Contraseñas y frases de contraseña: qué las hace fuertes de verdad
Casi todos los consejos sobre contraseñas llevan una década desfasados. Las reglas que muchos sitios siguen imponiendo —una mayúscula, un dígito, un símbolo, cambiarla cada noventa días— fueron conjeturas que acabaron haciendo las contraseñas mucho más difíciles para las personas y apenas más difíciles para las máquinas. Lo que de verdad importa es más simple de lo que sugieren las reglas, y conviene entenderlo en lugar de memorizarlo.
La longitud gana a la astucia
La fortaleza de una contraseña es el número de posibilidades que un atacante debe recorrer, y ese número crece exponencialmente con la longitud pero solo linealmente con el tamaño del alfabeto. Añadir un carácter a una contraseña en minúsculas multiplica el trabajo por 26; añadir símbolos al alfabeto de una contraseña corta lo multiplica, en conjunto, por un factor mucho menor. Doce letras minúsculas aleatorias son enormemente más fuertes que ocho caracteres sacados de todo el teclado.
Por eso fallan los trucos de sustitución. Cambiar letras por símbolos parecidos —una @ por la a, un 3 por la e— produce algo difícil de teclear para una persona y que una herramienta de descifrado expande en milisegundos, porque esas sustituciones son lo primero que prueba cualquier diccionario. Una transformación predecible de una palabra común hereda la debilidad de esa palabra común.
Dónde engañan los medidores
Un medidor que solo cuenta tipos de caracteres calificará alegremente Password1! como fuerte: tiene mayúscula, minúscula, dígito y símbolo, y está entre los primeros miles de intentos de cualquier atacante. Los mejores medidores estiman cuántos intentos resistiría la contraseña modelando diccionarios, patrones de teclado, fechas y sustituciones habituales: una pregunta mucho más útil que qué tipos de carácter contiene.
Trata cualquier medidor como una cota inferior de debilidad, no como un certificado de fortaleza. Puede decirte de forma convincente que algo es malo. No puede saber si tu contraseña ya apareció en una filtración, que es el dato más importante sobre ella: una contraseña única y jamás reutilizada importa más que una que puntúe bien.
Frases de contraseña: fortaleza que sí puedes recordar
Una frase de contraseña son varias palabras aleatorias encadenadas, y su fortaleza viene del número de palabras y del tamaño de la lista de la que salieron, no de parecer complicada. Elegir seis palabras al azar de una lista de 7.776 da unos 77 bits de entropía, cómodamente fuera del alcance del descifrado sin conexión, y sigue siendo algo que una persona puede retener y teclear en el móvil.
La palabra clave es aleatorio. Las palabras que eliges tú no son aleatorias: la gente escoge términos relacionados, nombres y expresiones que aparecen en canciones o libros, y esa estructura es justo lo que los atacantes modelan. Las palabras deben salir de un proceso genuinamente aleatorio, que es la razón de ser del método con dados, y por lo que una frase que inventaste no equivale a una que generaste.
El riesgo real es la reutilización
Casi nadie cae porque un atacante fuerce su contraseña por fuerza bruta. Cae porque un sitio en el que se registró hace años sufrió una filtración y la misma contraseña funcionaba en su correo. El relleno de credenciales —reproducir pares filtrados en otros servicios— es barato, automatizado y enormemente eficaz, y ninguna complejidad en una contraseña reutilizada lo impide.
Eso convierte la unicidad en la propiedad que conviene optimizar, y la unicidad a escala exige un gestor de contraseñas. Cuando todas son únicas y generadas, deja de importar si se recuerdan una a una, y la única que necesitas recordar es la que protege el propio gestor: exactamente donde una frase de contraseña larga se gana su sitio.
Qué protege realmente el doble factor
Un segundo factor defiende frente a una contraseña robada o adivinada, y lo hace muy bien: conocerla deja de ser suficiente. Los códigos de un solo uso basados en tiempo se derivan de un secreto compartido y de la hora actual, por eso funcionan sin conexión y por eso el reloj del dispositivo debe estar aproximadamente en hora.
Pero conviene tener claro qué no cubre. Una página de phishing convincente puede pedir el código con la misma facilidad que la contraseña y retransmitir ambos al instante, y los códigos por SMS pueden interceptarse tomando el control del número. Los códigos de una aplicación autenticadora son claramente mejores que el SMS; las llaves físicas, que se niegan a autenticarse en el dominio equivocado, lo son aún más porque sacan a la persona de la decisión.
- Prioriza la longitud sobre las acrobacias con tipos de carácter: busca una frase larga.
- Nunca reutilices una contraseña; la unicidad protege más que la complejidad.
- Genera las contraseñas en vez de inventarlas; las elecciones humanas tienen patrones.
- Usa una aplicación autenticadora antes que SMS, y una llave física donde se ofrezca.
- Cambia una contraseña cuando haya un motivo, no según un calendario arbitrario.