La primera vez que se tenga constancia del uso o la invención de una contraseña es en el año 1961. Ese año, los científicos del MIT tuvieron que inventar un sistema para poder compartir un dispositivo al que se conectaban de manera compartida diferentes usuarios. Necesitaban poder diferenciar quién accedía en cada momento. Así surgieron los nombres de usuarios y las contraseñas.
Su uso se fue popularizando con las diferentes aplicaciones que se iban desarrollando a medida que pasaban los años. El sistema permitía, y sigue siendo así, que las aplicaciones puedan saber quién es la persona con la que están interactuando y así guardar los datos personalizados para cada una.
A principio de siglo, los bancos empezaron a operar masivamente en internet, y comenzaron a surgir problemas más serios con las contraseñas. Con el tiempo, los ciberdelincuentes se dieron cuenta de que esas claves eran fáciles de descubrir.
Del 123456 a las preguntas de seguridad
La gente se acostumbra a utilizar claves fáciles de recordar, como las más típicas de 123456, nombres de personas y años, nombres de mascotas, lugares conocidos que hemos visitado o donde vivimos y equipos de fútbol. Todas estas contraseñas son muy fáciles de recordar y de usar, pero los ciberdelincuentes pueden descubrirlas muy rápidamente buscando un poco de información sobre las personas.
Además, como había problemas también de contraseñas que se olvidaban, se inventaron inicialmente una serie de preguntas fijas a las que el usuario debía responder con la misma información que había introducido en el momento de darse de alta. La más típica: el nombre de la mascota.
Recordemos el ataque que sufrió hace años Paris Hilton. Los ciberdelincuentes pudieron entrar en los archivos que tenía guardados en el móvil simplemente respondiendo a la pregunta del nombre de su mascota (un chihuahua del que no se separaba). Respondiendo acertadamente, pudieron recuperar la contraseña de Hilton.
Los primeros consejos para crear contraseñas
En el año 2003, Bill Burr, gerente del Instituto Nacional de Estándares y Tecnología de Estados Unidos, redactó un documento en el que recopiló un conjunto de trucos para crear las contraseñas más seguras.
Burr introdujo la pauta de mezclar letras, números, mayúsculas, minúsculas y caracteres especiales y de una longitud mínima para crear así contraseñas más complejas que las que usaba mayoritariamente la gente por aquel entonces. Pensaba que había realizado una buena obra y ayudado a las personas, pero fue todo lo contrario.
Burr acabó pidiendo perdón por crear este documento y estos trucos. Había concebido un sistema que obligaba al usuario a recordar contraseñas muy complejas imposibles de retener. Podríamos acordarnos de una o incluso alguna persona de dos, pero con la cantidad de servicios que actualmente tenemos en internet, este sistema es precisamente lo contrario a lo que pretendía ser. Las contraseñas que no tienen ningún sentido para las personas son olvidadas rápidamente.
Programas que encuentran contraseñas
Partir de una palabra conocida (que suele ser una palabra común), cambiar números y algún signo no es una buena solución. Además de ser mucho más complejo de recordar, nos da la sensación de protección, de usar un sistema completamente seguro de contraseña, pero es todo lo contrario.
Existen programas informáticos que generan contraseñas a partir de listas de palabras de un diccionario. Van cambiando números por letras o les añaden números delante o detrás o incluso caracteres especiales.
Estas herramientas permiten así generar combinaciones completamente aleatorias de estas letras, números y caracteres, o permutaciones de letras y números a partir de unas cuantas palabras conocidas que pueden ser más o menos afines a las personas que se quiere atacar. Por ejemplo, para una persona muy fanática de un determinado equipo de fútbol, podría crear combinaciones de nombres relacionados con ese equipo, con deportistas, años, etc.
En segundos, estos programas son capaces de crear un listado con millones de combinaciones posibles de letras y números que son probados en las webs que piden un usuario y contraseña hasta dar con la correcta.
¿Contraseñas seguras y que podamos recordar?
