Generador de contraseñas

El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) reescribió sus recomendaciones sobre contraseñas en SP 800-63B y las endureció de nuevo en la revisión 4, publicada en 2024. Su consejo central va en contra de las viejas normas corporativas: los servicios deben aceptar contraseñas de al menos 64 caracteres, no deben obligar a mezclar mayúsculas, dígitos y símbolos, no deben forzar cambios de contraseña periódicos y, en su lugar, deben comprobar las contraseñas nuevas contra listas de contraseñas filtradas y comunes.

El motivo es aritmético. Las reglas de composición empujan a la gente hacia patrones predecibles como "Verano2024!", que los atacantes prueban primero. En cambio, cada carácter aleatorio adicional multiplica el trabajo de un ataque de fuerza bruta por el tamaño del conjunto de caracteres. Pasar de 12 a 16 caracteres aleatorios de los 94 símbolos ASCII imprimibles añade unos 26 bits, lo que hace la adivinación unas 78 millones de veces más difícil.

La entropía mide cuántas contraseñas igualmente probables podría haber generado el generador. Para una contraseña aleatoria es longitud × log2(tamaño del conjunto). Con los cuatro conjuntos de caracteres el conjunto tiene 94 símbolos, unos 6,55 bits por carácter, así que 16 caracteres dan unos 105 bits. La opción "Excluir caracteres parecidos" reduce el conjunto a 84 y cuesta algo menos de una quinta parte de bit por carácter. La tabla de arriba usa el mismo cálculo y supone un atacante sin conexión que hace 10 mil millones de intentos por segundo, una cifra razonable para un equipo con GPU contra un hash rápido; un hash lento como bcrypt reduce esa velocidad en varios órdenes de magnitud.

Las frases de contraseña funcionan igual, con palabras en lugar de caracteres. La lista integrada tiene 367 palabras cortas y comunes, así que cada palabra añade unos 8,5 bits y seis palabras dan unos 51 bits: fáciles de escribir y recordar, pero más débiles que una contraseña aleatoria de 16 caracteres. Elegir "Dígito aleatorio" como separador añade unos 3,3 bits por hueco. Para una frase de contraseña que protege algo importante, use ocho palabras, o una lista Diceware de 7776 palabras en la que cada palabra vale 12,9 bits.

El indicador califica como débil lo que queda por debajo de 40 bits, aceptable de 40 a 59, fuerte de 60 a 79 y muy fuerte a partir de 80. Evalúa la configuración del generador, no la cadena, que es la única forma honesta de puntuar una contraseña: "correct horse battery staple" obtiene una nota alta en los verificadores basados en patrones, pero es la primera frase que prueba cualquier atacante.

Use una contraseña distinta para cada cuenta y deje que un gestor de contraseñas las recuerde; la reutilización es lo que convierte una filtración en un sitio en muchas cuentas secuestradas. Guarde la contraseña en el gestor antes de enviar el formulario de registro y active la verificación en dos pasos allí donde se ofrezca. Para bloquear un documento en lugar de una cuenta, una frase de contraseña robusta funciona bien con Proteger PDF, que cifra el archivo con la contraseña que usted elija.