Ferramentas

Um gestor de palavras-passe detém as chaves de toda a sua vida digital: a questão de saber se pode confiar nele importa, por isso, muito mais do que em quase qualquer outra aplicação que instale. Ao contrário de uma aplicação de notas ou de um calendário, um cofre constitui um único ponto de falha catastrófico: se for comprometido, todas as contas que protege ficam expostas de uma só vez. Isto reforça a importância das promessas de segurança de um fornecedor, e da sua capacidade de as verificar.

O software de código aberto responde em parte a esta questão. Quando o código-fonte é público, investigadores independentes podem ler exatamente como os seus segredos são armazenados, como são cifrados, e o que sai do seu dispositivo. Já não acredita numa página de marketing sob palavra: a implementação está aberta ao exame. O código aberto não é uma garantia de perfeição, mas reduz consideravelmente o espaço onde uma fraqueza oculta ou uma porta dos fundos discreta poderia sobreviver sem ser notada.

Três cofres de código aberto a conhecer

O Bitwarden é a opção de código aberto mais conhecida. As suas aplicações cliente e o seu servidor são publicados sob licenças abertas, e a empresa encomendou auditorias de segurança independentes cujos resultados são públicos. Uma característica determinante é que pode alojar você mesmo o backend se quiser controlo total sobre onde residem os seus dados cifrados, usando ainda assim as mesmas aplicações cuidadas. Para a maioria das pessoas, a oferta gratuita alojada é generosa: cobre um número ilimitado de palavras-passe num número ilimitado de dispositivos, o que elimina um motivo frequente para fazer cedências na segurança.

O KeePassXC adota uma abordagem fundamentalmente diferente, inteiramente local. Não há qualquer componente na nuvem: o seu cofre é um único ficheiro de base de dados cifrado que armazena e sincroniza você mesmo, com o armazenamento em que já confia. Isto agrada às pessoas que não querem qualquer envolvimento de terceiros e que se sentem à vontade a gerir as suas próprias cópias de segurança e sincronizações. O compromisso é a comodidade — a sincronização entre o telemóvel e o portátil é algo que organiza manualmente em vez de algo que acontece por si só.

Para quem quer criptografia de código aberto sem gerir a sua própria infraestrutura, o Proton Pass é uma opção gerida sólida. É desenvolvido pela equipa por trás do Proton Mail, usa cifragem de ponta a ponta, e as suas aplicações são de código aberto: obtém assim uma segurança auditável com a comodidade de uma sincronização alojada entre os seus dispositivos. Integra também funcionalidades como os aliases hide-my-email, que se inserem naturalmente ao lado do armazenamento de palavras-passe para as pessoas já preocupadas com a sua privacidade.

Escolher o seu lugar no espetro

Estas ferramentas ilustram um espetro útil em vez de uma resposta única. Num extremo está o controlo inteiramente local com o KeePassXC; no meio, a flexibilidade alojado-ou-auto-alojado do Bitwarden; e em direção ao polo gerido, o Proton Pass com as suas predefinições orientadas para a privacidade e a sua comodidade alojada. Onde se situa depende da quantidade de trabalho operacional que está disposto a assumir em troca do controlo, e do valor que atribui a uma sincronização fluida entre dispositivos.

• Bitwarden — código aberto, auditado de forma independente, auto-alojamento opcional, oferta gratuita generosa
• KeePassXC — ficheiro de cofre cifrado inteiramente local, sem nuvem, gere você a sincronização e as cópias de segurança
• Proton Pass — aplicações de código aberto, sincronização alojada cifrada de ponta a ponta, aliases de e-mail integrados

Armadilhas e os limites do código aberto

Seja qual for a sua escolha, desconfie de algumas armadilhas comuns. A primeira é a reutilização de uma palavra-passe mestra fraca, que mina mesmo a cifragem mais robusta. A segunda é saltar a exportação ou a cópia de segurança, o que o deixa de fora se um dispositivo falhar. A terceira é considerar o armazenamento de palavras-passe integrado no navegador como equivalente — é prático, mas falta-lhe geralmente o modelo de segurança dedicado, o alcance multiplataforma e as funcionalidades de alias de um verdadeiro gestor.

Vale também a pena ser honesto sobre o que o código aberto lhe dá ou não. O código público torna a auditoria possível, mas a auditoria ainda tem de acontecer realmente, e as aplicações que descarrega devem corresponder verdadeiramente ao código-fonte publicado. É por isso que a reputação, um historial de auditorias encomendadas e uma comunidade ativa contam tanto como a própria licença. O Bitwarden, o KeePassXC e o Proton Pass ultrapassam todos esta fasquia, cada um à sua maneira.

Hábitos que importam mais do que a marca

Seja qual for a sua escolha, os fundamentos são os mesmos para todas as opções. Use uma palavra-passe mestra longa e única que nunca tenha usado noutro lado, ative a autenticação de dois fatores para o próprio cofre, e deixe o gestor gerar uma palavra-passe aleatória única para cada site. Estes três hábitos contam mais do que a marca precisa no ícone.

A ferramenta certa, no fim de contas, é aquela que vai realmente usar de forma regular. Uma configuração teoricamente perfeita que abandona ao fim de uma semana não protege nada, ao passo que um gestor um pouco menos ideal que abre todos os dias protege tudo. Escolha a opção cujos compromissos consegue aceitar, configure-a corretamente de uma vez por todas, e deixe-a fazer o seu trabalho em silêncio a partir daí.