De momento, no podemos dejar de usar las contraseñas. Hoy en día todos los sistemas se basan en esta manera de identificarse. Por eso, lo mejor es tener alguna manera de utilizar contraseñas complejas que sea fácil de manejar. Hemos visto que no pueden ser palabras conocidas directamente, ni combinaciones de letras y números sin sentido que no recordamos.
Podemos utilizar dos estrategias que nos van a permitir tener buenas contraseñas fácilmente recordables.
- La primera es acordarnos de alguna frase de un libro o algún refrán y personalizarla para cada uno de los servicios donde queremos usar una contraseña. Por ejemplo, podemos considerar el libro El ingenioso hidalgo don Quijote de la Mancha de Miguel de Cervantes, que empieza con la frase: “En un lugar de la mancha, de cuyo nombre no quiero acordarme, no hace mucho tiempo que vivía un hidalgo…”. Si cogemos solo las primeras letras y los signos podemos tener una contraseña muy larga que no tenga ningún sentido: E1ldlM,dc2nqa.Pero además podemos modificar esta clave para adaptarla a la web que queremos usar. Por ejemplo, para el banco, que son cinco letras, a partir de la quinta posición insertamos un concepto relacionado con el banco, como una caja fuerte, empleando un signo de separación como +, -, ¿, :, etc. Quedaría algo así como E1ldl+FuerT+M,dc2nqa. Así solo hemos de repetir la frase e ir poniendo las letras iniciales y la web a la que hace referencia. Seguro que es más fácil acordarnos de esta contraseña que no de una combinación aleatoria de 19 caracteres.
- Otra opción posible es el uso de un gestor de contraseñas, una aplicación que podemos instalar en el móvil o el navegador en la que podemos guardar las diferentes contraseñas que vayamos creando. De esta manera solo tendremos que acordarnos de una que desbloqueará la aplicación y podremos buscar la contraseña que necesitemos.El problema de estas herramientas es que necesitaremos siempre el móvil para mirar qué contraseña usar en cada caso y acordarnos de apuntarla, así como los cambios de estas contraseñas.Además, hay que ir con mucho cuidado a la hora de instalar una aplicación como estas porque los ciberdelincuentes lo saben y crean apps similares para que las utilicemos y les enviemos directamente todas nuestras contraseñas, entre ellas las del banco o el correo electrónico. Antes de instalar, deberemos mirar bien los comentarios que tiene la aplicación y cuándo se creó, y aún así siempre debemos desconfiar un poco. Estas herramientas son útiles, pero al final estamos confiando en una aplicación hecha por terceras personas que no conocemos, y no en la capacidad de nuestra mente de retener una frase, por ejemplo.
Lo ideal: la autenticación en dos pasos
Existen tres métodos para poder autenticar a una persona en un servicio, ya sea web o presencial: lo que sabemos, lo que somos y lo que tenemos. Sabemos las contraseñas (las tenemos en la memoria). Somos las huellas dactilares o el iris, en general la biometría. Y tenemos un dispositivo al que enviar un código único, el teléfono por ejemplo.
Desde hace ya un tiempo se sabe que utilizar únicamente un factor de autenticación es un problema grave de seguridad, por eso los bancos y otros servicios ya utilizan dos. Aparte de la contraseña, nos envían un código único para validar las acciones que hacemos. Además, los teléfonos de última generación ya disponen de la biometría para gestionar los accesos a las webs que queremos guardar.
Con un buen uso de esos factores de autenticación, las contraseñas se van a quedar muchos años con nosotros. Es muy recomendable que en todos los sistemas que lo permitan activemos ese segundo factor de autenticación, sobre todo en las webs de compras o aquellas que tengan guardada la tarjeta de crédito para comprar, el correo electrónico, etc.
Aunque los ciberdelicuentes consigan obtener la contraseña, no podrán tener el mismo dispositivo o la misma huella dactilar. Aunque haya problemas de ciberseguridad con estos últimos métodos, no son tan sencillos de manipular y, por lo tanto, podemos estar un poco más protegidos que únicamente con el nombre de nuestra mascota o de nuestro equipo de fútbol favorito.
Jordi Serra Ruiz, Profesor de Ciberseguridad, UOC – Universitat Oberta de Catalunya
Este artículo fue publicado originalmente en The Conversation. Lea el original.
