La fortaleza de una contraseña es una medida de la efectividad de una contraseña contra ataques de adivinación o de fuerza bruta . En su forma habitual, estima cuántos intentos necesitaría, en promedio, un atacante que no tiene acceso directo a la contraseña para adivinarla correctamente. La fortaleza de una contraseña es una función de la longitud, la complejidad y la imprevisibilidad. [1]
El uso de contraseñas seguras reduce el riesgo general de una violación de seguridad, pero no reemplazan la necesidad de otros controles de seguridad efectivos . [2] La efectividad de una contraseña de una fortaleza determinada está fuertemente determinada por el diseño y la implementación de los factores de autenticación (conocimiento, propiedad, inherencia). El primer factor es el foco principal de este artículo.
La velocidad con la que un atacante puede enviar contraseñas adivinadas al sistema es un factor clave para determinar la seguridad del sistema. Algunos sistemas imponen un tiempo de espera de varios segundos después de un pequeño número (por ejemplo, tres) de intentos fallidos de ingreso de contraseña. En ausencia de otras vulnerabilidades, dichos sistemas pueden protegerse eficazmente con contraseñas relativamente simples. Sin embargo, el sistema almacena información sobre las contraseñas del usuario de alguna forma y si esa información es robada, por ejemplo, al violar la seguridad del sistema, las contraseñas del usuario pueden estar en riesgo.
En 2019, el NCSC del Reino Unido analizó bases de datos públicas de cuentas vulneradas para ver qué palabras, frases y cadenas de caracteres utilizaban las personas. La contraseña más popular de la lista fue 123456, que aparece en más de 23 millones de contraseñas. La segunda cadena de caracteres más popular, 123456789, no fue mucho más difícil de descifrar, mientras que las cinco primeras incluían " qwerty ", "password" y 1111111. [3]
Las contraseñas se crean de forma automática (mediante un equipo de aleatorización) o por un ser humano; este último caso es el más común. Si bien la solidez de las contraseñas elegidas aleatoriamente frente a un ataque de fuerza bruta se puede calcular con precisión, determinar la solidez de las contraseñas generadas por humanos es difícil.
Por lo general, se les pide a los humanos que elijan una contraseña, a veces guiada por sugerencias o restringida por un conjunto de reglas, al crear una nueva cuenta para un sistema informático o un sitio web de Internet. Solo es posible realizar estimaciones aproximadas de su solidez, ya que los humanos tienden a seguir patrones en tales tareas, y esos patrones generalmente pueden ayudar a un atacante. [4] Además, existen listas de contraseñas elegidas comúnmente que pueden ser utilizadas por programas de adivinación de contraseñas. Dichas listas incluyen los numerosos diccionarios en línea de varios idiomas humanos, bases de datos violadas de contraseñas de texto simple y hash de varias cuentas comerciales y sociales en línea, junto con otras contraseñas comunes. Todos los elementos de dichas listas se consideran débiles, al igual que las contraseñas que son simples modificaciones de ellas.
Aunque hoy en día existen programas de generación de contraseñas aleatorias que se supone que son fáciles de usar, suelen generar contraseñas aleatorias y difíciles de recordar, lo que suele provocar que la gente prefiera elegir las suyas propias. Sin embargo, esto es inherentemente inseguro porque el estilo de vida de la persona, sus preferencias de entretenimiento y otras cualidades individualistas clave suelen influir en la elección de la contraseña, mientras que la prevalencia de las redes sociales en línea ha hecho que obtener información sobre las personas sea mucho más fácil.
Los sistemas que utilizan contraseñas para la autenticación deben tener alguna forma de comprobar cualquier contraseña introducida para obtener acceso. Si las contraseñas válidas se almacenan simplemente en un archivo o base de datos del sistema, un atacante que obtenga suficiente acceso al sistema obtendrá todas las contraseñas de los usuarios, lo que le dará acceso a todas las cuentas del sistema atacado y posiblemente a otros sistemas donde los usuarios utilicen las mismas contraseñas o contraseñas similares. Una forma de reducir este riesgo es almacenar solo un hash criptográfico de cada contraseña en lugar de la contraseña en sí. Los hashes criptográficos estándar, como la serie Secure Hash Algorithm (SHA), son muy difíciles de revertir, por lo que un atacante que obtenga el valor del hash no puede recuperar directamente la contraseña. Sin embargo, el conocimiento del valor del hash le permite al atacante probar rápidamente las suposiciones fuera de línea. Hay programas de descifrado de contraseñas ampliamente disponibles que probarán una gran cantidad de contraseñas de prueba contra un hash criptográfico robado.
