Política de contraseñas

Desde 2004, la "Publicación Especial 800-63 del NIST, Apéndice A" ^{[ 2 ]} recomendaba el uso de mayúsculas irregulares, caracteres especiales y al menos un número. Esta fue la recomendación que siguieron la mayoría de los sistemas y que quedó integrada en una serie de estándares que las empresas debían cumplir.

Sin embargo, en 2017 una actualización importante modificó este consejo, en particular que forzar la complejidad y los cambios frecuentes ahora se considera una mala práctica. ^{[ 3 ] [ 4 ] : 5.1.1.2}

Los puntos clave son:

• Los verificadores no deberán imponer reglas de composición (por ejemplo, no exigir mezclas de diferentes tipos de caracteres y no prohibir caracteres repetidos consecutivamente) (tenga en cuenta que esto se cambió en la revisión 4 de should not a shall not ) ^{[ 5 ]}
• Los verificadores no deberán exigir que las contraseñas se cambien de forma arbitraria o regular (por ejemplo, no se aplicará la regla de cambio cada 90 o 365 días).
• Las contraseñas deben tener al menos 15 caracteres de longitud (tenga en cuenta que esto se cambió en la revisión 4 de 8 caracteres a 15 caracteres) ^{[ 6 ].}
• Los sistemas de contraseñas deben permitir que las contraseñas elegidas por el suscriptor tengan una longitud mínima de 64 caracteres.
• En las contraseñas se deben aceptar todos los caracteres ASCII imprimibles , el espacio en blanco y los caracteres Unicode .
• Al establecer o cambiar contraseñas, el verificador deberá informar al suscriptor que debe seleccionar una contraseña diferente si ha elegido una contraseña débil o comprometida.
• Los verificadores deberían ofrecer orientación, como un medidor de seguridad de contraseñas, para ayudar al usuario a elegir una contraseña segura.
• Los verificadores deberán almacenar las contraseñas en un formato resistente a ataques sin conexión. Las contraseñas deberán incluir un valor aleatorio (salt) y una función hash adecuada para su derivación . Estas funciones reciben como entrada una contraseña, un valor aleatorio y un factor de coste, y generan un hash de la contraseña. Su objetivo es que cada intento de adivinar la contraseña por parte de un atacante que haya obtenido el archivo hash sea costoso, lo que eleva o incluso imposibilita el coste de un ataque de este tipo.

El NIST incluyó una justificación para las nuevas directrices en su Apéndice A.

Muchas políticas requieren una longitud mínima de contraseña. Ocho caracteres es lo típico, pero puede no ser apropiado. ^{[ 7 ] [ 8 ] [ 9 ]} Las contraseñas más largas son casi siempre más seguras, pero algunos sistemas imponen una longitud máxima para la compatibilidad con sistemas heredados .

Algunas políticas sugieren o imponen requisitos sobre el tipo de contraseña que un usuario puede elegir, tales como:

• el uso de letras mayúsculas y minúsculas ( sensibilidad a mayúsculas y minúsculas )
• inclusión de uno o más dígitos numéricos
• inclusión de caracteres especiales , como @, #, $
• prohibición de palabras que se encuentren en una lista negra de contraseñas
• prohibición de palabras que se encuentren en la información personal del usuario
• Prohibición del uso del nombre de la empresa o de una abreviatura.
• Prohibición de contraseñas que coincidan con el formato de fechas de calendario, números de matrícula , números de teléfono u otros números comunes.

Otros sistemas crean una contraseña inicial para el usuario, pero le exigen que la cambie por una de su elección en un breve intervalo de tiempo.

Las listas de bloqueo de contraseñas son listas de contraseñas cuyo uso está siempre bloqueado. Estas listas contienen contraseñas compuestas por combinaciones de caracteres que, si bien cumplen con la política de la empresa, ya no deben utilizarse por considerarse inseguras debido a uno o más motivos, como ser fáciles de adivinar, seguir un patrón común o haber sido expuestas públicamente en filtraciones de datos anteriores . Algunos ejemplos comunes son Password1, Qwerty123 o Qaz123wsx.

