Senhas, vazamento de senha LinkedIn e as políticas de senhas

Vemos inúmeras pesquisas de Worst Passwords of 20XX, e todos os anos nos deparamos com as mesmas senhas básicas, simples e fáceis, alguns assuntos nos chamam mais a atenção, fiz um paralelo com a minha vida pessoal/profissional e realizado o levantamento de um cofre de senha que uso a pouco tempo, ele consegue me dar maior agilidade e flexibilidade, abri ele e visualizei um relatório das contas, tomei um susto são 77 logins e senhas armazenados ali, claro não sou um usuário comum, com sistemas web, banco de dados, contas ftp e outras, mas me pergunto se seria humanamente possível gerenciar sem a ajuda de uma ferramenta 77 logins e senhas distintos apenas de cabeça?

Tendo em mente que todas as minhas senhas possuem no mínimo 11 caracteres, contendo maiúsculas/minusculas, números e carácter especial (pelo menos um arroba), outras formo com frases e pego a letra da frase para montar a senha, ali já incluo exclamação, E comercial, cifrão, etc.

 Agora vamos pensar e incluir nossa vida corporativa, com mais algumas dezenas de logins e senhas que devemos novamente decorar, criar senhas complexas e longas o suficiente, outra boa prática é que seja dividido senhas de acesso comum com senhas de acesso administrativos que por sua vez, deverão ter uma política de senha mais complexa, 18 caracteres, incluindo toda a complexidade que como profissionais de segurança apresentamos em nossas documentações, workshop de segurança e comunicados.

Na tabela abaixo vemos as senhas dos últimos três anos publicado pela teamsid.com:

Após o vazamento de mais de 117 milhões de contas comprometidas do LinkedIn e logo surge uma lista das senhas e a quantidade de vezes que a mesma foi utilizada tem 2.202.597 usuários fazendo uso senhas consideradas fracas, como pode ser visto na tabela abaixo:

Agora vem algumas perguntas:

Até que ponto é viável seguir todas as recomendações de segurança em nossas vidas?

Até que ponto podemos esperar que as pessoas consigam gerenciar cada vez um número maior de contas?

Agora no ambiente corporativo:

Até que ponto a TI está preparada para prover uma solução eficiente e eficaz ao problema apresentado?

Será que as organizações estão preocupadas com o potencial risco que essas dezenas de senhas que devemos memorizar, trocar regularmente e não repetir por um período não inferior a 8 meses, acrescenta a organização?

Existem ferramentas que proporcionam uma gestão eficaz das senhas dentro de uma organização, exemplo é o próprio Single sign-on, uma tecnologia já antiga e muito pouco utilizada dentro das empresas, mas ela deve ser utilizada com cuidado, basicamente uma senha comprometida proporciona acesso ao ambiente completo.

Mas essa tecnologia não deve ser utilizada para tudo, acessos administrativos devem fazer uso de outra tecnologia de cofre de senha com provisionamento automático de operador, basicamente o sistema cria um operador para acesso único, esse operador terá perfil administrativo e após o encerramento da tarefa o operador é descartado, com isso nunca se fará uso do mesmo operador e senha uma segunda vez.

Há diversas pesquisas para a substituição da senha como a conhecemos por uma tecnologia que permita executar o login por um item pessoal como um token ou o próprio celular, que é um dispositivo que carregamos constantemente conosco.