Las mejoras en la tecnología informática aumentan constantemente la velocidad a la que se pueden probar las contraseñas adivinadas. Por ejemplo, en 2010, el Instituto de Investigación de Georgia Tech desarrolló un método para usar GPGPU para descifrar contraseñas mucho más rápido. [5] Elcomsoft inventó el uso de tarjetas gráficas comunes para una recuperación más rápida de contraseñas en agosto de 2007 y pronto presentó una patente correspondiente en los EE. UU. [6] Para 2011, ya estaban disponibles productos comerciales que afirmaban tener la capacidad de probar hasta 112.000 contraseñas por segundo en una computadora de escritorio estándar, utilizando un procesador gráfico de alta gama para ese momento. [7] Un dispositivo de este tipo descifraría una contraseña de seis letras con una sola mayúscula en un día. El trabajo se puede distribuir entre muchas computadoras para una aceleración adicional proporcional al número de computadoras disponibles con GPU comparables. Hay disponibles hashes especiales de estiramiento de clave que tardan un tiempo relativamente largo en calcularse, lo que reduce la velocidad a la que se pueden adivinar. Aunque se considera una buena práctica utilizar el estiramiento de clave, muchos sistemas comunes no lo hacen.
Otra situación en la que es posible adivinar rápidamente es cuando la contraseña se utiliza para formar una clave criptográfica . En tales casos, un atacante puede comprobar rápidamente si una contraseña adivinada decodifica correctamente los datos cifrados. Por ejemplo, un producto comercial afirma probar 103.000 contraseñas WPA PSK por segundo. [8]
Si un sistema de contraseñas solo almacena el hash de la contraseña, un atacante puede calcular previamente los valores hash para las variantes de contraseñas más comunes y para todas las contraseñas más cortas que una longitud determinada, lo que permite una recuperación muy rápida de la contraseña una vez que se obtiene su hash. Se pueden almacenar de manera eficiente listas muy largas de hashes de contraseñas calculados previamente utilizando tablas arco iris . Este método de ataque se puede frustrar almacenando un valor aleatorio, llamado sal criptográfica , junto con el hash. La sal se combina con la contraseña al calcular el hash, por lo que un atacante que calcule previamente una tabla arco iris tendría que almacenar para cada contraseña su hash con cada valor de sal posible. Esto se vuelve inviable si la sal tiene un rango lo suficientemente grande, digamos un número de 32 bits. Muchos sistemas de autenticación de uso común no emplean sales y hay tablas arco iris disponibles en Internet para varios de esos sistemas.
La fortaleza de una contraseña se especifica por la cantidad de entropía de información , que se mide en Shannon (Sh) y es un concepto de la teoría de la información . Puede considerarse como el número mínimo de bits necesarios para almacenar la información en una contraseña de un tipo determinado. Una medida relacionada es el logaritmo en base 2 del número de intentos necesarios para encontrar la contraseña con certeza, que comúnmente se conoce como "bits de entropía". [9] Una contraseña con 42 bits de entropía sería tan fuerte como una cadena de 42 bits elegida al azar, por ejemplo, mediante un lanzamiento de moneda justo . Dicho de otra manera, una contraseña con 42 bits de entropía requeriría 2 42 (4.398.046.511.104) intentos para agotar todas las posibilidades durante una búsqueda de fuerza bruta . Por lo tanto, aumentar la entropía de la contraseña en un bit duplica el número de intentos necesarios, lo que hace que la tarea de un atacante sea el doble de difícil. En promedio, un atacante tendrá que probar la mitad del número posible de contraseñas antes de encontrar la correcta. [4]
Las contraseñas aleatorias consisten en una cadena de símbolos de longitud específica extraídos de un conjunto de símbolos mediante un proceso de selección aleatoria en el que cada símbolo tiene la misma probabilidad de ser seleccionado. Los símbolos pueden ser caracteres individuales de un conjunto de caracteres (por ejemplo, el conjunto de caracteres ASCII ), sílabas diseñadas para formar contraseñas pronunciables o incluso palabras de una lista de palabras (formando así una frase de contraseña ).
