Site AforroNet do Estado só permite passwords com 6 números

Quem visitar o site AforroNet do IGCP será surpreendido pelas regras de criação de passwords, que estão limitadas à utilização de 6 números.

Temos sites do Estado que levam ao extremo as regras de criação de passwords, obrigando a que sejam utilizadas letras minúsculas e maiúsculas, números e símbolos (embora depois cometam o erro de limitar o tamanho máximo da password a coisas como 16 caracteres). Mas, surpreendentemente, existem outros onde as regras básicas de segurança a nível de passwords parecem ter ficado paradas no século passado.

O AforroNet do IGCP, que permite subscrever e resgatar Certificados de Aforro e Títulos do Tesouro, é um desses sites. Ao criar uma password os utilizadores são confrontados com uma regra que deverá lançar alertas imediatos até para quem não preste muita atenção às questões de segurança na internet: as passwords estão limitadas a 6 caracteres, mas não 6 caracteres quaisquer - só se podendo utilizar 6 números!

Apesar do processo de login também fazer o pedido de dois algarismos do Número de Contribuinte / NIF, que dificultarão um pouco mais um ataque brute-force, o NIF não é nos dias de hoje uma informação que se possa considerar de difícil acesso, pelo que dificilmente complicará demasiado a tarefa a quem estiver dedicado a obter as passwords de acesso a este serviço. E, sendo um serviço que envolve directamente o manuseamento de dinheiro, seria altura da sua política de passwords ser revista e actualizada.

Tendo em conta o serviço em questão, até não seria descabido exigir a utilização de autenticação 2FA (2-factor), como já se tornou obrigatória nos serviços bancários online.