Diario Tecnologico - Contraseñas seguras

En Internet, las contraseñas se han convertido en la fórmula de identificación por excelencia. Gracias a ellas podemos demostrar ante un sistema quiénes somos e impedir el acceso indiscriminado de otros usuarios. Sin embargo, estamos expuestos a que un tercero pueda robar o averiguar las contraseñas y se haga pasar por nosotros asumiendo nuestra identidad digital.

Entre las técnicas más empleadas para averiguar contraseñas en los sistemas de autenticación se encuentran los denominados “ataques por diccionario" y "ataques por fuerza bruta”. Para realizarlos con ciertas posibilidades de éxito es necesario conocer el nombre de usuario de una determinada cuenta, lo que en muchas ocasiones es muy sencillo ya que corresponde a valores por defecto (como “root”, “administrator” o “admin.”).

El ataque por diccionario consiste en, dado un nombre de usuario, ir probando contraseñas que se extraen de un listado. Esta operación suele realizarse de forma automática mediante un programa destinado a tal fin, y como fuente de las contraseñas a probar suelen emplearse las entradas de diccionarios reales, ya que muchos usuarios utilizan palabras comunes.

El ataque por fuerza bruta es muy similar al anteriormente mencionado, aunque en vez de utilizar un listado delimitado emplea todas las combinaciones posibles de caracteres. Este tipo de ataques suele ser efectivo cuando la longitud de la contraseña es pequeña, ya que el número de combinaciones posibles a probar es exponencial a la longitud de la misma.

Muchos de los referidos ataques se dirigen a cuentas con máximos privilegios, aprovechando que el sistema utiliza un nombre de usuario conocido por defecto. Así, por ejemplo, en plataformas Windows tenemos al usuario "administrador" ("administrator" en versiones en inglés), que suele ser el objetivo más preciado. Una buena práctica de seguridad es modificar el nombre de usuario de esta cuenta por uno menos obvio y conocido. Adicionalmente, puede dejarse una cuenta señuelo con el nombre por defecto ("administrador"), con mínimos privilegios y una contraseña muy complicada. De esta forma, la cuenta real del administrador estará protegida y al mismo tiempo podremos detectar cualquier intento de ataque, mediante las opciones de auditoría de cuentas de usuario de Windows que permiten registrar los intentos fallidos.

Cómo construir y utilizar contraseñas de forma segura

Una de las reglas fundamentales a la hora de elegir una buena contraseña se basa en su longitud y en la variedad de los caracteres que la componen, ya que cuanto mayor sea su tamaño y más heterogéneos los elementos que la integran más difícil será que la adivine un atacante. Una buena práctica consiste en crear contraseñas de al menos 8 caracteres de longitud, compuesta por letras, dígitos y símbolos especiales (un ejemplo podría ser "ke8_JW.@").

"En los servicios que lo admitan, también se puede incluir en la contraseña algún carácter de código ASCII. Tiene dos ventajas importantes, este código se compone de 255 símbolos que no se encuentran en el teclado y la mayoría de programas crackeadores por fuerza bruta no los incluyen en sus sistemas de búsqueda", agrega el gerente general de Panda Software-Chile, Luis Valenzuela.

Si bien la construcción de una contraseña segura no resulta complicada, existen tantas aplicaciones y servicios que las requieren que puede llegar a ser difícil recordar todas y cada una de las empleadas en cada ocasión, y más si se tiene en cuenta que por su diseño no son series de números o palabras comunes fáciles de recordar.

Hay usuarios que optan por utilizar la misma contraseña para varias de sus aplicaciones y servicios, evitando así tener que recordar varias contraseñas diferentes. Esta forma de proceder aumenta el riesgo de que un atacante robe su identidad digital, ya que en cada una de las aplicaciones y servicios la contraseña puede ser almacenada de diferentes formas y estar más o menos expuesta ante terceros.

Según Valenzuela, "es importante diferenciar qué cuenta es más importante proteger. Si es para leer el diario electrónico no es grave que utilice una contraseña simple o que la repita en sitios similares. Sin embargo, las contraseñas de acceso al computador, al buzón de correo web, a la banca electrónica y a cualquier aplicación que contenga información confidencial, deben ser únicas, de mayor complejidad y deben sustituirse periódicamente, con claves que no contengan partes de la anterior".

Frente a los métodos tradicionales se encuentran los certificados digitales, siendo los más conocidos por los usuarios los que se hallan en los servidores web seguros -como la banca electrónica- y permiten establecer conexiones cifradas a través del protocolo HTTPS. Los certificados digitales para clientes son similares pero, en este caso, permiten verificar la identidad del usuario, añadiendo una capa adicional de seguridad a los sistemas basados únicamente en contraseñas.

En la actualidad, ya son varias las entidades bancarias que están emitiendo certificados digitales para sus clientes. En concreto, les proporcionan un certificado que deben instalar en su PC, impidiendo así a un atacante acceder desde otro ordenador, aunque robe su contraseña de acceso. Para los usuarios móviles, que no siempre se conectan desde un PC determinado, también están distribuyéndose certificados digitales almacenados en llaves USB -del tamaño de una llave convencional-.