Una frase de contraseña es una secuencia de palabras u otro texto que se utiliza para controlar el acceso a un sistema, programa o datos informáticos . Una frase de contraseña es similar a una contraseña en uso, pero generalmente es más larga para mayor seguridad. Las frases de contraseña se utilizan a menudo para controlar tanto el acceso como el funcionamiento de programas y sistemas criptográficos , especialmente aquellos que derivan una clave de cifrado a partir de una frase de contraseña. El origen del término es por analogía con la contraseña . Se cree que el concepto moderno de frases de contraseña fue inventado por Sigmund N. Porter [1] en 1982.
Seguridad
Teniendo en cuenta que la entropía del inglés escrito es inferior a 1,1 bits por carácter, [2] las frases de contraseña pueden ser relativamente débiles. NIST ha estimado que la frase de contraseña de 23 caracteres "IamtheCapitanofthePina4" contiene una fuerza de 45 bits. La ecuación empleada aquí es: [3]
- 4 bits (primer carácter) + 14 bits (caracteres 2 a 8) + 18 bits (caracteres 9 a 20) + 3 bits (caracteres 21 a 23) + 6 bits (bonificación para mayúsculas, minúsculas y alfanuméricos) = 45 bits
(Este cálculo no tiene en cuenta que se trata de una cita muy conocida de la opereta HMS Pinafore . Un hash MD5 de esta frase de contraseña se puede descifrar en 4 segundos utilizando crackstation.net, lo que indica que la frase se encuentra en bases de datos de descifrado de contraseñas. )
Usando esta guía, para lograr la fuerza de 80 bits recomendada por NIST para alta seguridad (no militar), una frase de contraseña debería tener 58 caracteres, asumiendo una composición que incluye mayúsculas y alfanuméricos.
Hay espacio para el debate sobre la aplicabilidad de esta ecuación, dependiendo del número de bits de entropía asignados. Por ejemplo, los caracteres en palabras de cinco letras contienen cada uno 2,3 bits de entropía, lo que significaría que solo se necesita una frase de contraseña de 35 caracteres para lograr una fuerza de 80 bits. [4]
Si las palabras o los componentes de una frase de contraseña se pueden encontrar en un diccionario de idiomas, especialmente uno disponible como entrada electrónica a un programa de software, la frase de contraseña se vuelve más vulnerable al ataque de diccionario . Este es un problema particular si la frase completa se puede encontrar en un libro de citas o recopilaciones de frases. Sin embargo, el esfuerzo requerido (en tiempo y costo) se puede hacer impracticablemente alto si hay suficientes palabras en la frase de contraseña y cuán aleatoriamente se eligen y ordenan en la frase de contraseña. El número de combinaciones que tendrían que probarse en condiciones suficientes hace que un ataque de diccionario sea tan difícil que resulte inviable. Estas son condiciones difíciles de cumplir, y seleccionar al menos una palabra que no se puede encontrar en ningún diccionario aumenta significativamente la fuerza de la frase de contraseña.
Si los seres humanos eligen las frases de contraseña, suelen estar sesgadas por la frecuencia de determinadas palabras en el lenguaje natural. En el caso de frases de cuatro palabras, la entropía real rara vez supera los 30 bits. Por otro lado, las contraseñas seleccionadas por el usuario tienden a ser mucho más débiles que eso y alentar a los usuarios a usar incluso frases de contraseña de 2 palabras puede aumentar la entropía de menos de 10 bits a más de 20 bits. [5]
Por ejemplo, el estándar de criptografía ampliamente utilizado OpenPGP requiere que un usuario cree una frase de contraseña que se debe ingresar al descifrar o firmar mensajes. Los servicios de Internet como Hushmail proporcionan correo electrónico cifrado gratuito o servicios para compartir archivos, pero la seguridad presente depende casi por completo de la calidad de la frase de contraseña elegida.
