Acesso ao painel: uma senha sozinha não é defesa

Coloca-se uma senha no painel e acredita-se que o assunto termina aí. Mas uma senha é uma única linha de defesa, e a força dela não é algo verificável: só dá para supor.

Três coisas mudam de verdade o resultado.

Um: um limite de tentativas

A força de uma senha só significa algo se adivinhar for caro. Com tentativas ilimitadas, toda senha vira uma questão de tempo; a única diferença é quanto demora.

Um limite de tentativas não deixa a senha mais forte. Deixa o adivinhar caro. São duas coisas diferentes, e a segunda está na sua mão.

Dois: onde a sessão fica

Depois de entrar, o que te carrega não é a senha, é a sessão. Então a pergunta de verdade é: onde essa sessão fica e quem consegue alcançá-la?

A sessão deve ficar no navegador num lugar que os scripts não conseguem ler, e ser marcada de modo que uma página de outro site não consiga enviar pedidos em seu nome. Senão, uma aba que você deixou aberta pode agir com a sua autoridade.

Três: um segundo passo

É a única medida que não deixa uma senha vazada sobreviver. Uma senha pode ser roubada, adivinhada ou vir de um vazamento em outro site. Um segundo passo não impede nada disso, ele só garante que sozinha ela não basta.

Ative para as contas que podem mudar coisas. Para as que só olham, é questão de preferência.

A suposição que mais custa: "estou na rede local"

Essa frase é, do lado da segurança, a mais repetida e a mais errada.

Conte o que existe na sua rede local: a conexão sem fio que você deu aos convidados, um aparelho inteligente sem atualização há anos, o computador das crianças, e cada máquina virtual que você roda no seu próprio servidor.

Essa última é a mais esquecida. Quando você roda dentro de uma máquina virtual um programa baixado da internet, aquela máquina está na sua rede local e consegue alcançar a página de login do painel.

Então "eu não expus" não quer dizer "ninguém pode tentar". Quer dizer só "nem todo mundo na internet pode tentar". A diferença está em quem está perto o bastante para tentar.

O que fazer, em ordem

Não exponha o painel direto na internet. Se precisa de acesso remoto, coloque uma camada no meio.

Garanta que existe um limite de tentativas. Sem ele, adivinhar senhas a partir da rede local é de graça.

Coloque um segundo passo nas contas que podem mudar coisas.

Pare de fazer o trabalho diário com a conta mais poderosa. Isso tem um artigo próprio nesta wiki e conta como continuação deste: mesmo com o login protegido, quanto quem entra consegue mudar é outra pergunta.

O que o Atlas faz

O portão de login do Atlas tem um contador de tentativas, mantido por endereço de origem. Se houver dez tentativas erradas numa janela de cinco minutos, aquele endereço fica bloqueado por quinze minutos.

Por que isso existe está escrito no comentário do próprio código e é exatamente o assunto deste artigo: o Proxmox já tem o atraso dele, mas é preciso barrar também no portão do agente, caso contrário adivinhar senhas a partir da rede local sai de graça.

Do lado da sessão, duas marcações são usadas juntas. O identificador de sessão é guardado no navegador numa forma que os scripts não conseguem ler, e é marcado para não ser enviado junto com pedidos vindos de outro site. Assim, uma página numa outra aba que você deixou aberta não consegue fazer o seu navegador usar a sua sessão.

Um limite honesto: nada disso deixa a sua senha mais forte. Deixa o adivinhar caro e tira a sessão da categoria do roubável. A senha em si continua sendo escolha sua, e ligar o segundo passo também.