En 2012 tener una contraseña de 10 caracteres con números, minúsculas y mayúsculas era bastante recomendable: los hackers podían tardar 106 años en averiguarla por métodos de fuerza bruta.
La cosa ha cambiado mucho en la última década. La potencia de las tarjetas gráficas con las que es posible acelerar el proceso ha crecido de forma extraordinaria. De hecho, asusta: esa misma contraseña ahora caería en tres semanas.
La empresa de ciberseguridad Hive Systems lleva tiempo elaborando estos estudios, y en los últimos años se ha podido ver cómo efectivamente la recomendación es cada vez más exigente para los que crean nuevas contraseñas.
Fuente: Hive Systems.
De hecho, lo de usar números, mayúsculas y minúsculas ya no es suficiente: ahora es casi imprescindible 1) usar una contraseña de al menos 12 caracteres y 2) usar además símbolos para crear contraseñas mucho más fuertes, aunque sean también mucho más difíciles de recordar.
Lo podéis ver rápidamente en la tabla, que además podemos comparar con las de 2020 y 2021 para sacar conclusiones evidentes: lo que creíamos que era una contraseña fuerte entonces quizás no lo sea tanto ahora.
|
|
2012 |
2021 |
2022 |
|---|---|---|---|
|
10 caracteres Números, mayúsculas y minúsculas |
106 años |
7 meses |
3 semanas |
|
12 caracteres Números, mayúsculas y minúsculas |
108.000 años |
2.000 años |
200 años |
|
12 caracteres Números, mayúsculas, minúsculas y símbolos |
5 millones de años |
34.000 años |
3.000 años |
|
12 caracteres Números, mayúsculas, minúsculas y símbolos |
193 billones de años |
1 billón de años |
92.000 años |
Como indican en Hive Systems, las modernas tarjetas gráficas siguen siendo una buena forma de tratar de "romper" contraseñas, pero si uno realmente quiere acortar tiempos, lo ideal es romperlas "en la nube".
De hecho todos los datos utilizados aquí se refieren a ese método: esos tiempos de 2022 se basan en el uso de 8 GPUs NVIDIA A100 Tensor Core GPUs en Amazon Web Services a través de sus instancias P4 de EC2.
Nada mejor que una buena NVIDIA HGX A100 para romper contraseñas.
El coste de alquilar una hora esas instancias es de 32,77 dólares, pero claro, podríamos combinar varias. Esos tiempos son además los máximos posibles: es muy probable que acabáramos averiguando la contraseña antes si usáramos estos métodos.
Si no quieres gastar tanto, no pasa nada: servicios como vast.ai permiten alquilar ocho RTX 3090 por 5,80 dólares la hora —el precio varía según la demanda—, y con ellas también es posible hacer ataques de fuerza bruta realmente potentes. Suponemos que en pocos meses se ofrecerán las 4090, que son unas bestias rompiendo contraseñas, y multiplican por dos o más el rendimiento de las 3090 en estos escenarios.
Eso deja claro que un hacker motivado (y con fondos) puede acabar rompiendo contraseñas que creíamos razonablemente fuertes. Nuestra recomendación a la hora de crear nuevas contraseñas es la siguiente:
- 16 caracteres como mínimo
- Usar números, mayúsculas, minúsculas y símbolos
- Usar un gestor de contraseñas para recordar esas contraseñas fuertes
- Usar un método de autenticación en dos pasos
El tercer consejo es evidente: es realmente complicado recordar esas contraseñas, así que contar con un gestor de contraseñas para esa gestión resulta casi imprescindible.
Y por supuesto, siempre que podamos lo ideal es además usar un sistema de autenticación en dos pasos (2FA). Si podemos evitar SMS mejor que mejor: lo más adecuado aquí sería utilizar aplicaciones tipo Authy o Google Authenticator, o dar el salto a tokens físicos como los de Yubikey.
Imagen: Towfiqu barbhuiya
Ver 50 comentarios
50 comentarios
p2dzca
Nunca he entendido por qué seguís publicando estas historias de contraseñas. Los tiempos que se indican no tienen sentido.
