¿Qué es la seguridad de las contraseñas? Importancia y recomendaciones
La seguridad de las contraseñas es fundamental para proteger la información confidencial. Conozca las prácticas recomendadas para reforzar las políticas de contraseñas de su organización.
La seguridad de las contraseñas es un componente esencial de la ciberseguridad de las organizaciones. Esta guía ofrece recomendaciones para crear y gestionar contraseñas seguras, incluido el uso de gestores de contraseñas y la autenticación multifactor.
Conozca las vulnerabilidades habituales de las contraseñas y las prácticas recomendadas para formar a los empleados en su seguridad. Comprender la seguridad de las contraseñas es fundamental para proteger la información confidencial y evitar el acceso no autorizado.
La contraseña de un usuario es la llave que abre la puerta a su cuenta. Según los permisos que tenga esa cuenta dentro de un sistema, esa llave podría ser muy poderosa. Si tengo la contraseña de su banca en línea, podría acceder a su cuenta y a todos los datos que contiene. Eso le causaría molestias. Pero si consigo la contraseña del administrador de sistemas del banco en línea a nivel de servidor, podría acceder a su información y a la de todos los demás usuarios. Así es como un número sorprendente de filtraciones de datos ocurran.
La seguridad de las contraseñas es tan importante por una razón: no hace falta tener grandes conocimientos técnicos para aprovechar una contraseña ajena una vez obtenida. Otros tipos de brechas de seguridad, ya sea mediante puertas traseras, la instalación remota de malware o la inyección de código malicioso en servidores web, requieren bastante experiencia. Pero ¿una contraseña? Es la forma más fácil de acceder a datos ajenos. Por eso existe un mercado de contraseñas en la dark web: quienes saben cómo hacerlo se encargan de la parte difícil (entrar), mientras que alguien con malas intenciones causa los daños. El relleno de credenciales, los ataques de pulverización de contraseñas y otros ataques basados en contraseñas a menudo podrían detenerse con buenas prácticas de seguridad.
Recomendaciones del NIST sobre seguridad de las contraseñas
El Instituto Nacional de Ciencia y Tecnología (NIST) ha estudiado el tema para reforzar la seguridad a nivel federal. Ha publicado un borrador con propuestas para modificar las políticas nacionales de seguridad de las contraseñas y proteger mejor los sistemas del gobierno federal. Una vez adoptadas, estas políticas solo afectarán a quienes trabajen en entidades federales. Sin embargo, toda persona responsable de proteger su infraestructura de IT (o sus cuentas personales) debería tomarlas en serio.
Algunas recomendaciones cuestionan ideas arraigadas sobre la seguridad de las contraseñas:
1. Haga que sea más fácil para los usuarios crear contraseñas que recuerden
No imponga restricciones al formato de la contraseña. Si exige usar al menos una letra mayúscula, o un número, o caracteres especiales, o les dice que la contraseña es demasiado larga, solo frustrará a las personas y las llevará a buscar atajos. Si John Smith decide usar “johnsmith,” como contraseña, eso no es aceptable. Pero al exigir un formato específico, lo anima a ajustarse a esas restricciones para crear algo como “J0hnsm1th!”—que en realidad no es mejor. Cualquiera con experiencia en descifrar/decodificar contraseñas puede identificar rápidamente esta variante.
En cambio, dé a John más libertad para crear su contraseña. Anímelo a usar una frase más larga (el máximo recomendado ahora es de 64 caracteres, no de 16) y asegúrese de que el sistema admita cualquier carácter que introduzca, no solo texto ASCII, sino también cualquier carácter Unicode, incluidos los emojis. Esto funciona mejor si dispone de un diccionario de contraseñas poco seguras conocidas con el que el sistema pueda compararlas. Así, cuando se rechace el primer intento de John de crear una contraseña—”johnsmith”—, podrá canalizar su frustración hacia algo mucho más seguro, como estos 49 caracteres: “Nuestro administrador de sistemas es un fastidio en el????.”
Sí, es una frase bastante sencilla en inglés, pero resulta más aleatoria que limitarse a sustituir letras por números parecidos.