La fuerza de las contraseñas aleatorias depende de la entropía real del generador de números subyacente; sin embargo, a menudo no son verdaderamente aleatorias, sino pseudoaleatorias. Muchos generadores de contraseñas disponibles públicamente utilizan generadores de números aleatorios que se encuentran en bibliotecas de programación que ofrecen una entropía limitada. Sin embargo, la mayoría de los sistemas operativos modernos ofrecen generadores de números aleatorios criptográficamente fuertes que son adecuados para la generación de contraseñas. También es posible utilizar dados comunes para generar contraseñas aleatorias . Los programas de contraseñas aleatorias a menudo pueden garantizar que la contraseña resultante cumpla con una política de contraseñas local ; por ejemplo, al producir siempre una combinación de letras, números y caracteres especiales.
En el caso de las contraseñas generadas por un proceso que selecciona aleatoriamente una cadena de símbolos de longitud L de un conjunto de N símbolos posibles, la cantidad de contraseñas posibles se puede encontrar elevando la cantidad de símbolos a la potencia L , es decir, N L. Aumentar L o N fortalecerá la contraseña generada. La fortaleza de una contraseña aleatoria medida por la entropía de información es simplemente el logaritmo en base 2 o log 2 de la cantidad de contraseñas posibles, suponiendo que cada símbolo en la contraseña se produce de forma independiente. Por lo tanto, la entropía de información de una contraseña aleatoria, H , viene dada por la fórmula:
donde N es el número de símbolos posibles y L es el número de símbolos en la contraseña. H se mide en bits . [4] [10] En la última expresión, log puede ser en cualquier base .
Un byte binario generalmente se expresa utilizando dos caracteres hexadecimales.
Para encontrar la longitud, L, necesaria para lograr una fuerza deseada H, con una contraseña extraída aleatoriamente de un conjunto de N símbolos, se calcula:
donde denota la función de techo matemática , es decir, el redondeo al siguiente número entero más grande .
La siguiente tabla utiliza esta fórmula para mostrar las longitudes necesarias de contraseñas generadas de forma verdaderamente aleatoria para lograr las entropías de contraseña deseadas para conjuntos de símbolos comunes:
Las personas son notoriamente deficientes a la hora de lograr la entropía suficiente para producir contraseñas satisfactorias. Según un estudio en el que participaron medio millón de usuarios, la entropía media de una contraseña se estimó en 40,54 bits. [11]
Así, en un análisis de más de 3 millones de contraseñas de ocho caracteres, la letra "e" se utilizó más de 1,5 millones de veces, mientras que la letra "f" se utilizó sólo 250.000 veces. Una distribución uniforme habría supuesto que cada carácter se hubiera utilizado unas 900.000 veces. El número más común es el "1", mientras que las letras más comunes son la a, la e, la o y la r. [12]
Los usuarios rara vez hacen un uso completo de conjuntos de caracteres más grandes para crear contraseñas. Por ejemplo, los resultados de un ataque de phishing en MySpace en 2006 revelaron 34.000 contraseñas, de las cuales sólo el 8,3% utilizaba una combinación de mayúsculas y minúsculas, números y símbolos. [13]
La máxima seguridad asociada con el uso de todo el conjunto de caracteres ASCII (números, letras mayúsculas y minúsculas y caracteres especiales) sólo se consigue si cada contraseña posible es igualmente probable. Esto parece sugerir que todas las contraseñas deben contener caracteres de cada una de varias clases de caracteres, tal vez letras mayúsculas y minúsculas, números y caracteres no alfanuméricos. Este requisito es un patrón en la elección de contraseñas y se puede esperar que reduzca el "factor de trabajo" de un atacante (en términos de Claude Shannon). Esto es una reducción de la "seguridad" de las contraseñas. Un mejor requisito sería exigir que una contraseña no contenga ninguna palabra de un diccionario en línea, o una lista de nombres, o cualquier patrón de matrícula de cualquier estado (en los EE.UU.) o país (como en la UE). Si se requieren elecciones con patrones, es probable que los humanos las utilicen de formas predecibles, como poner en mayúscula una letra, añadir uno o dos números y un carácter especial. Esta previsibilidad significa que el aumento de la seguridad de la contraseña es menor en comparación con las contraseñas aleatorias.