Comparado con contraseñas
Las frases de contraseña difieren de las contraseñas. Una contraseña suele ser corta: de seis a diez caracteres. Dichas contraseñas pueden ser adecuadas para varias aplicaciones (si se cambian con frecuencia, si se eligen utilizando una política adecuada, si no se encuentran en los diccionarios, si son lo suficientemente aleatorias y / o si el sistema evita las adivinanzas en línea, etc.) tales como:
- Iniciar sesión en sistemas informáticos
- Negociar claves en un entorno interactivo (por ejemplo, utilizando un acuerdo de clave autenticado por contraseña )
- Habilitar una tarjeta inteligente o un PIN para una tarjeta de cajero automático (por ejemplo, cuando los datos de la contraseña (con suerte) no se pueden extraer)
Pero las contraseñas generalmente no son seguras de usar como claves para sistemas de seguridad independientes (por ejemplo, sistemas de encriptación) que exponen datos para permitir que un atacante adivine contraseñas sin conexión. [6] Las frases de contraseña son teóricamente más fuertes, por lo que deberían hacer una mejor elección en estos casos. En primer lugar, por lo general son (y siempre deberían ser) mucho más largos (de 20 a 30 caracteres o más es típico), lo que hace que algunos tipos de ataques de fuerza bruta sean totalmente imprácticos. En segundo lugar, si se eligen bien, no se encontrarán en ningún diccionario de frases o citas, por lo que tales ataques de diccionario serán casi imposibles. En tercer lugar, se pueden estructurar para que sean más fáciles de recordar que las contraseñas sin necesidad de escribirlas, lo que reduce el riesgo de robo de copias impresas. Sin embargo, si una frase de contraseña no está protegida adecuadamente por el autenticador y se revela la frase de contraseña de texto sin cifrar, su uso no es mejor que otras contraseñas. Por esta razón, se recomienda que las frases de contraseña no se reutilicen en sitios y servicios diferentes o únicos.
En 2012, dos investigadores de la Universidad de Cambridge analizaron contraseñas del sistema Amazon PayPhrase y encontraron que un porcentaje significativo es fácil de adivinar debido a referencias culturales comunes como nombres de películas y equipos deportivos, perdiendo gran parte del potencial de usar contraseñas largas. [7]
Cuando se utiliza en la criptografía, comúnmente la contraseña protege un largo (máquina generado) clave , y la clave protege los datos. La clave es que un ataque de fuerza bruta (directamente sobre los datos) es imposible. Se utiliza una función de derivación de claves , que implica muchos miles de iteraciones (con sal y hash), para ralentizar los ataques de descifrado de contraseñas .
Selección de frase de contraseña
Los consejos típicos sobre la elección de una frase de contraseña incluyen sugerencias de que debería ser: [8]
- Lo suficiente como para ser difícil de adivinar
- No es una cita famosa de literatura, libros sagrados, etc.
- Difícil de adivinar por intuición, incluso para alguien que conoce bien al usuario
- Fácil de recordar y escribir con precisión
- Para mayor seguridad, se puede aplicar cualquier codificación fácil de recordar al nivel del usuario.
- No reutilizado entre sitios, aplicaciones y otras fuentes diferentes.
Métodos de ejemplo
Un método para crear una frase de contraseña fuerte es usar dados para seleccionar palabras al azar de una lista larga, una técnica a la que a menudo se hace referencia como software de dados . Si bien tal colección de palabras podría parecer que viola la regla de "no de ningún diccionario", la seguridad se basa completamente en la gran cantidad de formas posibles de elegir de la lista de palabras y no en ningún secreto sobre las palabras en sí. Por ejemplo, si hay 7776 palabras en la lista y seis palabras se eligen al azar, entonces hay 7776 6 = 221073919720733357899776 combinaciones, proporcionando aproximadamente 78 bits de entropía . (Se eligió el número 7776 para permitir la selección de palabras lanzando cinco dados. 7776 = 6 5 ) Las secuencias de palabras aleatorias se pueden memorizar utilizando técnicas como el palacio de la memoria .
