Las reglas de oro para crear contraseñas... ¿son ya una cosa del pasado?

Hasta ahora, las passwords han sido fuente de frustraciones tanto para particulares como para muchas empresas que obligan a sus empleados a cambiarlas con regularidad y crear nuevas claves en función de patrones complejos.

Por regla general, una contraseña debe alcanzar una determinada longitud, combinar caracteres alfanuméricos, símbolos, mayúsculas y minúsculas. El objetivo final de este patrón era evitar que la gente usara contraseñas fácilmente predecibles para los cibercriminales. Pero estas reglas bienintencionadas han dado lugar también a contraseñas como «P@$$w0rd» que, a las pocas semanas son reemplazadas por «P@$$w0rd2», después por «P@$$w0rd3» y así sucesivamente… Si bien cumplen con todos los requisitos, desde el punto de vista de un atacante, sin embargo, son muy fáciles de romper usando un software especializado. Por este motivo, las últimas recomendaciones del NIST para la creación de claves robustas apuestan por frases largas que sean fáciles de memorizar.

¿Qué hacemos entonces?

Aquellos que están acostumbrados y se sienten cómodos con las «tradicionales» contraseñas complejas pueden mantener sus patrones de creación de passwords sin necesidad de modificar sus hábitos al respecto, pero ya no será necesario cambiarlas regularmente si no hay motivo evidente para ello.

Para todos los demás, las opciones se multiplican. «Si el usuario lo desea, puede usar frases completas, incluyendo espacios en blanco y caracteres especiales. Pero, aunque las tradicionales reglas estén en entredicho, la contraseña debe seguir siendo difícil de adivinar y, si apostamos por una frase, es conveniente que sea larga. La longitud, nunca inferior a ocho caracteres, sigue siendo uno de los factores que definen la fortaleza de una contraseña. Sin embargo, la mejor garantía es apostar por el doble factor», afirma Tim Berghoff, experto en ciberseguridad de G DATA.

Los cumpleaños, las desafortunadamente célebres «123456», «password», «abcdef»  o «qwertyuiop» siguen siendo una mala opción para establecer una contraseña segura. La regla de no volver a usar la misma clave para múltiples propósitos (por ejemplo, correo electrónico, plataformas sociales, tiendas online...) sigue en vigor. En consecuencia, cada servicio debe tener su propia contraseña y, si es posible, activar un segundo método de autenticación. Ante la avalancha de servicios que exigen una contraseña, un administrador de contraseñas sigue siendo una herramienta muy útil.

Cuatro recomendaciones a llevar a cabo cuando hablamos de contraseñas:

• Frase con sentido o combinación aleatoria, pero que sea suficientemente larga
• Usa la autenticación de doble factor siempre que sea posible
• Usa una contraseña por servicio
• Usa un administrador de contraseñas, se encarga de elaborar contraseñas robustas, con la extensión deseada, y recordarlas cuando es necesario.