Proyectos de concientización sobre la seguridad de las contraseñas
Google desarrolló Interland para enseñar a los niños a usar Internet de forma segura. En el capítulo llamado La Torre del Tesoro se recomienda utilizar nombres inusuales junto con caracteres como (₺&@#%) en un juego. [14]
La publicación especial 800-63 del NIST de junio de 2004 (segunda revisión) sugirió un esquema para aproximar la entropía de las contraseñas generadas por humanos: [4]
Con este esquema, se estima que una contraseña de ocho caracteres seleccionada por humanos sin mayúsculas ni caracteres no alfabéticos O con cualquiera de los dos conjuntos de caracteres tiene dieciocho bits de entropía. La publicación del NIST admite que en el momento del desarrollo, había poca información disponible sobre la selección de contraseñas en el mundo real. Investigaciones posteriores sobre la entropía de contraseñas seleccionadas por humanos utilizando datos del mundo real recientemente disponibles han demostrado que el esquema del NIST no proporciona una métrica válida para la estimación de la entropía de contraseñas seleccionadas por humanos. [15] La revisión de junio de 2017 de SP 800-63 (Revisión tres) abandona este enfoque. [16]
Debido a que las implementaciones de teclado nacionales varían, no todos los 94 caracteres ASCII imprimibles se pueden usar en todas partes. Esto puede presentar un problema para un viajero internacional que desee iniciar sesión en un sistema remoto utilizando un teclado en una computadora local . Muchos dispositivos portátiles, como tabletas y teléfonos inteligentes , requieren secuencias de cambio complejas o intercambio de aplicaciones de teclado para ingresar caracteres especiales.
Los programas de autenticación pueden variar en cuanto a la lista de caracteres permitidos en las contraseñas. Algunos no reconocen las diferencias entre mayúsculas y minúsculas (por ejemplo, la "E" mayúscula se considera equivalente a la "e" minúscula) y otros prohíben algunos de los otros símbolos. En las últimas décadas, los sistemas han permitido más caracteres en las contraseñas, pero aún existen limitaciones. Los sistemas también varían en cuanto a la longitud máxima de las contraseñas permitidas.
En la práctica, las contraseñas deben ser razonables y funcionales para el usuario final, así como lo suficientemente fuertes para el propósito previsto. Las contraseñas que son demasiado difíciles de recordar pueden olvidarse y, por lo tanto, es más probable que se escriban en papel, lo que algunos consideran un riesgo de seguridad. [17] En contraste, otros argumentan que obligar a los usuarios a recordar contraseñas sin ayuda solo puede dar cabida a contraseñas débiles y, por lo tanto, plantea un mayor riesgo de seguridad. Según Bruce Schneier , la mayoría de las personas son buenas para proteger sus billeteras o monederos, que es un "gran lugar" para guardar una contraseña escrita. [18]
El número mínimo de bits de entropía necesarios para una contraseña depende del modelo de amenaza para la aplicación dada. Si no se utiliza el estiramiento de clave , se necesitan contraseñas con más entropía. RFC 4086, "Requisitos de aleatoriedad para seguridad", publicado en junio de 2005, presenta algunos modelos de amenaza de ejemplo y cómo calcular la entropía deseada para cada uno. [19] Sus respuestas varían entre 29 bits de entropía necesarios si solo se esperan ataques en línea, y hasta 96 bits de entropía necesarios para claves criptográficas importantes utilizadas en aplicaciones como el cifrado donde la contraseña o clave debe ser segura durante un largo período y el estiramiento no es aplicable. Un estudio del Instituto de Investigación de Georgia Tech de 2010 basado en claves no estiradas recomendó una contraseña aleatoria de 12 caracteres, pero como requisito de longitud mínima. [5] [20] Vale la pena tener en cuenta que, dado que la potencia de procesamiento aumenta continuamente, para prevenir ataques fuera de línea, la cantidad requerida de bits de entropía también debería aumentar con el tiempo.
El extremo superior está relacionado con los estrictos requisitos de elección de las claves utilizadas en el cifrado. En 1999, un proyecto de la Electronic Frontier Foundation rompió el cifrado DES de 56 bits en menos de un día utilizando un hardware especialmente diseñado. [21] En 2002, distributed.net descifró una clave de 64 bits en 4 años, 9 meses y 23 días. [22] Al 12 de octubre de 2011, distributed.net estima que descifrar una clave de 72 bits utilizando el hardware actual llevará unos 45.579 días o 124,8 años. [23] Debido a las limitaciones actualmente entendidas de la física fundamental, no hay expectativas de que ninguna computadora digital (o combinación) sea capaz de romper el cifrado de 256 bits mediante un ataque de fuerza bruta. [24] Aún se desconoce si las computadoras cuánticas podrán hacerlo en la práctica, aunque el análisis teórico sugiere tales posibilidades. [25]
Las pautas para elegir buenas contraseñas suelen estar diseñadas para que sea más difícil descubrirlas mediante una adivinación inteligente. Las pautas comunes defendidas por los defensores de la seguridad de los sistemas de software incluyen: [26] [27] [28] [29] [30]
Forzar la inclusión de letras minúsculas, mayúsculas, números y símbolos en las contraseñas era una política común, pero se ha descubierto que reduce la seguridad, al hacer que sea más fácil de descifrar. La investigación ha demostrado lo predecible que es el uso común de dichos símbolos, y los departamentos de seguridad cibernética del gobierno de EE. UU. [34] y el Reino Unido [35] desaconsejan forzar su inclusión en la política de contraseñas. Los símbolos complejos también dificultan mucho recordar las contraseñas, lo que aumenta la escritura, el restablecimiento de contraseñas y la reutilización de contraseñas, todo lo cual reduce la seguridad de las contraseñas en lugar de mejorarla. El autor original de las reglas de complejidad de contraseñas, Bill Burr, se ha disculpado y admite que reducen la seguridad, como ha descubierto la investigación; esto fue ampliamente informado en los medios en 2017. [36] Los investigadores de seguridad en línea [37] y los consultores también apoyan el cambio [38] en los consejos de mejores prácticas sobre contraseñas.
