Contraseñas que nadie adivina
Lección 3 de 16 del curso «Ciberseguridad desde cero». Gratis, con animaciones y un test.
Por qué “una para todo” es el mayor agujero
Hackean sitios web todo el tiempo y las bases de correos y contraseñas acaban siendo públicas. Los bots toman esos pares y los prueban en correos, exchanges, bancos y redes. Se llama credential stuffing, relleno de credenciales. Si Dan usa una contraseña en nueve sitios, basta con que se filtre la del más débil y se abren los nueve. Nadie “hackeó” nada: Dan mismo dio una llave para todas las puertas.
La longitud manda
Compara cuántas combinaciones habría que probar. 8 minúsculas son unos 200 000 millones; una tarjeta gráfica las recorre rápido. Ocho caracteres mixtos son 6·10¹⁵, pero “Dan2004!” no es aleatoria: los bots prueban primero nombres, fechas y cambios como @ por a. Seis palabras al azar de una lista de 7776 dan 2·10²³ combinaciones. Una frase así se recuerda fácil y es imposible de adivinar.
Una frase de palabras al azar
Una buena contraseña no es “Q7#k!”, que olvidarás en una semana, sino varias palabras al azar: “cactus-ascensor-pelirrojo-paraguas-viernes”. La clave es al azar. Un verso de canción o “quieroamigato” no valen: los bots también los prueban. Elige las palabras con dados o un generador, no con la cabeza. Y cada sitio necesita su propia contraseña.
Búscate en las filtraciones
El servicio Have I Been Pwned reúne bases de filtraciones conocidas. Escribes tu correo y ves en qué hackeos apareció. Si un sitio de la lista conocía tu contraseña, considérala pública: cámbiala donde la repitas. La comprobación de contraseñas del sitio está hecha para que la contraseña no salga de tu dispositivo: solo se envían los primeros caracteres de su hash. Un hash es una “huella” irreversible de la contraseña.
Qué dice el NIST
El NIST es el instituto de normas de EE. UU.; empresas de todo el mundo siguen sus reglas de contraseñas. Lo principal de la versión actual: la longitud gana a la “complejidad”, y si la contraseña es la única protección, debe tener al menos 15 caracteres. Los sitios deben comprobarla contra filtraciones. No hace falta cambiarla por calendario, solo si hay señales de filtración. Y para ti la regla clave es más simple: una contraseña distinta en cada sitio. En el entrenador, mira cuánto aguantaría tu idea.
Ponte a prueba
- Dan inventó “Dan2004!”: mayúsculas, minúsculas, números y símbolo. ¿Por qué es débil?
Respuesta correcta: Los bots prueban primero nombres y años de nacimiento, y solo tiene 8. Las reglas “letra+número+símbolo” dan una falsa sensación de fuerza. El patrón “nombre+año+!” está en todos los diccionarios de ataque. - Have I Been Pwned muestra el correo de Dan en la filtración de un foro viejo. ¿Qué hacer primero?
Respuesta correcta: Cambiar esa contraseña donde se repita, empezando por el correo y el exchange. El peligro no es el foro sino su contraseña: los bots la prueban en todo lo demás. Cámbiala primero donde está el dinero y los restablecimientos. - ¿Qué contraseña es la más fuerte?
Respuesta correcta: Cinco palabras al azar con guiones, elegidas por un generador. Las palabras al azar son largas e impredecibles. Un generador no conoce tus canciones favoritas, así que los bots tampoco aciertan.
← Quién te caza y para qué Gestor de contraseñas: recordar solo una →