¿Cuándo es Buena una Contraseña?; Las contraseñas existen desde hace mucho tiempo, pero ¿son lo que necesitamos para preservar la seguridad de nuestros sistemas? No, la verdad es que no. Las contraseñas funcionaban bien cuando la tecnología no era omnipresente y sólo los profesionales de la tecnología tenían que acceder a los sistemas informáticos, y sólo a un número limitado de ellos. Las cosas cambiaron, y ahora las contraseñas son un legado que está haciendo más daño que bien.

La mayoría de la gente dirá que una contraseña tiene que ser compleja, lo que significa que tiene que ser larga y contener letras, números y símbolos para ser segura. ¿Qué longitud debe tener una contraseña? El conocimiento general sugiere que las contraseñas deben tener ocho caracteres; en otros casos, se sugiere que ocho caracteres ya no son suficientes.

En general, los expertos del sector coinciden en que no debemos utilizar la misma contraseña en más de un sistema para evitar un efecto dominó si (¿debo decir «cuando»?) uno de esos sistemas se ve comprometido. Esto significa que debemos tener docenas de contraseñas diferentes para poder acceder a la multitud de sistemas que utilizamos a diario.

Otra buena práctica bien establecida recomienda que cambiemos nuestras contraseñas con frecuencia porque las filtraciones de datos que implican contraseñas son comunes y queremos limitar el periodo en el que somos vulnerables.

Para minimizar el éxito de los ataques de diccionario -que utilizan palabras en lugar de probar todas las combinaciones posibles de caracteres-, no queremos que nuestras contraseñas tengan significado. El nombre de tu perro está fuera de la mesa, a menos que tu perro se llame JuYxxp67lkm8MmP$#33F y cambies el nombre de tu perro cada dos meses.

También es sabido que, a menos que tengas una caja fuerte donde guardar tu cuaderno de contraseñas, no es buena idea anotar tus credenciales o tener un archivo con todas ellas. Desde luego, no es buena idea escribir la contraseña en una nota adhesiva debajo del teclado. Esto significa que una contraseña debe ser fácil de memorizar. En realidad, el Instituto Nacional de Estándares y Tecnología (NIST), en sus Directrices de Identidad Digital, identifica la complejidad como una vulnerabilidad, reconociendo que es más probable que los usuarios escriban sus contraseñas, o las almacenen electrónicamente, de forma insegura cuando se ven obligados a memorizar secretos de autenticación muy complejos.

¿Cuándo es Buena una Contraseña?, La paradoja es clara: las contraseñas no pueden ser complejas, no tener significado, ser diferentes para cada sistema, cambiarse con frecuencia y, simultáneamente, ser fáciles de memorizar.

Los gestores de contraseñas son prácticos. En lugar de memorizar docenas de contraseñas complejas, un gestor de contraseñas nos da un lugar donde almacenarlas todas y nos aseguramos de tener credenciales fuertes para proteger el acceso a ellas. Suena razonable.

Sin embargo, al igual que cualquier otro software, los gestores de contraseñas tienen vulnerabilidades que los atacantes pueden explotar. Ha habido situaciones en las que la explotación se ha producido realmente, diferentes empresas han sido «fulminadas» por culpa de los gestores de contraseñas.

Sabiendo esto, ¿realmente quieres poner todos tus huevos en una sola cesta?.

Hay, al menos, dos maneras diferentes de ver las mejores prácticas en materia de contraseñas: la perspectiva del administrador del sistema y la perspectiva del usuario. El usuario siempre está limitado por los parámetros definidos por el administrador y, por esa razón, puede que nos encontremos con que tenemos que trabajar alrededor de un conjunto de reglas, en lugar de elegir la contraseña que mejor nos funcione.

En Máster en Ciberseguridad online escribiremos otro post sobre las mejores prácticas de contraseñas para los administradores de sistemas y hablaremos de los parámetros que deberían imponer a sus usuarios. Por ahora, centrémonos en Cuándo es Buena una Contraseña en función a los usuarios.

Las contraseñas funcionan mejor si se combinan con un factor diferente: ya sea algo que el usuario tiene (un smartphone, una tarjeta de acceso, etc.), o algo que el usuario sea (autenticación biométrica).

Vídeo: Chema Alonso: ‘Las contraseñas no son nada seguras, hay que erradicarlas’ – ¿Cuándo es Buena una Contraseña?