¿Cómo saber si su contraseña de correo electrónico es segura?

[Revelación. Trabajo para AgileBits, los creadores de 1Password]

Muchas de las respuestas que he visto aquí se centran en “cómo sabes que tienes una contraseña segura”. Si bien tengo algunas objeciones con muchas de las respuestas, adoptaré un enfoque diferente para su pregunta. En lugar de centrarme en la seguridad de su contraseña de correo electrónico, analizaré otras formas en que puede ser inseguro.

  1. Su contraseña de correo electrónico no es segura si utiliza la misma contraseña para algún otro servicio que pueda verse comprometido.
  2. Su contraseña de correo electrónico no es segura si utiliza un proveedor de correo electrónico que no cifra su comunicación con el servidor de correo electrónico.

Con respecto a 1, debe evitarse la reutilización de la misma contraseña en múltiples servicios. Con algo tan importante como su contraseña de correo electrónico, debe evitarse.

Con respecto a 2, los principales proveedores finalmente (aproximadamente diez o quince años después de https://www.fastmail.fm, que hizo las cosas correctamente desde el principio) forzaron el cifrado de la comunicación entre el programa de correo electrónico que utiliza (por ejemplo, Outlook, Mail.app o su navegador web) y su servidor. Sin embargo, los sistemas de correo electrónico proporcionados por muchos ISP aún no cifran este tráfico. Esto significa que cada vez que su computadora o dispositivo revisa el correo de una cafetería o biblioteca, su contraseña de correo electrónico está fácilmente disponible para cualquiera que la escuche.

Si, por seguro, quieres decir “inquebrantable”, no puedes saberlo, solo puedes tomar precauciones razonables.

Si tiene la capacidad, use la autenticación de 2 pasos / factor múltiple (o como lo llame su proveedor). Algo que sabes + algo que tienes es una forma mucho más sólida de asegurar el acceso a algo que te importa que solo una contraseña.

Entonces, seamos honestos, las contraseñas son un sistema miserablemente patético. Son un mecanismo de control de acceso de retroceso medieval que otorga o niega el acceso a casi todo en nuestras vidas en línea y es casi imposible para el ser humano (por encima de la media) de usar correctamente. El vago sentido del globo ocular revelado en las publicaciones de blog de “profesionales de la seguridad” después de una violación donde los datos muestran cuán mal elegidas son las contraseñas del populus general, me parece que pierdo el punto. Si el 95% de sus usuarios no pueden usar su tecnología correctamente (en este caso, contraseñas), su tecnología es una pila de s….

Aún así, estamos atrapados con ellos por ahora. Así que abordemos la pregunta en cuestión. De todas sus contraseñas, su correo electrónico es uno de los más importantes. Es probable que el acceso a su cuenta de correo electrónico dé acceso a restablecer contraseñas en casi todo lo demás.

El consejo habitual para las contraseñas suele ser algo como esto:
-Incluir mayúsculas, minúsculas, puntuación y números
-Hazlo largo
-No lo reutilices en ningún lado

Ese último es particularmente difícil de mantener. Ni siquiera puedo imaginar para cuántos sitios web tiene que generar contraseñas la persona promedio. El mejor consejo es probablemente usar un administrador de contraseñas como lastpass o onepassword, y asegurar esa herramienta con una contraseña muy larga, muy larga y muy compleja.

En cuanto a las otras dos sugerencias, llévelas al extremo, una contraseña de caracteres muy larga (más de 30) con mucha rareza será realmente difícil de descifrar para alguien. Esa contraseña realmente larga puede ser una oración muy inusual, la primera y la última letra de las primeras líneas de una canción que conoces bien. Sea lo que sea, sea creativo, cree su propio código, se sorprenderá de lo fácil que es tener una contraseña realmente larga que es realmente difícil de adivinar pero fácil de recordar cuando es personal para usted.

Solo como una nota de precaución, no elija palabras o frases que puedan aparecer impresas o en la web en cualquier lugar, una forma común de tratar de descifrar contraseñas es usar frases que se hayan recuperado de otros lugares (Biblia, Wikipedia, mucho más).

Creo que es más saludable considerar el problema de la contraseña desde la otra perspectiva, la del atacante.

Si estoy tratando de entrar en su cuenta de correo electrónico, lo primero que haría es ver si su dirección de correo electrónico se ha utilizado en algún sitio web que haya sido descifrado por otra persona, y si es así, pruebe la contraseña revelada en ese ataque.