Algunas políticas exigen que los usuarios cambien sus contraseñas periódicamente, a menudo cada 90 o 180 días. Sin embargo, el beneficio de la caducidad de las contraseñas es discutible. ^{[ 10 ] [ 11 ]} Los sistemas que implementan dichas políticas a veces impiden que los usuarios elijan una contraseña demasiado cercana a una elección anterior. ^{[ 12 ]}

Esta política suele ser contraproducente. A algunos usuarios les resulta difícil crear contraseñas seguras y fáciles de recordar, por lo que, si se les exige elegir muchas contraseñas porque deben cambiarlas con frecuencia, terminan usando contraseñas mucho más débiles; además, la política fomenta que los usuarios las anoten. Asimismo, si la política impide que un usuario repita una contraseña reciente, esto requiere la existencia de una base de datos con las contraseñas recientes de todos (o sus hashes ) en lugar de borrar las antiguas. Por último, los usuarios pueden cambiar su contraseña repetidamente en cuestión de minutos y luego volver a la que realmente desean usar, eludiendo así por completo la política de cambio de contraseñas.

También deben considerarse los aspectos humanos de las contraseñas. A diferencia de las computadoras, los usuarios no pueden borrar un recuerdo y reemplazarlo por otro. Por consiguiente, cambiar con frecuencia una contraseña memorizada supone un esfuerzo para la memoria, y la mayoría de los usuarios optan por elegir una contraseña relativamente fácil de adivinar (véase Fatiga de contraseñas ). A menudo se recomienda a los usuarios utilizar técnicas mnemotécnicas para recordar contraseñas complejas. Sin embargo, si la contraseña debe cambiarse repetidamente, las técnicas mnemotécnicas resultan inútiles, ya que el usuario no recordaría cuál usar. Además, el uso de técnicas mnemotécnicas (que dan lugar a contraseñas como "2BOrNot2B") facilita que la contraseña sea adivinada.

Exigir una contraseña muy segura y no requerir su cambio suele ser mejor. ^{[ 13 ]} Sin embargo, este enfoque tiene un inconveniente importante: si una persona no autorizada obtiene una contraseña y la usa sin ser detectada, puede tener acceso por un período indefinido.

Es necesario sopesar estos factores: la probabilidad de que alguien adivine una contraseña por ser débil, frente a la probabilidad de que alguien consiga robar, u obtener de otro modo sin adivinar, una contraseña más segura.

Las políticas de contraseñas pueden incluir sanciones progresivas que comienzan con advertencias y terminan con la posible pérdida de privilegios informáticos o el despido. Cuando la confidencialidad es obligatoria por ley, por ejemplo, con información clasificada , una violación de la política de contraseñas podría ser un delito penal en algunas jurisdicciones. ^{[ 14 ]}

Password policies are usually a tradeoff between theoretical security and the practicalities of human behavior. For example:

• Requiring excessively complex passwords and forcing them to be changed frequently can cause users to write passwords down in places that are easy for an intruder to find, such as a Rolodex or post-it note near the computer.
• Users often have dozens of passwords to manage. It may be more realistic to recommend a single password be used for all low security applications, such as reading on-line newspapers and accessing entertainment web sites.
• Similarly, demanding that users never write down their passwords may be unrealistic and lead users to choose weak ones (or cause a lot of inconvenience when users forget their password). An alternative is to suggest keeping written passwords in a secure place, such as a safe or an encrypted master file. The validity of this approach depends on what the most likely threat is deemed to be. While writing down a password may be problematic if potential attackers have access to the secure store, if the threat is primarily remote attackers who do not have access to the store, it can be a very secure method.
• Inclusion of special characters can be a problem if a user has to log onto a computer in a different country. Some special characters may be difficult or impossible to find on keyboards designed for another language.
• Some identity management systems allow self-service password reset, where users can bypass password security by supplying an answer to one or more security questions such as "where were you born?", "what's your favorite movie?", etc. Often the answers to these questions can easily be obtained by social engineering, phishing or simple research.

Un análisis realizado en 2010 sobre las políticas de contraseñas de 75 sitios web diferentes concluye que la seguridad solo explica parcialmente las políticas más estrictas: los proveedores monopolísticos de un servicio, como los sitios gubernamentales, tienen políticas más estrictas que los sitios donde los consumidores tienen libertad de elección (por ejemplo, sitios de comercio electrónico y bancos). El estudio concluye que los sitios con políticas más estrictas "no presentan mayores problemas de seguridad, sino que simplemente están mejor protegidos de las consecuencias de una mala usabilidad". ^{[ 15 ]}

Existen otros enfoques que generalmente se consideran más seguros que las contraseñas simples. Estos incluyen el uso de un token de seguridad o un sistema de contraseña de un solo uso , como S/Key , o la autenticación multifactor . ^{[ 16 ]} Sin embargo, estos sistemas aumentan el equilibrio entre seguridad y comodidad: según Shuman Ghosemajumder , todos estos sistemas mejoran la seguridad, pero "a costa de trasladar la responsabilidad al usuario final ". ^{[ 17 ]}