Algunas directrices desaconsejan escribir las contraseñas, mientras que otras, teniendo en cuenta la gran cantidad de sistemas protegidos con contraseña a los que los usuarios deben acceder, fomentan el uso de las contraseñas siempre que las listas de contraseñas escritas se guarden en un lugar seguro, no pegadas a un monitor o en un cajón de escritorio sin llave. [39] El NCSC recomienda el uso de un administrador de contraseñas . [40]
El conjunto de caracteres posible para una contraseña puede verse limitado por los diferentes sitios web o por la variedad de teclados en los que se debe ingresar la contraseña. [41]
Como ocurre con cualquier medida de seguridad, las contraseñas varían en cuanto a su solidez; algunas son más débiles que otras. Por ejemplo, la diferencia de solidez entre una palabra de diccionario y una palabra con ofuscación (por ejemplo, las letras de la contraseña se sustituyen por números, por ejemplo, un método habitual) puede costarle a un dispositivo de descifrado de contraseñas unos segundos más; esto añade poca solidez. Los ejemplos siguientes ilustran diversas formas en las que se pueden construir contraseñas débiles, todas ellas basadas en patrones simples que dan como resultado una entropía extremadamente baja, lo que permite probarlas automáticamente a altas velocidades: [12]
Existen muchas otras formas en las que una contraseña puede ser débil, [44] que corresponden a la fortaleza de varios esquemas de ataque; el principio básico es que una contraseña debe tener una entropía alta (que generalmente se considera equivalente a la aleatoriedad) y no debe ser fácilmente derivable por ningún patrón "inteligente", ni las contraseñas deben estar mezcladas con información que identifique al usuario. Los servicios en línea a menudo proporcionan una función de restauración de contraseña que un hacker puede descubrir y, al hacerlo, eludir una contraseña.
En el panorama de 2012, tal como lo describió William Cheswick en un artículo para la revista ACM, la seguridad de las contraseñas enfatizaba predominantemente una contraseña alfanumérica de ocho caracteres o más. Se dedujo que una contraseña de ese tipo podría resistir diez millones de intentos por segundo durante un período de 252 días. Sin embargo, con la ayuda de las GPU contemporáneas de la época, este período se redujo a solo unas 9 horas, dada una tasa de descifrado de 7 mil millones de intentos por segundo. Se estimó que una contraseña de 13 caracteres resistiría los intentos calculados por GPU durante más de 900.000 años. [45] [46]
En el contexto de la tecnología de hardware de 2023, el estándar de 2012 de una contraseña alfanumérica de ocho caracteres se ha vuelto vulnerable, sucumbiendo en unas pocas horas. El tiempo necesario para descifrar una contraseña de 13 caracteres se ha reducido a unos pocos años. El énfasis actual, por lo tanto, ha cambiado. La fortaleza de las contraseñas ahora se mide no solo por su complejidad sino por su longitud, y las recomendaciones se inclinan por contraseñas que contengan al menos 13-16 caracteres. Esta era también ha visto el surgimiento de la autenticación multifactor (MFA) como una medida de fortificación crucial. La aparición y adopción generalizada de administradores de contraseñas ha ayudado aún más a los usuarios a cultivar y mantener una variedad de contraseñas fuertes y únicas. [47]
Una política de contraseñas es una guía para elegir contraseñas satisfactorias. Su objetivo es:
Las políticas de contraseñas anteriores solían prescribir los caracteres que debían contener las contraseñas, como números, símbolos o mayúsculas y minúsculas. Si bien esto todavía se usa, ha sido desacreditado como menos seguro por la investigación universitaria [48] , por el instigador original [49] de esta política y por los departamentos de seguridad cibernética (y otros organismos de seguridad gubernamentales relacionados [50] ) de EE. UU. [51] y el Reino Unido. [52] Las reglas de complejidad de contraseñas de símbolos forzados fueron utilizadas anteriormente por las principales plataformas como Google [53] y Facebook, [54] pero estas han eliminado el requisito después de descubrir que en realidad reducían la seguridad. Esto se debe a que el elemento humano es un riesgo mucho mayor que el descifrado, y la complejidad forzada lleva a la mayoría de los usuarios a patrones altamente predecibles (número al final, cambiar 3 por E, etc.) que ayuda a descifrar contraseñas. Por lo tanto, la simplicidad y la longitud de las contraseñas (frases de contraseña) son la nueva mejor práctica y se desalienta la complejidad. Las reglas de complejidad forzada también aumentan los costos de soporte y la fricción del usuario y desalientan los registros de usuarios.
