¿Por qué la contraseña en muchos sitios web requiere ser complicada?

Es razonable que la contraseña de muchos sitios web sea complicada para que la computadora de un hacker no pueda adivinarla fácilmente. Si la contraseña de su cuenta bancaria es “123456” o “contraseña”, alguien podría robarle todo su dinero, porque se sabe que son los más utilizados. Para otros sitios web, donde no hay amenaza de robo de identidad o riesgo financiero o de seguridad, todo lo que está protegiendo es un alias utilizado para comentar la historia de un periódico; es probable que el sitio use software estándar con las reglas integradas, o eso los operadores del sitio no quieren estar en la posición de aparecer en una lista de los 100 sitios web más inseguros, incluso si no tienen activos para proteger.

En el pasado (1970), el almacenamiento de la computadora era muy costoso y las ID de usuario y las contraseñas tenían que ser muy cortas: 6 u 8 caracteres. También había poca amenaza y no había internet. La corta duración persistió en la década de 1990: las contraseñas cifradas DES en Unix se truncaron a 8 caracteres, y se introdujeron reglas de complejidad para evitar que las personas usen una de los pocos miles de palabras en inglés. Cuando las contraseñas comenzaron a usarse en la Web, las reglas las siguieron.

Ahora, el requisito de contraseñas cortas es anacrónico, pero aún persiste: Office365 en línea limita las contraseñas a solo 16 caracteres. En 2011, Randall Monroe popularizó el esquema de múltiples palabras aleatorias en Password Strength, también conocido como “correct.horse.battery.staple”. Eso proporciona una contraseña de alta entropía que, sin embargo, se puede memorizar con bastante facilidad.

La respuesta para recordar muchas contraseñas diferentes es, por supuesto, hacer que una computadora lo haga por usted. Hay muchos programas, incluido uno integrado en el navegador Firefox, que cifrará sus contraseñas para que solo tenga que recordar una contraseña maestra. Lo he estado usando durante años y ahora genero nuevas contraseñas aleatorias para cada sitio web.

La razón para querer tener contraseñas diferentes es que, sin importar cuán cuidadoso sea usted mismo, los sitios web son pirateados y las contraseñas robadas. O los operadores pueden ser poco confiables. Se ha demostrado que los delincuentes usan listas de contraseñas e identidades robadas para hackear otros sitios. Si su contraseña para el foro de productores de rutabaga es la misma que la de su banco, nuevamente su dinero podría ser robado.

La comunidad de TI sigue tratando de reemplazar las contraseñas con algo mejor, pero hasta ahora eso ha resultado difícil de alcanzar para la Web en general. Por ejemplo, durante muchos años he usado claves criptográficas en SSH para iniciar sesión en computadoras Unix, en lugar de contraseñas. Las claves son seguras, protegidas por una contraseña que nunca sale de mi computadora, indudablemente larga (miles de caracteres) y resistente a grabaciones o espías. Una vez configurado, el proceso es completamente continuo; Me conecto una vez en mi computadora, y luego tengo acceso transparente a docenas de otros. En primer lugar, es la configuración lo que lleva tiempo y comprensión, y el esquema no se ha transferido a la Web. Un esquema que tiene son los certificados de usuario SSL, integrados al menos en el navegador Firefox, pero configurarlo de nuevo es complejo. La comunidad de TI se ha negado firmemente a simplificar el proceso, porque la simplificación debilitaría la seguridad: cambiarla de algo que es casi perfectamente seguro a algo que podría ser atacado, incluso si sería mejor que las contraseñas.

No estoy seguro de lo que depara el futuro, predecir que es notoriamente difícil. Pensamos que las contraseñas se habrían eliminado hace al menos 10 años, pero aquí todavía estamos. Personalmente, no voy a adoptar emojis, porque creo que son tontos, y no son universalmente compatibles en dispositivos y sistemas operativos; no tengo idea de cómo generar uno en mi escritorio, aparte de copiar uno de un tabla en línea de personajes UTF-8.

Se debe a lo rápido que es un ataque de diccionario, la reutilización de contraseña y el daño que puede hacer una vez que lo tengamos.

Ejemplo.

Usted decide que ‘perro’ es su mascota favorita y, por lo tanto, es una buena contraseña. Entonces lo usas en todas partes.

