Recentemente, diversas companhias admitiram que guardavam senhas em formato de texto não criptografado, algo comparável a salvar uma senha em um arquivo .txt no Bloco de Notas. Para garantir a segurança, as senhas precisam ser “salgadas” e “hasheadas”. Por que isso não é uma prática comum em 2024?
A Importância de Não Armazenar Senhas em Texto Puro
Quando uma empresa opta por armazenar senhas em texto simples, qualquer pessoa que tenha acesso ao banco de dados ou ao arquivo onde essas senhas são mantidas pode lê-las sem dificuldade. Se um invasor obtiver acesso a esses dados, ele terá acesso a todas as senhas.
Essa prática é extremamente perigosa. O correto seria aplicar “sal” e “hash” às senhas. Isso significa adicionar dados extras à senha original e, em seguida, embaralhá-la de forma que não seja possível revertê-la. Assim, mesmo que alguém consiga roubar as senhas de um banco de dados, elas se tornarão inutilizáveis. Quando você faz login, a empresa verifica se sua senha corresponde à versão codificada armazenada, mas não pode “descodificar” o banco de dados para determinar sua senha original.
Então, por que algumas empresas insistem em armazenar senhas em texto simples? Infelizmente, algumas empresas negligenciam a segurança, seja por descuido ou por preferirem a conveniência. Outras vezes, a empresa até toma as precauções necessárias ao armazenar a senha, mas acaba introduzindo funcionalidades de registro que, inadvertidamente, gravam as senhas em texto puro.
Empresas que Armazenaram Senhas Incorretamente
Você pode ter sido afetado por essa prática inadequada, já que empresas como Robinhood, Google, Facebook, GitHub e Twitter, entre outras, já armazenaram senhas em texto não criptografado.
No caso do Google, a empresa geralmente aplicava hash e sal nas senhas, mas as senhas de contas do G Suite Enterprise foram armazenadas em texto simples. A empresa explicou que essa prática era uma herança de quando fornecia ferramentas para administradores de domínio recuperarem senhas. Se as senhas tivessem sido armazenadas corretamente, essa recuperação não seria possível. O processo correto seria a redefinição de senha.
O Facebook também admitiu ter armazenado senhas em texto não criptografado, sem divulgar a causa exata do problema. No entanto, uma atualização posterior revelou que eles descobriram registros adicionais de senhas do Instagram armazenadas em formato legível.
É comum que empresas adotem práticas corretas de armazenamento de senhas e depois introduzam novos recursos que causam problemas. Além do Facebook, Robinhood, Github e Twitter registraram senhas em texto puro por engano.
O registro é uma ferramenta útil para identificar falhas em aplicativos, hardware e código de sistema. No entanto, se uma empresa não testar adequadamente essa funcionalidade, ela pode causar mais problemas do que soluções.
Em casos como os do Facebook e da Robinhood, quando os usuários informavam seu nome de usuário e senha para fazer login, a função de registro podia ver e registrar essas informações no momento em que eram digitadas, armazenando esses dados em outro local. Quem tivesse acesso a esses registros teria tudo o que precisava para se apropriar de uma conta.
Em situações raras, uma empresa como a T-Mobile Austrália pode negligenciar a importância da segurança em favor da praticidade. Em uma troca no Twitter, que foi posteriormente apagada, um representante da T-Mobile explicou a um usuário que a empresa armazenava senhas em texto simples. Isso permitia que os atendentes visualizassem as quatro primeiras letras das senhas para fins de confirmação. Outros usuários do Twitter apontaram corretamente os riscos dessa prática.