Además, deje de establecer fechas de caducidad para las contraseñas y de obligar a los usuarios a cambiarlas. Cada vez que lo hace, aumenta la probabilidad de que las nuevas contraseñas sean más fáciles de descifrar. Por otra parte, independientemente del plazo de caducidad, ya sean 30 días, 6 meses o 1 año, si la contraseña no ha sido robada durante ese tiempo, significa que algo está haciendo bien.
Nadie cambia cada año las cerraduras de su casa para protegerla más. Si nadie ha conseguido entrar, significa que usted sigue siendo la única persona con llave. Solo cambia las cerraduras cuando sabe que alguien que no debería tener acceso ha conseguido una copia de la llave. Con las contraseñas ocurre lo mismo.
2. Deje de usar pistas para las contraseñas
Llevamos tanto tiempo usando pistas que eliminarlas parece contrario a la lógica. Pero, si lo piensa, establecer pistas y mecanismos para recuperar o restablecer una contraseña es lo que no tiene sentido. La finalidad de una pista es facilitar que alguien encuentre la respuesta.
Imagine que entra en un banco donde sabe que Bill Gates tiene una cuenta e intenta retirar 1 millón de dólares. La persona que le atiende le pide un documento de identidad, que usted no tiene porque no es Bill Gates. Pero, en lugar de rechazar la solicitud, le pregunta: «Bueno, ¿en qué ciudad nació?». Esa información es mucho más fácil de obtener y parece un método pésimo para proteger los activos.
Las contraseñas seguras son el primer paso para proteger los activos digitales (que, en muchos casos, dan acceso a dinero real). Si alguien no conoce una contraseña, es mejor suponer que existe una razón para ello que darle pistas.
3. Prescinda de la autenticación de dos factores por SMS
La autenticación de dos factores, o incluso multifactor, es imprescindible. Pero la biometría, como el reconocimiento de huellas dactilares o el escaneo de retina, es una forma mucho mejor de proteger su cuenta. Y ya no es una tecnología futurista de ciencia ficción. El futuro ya está aquí.
Usar SMS para ello es una opción bastante deficiente. En cuanto a obstáculos, enviar códigos de autorización por mensaje de texto a un teléfono móvil es como pedirle a un caballo que salte una valla de quince centímetros. Como esta publicación demuestra, quien tenga la habilidad suficiente para obtener su contraseña también podrá encontrar la forma de eludir los códigos de autenticación por mensaje de texto.
Y, ahora que todo el mundo conoce la ineficacia de este método, quienes escriben sobre seguridad están analizando y publicando las distintas formas de vulnerar este tipo de protección.
4. Los administradores deben mejorar el almacenamiento de las contraseñas
En 2013, el blog Naked Security explicó cómo Adobe, una de las mayores empresas de software del mundo, falló a 150 millones de sus usuarios al aplicar prácticas de seguridad deficientes para proteger las contraseñas.
Además de mostrar lo inútiles que son las pistas de contraseñas, dejó claro que Adobe utilizaba un cifrado bastante básico y no añadía otras medidas de protección. El resultado era un proceso de descifrado sencillo, no mucho más sofisticado que el de los juguetes de espionaje infantiles.
En un mundo protegido por contraseñas, la seguridad es responsabilidad de todos. Las políticas deben estar bien diseñadas, los usuarios deben cumplirlas y los administradores deben protegerlos sin dar por sentado que los intrusos no pueden entrar a robar contraseñas. Las nuevas recomendaciones y conclusiones del NIST son, sin duda, un buen punto de partida para todos.
Gestores de contraseñas: ventajas y desventajas
Los gestores de contraseñas son otra forma de reducir los riesgos asociados a las contraseñas, tanto para particulares como para organizaciones. Como otras herramientas de seguridad, resultan útiles, pero no eliminan por completo los riesgos relacionados con las contraseñas en su organización. También conviene considerar que, a lo largo de los años, se han descubierto vulnerabilidades en la mayoría de estos gestores y algunos incluso han sufrido brechas de seguridad.
