Consejos sobre contraseñas para el resto de nosotros

Por: Steve Ragan / Cisco Systems

Octubre es el Mes de Concientización sobre Ciberseguridad (CAM). Durante todo el mes, presentaremos consejos y trucos, así como recomendaciones sobre diversos temas de seguridad, con el objetivo de ayudar a informar y educar al público.

Comenzaremos con una mala noticia que quizás algunos de ustedes no conozcan: las contraseñas son un problema y es difícil crear una buena. Esto deja a muchas personas vulnerables y expuestas. Entonces, ¿qué es exactamente lo que hace que una contraseña sea buena?

Si hay una regla que debemos recordar cuando se trata de buenas contraseñas, es que cuanto más largas, mejor.

El consejo que suelo compartir con la gente es que hagan sus contraseñas tan largas que no puedan recordarlas.

Suena extraño, ¿verdad? ¿Crear contraseñas que no puedas recordar?

Lo es, pero el objetivo de esa regla es doble: primero, es hacerte pensar en la longitud de las contraseñas y su importancia, y segundo, es hacerte pensar en los administradores de contraseñas. Porque si no puedes recordar las contraseñas debido a su longitud y complejidad, ¿por qué no conseguir un programa que las recuerde por ti?

Longitud y complejidad de la contraseña

La razón por la que desea contraseñas largas es para evitar que las adivinen y las descifren.

Cracking es exactamente lo que parece. Después de poner en peligro un sitio web donde se almacena su contraseña, un delincuente intentará descifrar el hash que representa su contraseña utilizando un conjunto de palabras (diccionarios) y reglas (conjeturas fundamentadas).

La misma mentalidad se aplica a la adivinación directa de contraseñas. Si su contraseña es AprilMarry95 y usted se casó con April en 1995 (datos que son de dominio público), su contraseña podría ser fácilmente adivinada o descifrada.

A continuación se muestra un ejemplo utilizando datos reales.

Cada grupo tardó menos de tres minutos en descifrar las contraseñas de seis (6), siete (7), ocho (8), nueve (9) y diez (10) caracteres de entre las 100.000 contraseñas más comunes. Se trata de más de 80.000 contraseñas, y se descifraron en menos tiempo del que llevó escribir hasta este punto del blog.

Dado que la mayoría de los sitios web requieren contraseñas con una longitud mínima de ocho (8) caracteres, compuestos de letras mayúsculas y minúsculas, números y símbolos, uno pensaría que descifrar o adivinar contraseñas sería difícil.

Pero no es así, gracias a la reutilización de contraseñas (también llamada reciclaje de contraseñas) y a las contraseñas creadas con palabras, frases y patrones comunes.

Lo único que protegerá sus cuentas en otros sitios web es el uso de contraseñas únicas y largas sin palabras o frases comunes. De esta manera, una contraseña comprometida en un sitio web no hace que todas sus cuentas se vean comprometidas.

En ese sentido, si tu contraseña contiene alguna de las siguientes palabras, debes cambiarla lo antes posible. Se trata de palabras raíz que se encuentran entre las 100.000 contraseñas más comunes y son un ejemplo de palabras fáciles de adivinar que se utilizan para crear contraseñas.

Tenga en cuenta que la lista que se presenta aquí es una pequeña muestra. La lista completa tiene cientos de elementos e incluye nombres, estados, ciudades, deportes, términos automotrices, términos religiosos, términos militares, términos explícitos, términos familiares, términos emocionales, nombres de bandas e incluso colores.

Básicamente, si puedes encontrar la palabra en un diccionario, probablemente no sea una buena contraseña.

Por más que lo intentemos, los humanos no podemos hacer algo verdaderamente aleatorio. Y el problema es que, cuando intentamos hacerlo, solemos ceñirnos a esas palabras y frases comunes. Incluso usamos un ‘!’ o una ‘@’ junto con uno o dos números por si acaso.

Aunque !RubyRed2024 puede parecer una buena contraseña, no lo es.

