Lo que Hace Una Contraseña Fuerte
La “fortaleza” de una contraseña se entiende comúnmente como determinada por la variedad de tipos de caracteres en una contraseña. Pero mientras que los formularios de registro pueden pensar que la complejidad es seguridad, los atacantes no están de acuerdo. La complejidad ya no defiende contra un modelo de amenaza moderno. ¿Qué hace que las contraseñas sean fuertes? Primero necesitamos examinar el modelo de amenaza real al que se enfrentan la mayoría de las personas.
La Complejidad de la Contraseña Pierde el Punto
La “fortaleza” de una contraseña a menudo es solo una función de complejidad, o la cantidad de aleatoriedad en una contraseña, medida por el uso de símbolos, números y letras en mayúsculas y minúsculas. Pero agregar algunos caracteres diferentes a tu contraseña no aumenta significativamente su “fortaleza”, a pesar de lo que sugiere esa engañosa barra verde de “fortaleza” al lado de tu contraseña. La complejidad aumenta la dificultad de un ataque de fuerza bruta, pero ese tipo de ataque es poco común.
En cambio, el robo de credenciales ocurre en enormes robos de datos o filtraciones de grandes organizaciones. La fortaleza de la contraseña no te ayudará si los atacantes tienen tu contraseña en texto claro.
Usa Contraseñas Únicas
La mayoría de las personas son enormemente vulnerables a algo llamado “credential stuffing”: las credenciales comprometidas se intentan en plataformas populares para aprovechar la tendencia humana a reutilizar contraseñas. Ese es un peligro mucho mayor que una contraseña “débil”. Después de todo, una contraseña “súper fuerte”, completamente aleatoria, reutilizada en cada plataforma se convertiría en un desastre después de una filtración.
En lugar de pensar en la fortaleza de la contraseña como una propiedad singular, necesitamos pensar en la fortaleza de tu sistema de autenticación. Las contraseñas modernas crean ese sistema y deben considerarse como tales. Usar contraseñas únicas es mucho más fácil con un gestor de contraseñas, así que comienza con uno hoy si aún no lo has hecho.
También lee: 10 de los Mejores Gestores de Contraseñas para Web, Escritorio y Móvil
La Longitud Es Más Importante que la Complejidad
Durante años nos han enseñado a pensar en la complejidad como el factor más importante de una contraseña. Y aunque sabemos que los ataques de fuerza bruta son raros, la complejidad ni siquiera es la mejor defensa contra el descifrado de fuerza bruta: la longitud es en realidad mucho más importante.
La longitud de la contraseña tiene una relación exponencial con el tiempo de descifrado, por lo que aumentos moderados en la longitud pueden producir incrementos masivos en el tiempo de descifrado. La complejidad, por otro lado, tiene una relación más lineal con el tiempo de descifrado.
Tomemos este ejemplo: Una máquina de descifrado de alto rendimiento puede romper una contraseña que parece compleja como *nRyU86) en tan solo ochenta minutos. Aumentar la longitud por una sola letra mayúscula estira ese tiempo a casi treinta y seis horas, mientras que cambiar una letra por un símbolo no proporciona un cambio significativo en el tiempo de descifrado.
Aprovechemos al máximo los poderes exponenciales de la longitud. ¿Qué tal una frase de cuatro palabras, usando palabras del diccionario conocidas y totalizando dieciséis caracteres de longitud? Incluso cuando se tienen en cuenta los ataques de diccionario (ataques que utilizan una base de datos de palabras conocidas para adivinar contraseñas en lugar de generar adivinanzas de forma aleatoria), aún tomaría noventa mil millones de años descifrar la contraseña.
Olvídate de la complejidad. Las mejores contraseñas son en realidad frases- claves. Nunca podrías recordar una contraseña compleja con una fortaleza similar. Pero el cerebro ama las historias divertidas y las imágenes sorprendentes. Si generas una historia absurdamente memorable para una frase generada aleatoriamente, te será difícil olvidarla.
También lee: ¿Hacen las Oraciones Mejores Contraseñas?
La generación de frases de clave verdaderamente aleatorias es crítica. Elegir palabras relacionadas contigo, como tu mes de nacimiento, hará que la frase de clave sea más fácil de adivinar. Usa el Cubo de Contraseña de la EFF para generar frases de clave aleatorias de manera segura.
Activa Todos los Sistemas de Autenticación de Dos Factores
Todos los sistemas tienen fugas. La fortaleza de la contraseña no te salvará. ¿Entonces, cómo puedes defenderte? Los sistemas de autenticación de dos factores (2FA) proporcionan una capa adicional de seguridad. El 2FA solicita dos tipos de credenciales: algo que tú sabes (es decir, tu contraseña) y algo que tú tienes (es decir, tu teléfono). En la mayoría de los sistemas 2FA, estos códigos son generados por un servidor remoto. El servidor envía el código activo al usuario en el momento del inicio de sesión.
Desafortunadamente, los atacantes pueden interceptar códigos SMS con relativa facilidad a través de la clonación de tarjetas SIM. Para prevenir esta interceptación, genera códigos en tu dispositivo móvil con una aplicación de 2FA como Authy, Google Authenticator, o un gestor de contraseñas con soporte 2FA como 1Password.
Conclusión
La “fortaleza” de una sola contraseña es una distracción. Un sistema de autenticación sólido es más importante. Las filtraciones y el robo de datos inevitablemente suceden. Las contraseñas únicas mantienen el daño contenido. La autenticación de dos factores puede reducir el daño de las credenciales robadas a cero.
