Política de contraseñas

Desde 2004, la "Publicación Especial 800-63 del NIST, Apéndice A" ^{[ 2 ]} recomendaba el uso de mayúsculas irregulares, caracteres especiales y al menos un número. Esta fue la recomendación que siguieron la mayoría de los sistemas y que quedó integrada en una serie de estándares que las empresas debían cumplir.

Sin embargo, en 2017 una actualización importante modificó este consejo, en particular que forzar la complejidad y los cambios frecuentes ahora se considera una mala práctica. ^{[ 3 ] [ 4 ] : 5.1.1.2}

Los puntos clave son:

• Los verificadores no deberán imponer reglas de composición (por ejemplo, no exigir mezclas de diferentes tipos de caracteres y no prohibir caracteres repetidos consecutivamente) (tenga en cuenta que esto se cambió en la revisión 4 de should not a shall not ) ^{[ 5 ]}
• Los verificadores no deberán exigir que las contraseñas se cambien de forma arbitraria o regular (por ejemplo, no se aplicará la regla de cambio cada 90 o 365 días).
• Las contraseñas deben tener al menos 15 caracteres de longitud (tenga en cuenta que esto se cambió en la revisión 4 de 8 caracteres a 15 caracteres) ^{[ 6 ].}
• Los sistemas de contraseñas deben permitir que las contraseñas elegidas por el suscriptor tengan una longitud mínima de 64 caracteres.
• En las contraseñas se deben aceptar todos los caracteres ASCII imprimibles , el espacio en blanco y los caracteres Unicode .
• Al establecer o cambiar contraseñas, el verificador deberá informar al suscriptor que debe seleccionar una contraseña diferente si ha elegido una contraseña débil o comprometida.
• Los verificadores deberían ofrecer orientación, como un medidor de seguridad de contraseñas, para ayudar al usuario a elegir una contraseña segura.
• Los verificadores deberán almacenar las contraseñas en un formato resistente a ataques sin conexión. Las contraseñas deberán incluir un valor aleatorio (salt) y una función hash adecuada para su derivación . Estas funciones reciben como entrada una contraseña, un valor aleatorio y un factor de coste, y generan un hash de la contraseña. Su objetivo es que cada intento de adivinar la contraseña por parte de un atacante que haya obtenido el archivo hash sea costoso, lo que eleva o incluso imposibilita el coste de un ataque de este tipo.

El NIST incluyó una justificación para las nuevas directrices en su Apéndice A.

Muchas políticas requieren una longitud mínima de contraseña. Ocho caracteres es lo típico, pero puede no ser apropiado. ^{[ 7 ] [ 8 ] [ 9 ]} Las contraseñas más largas son casi siempre más seguras, pero algunos sistemas imponen una longitud máxima para la compatibilidad con sistemas heredados .

Algunas políticas sugieren o imponen requisitos sobre el tipo de contraseña que un usuario puede elegir, tales como:

• el uso de letras mayúsculas y minúsculas ( sensibilidad a mayúsculas y minúsculas )
• inclusión de uno o más dígitos numéricos
• inclusión de caracteres especiales , como @, #, $
• prohibición de palabras que se encuentren en una lista negra de contraseñas
• prohibición de palabras que se encuentren en la información personal del usuario
• Prohibición del uso del nombre de la empresa o de una abreviatura.
• Prohibición de contraseñas que coincidan con el formato de fechas de calendario, números de matrícula , números de teléfono u otros números comunes.

Otros sistemas crean una contraseña inicial para el usuario, pero le exigen que la cambie por una de su elección en un breve intervalo de tiempo.

Las listas de bloqueo de contraseñas son listas de contraseñas cuyo uso está siempre bloqueado. Estas listas contienen contraseñas compuestas por combinaciones de caracteres que, si bien cumplen con la política de la empresa, ya no deben utilizarse por considerarse inseguras debido a uno o más motivos, como ser fáciles de adivinar, seguir un patrón común o haber sido expuestas públicamente en filtraciones de datos anteriores . Algunos ejemplos comunes son Password1, Qwerty123 o Qaz123wsx.

Algunas políticas exigen que los usuarios cambien sus contraseñas periódicamente, a menudo cada 90 o 180 días. Sin embargo, el beneficio de la caducidad de las contraseñas es discutible. ^{[ 10 ] [ 11 ]} Los sistemas que implementan dichas políticas a veces impiden que los usuarios elijan una contraseña demasiado cercana a una elección anterior. ^{[ 12 ]}

Esta política suele ser contraproducente. A algunos usuarios les resulta difícil crear contraseñas seguras y fáciles de recordar, por lo que, si se les exige elegir muchas contraseñas porque deben cambiarlas con frecuencia, terminan usando contraseñas mucho más débiles; además, la política fomenta que los usuarios las anoten. Asimismo, si la política impide que un usuario repita una contraseña reciente, esto requiere la existencia de una base de datos con las contraseñas recientes de todos (o sus hashes ) en lugar de borrar las antiguas. Por último, los usuarios pueden cambiar su contraseña repetidamente en cuestión de minutos y luego volver a la que realmente desean usar, eludiendo así por completo la política de cambio de contraseñas.