Es cierto que tiene 12 caracteres, utiliza letras mayúsculas y minúsculas, números e incluso símbolos, pero hay dos razones por las que nunca deberías usar una contraseña de este tipo. En primer lugar, tanto Ruby como Red son palabras comunes. En segundo lugar, añadir un signo de exclamación (!) al principio de una contraseña y el año actual al final de la contraseña son patrones comunes y fáciles de adivinar.

Usando un patrón de máscara básico de -1 ?u?l !?1?1?1?1?1?1?12024 se puede descifrar !RubyRed2024 en 12 segundos bajo hash SHA1, o poco más de dos minutos bajo hash SHA3 256.

Lo que significa ese patrón y por qué se probaron dos opciones de hash diferentes (recuerde, el hash es la forma en que se almacenan las contraseñas en un sitio web) realmente no es importante.

Sin embargo, si la contraseña que se utiliza con este patrón fuera realmente aleatoria, no descifraría nada. De hecho, intentar adivinar una contraseña verdaderamente aleatoria de 12 caracteres puede llevar aproximadamente 54 días con SHA1, e incluso más tiempo con SHA3.

Pero si esa contraseña se codificara con bcrypt (muchos sitios web lo usan), podría llevar millones de años descifrarla (164 para ser exactos).

Introduzca los administradores de contraseñas

El objetivo de todo este debate sobre las contraseñas es dejar en claro dos hechos.

En primer lugar, los humanos no pueden realizar operaciones aleatorias reales. Por ello, si tu contraseña ya se filtró o se puede adivinar fácilmente, ningún algoritmo de hash podrá protegerla ni a ella ni a las cuentas asociadas a ella.

En segundo lugar, cuanto más larga sea la contraseña, más única será y, por lo tanto, más segura y protegida será, siempre y cuando no se reutilice en varios sitios web.

Sólo con un administrador de contraseñas puedes obtener contraseñas verdaderamente aleatorias, largas y únicas para cada sitio web al que accedas.

Entonces, ¿qué administrador de contraseñas deberías usar? Esa es la mejor parte: puedes usar el que quieras.

Si bien no son todos iguales, su funcionalidad principal sí lo es.

La revista Wired tiene una reseña sólida de los administradores de contraseñas , que incluye un desglose de precios y funcionalidades. PC Mag también tiene un desglose completo de varios administradores de contraseñas. Vale la pena dedicar un tiempo a leer ambos.

La función clave que usted espera de un administrador de contraseñas es la capacidad de crear contraseñas que tengan al menos veinte (20) caracteres, con toda la combinación típica de letras, números y símbolos, así como la capacidad de crear una contraseña única para cada sitio web.

Si el sitio web no admite contraseñas muy largas, aún puedes usar el administrador de contraseñas para crear contraseñas realmente aleatorias, por lo que no es un inconveniente total.

Al fin y al cabo, un gestor de contraseñas significa que ya no habrá que reciclar contraseñas ni utilizar palabras o frases fáciles de adivinar. Las contraseñas son realmente aleatorias.

Ahora, existe otra capa de protección junto con el administrador de contraseñas: la autenticación multifactor (MFA). Analizaremos la MFA en otro blog próximamente. Por ahora, si su administrador de contraseñas ofrece habilitar esta opción de defensa (la mayoría lo hace), debería aprovecharla y habilitarla.

Por último, tenemos claves de acceso.

Es posible que haya oído hablar de ellas. Si hay tiempo este mes, profundizaremos en ese tema. En resumen, las claves de acceso son el reemplazo de las contraseñas. Sin embargo, implementarlas (desarrollo de software) y administrarlas (bloqueo del ecosistema) puede ser un poco complicado, algo en lo que están trabajando las industrias de seguridad y desarrollo. Es seguro que las claves de acceso se convertirán en una característica común en un futuro no muy lejano a medida que las cosas se desarrollen.

¡A mantenerse seguro!