Si eso no funciona, iría por un poco de ingeniería social o un correo electrónico de phishing. Si puedo encontrarlo en Facebook, Twitter, Linkedin (¡o Quora!), Es probable que pueda enviarle un correo electrónico razonablemente convincente que lo convenza de hacer clic en un enlace que lo infecte con algún malware o intente que vuelva a llamarlo. ingrese su contraseña por alguna razón falsa.

¿Sigue sin funcionar? Entonces, probablemente me vería reducido a usar un ataque de fuerza bruta en su cuenta de correo electrónico, tratando de adivinar las contraseñas a mano (es poco probable que funcionen) o por máquina (es mucho más probable que funcione, aunque cualquier buen proveedor de correo electrónico bloqueará varias conjeturas) .

Por supuesto, hay muchas otras formas en que alguien intentará ingresar. Por lo tanto, mantenga esa contraseña muy larga y realmente extraña, y ese atacante probablemente pasará a un botín más fácil.

Puede verificar la seguridad de su contraseña aquí: ¿Qué tan segura es mi contraseña?
¡No escriba su contraseña real, por favor!

Editar: el sitio mencionado anteriormente no es un indicador perfecto de la seguridad de la contraseña. Básicamente solo calcula cuánto tiempo tardaría una ‘fuerza bruta estúpida’ y, por lo tanto, sugiere contraseñas más largas, pero no tiene en cuenta otros ataques. Entonces, para comprender mejor las contraseñas seguras, lea el artículo del blog que acabo de escribir: Cómo elegir una contraseña segura

Utilice una contraseña segura con múltiples combinaciones y habitúese a cambiar la contraseña periódicamente, ya sea mensualmente o bimensualmente. Use GPG a través de Thunderbird (complemento Enigma), correo de Sylpheed / Claws o cliente K9 (Android) si está enviando información confidencial.

Si por seguro te refieres a “difícil de descifrar”, entonces:

  • deja que tu administrador de contraseñas elija una larga y complicada para ti
  • o use cuatro palabras aleatorias pegadas (todas letras minúsculas, sin necesidad de la capital histérica / dígitos / trinidad de caracteres especiales)

Si por seguro te refieres a “asegurado correctamente por la empresa de correo electrónico”, nunca lo sabrás.
Una indicación de que ciertamente no es seguro es la capacidad de la compañía de enviárselo. Significa que está almacenado en texto plano y que no tienen absolutamente ninguna pista sobre la seguridad.

Recomiendo que se use una contraseña segura y se combine con un sistema de verificación de 2 pasos ofrecido por Gmail.
Esta combinación no proporcionará seguridad absoluta, pero eliminará su dependencia de la seguridad de su contraseña. Por ejemplo, si un atacante obtiene su contraseña, él / ella no puede entrar porque la verificación en dos pasos requiere un código de tiempo.

Si lo olvidas al día siguiente.

Usted sabe que es bastante seguro en el momento inmediatamente después de cambiarlo. Por lo tanto, es una buena práctica cambiar regularmente sus contraseñas.

More Interesting

Cómo cambiar mi contraseña de Yahoo para que sea una autenticación de dos pasos más segura

Debido a que se accedió a toda nuestra información personal en la violación de seguridad de Equfax, ¿hay algún punto en tener cuidado con su información personal?

Cómo comenzar a trabajar en criptografía, seguridad de red o seguridad de la información

¿Cómo se implementa la seguridad en la plataforma SmartThings?

Cómo comenzar mi carrera en ciberseguridad en India

¿Qué vectores y / o técnicas de ataque deberían conocer los CISO, pero a menudo se pasan por alto?

Soy un graduado de TI y quiero hacer mi carrera en ciberseguridad. Pero estoy confundido sobre qué elegir entre ciberseguridad o piratería ética. ¿Puedo ser un hacker ético o un experto en ciberseguridad?

¿Los ejecutivos entienden cuán vulnerables son sus sistemas al rescate o ataque sin actualizaciones de software compatibles y ciberseguridad?

¿Cuál es el mejor para el CEH Banglore, Hacker School o un instituto de piratería ética?

¿Cuáles son sus predicciones de 2016 para la ciberseguridad?

¿Qué métodos pueden fortalecer la seguridad de EC2 más allá de los grupos de seguridad y las cadenas de IP?

Después de todas las revelaciones de la NSA, ¿qué formas de cifrado aún se consideran más seguras?

¿Por qué las compañías que son atacadas por el cibercrimen tienen poca seguridad?

¿Alguna vez ha 'pirateado' la computadora de alguien? Si asi es, ¿Qué hiciste?

¿Cuáles son las principales razones por las que UNIX / Mac no recibe virus? ¿Cuáles son las razones reales? Porqué es tan dificil? ¿Has oído algo sobre el Kernel que es fuerte? Fuerte como?