La caducidad de contraseñas ya existía en algunas políticas de contraseñas antiguas, pero se ha desacreditado [36] como una práctica recomendada y no cuenta con el respaldo de los gobiernos de EE. UU. o el Reino Unido, ni de Microsoft, que eliminó [55] la función de caducidad de contraseñas. Anteriormente, la caducidad de contraseñas intentaba cumplir dos propósitos: [56]
Sin embargo, la expiración de la contraseña tiene sus desventajas: [57] [58]
Las contraseñas más difíciles de descifrar, para una longitud y un conjunto de caracteres determinados, son cadenas de caracteres aleatorios; si son lo suficientemente largas, resisten ataques de fuerza bruta (porque tienen muchos caracteres) y ataques de adivinación (debido a la alta entropía). Sin embargo, este tipo de contraseñas suelen ser las más difíciles de recordar. La imposición de un requisito para este tipo de contraseñas en una política de contraseñas puede alentar a los usuarios a escribirlas, almacenarlas en dispositivos móviles o compartirlas con otros como medida de protección contra fallos de memoria. Si bien algunas personas consideran que cada uno de estos recursos de los usuarios aumenta los riesgos de seguridad, otros sugieren lo absurdo de esperar que los usuarios recuerden contraseñas complejas distintas para cada una de las docenas de cuentas a las que acceden. Por ejemplo, en 2005, el experto en seguridad Bruce Schneier recomendó escribir la contraseña:
En pocas palabras, la gente ya no puede recordar contraseñas lo suficientemente bien como para defenderse de ataques de diccionario y está mucho más segura si elige una contraseña demasiado complicada de recordar y luego la escribe. Todos somos buenos en asegurar pequeños trozos de papel. Recomiendo que la gente escriba sus contraseñas en un pequeño trozo de papel y lo guarde con sus otros pequeños trozos de papel valiosos: en su billetera. [39]
Las siguientes medidas pueden aumentar la aceptación de requisitos de contraseñas seguras si se utilizan con cuidado:
Las políticas de contraseñas a veces sugieren técnicas de memoria para ayudar a recordar las contraseñas:
Un compromiso razonable para usar un gran número de contraseñas es registrarlas en un programa de administración de contraseñas, que incluye aplicaciones independientes, extensiones de navegador web o un administrador integrado en el sistema operativo. Un administrador de contraseñas permite al usuario usar cientos de contraseñas diferentes y solo tiene que recordar una única contraseña, la que abre la base de datos de contraseñas cifradas. [65] No hace falta decir que esta única contraseña debe ser fuerte y estar bien protegida (no registrada en ningún lugar). La mayoría de los administradores de contraseñas pueden crear automáticamente contraseñas seguras utilizando un generador de contraseñas aleatorias criptográficamente seguro , así como calcular la entropía de la contraseña generada. Un buen administrador de contraseñas proporcionará resistencia contra ataques como el registro de teclas , el registro del portapapeles y varias otras técnicas de espionaje de memoria.
6 tipos de ataques a contraseñas y cómo detenerlos | OneLogin. (sin fecha). Consultado el 24 de abril de 2024 en https://www.google.com/
Franchi, E., Poggi, A. y Tomaiuolo, M. (2015). Ataques de información y contraseñas en redes sociales: un argumento a favor de la criptografía. Journal of Information Technology Research, 8(1), 25–42. https://doi.org/10.4018/JITR.2015010103