Imaginemos que tenemos un sitio web que le solicita a un usuario una contraseña que llamaremos 'K'. Lo habitual en un sitio web desarrollado por alguien que sepa un mínimo de seguridad es que se utilice una "PBKDF" (Password Based Key Derivation Function). Se genera una cadena de bits aleatorios (por ejemplo, 256 bits) que se denominan "Salt". Se concatena "Salt" con la contraseña K del usuario y a este resultado se le aplica un función, obteniendo un resultado, y al resultado (que ahora hace de 'Salt') + 'K' se le vuelve a aplicar la función, y así miles de veces. ¿Cuánto? El tiempo necesario. Conforme aumenta la velocidad de los microprocesadores, se aumenta el número de iteraciones, precisamente para evitar la fuerza bruta.
En el estudio al que hace referencia este artículo se indica, en la sección de limitaciones del propio estudio (la negrita es mía):
Hashcat defaults to 999 iterations for PBKDF2 SHA-256 but that doesn’t represent what people use. NIST recommends a minimum of 1000 iterations and sites like LastPass use 100,100 iterations, and 1password uses 100,000 iterations.
Supongamos que el número de iteraciones elegidas se hace coincidir, por ejemplo, con un tiempo de cómputo de una décima de segundo. En una base de datos del sitio web se almacena 'Salt' y el último resultado de la función, que puede tener 256 bits. Si un hacker consigue esos dos valores y quiere obtener la contraseña, 'K', debe utilizar la fuerza bruta, pero los valores que utiliza serán siempre, en el ejemplo indicado, 256 bits de 'Salt' y otros 256 bits del resultado de la función PBKDF. Como el valor obtenido con la función PBKDF require una décima de segundo de computación, comprobar cada posible contraseña (utilizando el mismo hardware que el servidor web) costará una décima de segundo, lo que hace inviable el hackeo en un tiempo razonable (y nada que ver con las cifras publicadas en el artículo). Para hacernos una idea, si utilizamos para la contraseña dígitos (10), mayúsculas (26) y minúsculas (26), tenemos un alfabeto de 62 caracteres. Si elegimos una contraseña aleatoria de 12 caracteres, las posibilidades son 62^12 = 3.226.266.762.397.899.821.056. Teniendo en cuenta un cómputo de una décima de segundo y que un año tiene 365 * 86.400 * 10 = 315.360.000 décimas de segundo, el tiempo medio necesario para encontrar la contraseña es: 3226266762397899821056 / 315360000 / 2 = 5.115.212.395.988 años, que es bastante más que la edad del universo. Nada que ver con las cifras del estudio. En mi opinión, ese estudio solo es una forma de darse publicidad.
Los hacker van a usar hardware más potente que el servidor web. Debido, precisamente, al uso de hardware específico para romper contraseñas, se han desarrollado funciones PBKDF que ponen las cosas difíciles a los hackers.
Esto no quiere decir que no importe la longitud de las contraseñas. Un hacker suele empezar probando todas las contraseñas de tres caracteres, luego de cuatro, de cinco, de seis, etc. y va a ser más fácil que encuentre la contraseña correcta cuanto menor sea su tamaño y el tamaño de su alfabeto.
Usuario desactivado
Lo de usar gestores de contraseñas, con las recientes filtraciones que han sufrido, descartado. Es más seguro apuntarla en un papel. Me parece que el artículo se refiere a quebrar contraseñas de mensajes encriptados, porque las contraseñas de acceso a servicios, como Gmail o Facebook, por poner ejemplos, obligan a un tiempo de espera entre un intento y el siguiente.
Antonio
Supongo que les saldrá más a cuenta tirar de las infinitas bases de datos filtradas, muchos de cuyos usuarios ni se han molestado en cambiar las contraseñas, que intentar todo esto.
