Fortaleza y políticas de contraseñas

A pesar del auge de la MFA y de la autenticación sin contraseña, las contraseñas siguen siendo el factor de autenticación más común. Una contraseña débil es el punto de acceso inicial más habitual en las filtraciones de datos.

Las contraseñas seguras tienen:

• Longitud — 16 caracteres o más aumentan significativamente la entropía
• Complejidad — combinación de mayúsculas, minúsculas, números y símbolos
• Imprevisibilidad — sin palabras de diccionario, patrones del teclado ni información personal
• Unicidad — una contraseña distinta para cada cuenta

La entropía mide la imprevisibilidad en bits. Una contraseña que utiliza 94 caracteres ASCII imprimibles: cada carácter añade aproximadamente 6,5 bits. Una contraseña de 16 caracteres tiene aproximadamente 104 bits de entropía, lo que la hace prácticamente imposible de descifrar por fuerza bruta.

La longitud es más importante que la complejidad: "correcthorsebatterystaple" > "P@ss1".

Los atacantes saben que los usuarios eligen:

• Palabras de diccionario con sustituciones sencillas (p@ssw0rd)
• Información personal (fecha de nacimiento, nombre de mascota)
• Patrones del teclado (qwerty, 123456)
• Nombre de la empresa + año
• La misma contraseña en todas partes

Políticas de contraseñas eficaces (según NIST SP 800-63B):

• Mínimo de 8 caracteres (se prefieren 12 o más)
• Compruebe las contraseñas con listas de contraseñas conocidas que se hayan visto comprometidas
• NO exija una rotación obligatoria frecuente (fomenta contraseñas débiles)
• NO exija reglas de complejidad arbitrarias que los usuarios puedan sortear
• Permita pegar texto para facilitar el uso de gestores de contraseñas

Un gestor de contraseñas genera y almacena contraseñas seguras y únicas para cada cuenta, protegidas por una contraseña maestra. Esto elimina la reutilización de contraseñas, la causa principal de los ataques de credential stuffing.

Opciones populares: Bitwarden (código abierto), 1Password, KeePass, Dashlane.

Una frase de contraseña — cuatro o más palabras aleatorias — combina facilidad de memorización con una entropía alta. "TrafficLampFrogBridge" es más segura que "T!@#k7" y mucho más fácil de recordar y escribir.

Para entornos empresariales:

• Exija una longitud mínima mediante Group Policy / IdP
• Bloquee las contraseñas de uso común (lista de las 100.000 principales)
• Active MFA para todas las cuentas
• Supervise en los registros los patrones de password spray y fuerza bruta
• Use LAPS para rotar las contraseñas de administradores locales

HaveIBeenPwned (HIBP), de Troy Hunt, contiene miles de millones de credenciales robadas. Las organizaciones pueden utilizar la API de HIBP para bloquear contraseñas encontradas en filtraciones conocidas.

Los usuarios pueden comprobar su correo electrónico en haveibeenpwned.com.

Los datos biométricos (huella dactilar, rostro) son prácticos, pero tienen limitaciones: no se pueden cambiar si se ven comprometidos. Lo ideal es usarlos como segundo factor junto a una contraseña segura, no como sustituto.

Las passkeys (FIDO2/WebAuthn) están sustituyendo las contraseñas por pares de claves criptográficas. La clave privada nunca sale del dispositivo. Son resistentes al phishing por diseño: no hay ninguna contraseña que robar. Apple, Google y Microsoft ya las han adoptado.

Las contraseñas seguras dependen más de la longitud y la unicidad que de reglas complejas para los caracteres. Los gestores de contraseñas resuelven el problema de la reutilización. Las directrices de NIST recomiendan comprobar las contraseñas en bases de datos de filtraciones en lugar de imponer una rotación frecuente. Las passkeys (FIDO2) son el futuro de la autenticación resistente al phishing.