Otra es elegir dos frases, convertir una en un acrónimo e incluirla en la segunda, formando la contraseña final. Por ejemplo, usando dos ejercicios de mecanografía en inglés, tenemos lo siguiente. El rápido zorro marrón salta sobre el perro perezoso y se convierte en tqbfjotld . Incluirlo en, Ahora es el momento de que todos los hombres buenos acudan en ayuda de su país , podría producir, Ahora es el momento de que todos los buenos tqbfjotld acudan en ayuda de su país como la frase de contraseña.
Hay varios puntos a tener en cuenta aquí, todos relacionados con por qué esta frase de contraseña de ejemplo no es buena.
- Ha aparecido en público, por lo que todo el mundo debería evitarlo.
- Es largo (lo cual es una virtud considerable en teoría) y requiere un buen mecanógrafo ya que los errores de mecanografía son mucho más probables para frases extensas.
- Las personas y organizaciones que se toman en serio la piratería de la seguridad informática han compilado listas de contraseñas derivadas de esta manera de las citas, letras de canciones, etc. más comunes.
El PGP Passphrase FAQ [9] sugiere un procedimiento que intenta un mejor equilibrio entre seguridad teórica y practicidad que este ejemplo. Todos los procedimientos para elegir una frase de contraseña implican un compromiso entre seguridad y facilidad de uso; la seguridad debe ser al menos "adecuada" sin molestar "demasiado seriamente" a los usuarios. Ambos criterios deben evaluarse para que coincidan con situaciones particulares.
Otro enfoque complementario para frustrar los ataques de fuerza bruta es derivar la clave de la frase de contraseña utilizando una función hash deliberadamente lenta , como PBKDF2, como se describe en RFC 2898.
Soporte de Windows
Si no es necesaria la compatibilidad con versiones anteriores de Microsoft LAN Manager , en las versiones de Windows NT (incluidos Windows 2000 , Windows XP y posteriores), se puede utilizar una frase de contraseña como sustituto de una contraseña de Windows. Si la frase de contraseña tiene más de 14 caracteres, esto también evitará la generación de un hash LM muy débil .
Soporte Unix
En versiones recientes de sistemas operativos similares a Unix como Linux , OpenBSD , NetBSD , Solaris y FreeBSD , se pueden usar frases de contraseña de hasta 255 caracteres.
Ver también
- Archivo de clave
- Criptografía basada en contraseña
- Psicología de las contraseñas
Referencias
- ^ Sigmund N. Porter. "Una extensión de contraseña para mejorar los factores humanos". Computers and Security, 1 (1): 54-56, enero de 1982.
- ^ Matt Mahoney. "Refinando la entropía estimada del inglés por Shannon Game Simulation" . Instituto de Tecnología de Florida . Consultado el 27 de marzo de 2008 .
- ^ "Directriz de autenticación electrónica" (PDF) . NIST . Consultado el 26 de septiembre de 2016 .
- ^ Jesper M. Johansson. "Los grandes debates: Pass Phrases vs Passwords. Parte 2 de 3" . Microsoft Corporation . Consultado el 27 de marzo de 2008 .
- ^ Joseph Bonneau, Ekaterina Shutova, Propiedades lingüísticas de frases de contraseña de varias palabras , Universidad de Cambridge
- ^ Urbina, Ian (19 de noviembre de 2014). "La vida secreta de las contraseñas" . Revista del New York Times .
- ^ Godwin, Dan (14 de marzo de 2012). "Las frases de contraseña son solo un poco más seguras que las contraseñas debido a las malas elecciones" . Consultado el 9 de diciembre de 2014 .
- ^ Lundin, Leigh (11 de agosto de 2013). "PIN y contraseñas, parte 2" . Contraseñas . Orlando: SleuthSayers.
- ^ Randall T. Williams (13 de enero de 1997). "Preguntas frecuentes sobre la frase de contraseña" . Consultado el 11 de diciembre de 2006 .
enlaces externos
- Página de Diceware
- xkcd Explicación común del concepto sobre la fuerza de la contraseña