Seguridad de contraseñas

Sobre contraseñas circula más conocimiento caducado que sobre casi cualquier otro tema informático. La regla del carácter especial, la mayúscula y el número viene de una época en la que los atacantes aún adivinaban a mano. Hoy se considera superada, y lo dice el mismo organismo que la formuló: la longitud gana a la complejidad, porque cada carácter adicional multiplica el esfuerzo mientras que una exclamación añadida apenas lo aumenta.

La razón está en cómo se adivina. Los ataques automatizados no prueban carácter por carácter: trabajan con listas de palabras de idiomas reales, nombres y contraseñas filtradas — incluidas las sustituciones que a todos se nos ocurren. «C0ntr@seña!» es difícil de recordar para una persona y trivial para un programa; cuatro palabras al azar son lo contrario de ambas cosas.

El tema se vuelve práctico con la segunda pregunta: ¿dónde se guardan? Una única buena contraseña usada en todas partes deja de ser buena en cuanto se compromete un solo servicio. Un gestor de contraseñas lo resuelve eliminando la memorización — y traslada la pregunta a una sola contraseña maestra, que entonces sí debe ser larga.

Queda la medida individual más eficaz: un segundo factor. Actúa justo cuando la contraseña ya se ha perdido, que es el caso en el que nada más ayuda. Los artículos de esta sección explican además qué ocurre al otro lado: por qué un servicio nunca debería guardar tu contraseña en claro y cómo notas que no lo hace.