Não existe mandato universal, mas 6 dígitos emergiu como padrão de facto para PINs de dispositivos móveis, equilibrando resistência a força bruta com memorabilidade humana.
A Matemática: Entropia e Adivinhabilidade
| Tamanho PIN | Combinações (0-9) | Entropia (bits) | Tempo Adivinhação Online (10/seg, sem lockout) | Crack Offline (Hash) |
|---|
| 4 dígitos | 10.000 | 13.3 | 16 min | Instantâneo |
| 6 dígitos | 1.000.000 | 19.9 | 27 horas | Segundos |
| 8 dígitos | 100.000.000 | 26.6 | 115 dias | Minutos |
| Alfanumérico (6 char, 62^6) | 56.8B | 35.7 | 180 anos | Horas |
Por Que Não Apenas Usar 8+ Dígitos?
- Taxa de Falha de Memória: 4 dígitos: ~2% esquecem. 6 dígitos: ~5%. 8 dígitos: ~15%+ (NIST SP 800-63B).
- Comportamentos Compensatórios: PINs longos esquecidos → anotados em post-it, salvos no app Notas, reutilizados entre contas — derrotando o ganho de entropia.
- Fricção de Entrada: 8+ dígitos em teclado 3×4 (ou touchscreen) aumenta erros de entrada, frustração, lockouts.
O Que Realmente Protege Você: A Política de Lockout
Entropia importa apenas se o atacante tem acesso offline ao hash (extração física, ferramenta forense). Em um telefone vivo:
- iOS: 6 tentativas → 1 min delay → ... → 10 tentativas → apagamento dados (se habilitado). Secure Enclave impõe isso em hardware. PIN 6 dígitos = efetivamente inquebrável online.
- Android (Pixel/Samsung modernos): 5 tentativas → 30 seg → backoff exponencial → reset fábrica após ~15-30 falhas. Criptografia baseada em arquivo + Titan M2 / StrongBox.
Conclusão: PIN aleatório de 6 dígitos + limitação de tentativas imposta por hardware = criptograficamente suficiente para proteção no dispositivo.
Hierarquia de Boas Práticas
- Biometria Primária (Face ID / Impressão Digital): Alta entropia, zero carga de recall.
- PIN Aleatório de 6 Dígitos (Backup): Não ano nascimento, não 123456, não repetido. Use gerenciador de senhas para gerar/guardar.
- Senha Alfanumérica (Alta Segurança): Se enfrenta ameaças físicas direcionadas (jornalista, ativista, executivo). Use gerenciador de senhas.
- Ative Auto-Apagamento / Apagamento Remoto: Find My (iOS) / Find My Device (Android).
Comprimento sozinho é métrica de vaidade. Aleatoriedade + limitação de taxa por hardware + apagamento remoto é a pilha de segurança real.
