Para usar servicios web, además de escoger un nombre de usuario, hay que escoger una contraseña (clave/password/PIN [1]). Hoy en día utilizamos contraseñas para todo: sistemas operativos, cajeros automáticos, servicios web, etc. Lo habitual es que sea un conjunto de números y caracteres sencillos [2] difícil de adivinar y fácil de recordar (The Usability of Passwords). Aunque son vulnerables y previsibles aquí te cuento algunas recomendaciones para escoger una buena contraseña.

Contraseñas Vulnerables

Es (relativamente) fácil adivinar una contraseña sobre todo si se tiene acceso a la lista de usuarios y contraseñas. Es decir, primero hay que robar la base de datos y luego probar a adivinar (tipicamente por fuerza bruta). Y sí, se ha hecho muchas veces. Como dice Bruce Scheneier (Choosing Secure) el problema no es la contraseña, sino el sistema que la maneja (o lo más débil de los dos). No es lo mismo un ataque on-line (el atacante tiene generalmente 3 intentos) que off-line (puede intentarlo infinitas veces). Es importante que entiendas que el riesgo es que te roben tu identidad (usuario/contraseña) pero hay que vivir con ese riesgo

Si eres el objetivo [3] y alguien quiere de verdad verdad conseguir tu usuario y contraseña lo mejor es que te asesores bien. La buena noticia es que es difícil que seas un objetivo, la mala es que todos lo somos para algo. Pero entiende que todas las contraseñas son vulnerables.

Si quieres probar cuanto de fuerte es una contraseña puedes probar (Password Meter) cual es su fortaleza (Brute Force Attack y eso va a depender del número y tipo de caracteres.

Contraseñas Previsibles

Por ejemplo, con los datos de algunos ataques se ha podido hacer un perfil de las contraseñas que las personas utilizan. Veámos algunos ejemplos.

Robo en MySpace en 2006 sobre 34.000 registros, aunque se robaron más (Statistics). Se podría decir que una contraseña media tiene 6 caracteres, números y letras y suele ser clave, clave1, myspace1, myspace o abc123

Robo en Gawker en 2010 sobre el 20% del millón de registros robados (Statistics). Y dice más o menos lo mismo, las contraseñas más habituales son 123456, clave, 12345678, lifehack, qwerty y abc1234.

Robo en Hotmail en 2009 sobre 10 mil registros (Statistics). Sobre datos en español pero la conclusión es la misma. Las más habituales son 123456, 123456789, alejandra, 111111, alejandro

En definitiva, que somos bastante previsibles[4] y buscamos comodidad (usabilidad) frente a seguridad (que para eso somos personas humanas)

Recomendaciones

Vale, vale, vamos a lo práctico. Para escoger una buena constraseña se me ocurren dos recomendaciones (Choose and Remember Great Passwords): escoger una regla de construcción y no utilizar siempre la misma

Una regla típica de construcción es usar frases para construir la contraseña. Lo más fácil es utilizar la primera letra, pero hay múltiples variaciones. Por ejemplo de la frase Lo leí en un artículo de cesáreo tendrías la contraseña lleuadc, y si lo complicas un poquito, intercambias minúsculas y mayúsculas y escoges LlEuAdC, y así sucesivamente.

Y para utilizar diferentes passwords[5] según el servicio, construyes la constraseña base[6] y añades las palabras que te interesen. En realidad es incluir en la regla de construcción el servicio que utilizas. Un ejemplo (muy simple) sería que la frase base sea Esta es La contraseña, es decir y añadirle la primera letra[7] del servicio a utilizar, así para gmail sería EeLcDg o para yahoo EeLcDy). Es decir EeLcDy sería Esta es La contraseña De yahoo. ¿Fácil no?