También deben considerarse los aspectos humanos de las contraseñas. A diferencia de las computadoras, los usuarios no pueden borrar un recuerdo y reemplazarlo por otro. Por consiguiente, cambiar con frecuencia una contraseña memorizada supone un esfuerzo para la memoria, y la mayoría de los usuarios optan por elegir una contraseña relativamente fácil de adivinar (véase Fatiga de contraseñas ). A menudo se recomienda a los usuarios utilizar técnicas mnemotécnicas para recordar contraseñas complejas. Sin embargo, si la contraseña debe cambiarse repetidamente, las técnicas mnemotécnicas resultan inútiles, ya que el usuario no recordaría cuál usar. Además, el uso de técnicas mnemotécnicas (que dan lugar a contraseñas como "2BOrNot2B") facilita que la contraseña sea adivinada.

Exigir una contraseña muy segura y no requerir su cambio suele ser mejor. ^{[ 13 ]} Sin embargo, este enfoque tiene un inconveniente importante: si una persona no autorizada obtiene una contraseña y la usa sin ser detectada, puede tener acceso por un período indefinido.

Es necesario sopesar estos factores: la probabilidad de que alguien adivine una contraseña por ser débil, frente a la probabilidad de que alguien consiga robar, u obtener de otro modo sin adivinar, una contraseña más segura.

Las políticas de contraseñas pueden incluir sanciones progresivas que comienzan con advertencias y terminan con la posible pérdida de privilegios informáticos o el despido. Cuando la confidencialidad es obligatoria por ley, por ejemplo, con información clasificada , una violación de la política de contraseñas podría ser un delito penal en algunas jurisdicciones. ^{[ 14 ]}

Las políticas de contraseñas suelen ser un compromiso entre la seguridad teórica y las realidades del comportamiento humano. Por ejemplo:

• Exigir contraseñas excesivamente complejas y obligar a cambiarlas con frecuencia puede provocar que los usuarios las anoten en lugares fáciles de encontrar para un intruso, como un tarjetero o una nota adhesiva cerca del ordenador.
• Los usuarios suelen tener que gestionar docenas de contraseñas. Quizás sea más práctico recomendar el uso de una sola contraseña para todas las aplicaciones de baja seguridad, como leer periódicos en línea y acceder a sitios web de entretenimiento.
• De igual modo, exigir que los usuarios nunca anoten sus contraseñas puede ser poco realista y llevarlos a elegir contraseñas débiles (o causarles muchos inconvenientes si las olvidan). Una alternativa es sugerir que guarden las contraseñas escritas en un lugar seguro, como una caja fuerte o un archivo maestro cifrado. La validez de este enfoque depende de cuál se considere la amenaza más probable. Si bien anotar una contraseña puede ser problemático si los posibles atacantes tienen acceso al lugar seguro, si la amenaza proviene principalmente de atacantes remotos que no tienen acceso al lugar seguro, puede ser un método muy seguro.
• La inclusión de caracteres especiales puede ser un problema si un usuario tiene que iniciar sesión en un ordenador de otro país. Algunos caracteres especiales pueden ser difíciles o imposibles de encontrar en teclados diseñados para otro idioma.
• Algunos sistemas de gestión de identidades permiten el restablecimiento de contraseñas de autoservicio , donde los usuarios pueden eludir la seguridad de la contraseña respondiendo a una o más preguntas de seguridad, como "¿dónde naciste?", "¿cuál es tu película favorita?", etc. A menudo, las respuestas a estas preguntas se pueden obtener fácilmente mediante ingeniería social , phishing o una simple búsqueda.

Un análisis realizado en 2010 sobre las políticas de contraseñas de 75 sitios web diferentes concluye que la seguridad solo explica parcialmente las políticas más estrictas: los proveedores monopolísticos de un servicio, como los sitios gubernamentales, tienen políticas más estrictas que los sitios donde los consumidores tienen libertad de elección (por ejemplo, sitios de comercio electrónico y bancos). El estudio concluye que los sitios con políticas más estrictas "no presentan mayores problemas de seguridad, sino que simplemente están mejor protegidos de las consecuencias de una mala usabilidad". ^{[ 15 ]}

Existen otros enfoques que generalmente se consideran más seguros que las contraseñas simples. Estos incluyen el uso de un token de seguridad o un sistema de contraseña de un solo uso , como S/Key , o la autenticación multifactor . ^{[ 16 ]} Sin embargo, estos sistemas aumentan el equilibrio entre seguridad y comodidad: según Shuman Ghosemajumder , todos estos sistemas mejoran la seguridad, pero "a costa de trasladar la responsabilidad al usuario final ". ^{[ 17 ]}