Hola amigos,
Me gustaría escribir de manera sencilla sin entrar en muchos detalles, cómo de seguro son las contraseñas y hasta que punto merece la pena esforzarse. También daré algunos pequeños consejos para aquellos que no estén al día en seguridad, acerca de como reforzar su contraseña personal.
Veámos, para empezar, es importante comprender que las contraseñas deben de ser seguras de dos maneras diferentes:
- Cualitativamente. Deben de tener al menos un componente de azar y no ser fáciles de adivinar. Contraseñas casuales y arbitrarias son siempre una buena opción.
- Cuantitativamente. Deben de tener al menos, una longitud de 16 carácteres. Cuánto mas larga sea una contraseña, mas difícil va a ser para una máquina o persona tratar de adivinarla.
"¿Cómo me pueden atacar si tengo una contraseña cualitativamente débil?"
"Dictionary attack". El "ataque con diccionario" es una tecnica donde se utilizan diccionarios (valga la redundancia) para estimar palabras que son típicamente usadas. Por ejemplo, diccionarios de hackeo usan amenudo fechas de nacimiento entre 1960 y 1997. Porque? La mayoria de usuarios van tener una edad de entre 20 y 60 años.
Ataque personal. No olvidar que la calidad cualitativa de una contraseña es mas importante que su tamaño. De nada te sirve una contraseña gigante si resulta que es la combinacion de tu calle mas la fecha de tu nacimiento...
Cualquier persona cercana a ti podría averiguarla. Regla número 1 para la seguridad, no confiar en nadie!
Nunca debeis usar datos personales en vuestras contraseñas!
"¿Cómo puedo estar seguro de que una clave de 16 carácteres es segura?"
La respuesta si bien es sencilla, requiere de un mínimo de comprensión matemática y abstracción. Como he explicado antes, si nuestra contraseña ha sido generada sin fallos y es lo suficientemente casual/aleatorio, la ùnica manera que nos pueden atacar es mediante el método conocido como "Brute Force" o "fuerza bruta".
"¿Qué es un ataque de fuerza bruta?"
Se trata de probar todas las combinaciones una a una!
Es un ataque poco eficiente y refinado, pero que sin embargo puede ser altamente efectivo contra contraseñas cortas. Los ataques de fuerza bruta se llevan a cabo mediante fuerza de computación, es decir, ordenadores que se programan para que prueben al 100% de su capacidad y sin pausa todas las posibles combinaciones posibles.
¿Da miedo verdad? No os preocupes, usando simplemente una contraseña de 16 caracteres estaréis totalmente seguros.
Con la tecnología actual, matemáticos han calculado la capacidad de computación maxima de grandes corporaciones y gobiernos que podrían estar potencialmente interesados en obtener contraseñas de manera ilícita.
La estimación de capacidad de computacion de un gran conglomerado como google sería de aproximadamente 2^98 en un año. ¿Que significa esto exactamente? Que si un gigante como google, si pusieran todo el empeño y recursos en descifrar la clave de un único usuario solo tendrian fuerza bruta para obtener una clave de 98 bits (aproximadamente 12 caracteres) durante un año. Ahora bien, la complejidad para descifrar una contrasena de 98 bits puede parecer no mucho menor que la de 128 bits(contraseña de 16 caracteres), sin embargo, es una diferencia de millones de magnitud.
Conclusión
Actualmente no existen recursos suficientes para descifrar en un periodo de tiempo razonable claves de mas de 16 carácteres. Una contraseña de 16 carácteres es infinitamente mas segura que una de 12!
Edición: faltas de ortografía
Edición 2: he añadido el ataque con diccionario