David dd
Pregunta chorras
Si yo meto mi contraseña mal 3 veces (o 2 o 10 segun la pagina) me bloquea y no puedo volver a meterla otra vez hasta pasados 15 minutos
Como pueden probar tanta contraseña sin ser baneados?
goyito666
Las contraseñas complicadas en las empresas equivalen a ver pegados en los monitores los post it con ellas, entra cualquiera con la escusa de ser tal o cual repartidor y le resulta fácil salir con una fotografia de ellas. Encima llaman por teléfono haciendose pasar por los administradores y siempre hay pardillos que se las dicen, veanse los casos salidos en prensa al respecto.
Miyamoto Gaming
Yo no comparto el mismo correo con el que accedo a mi banco para suscribirme/registrarme a páginas o para compartirlo con cualquiera. Para eso ocupo un correo para interactuar con otros, o un correo desechable. Aparte de eso, tengo como 6 contraseñas que a veces uso todas juntas, las primeras dos con la última, alreves, ect y dependiendo para que lo voy a usar será más compleja. Y todo está dentro de mi cabeza, nunca he necesitado gestores.
Lo que si encuentro ridículo son esas páginas que te obligan a cambiar la clave a los meses, y que encima de todo quieren que las hagas más complicadas de lo normal. Solo por eso tuve que cambiar de banco porque ya no me dejaba ver mis estados de cuenta.
algar1
Los supuestos 3 y 4 son iguales, aunque con distinto resultado:
12 caracteres, Números, mayúsculas, minúsculas y símbolos
Deberían corregirlo.
En la empresa donde trabajo ya exijen contraseñas de un mínimo de 22 caracteres, deben incluir mayúsculas, minúsculas, números y símbolos.
Saludos.
mad_max
Eso esta interesante pero la realidad es que las contraseñas hoy en día no se revientan por fuerza bruta sino que se copian y pegan.
Por poco tiempo que salga en esa tabla para tu contraseña, nadie va a romperla porque cualquier servidor o login con un mínimo de seguridad te va a bloquear despues de X intentos, o te va a pedir captcha, o va a introducir una espera artificial a la hora de verificar la contraseña que va a multiplicar esos tiempos por 1 millón.
Gonzalo
Si no lo entiendo mal, los datos del artículo se refieren al tiempo que se tarda en averiguar una única contraseña con todo el hardware disponible mediante fuerza bruta. Dudo que se vayan a aplicar estos métodos a las bases de datos filtradas con millones de registros para encontrar fotos de gatitos. Salvo que seas una persona de interés, en cuyo caso deberías de saberlo y tener contraseñas fuertes.
Las personas y organizaciones que manejan información sensible deberían tener políticas de passwords lo suficientemente restrictivas como para que un ataque de fuerza bruta sea casi inviable. Además debería ser obligatorio cambiarlas cada cierto tiempo, lo cual minimiza cualquier filtración que haya podido haber.
Guybrushh
15 caracteres en minúsculas es suficiente según el cuadro. entonces para que me voy a complicar la vida con símbolos?
Si mi conteseña es : mi primer videojuego fue monkey Island todo junto acaso no sería /suficiente?
Cufloc
"HackeameEstaMamahuevo"
21 carácteres, ni números, ni símbolos, ni cosas raras. Súper sencilla de recordar e inhackeable.
A txuparla
guerraga
¿Lo de passkeys de Google y Apple que se propone eliminar las contraseñas no está funcionando?
rennoibtg
Vamos, todavía les faltan años y ordenadores cuánticos para tumbar algunos de mis password que suben a la media centena.
issuedosbmckinley
Miedo miedo...
abulafia
Doble factor de verificación junto al uso conjunto de una herramienta de "cerrojo" como, por ejemplo, Latch.
Hackeable seguirá siendo, como todo, pero anda que no deberían tomarse trabajo para poder hacerlo.
oravla_1
Creo que lo de Apple y Google todavia lo estan probando. No es facil.Aparentemente será una combinación de cara-huella-pupila-pedos y orina. O algo asi.
No habrá dios que pueda. En serio.
intruso6666
123456 hasta que se esparzan mis cenizas, y aquí sigo,
Mikke
La mayoría de portales y en definitiva acceso de usuario, si indicas la contraseña mal cinco o diez veces queda bloqueado el usuario.