Sobre a vulnerabilidade relacionada à senha de criptografia simétrica

Question

Existem ferramentas como gpg ou ccrypt que usam o algoritmo AES para criptografar simetricamente um arquivo, o que eu li é bastante seguro, e usa chaves de 128/256 bits. Agora, talvez eu esteja perdendo ou não entendendo algo, mas essas ferramentas geram essa chave com base na frase secreta que você digita.

Então, os dados criptografados não são tão vulneráveis quanto sua frase secreta? Ou seja, se você usar uma senha fraca, isso não seria vulnerável ao ataque de força bruta?

Quero dizer, se você usar uma frase secreta de 6 caracteres, a quantidade de tentativas para corresponder à frase-senha seria muito menor do que adivinhar uma chave de 128 bits.

Se for verdade, qual é a maneira comum de fazer as coisas? Basta usar um longo e difícil de adivinhar a frase secreta?

    

Answer 1

Sim, claro. Você está certo. Todo sistema que depende apenas de uma senha como entrada será strong como a senha. Existem várias possibilidades de como fortalecer a criptografia:

1. Use com certeza uma senha de boa qualidade . A força depende de vários fatores, como: quanto valem os seus dados, quanto um possível atacante investirá no craqueamento, quanto tempo os dados devem permanecer inquebráveis no futuro, etc.
2. Use somente o software que deriva a chave de criptografia usando uma função comprovada que consome uma quantidade considerável de tempo de computação, como PBKDF2 . Isso torna o dicionário e a senha de força bruta muito mais difíceis de serem quebrados.
3. Se possível, use um fator adicional além da senha - como um armazenamento de segurança física protegido por senha de uma chave criptográfica. Esses dispositivos são conhecidos como cartões inteligentes ou tokens de segurança USB.
4. Se a solução do ponto anterior não for possível e os dados criptografados forem armazenados em um ambiente muito acessível (como um servidor da Web público), você poderá melhorar a segurança armazenando a chave de criptografia em um arquivo - obviamente criptografado pelo seu senha (respeitando os dois primeiros pontos). O arquivo com a chave de criptografia seria armazenado em um local mais seguro, como seus diretórios pessoais no seu computador.

Answer 2

Em uma palavra, sim - sempre que você usa criptografia simétrica, ela é tão strong quanto a senha escolhida, portanto, é necessário escolher uma que seja longa e difícil de usar. Não há nenhuma diretriz definitiva sobre exatamente quanto tempo ela precisa ser, mas 20-30 caracteres é o que você deve mirar se estiver procurando segurança máxima.