Abro mi programa de ataque de diccionario, que intenta iniciar sesión en un sitio web con el que tiene una cuenta.

Dentro de unos segundos, estoy en su sitio web ‘observadores de mariposas mensuales’, como su nombre de usuario y contraseña.

No puedo hacer mucho en este sitio. Haga clic en “me gusta” en una polilla roja.

Entonces voy a tu Facebook e inicio sesión como tu nombre de usuario y ‘perro’.

Arriba viene.

Le digo a tu jefe que vaya a arruinar su trabajo.

Escribo una publicación diciendo que has sido secuestrado y necesito mil dólares para enviar a todos tus amigos. Algunos podrían morder?

Analizo tus mensajes y chantajeo a tu pareja que está teniendo una aventura.

Aburrido hasta ahora.

Me conecto a tu banco. Sí. El perro me mete de nuevo. Es bueno que recuerdes usar ‘perro’ en todas partes. Para mi.

Gracias por la transferencia de la cuenta corriente, y el préstamo que acaba de obtener (bueno, fui yo), que también fue agradable. Es una pena que tengas que pagarlo, ahora lo he gastado.

Siguiente parada de Hotmail. Y el perro nos mete de nuevo.

Ahora estás jodido.

Reviso cualquier otro sitio web, personal y profesional en el que se encuentre, y les digo que olvidé mi contraseña.

El enlace llega a tu Hotmail. Lo hago clic y cambio su contraseña. Pero no te estoy diciendo qué hacer.

Finalmente, cambio su contraseña de Hotmail.

Adios, tu.

Ahora soy tu

Puedo crear, solicitar, recibir cosas en tu nombre.

Todas esas entregas de Amazon de los pedidos que realicé irán a mi punto de entrega seguro. Usted está pagando

Llamas a Amazon para explicar lo que pasó. ¡Cortaron la llamada! Ya no puede responder ninguna pregunta de seguridad correctamente, ya que las cambié todas.

Para Amazon, su banco, su jefe, todos los sitios web, usted no es usted. Estoy.

Ya no existe en línea y no tiene poder para cambiar eso.

¿Todavía quieres que te dejemos escribir ‘perro’ como contraseña? Quiero decir, es agradable y fácil de recordar.

Las contraseñas largas y seguras brindan mayor seguridad.

No necesita recordar contraseñas. Utiliza un administrador de contraseñas. Utilizo la versión premium de LastPass con autenticación de dos factores.

Debe conocer mi contraseña maestra larga y segura y debe tener mi YubiKey conectada al puerto USB para abrir mi bóveda de contraseñas.

Use una contraseña única para cada cuenta.

Esta es una medida de seguridad. Muchos piratas informáticos utilizarán un software de piratería de contraseñas que genera contraseñas. Algunos de estos programas utilizan información del pirata informático, como su nombre, datos de nacimiento, dirección, correo electrónico, nombre de la mascota y la mayor cantidad de información adicional posible. El software toma esta información y genera miles de posibles contraseñas. Una contraseña complicada, larga, con muchos caracteres especiales y sin una relación obvia contigo es la mejor. El sitio web obliga a los usuarios a crear contraseñas complicadas para frustrar este tipo de piratería de contraseñas. Funciona. Pero tenga en cuenta que el eslabón más débil en ciberseguridad es el humano.

Debido a que la mayoría de los sitios web no pueden solucionar el problema de la reutilización de contraseñas, al hacer que el requisito sea desagradablemente complejo, evitan que use Unicorn84 por 77a vez.

En su caso, Unicorn84 se ha utilizado en muchos sitios web y aplicaciones. Varios han sido comprometidos. Deja de usarlo.

Porque una contraseña complicada es más segura que una simple. Si tiene problemas para recordarlos a todos, le recomiendo un administrador de contraseñas, algo así como LastPass. Sin embargo, tenga en cuenta que está poniendo todos sus huevos en una canasta, por así decirlo, por lo que su contraseña de LastPass realmente debe ser “segura”.

La complicación como la denominó, es un medio para aumentar y proteger sus interacciones en línea. Cuanto más difícil y complicada sea la contraseña, más difícil será para el ciberdelincuente y los hackers descifrar.