LA SEGURIDAD EN LAS CONTRASEÑAS

Contraseñas

Hoy en día la confidencialidad de los datos es uno de los objetivos principales de la seguridad informática y uno de los mecanismos para lograrla es mediante el uso de contraseñas.

Esquemas de seguridad
Básicamente, un sistema de seguridad se basa en uno de estos tres puntos:

Ø  El conocimiento à Un PIN, una contraseña, un gesto.

Ø  La posesión à Un dispositivo, un servicio. 

Ø  La inherencia o herencia à Ojos, rostro, huellas dactilares.

Dado que la utilización de sólo uno de ellos es fácilmente suplantable, se intenta recurrir a lo que da nombre a la verificación en dos pasos, usando para ello dos de los tres puntos de un esquema de seguridad (siendo por lo general conocimiento y posesión).

Esquemas de seguridad basados en el conocimiento

Son los más habituales y están presentes en casi todos los servicios que utilizamos.

Un patrón se basa en el dibujo de un símbolo específico frente a un esquema dado (por ejemplo, el sistema de patrón de desbloqueo de Android, que tiene varios puntos que utilizados como vértices para dibujar con el dedo la figura elegida) o frente a una imagen (como sucede en el sistema operativo Windows 8).

La contraseña es un sistema que podría ser muy efectivo si siempre se tuvieran en cuenta y se cumplieran ciertas restricciones.

Contraseña segura

Una buena contraseña debe cumplir, al menos, tres de estas cuatro características:

Ø  Constar de 8 a 15 caracteres (mínimo) à A mayor longitud más difícil de adivinar.

Ø  Utilizar MAYÚSCULAS y minúsculas.

Ø  Utilizar caracteres especiales à $&%!#?*

Ø  Utilizar números de 0-9.

Además, para que una contraseña sea aún más segura también debe cumplir los siguientes requisitos:

Ø  No debe formarse con números y/o letras que sean consecutivas y/o estén adyacentes en el teclado, ni utilizar caracteres repetidos à 123456, 1q2w3e, aaa3456 o 123QWEasd

Ø  La contraseña no debe contener información que sea fácil de averiguar à Información personal: cumpleaños, nombres de hijos, cuadros de fútbol, etc.

Ø  No debe contener palabras existentes en algún idioma à Los ataques de diccionario prueban cada una de las palabras que figuran en el diccionario y/o palabras de uso común.

Método eficaz de selección de contraseñas
Es recomendable tener un método de selección de contraseñas. Como ejemplo, se elige una frase que para el usuario tenga un significado especial o simplemente que asegure que siempre la recordará.

El 04 de Mayo es el día de Star Wars

De esta frase se escogen las primeras letras, respetando mayúsculas y minúsculas, con lo cual se obtiene una serie de letras sin sentido aparente. Pero si es posible recordar la frase fácilmente, se tendrá una combinación que además incluya letras y números.

El 04 de Mayo es el día de Star Wars

E04dMeeddSW

Después se debe añadir algún símbolo especial, por ejemplo “%” al final del patrón que estamos creando, obteniendo así un patrón alfanumérico y que además contiene símbolos especiales:

E04dMeeddSW%

Esquemas de seguridad basados en la posesión
Estos sistemas están basados en algo único que sólo un usuario debería tener.

  Dispositivo: Un token de seguridad es un dispositivo electrónico que se le da a un usuario autorizado de un servicio computarizado para facilitar el proceso de autenticación. Los tokens permiten almacenar contraseñas y certificados y llevar, además, la identidad digital de la persona. Son generadores de contraseñas dinámicas conocidas como "OTP" (One Time Password).

  Clave pública: Se trata de un sistema de seguridad basado en la posesión de un archivo que contiene la clave pública para acceder al servicio. Este método ofrece bastante seguridad (el archivo sólo lo debe tener el usuario y puede descargarse únicamente en el momento de creación). No es sencillo de implementar, por lo que sólo suele verse en entornos más bien técnicos.

Esquemas de seguridad basados en la inherencia
Este sistema de identificación se basa en autenticar a la persona por algo que le es innato a ella de forma normalmente biológica.

Huellas dactilares: Es el más sencillo de implementar, también es de bajo costo.

Iris: Requiere buenas condiciones de luminosidad. El costo es mucho mayor.

Reconocimiento facial: De bajo costo pero requiere buenas condiciones de luminosidad. Es fácilmente manipulable.

Reconocimiento facial 3D: Es difícil de implementar.
Voz: Requiere buenas condiciones de sonido. Es fácilmente manipulable.

Ritmo cardíaco: Es difícil de implementar.

La unión de dos o más de estos esquemas de seguridad es lo que le da nombre a la verificación en dos pasos. Por ejemplo, con la unión de conocimiento y posesión, se tendría una contraseña y un OTP generado por un dispositivo digital (token).

Ataques por “Fuerza bruta” y “Diccionarios”Una parte fundamental de nosotros mismos y de nuestro trabajo depende de las claves elegidas y de su complejidad.
La implementación de contraseñas seguras debería ser el principal objetivo, ya que lo que somos y hacemos es importante. Esta implementación depende de la educación que cada usuario recibe y de las políticas de seguridad aplicadas.

Mediante el método denominado “Fuerza Bruta”, el atacante simplemente prueba distintas combinaciones de palabras hasta dar con la clave del usuario. Este tipo de ataque involucra algún tiempo de prueba y error.

Otras veces se realizan ataques sistemáticos (incluso con varias computadoras a la vez) con la ayuda de programas especiales y “diccionarios” que prueban millones de posibles claves, en tiempos muy breves, hasta encontrar el password correcto.

Los “diccionarios” son archivos con millones de palabras, las cuales pueden ser posibles contraseñas de los usuarios. Este archivo es utilizado para descubrir dicha clave en pruebas de fuerza bruta. Actualmente es posible encontrar diccionarios de gran tamaño orientados, incluso, a un área específica de acuerdo al tipo de organización que se esté atacando.

A continuación podemos observar el tiempo de búsqueda de una clave de acuerdo a su longitud y tipo de caracteres utilizados. La velocidad de búsqueda se supone en 100.000 passwords por segundo, aunque este número suele ser mucho mayor dependiendo del programa utilizado.

Cantidad de Caracteres	26 - Letras Minúsculas	36 - Letras y Dígitos	52 - Mayúsculas y Minúsculas	96 - Todos los Caracteres
6	51 minutos	6 horas	2,3 días	3 meses
7	22,3 horas	9 días	4 meses	24 años
8	24 días	10,5 meses	17 años	2.288 años
9	21 meses	32,6 años	890 años	219.601 años
10	54 años	1.160 años	45.840 años	21.081.705 años

Aquí puede observarse que si se utilizara una clave de 8 caracteres de longitud, con los 96 caracteres posibles, puede tardarse 2.288 años en descifrarla. Esto se obtiene a partir de las 968 (7.213.895.789.838.340) claves posibles de generar con esos caracteres.
Partiendo de la premisa en que no se disponen de esa cantidad de años para analizarlas por fuerza bruta, se deberá comenzar a probar con las claves más posibles, comúnmente llamadas Claves Débiles.

Conclusiones
La seguridad del conjunto es tan débil como el más débil de sus elementos.

Vale la pena tener en cuenta que las contraseñas son como la ropa interior... Deben cambiarse seguido, no se deben compartir con amigos, no se deben dejar tiradas por ahí, cuanto más largas sean, mejor y se debe ser misterioso en cuanto a ellas.