Artículos sobre seguridad

Por dónde empezar

Empieza por contraseña contra frase de paso. Es el artículo con más probabilidad de cambiar lo que haces, y resuelve con aritmética una discusión que suele darse con opiniones: cuatro palabras al azar le ganan a una cadena corta de símbolos, y la razón se puede contar.

Después cuánto se tarda en romper una contraseña, que pone cifras reales frente a las advertencias vagas, y qué es un hash, que sostiene al resto de la categoría.

Qué tienen en común estos artículos

Lo que se escribe sobre seguridad suele funcionar a base de miedo, y el miedo es mala guía porque no ayuda a decidir qué hacer primero. Los artículos de acá usan números en cambio. Cuántos intentos hacen falta de verdad. Qué expone la filtración de una base de contraseñas y qué no. Por qué un código de seis dígitos que cualquiera podría espiar por encima del hombro igual sirve.

También intentan ser claros sobre dónde termina cada protección. MD5 contra SHA-256 trata de un algoritmo que está roto para firmas y sigue sirviendo para detectar un archivo corrompido por accidente. Cómo funcionan los códigos de doble factor explica por qué esos códigos resisten una contraseña robada y no una página de inicio de sesión falsa bien hecha. Mandar un secreto sin exponerlo trata sobre todo del canal y no del cifrado.

Preguntas frecuentes

¿Una frase de paso es realmente más fuerte que una contraseña compleja?

En general sí, y la cuenta es sencilla. Cuatro palabras elegidas al azar de una lista de 7776 dan unos 51 bits de entropía, que le gana a una contraseña típica de ocho caracteres con símbolos mezclados. Además es mucho más fácil de recordar, lo que importa porque las contraseñas imposibles de memorizar terminan anotadas o reutilizadas.

¿Por qué los códigos de doble factor cambian cada treinta segundos?

El código se genera a partir de un secreto compartido una sola vez al configurarlo más la hora actual, redondeada a una ventana de treinta segundos. Tu dispositivo y el servidor lo calculan por separado, así que no se transmite nada al iniciar sesión, y un código que alguien capturó queda inútil en menos de medio minuto.

¿MD5 sirve para algo todavía?

Para detectar corrupción accidental sí, y es rápido. Para cualquier cosa donde alguien pueda crear a propósito un segundo archivo con el mismo hash, no: ese ataque es practicable desde hace años. Las firmas, el guardado de contraseñas y las verificaciones de integridad frente a un atacante motivado necesitan SHA-256 o algo mejor.