui que observo frequentemente tentativas de ataque, por exemplo, contra o backend através de força bruta. Por conseguinte, não basta proteger a infraestrutura de alojamento - o acesso às aplicações também precisa de ser protegido. Uma boa opção é proteger o Proteger o login do WordPress com meios simples. Estas incluem bloqueios de IP, limites de taxa e início de sessão utilizando o procedimento de dois factores. Pela minha própria experiência, sei que muitas instalações do WordPress são pouco seguras porque o foco está frequentemente nos temas e plugins. Faz sentido instalar plugins relevantes para a segurança que bloqueiem tentativas de login suspeitas e enviem e-mails de administração em caso de ataques. Se também alterar o URL de início de sessão predefinido e utilizar uma lista branca de IP, reduz significativamente a superfície de ataque. Encorajo sempre os clientes de alojamento a tomarem estas medidas adicionais para tornar o seu sítio WordPress mais seguro. Como o WordPress e outros CMS têm frequentemente uma estrutura altamente modular, também vale a pena dar uma vista de olhos às respectivas interfaces de plugins. Alguns plugins de segurança já oferecem funções integradas de verificação de palavras-passe que reconhecem palavras-passe fracas ou testam contra bases de dados de fugas conhecidas. Quanto mais camadas de segurança forem combinadas, mais difícil será para os potenciais atacantes.
As palavras-passe como parte de um modelo de segurança com vários níveis
As palavras-passe tradicionais não desaparecerão completamente no futuro - mas serão complementadas. Vejo cada vez mais fornecedores a integrar elementos biométricos ou procedimentos de início de sessão sem palavra-passe, como o FIDO2. No entanto, mesmo com estes métodos, o tratamento seguro do acesso de cópia de segurança, das contas de administrador e do acesso à API através de palavras-passe fortes indispensável. Não se trata, portanto, de uma alternativa, mas de um complemento. Certifico-me de que estas técnicas são conscientemente combinadas e tecnicamente asseguradas. Para um conceito de segurança em camadas, as palavras-passe, a MFA, as firewalls, as auditorias regulares e os testes de penetração devem andar de mãos dadas. Nenhum elemento substitui completamente o outro. Por exemplo, as palavras-passe podem ser protegidas por mecanismos de filtragem de IP, enquanto a MFA aumenta significativamente a barreira de acesso efectiva. Ao mesmo tempo, deve existir um conceito abrangente de registo e monitorização para reconhecer e bloquear acessos suspeitos ou tentativas falhadas em tempo real. Nalguns casos, os procedimentos biométricos (impressão digital, reconhecimento facial) podem também ser um complemento. No entanto, a aceitação no ambiente de alojamento é muitas vezes menor, porque a administração e os dispositivos correspondentes nem sempre estão disponíveis sem problemas. Em última análise, é aconselhável avaliar passo a passo quais os métodos mais adequados para o ambiente operacional e onde as vantagens práticas superam as desvantagens.Proteger corretamente as aplicações Web também
Recomendo a todos os clientes de alojamento, Aplicações Web consistentemente seguras - não só a nível do alojamento, mas também a nível da aplicação. Muitos ataques não ocorrem diretamente na plataforma de alojamento, mas através de backends da Web mal protegidos. Neste caso, a chave é a segurança multicamadas: palavra-passe, dois factores, filtros de IP e registos de segurança estão todos juntos. Os fornecedores que apoiam ativamente este aspeto permitem aos utilizadores usufruir de um alojamento estável e fiável. As aplicações Web personalizadas, em particular, têm frequentemente lacunas na autenticação. Neste caso, deve ser estabelecido um processo seguro de redefinição da palavra-passe. Os utilizadores que redefinem a sua palavra-passe devem ser suficientemente verificados antes de um link ou código ser enviado automaticamente. Uma firewall de aplicação Web (WAF) bem configurada também pode bloquear injecções de SQL ou ataques de scripts entre sítios, que, de outra forma, podem ser facilmente escondidos em scripts inseguros. Independentemente do CMS ou da estrutura em questão, as actualizações regulares de todos os componentes e plugins são uma obrigação. As versões desactualizadas do software são um terreno fértil para vulnerabilidades de segurança que nem mesmo as palavras-passe fortes conseguem compensar. Recomendo um ciclo de atualização fixo que é acompanhado por um sistema de preparação. Isto permite que as actualizações sejam testadas antes de entrarem em funcionamento. Desta forma, a aplicação mantém-se actualizada e estável sem pôr em risco o sistema ativo com cada correção.