Al implementar un gestor de contraseñas para su equipo, pone su seguridad en manos de estas herramientas. Entre los casos de seguridad más destacados figuran LastPass, My1Login, KeePass, OneLogin, PasswordBox, MyPasswords, Avast Passwords y RoboForm. Tavis Ormandy, de Google Project Zero, divulgó algunas de estas vulnerabilidades, incluidas las presentes en sus complementos para navegadores.
¿Nuestras recomendaciones? Los gestores de contraseñas reducen la carga de IT asociada a la recuperación de contraseñas, pero también abren la puerta a otro posible ataque a la cadena de suministro contra las organizaciones.
Reduzca el riesgo de identidad en toda su organización
Detecte y responda a los ataques en tiempo real con soluciones integrales para Active Directory y Entra ID.
Conclusión
En un mundo protegido por contraseñas, una política de seguridad sólida abarca a los proveedores y a los integrantes de todos los equipos. Las políticas deben estar bien diseñadas y los usuarios deben cumplirlas. Los administradores, por su parte, deben proteger a los usuarios sin dar por hecho que los intrusos no pueden entrar y robar contraseñas. Las recomendaciones y conclusiones del NIST son un buen punto de partida para todos.
Preguntas frecuentes sobre la seguridad de las contraseñas
La seguridad de las contraseñas comprende las prácticas y herramientas que las protegen de los atacantes. Es como una cerradura digital que impide el acceso no autorizado a sus cuentas. Incluye crear contraseñas seguras, almacenarlas de forma segura y utilizar medidas adicionales, como la autenticación multifactor.
Sin una protección adecuada de las contraseñas, los atacantes pueden acceder fácilmente a sus cuentas y robar sus datos o su dinero.
La seguridad de las contraseñas es importante porque las contraseñas débiles son la principal causa de las brechas de datos. Si un atacante descifra su contraseña, puede acceder a su información personal, sus datos financieros y sus cuentas empresariales. Las malas prácticas pueden provocar robo de identidad, pérdidas económicas y graves daños a la reputación.
Con contraseñas bien protegidas, establece una barrera que dificulta considerablemente los ataques de los ciberdelincuentes.
Puede comprobar la seguridad de sus contraseñas con distintas herramientas de evaluación. Estas analizan su longitud y complejidad, y comprueban si han quedado expuestas en brechas de datos. También estiman cuánto tardarían los atacantes en descifrarlas mediante ataques de fuerza bruta. Úselas para evaluar sus contraseñas actuales y reforzar las débiles.
Use al menos 12-15 caracteres y combine mayúsculas, minúsculas, números y símbolos. Cree una contraseña única para cada cuenta y nunca la reutilice en varios sitios. Utilice un gestor de contraseñas para generar y almacenar de forma segura contraseñas complejas.
Active la autenticación multifactor siempre que sea posible para añadir otra capa de protección. Evite incluir información personal o palabras comunes en sus contraseñas.
Sustituya las contraseñas cortas y complejas por frases de contraseña más largas. Use gestores de contraseñas para crear claves únicas y aleatorias para todas sus cuentas. Configure la autenticación multifactor en todas las cuentas importantes, especialmente las bancarias y las de correo electrónico.
Compruebe periódicamente si sus contraseñas se han visto comprometidas en brechas de datos con herramientas como SentinelOne y Have I Been Pwned. Sustituya de inmediato las contraseñas débiles o reutilizadas y actualice las que hayan quedado expuestas.
Use contraseñas de al menos 12 caracteres que combinen distintos tipos de caracteres. Nunca reutilice contraseñas en diferentes cuentas: cree una única para cada servicio. Utilice gestores de contraseñas fiables para generarlas, almacenarlas y autocompletarlas de forma segura.
Active la autenticación multifactor en todas las cuentas que la admitan. Evite anotar las contraseñas o guardarlas en lugares inseguros, como hojas de cálculo. Revise sus contraseñas periódicamente y sustituya las que se hayan visto comprometidas.
Descubra más sobre Seguridad de la identidad
¿Listo para revolucionar sus operaciones de seguridad?
Descubra cómo SentinelOne AI SIEM puede transformar su SOC en una potencia autónoma. Contáctenos hoy para una demostración personalizada y vea el futuro de la seguridad en acción.
