Este 1° de febrero se celebra el Día Internacional del Cambio de Contraseña, una efeméride dedicada a recordar lo vulnerables que pueden ser las nuevas tecnologías y la importancia de protegerse correctamente.
En ese marco, el experto en ciberseguridad y director del Laboratorio de Ciberseguridad de la Universidad Nacional de San Martín, Pablo Daniel Russo explicó porqué es necesario modificar nuestras credenciales regularmente y cómo gestionarlas de forma segura.
“Las contraseñas o credenciales deben ser actualizadas preferentemente cada tres meses con el objetivo de que, en caso de ser vulnerados de forma directa o indirecta, el atacante tendrá menos tiempo para cualquier actividad no autorizada”, señala el especialista.
“Forma directa” refiere al intento de robo de las credenciales por medio de “fuerza bruta, phishing o cualquiera de los vectores de ataques directos”, mientras que la “forma indirecta” habla de aquellas ocasiones en las que los servicios son los vulnerados y los atacantes obtienen un gran número de credenciales de una sola vez.
Contraseña segura
“Para ser segura una contraseña debe cumplir con 3 definiciones: longitud, diversidad y unicidad”, sostuvo el especialista y recordó que “se debe evitar la utilización de datos fáciles de averiguar o adivinar”, tales como fechas de nacimientos, nombres de familiares y direcciones, o palabras muy utilizadas.
Russo precisó que una contraseña segura debe tener un mínimo de 8 carácteres, aunque lo óptimo es que sean 12. Debe contener números, letras mayúsculas, minúsculas y caracteres especiales (puntos y signos) y no deben repetirse las credenciales en diferentes servicios.
También sugiere evitar palabras muy utilizadas como “admin” o “admin1234″. Existe un top ten de contraseñas más utilizadas las cuales suelen ser usadas por los atacantes con bases de datos de usuarios.
Según la firma ESSET especialista en software antimalware éste seria el top 10:
La columna “tiempo para descifrar” refiere a cuánto tiempo se demoraría en obtener la misma usando software gratuito para descifrar contraseñas, los cuales son utilizados por los atacantes.
En el siguiente cuadro se puede observar porqué debemos crear y utilizar contraseñas seguras.
Gestores de contraseñas
Los gestores de contraseñas son herramientas que se utilizan para almacenar de forma segura y cifrada todas las credenciales de un mismo usuario, gestionando su uso de forma fácil y rápida.
Russo recomendó su utilización y remarcó que su uso “facilita la utilización de las credenciales y ayuda a crear contraseñas seguras y únicas para todas las cuentas”.
A su vez, explicó que los gestores de contraseñas se caracterizan por la facilidad de uso, lo que ayuda a recordar las credenciales, por la seguridad, dado que utilizan un cifrado de grado militar para proteger los datos ingresados, y por el confort, ya que este tipo de herramientas rellena de forma automática los usuarios y contraseñas en todos los sitios web y aplicaciones utilizadas.
El especialista recordó que los gestores más reconocidos son: 1Password, LastPass, Dashlane, Keeper, Bitwarden, NordPass, RoboForm y Enpass.
Asimismo, agregó que la utilización de gestores es la manera correcta de almacenar las credenciales y aclaró que “los navegadores cuentan con almacenamiento de contraseñas” pero que “no poseen la seguridad recomendada y si nuestro dispositivo fuera abierto por un tercero, este podría obtener todas las credenciales almacenadas”.
No repetir contraseñas
Por otra parte, el especialista también hizo hincapié en que no deben reutilizarse las contraseñas ni repetirlas entre diferentes servicios, ya que de hacerlo esto podría derivar en graves consecuencias para nuestra seguridad en línea.
“La contraseña debe ser ‘fuerte’, pero con esto solo evitamos, o mejor dicho complicamos, que el atacante pueda obtenerla mediante software de fuerza bruta. No obstante, pongamos el ejemplo donde el atacante lograra averiguarla por divulgación de la misma o por vulneración indirecta y nosotros hubiésemos utilizado esta contraseña para todas nuestras cuentas de correo electrónico”, ejemplificó.
Entonces, la forma correcta es almacenarlas en gestores de contraseñas y que la contraseña de ese gestor cuente con un mínimo de 12 caracteres, numero letras mayúscula, minúscula y carácter especial y de esta forma sólo debemos recordar una contraseña fuerte y el gestor realizará toda la “magia”; este software podrá generar las contraseñas seguras y distintas para cada servicio almacenado.
Para concluir, el experto recomendó el uso del sitio “Have I been pwned” (https://haveibeenpwned.com/), en el cual se puede colocar el correo electrónico para consultar si este aparece en alguna base de datos vulnerada, aclarando de qué servicio se filtró la información, y permitiendo así que se modifiquen las credenciales en riesgo.
