Seguridad Utilizable I – Contraseñas

En esta entrada vuelvo a retomar el concepto de Seguridad Utilizable del último post, más específicamente tomando el punto de vista de autenticación por contraseña.

La idea detrás de la autenticación utilizable es la de que los usuarios necesitan involucrarse en el sistema para hacerlo seguro. Generalmente, realizamos la autenticación de usuarios a través de un sistema de contraseñas, las cuales tienden a no ser seguras por muchos motivos, los cuales los iré enumerando a los largo de este post.

Primero me gustaría hablar del uso que le damos y lo poco útil que resultan los sistemas de autenticación por contraseñas actuales, para después, en este y en posteriores posts poder describir posibles alternativas.

A continuación os muestro las contraseñas más usadas en Internet en 2014:

Ninguna de las contraseñas anteriores tienen pinta de ser muy buenas opciones y mucho menos seguras, pero todas tienen un denominador común: son muy fáciles de recordar, y este es el principal punto a tener en cuenta. La gente prefiere elegir pésimas contraseñas, con niveles mínimos de seguridad, pero les resulte sencillas de memorizar. De hecho, si forzamos a la gente a utilizar contraseñas complejas,  o bien, la olvidaran con frecuencia (es decir, llamada al departamento técnico para su reseteo), o las anotaran y las guardaran en sitios fáciles de encontrar, lo cual compromete seriamente la seguridad.  Así que tened siempre presente esto antes de pedirles a los usuarios complejas contraseñas.

Si obligáis a memorizar contraseñas de este tipo a los usuarios, estaréis influyendo en  aspectos como la facilidad de aprendizaje y la facilidad de recordar (de los cuales hablamos en el post anterior). Y si ademas les obligamos a cambiar de contraseña cada seis meses, tendremos al usuario  enfadado y con el reto de aprender un nuevo galimatías. Todo esto multiplicado por cada una de las plataformas a las que tenga que acceder.

Desde el punto de vista del administrador, este tipo de contraseñas tiene sentido, ya que a ninguno nos gustaría ver  nuestros servidores de datos comprometidos por este motivo, al igual que no nos gustaría que accediesen a la lista de distribución de nuestros servidores de correo y realizando campañas de SPAM con el nombre de nuestra empresa. Pero si piensas cuantas contraseñas complicadas y diferentes utilizas para autenticarte en cientos de sitios, y que además deben ser cambiadas cada 3 o 6 meses, eso es imposible de recordar.

La solución a este problema desde el punto de vista de la Usabilidad no debe ser aconsejar a la gente el uso de los gestores de contraseñas, si no implementar sistemas de contraseñas más utilizables o sistemas alternativos de autenticación.

Para poder conocer porque no son útiles contraseñas como las de la Figura 1 debemos conocer de que maneras pueden ser atacadas.

• Humana
• Fuerza Bruta
• Palabras Comunes
• Diccionario

El ataque por factor humano puede venir de múltiples maneras,  bien puedes conseguir la contraseña pregúntaselo de forma directa (Fácil ¿verdad?), o bien averiguar su contraseña  con los datos personales que puedes averiguar sobre el objetivo, el nombre de su perro, de sus hijos, su cumpleaños… Otra forma de conseguirla es ir a su oficina y buscar donde la puede tener escrita y guardada, probablemente con un post-it debajo del teclado (NO!!, ya no vale que la quites ahora, TE PILLÉ 😉 ). Esta tipo de ataque no tiene nada que ver con ordenadores y programas para hackear contraseñas, es simplemente tener en cuenta para el ataque la psicología humana y nuestras habilidades cognitivas.

Dejando a un lado el ataque humano, el ataque por Fuerza Bruta es una manera sencilla y el mecanismo más común  de ataque a una contraseña, en este caso, debemos empezar a averiguar la contraseña desde la letra a y seguir probando hasta la z. En el caso de una contraseña estándar de mínimo 6 caracteres empezaríamos con aaaaaa hasta acabar en ZZZZZZ. Para utilizar este tipo de ataques existen múltiples programas disponibles en Internet pero dependiendo de la longitud de la contraseña a averiguar puede llevar una gran cantidad de tiempo para realizar el ataque completo.

Los dos últimos ataques tienen un factor común, atacan la contraseña de usuarios que han elegido palabras de uso cotidiano para establecerla. En el caso de palabras comunes, se trata en probar con palabras del entorno o de las labores diarias del usuario para intentar el acceso. Mientras que en el ataque por Diccionario, se habrá preparado previamente un archivo de texto con múltiples palabras, las cuales se irán probando una a una.

Como hemos podido comprobar los requisitos convencionales para las contraseñas es lo más eficaz en contra de estos ataques, pero ¿existe alguna alternativa que sea igual de segura pero más fácil de recordar para el usuario? Sí existe.

Existe un método que incluso utilizando los mecanismos más efectivos para averiguar las contraseñas y sin necesidad de uso de mayúscula, minúscula ni caracteres especiales, dispara el tiempo necesario para aviguarla. Este método se basa en la combinación de varias palabras comunes. En el caso del uso de dos palabras comunes podría ser descifrada en dos meses, pero ¿y si aumentamos en una palabra más? El resultado sería que no se podría descifrar en 2.537 años, o lo que es lo mismo, segura de por vida.

Con esta solución obtenemos ambos beneficios, obtenemos una frase sencilla de recordar pero difícil de descifrar (p. ej. «Yo soy feliz»). Este método es eficaz gracias al gran número de combinaciones posibles para construir frases con tres palabras comunes. Si además a esta combinación de palabras le añadimos palabras poco comunes, es absolutamente indescifrable.

En conclusión, los sistemas de contraseña serían mucho más seguros si las contraseñas permitidas fuesen más utilizables.

¿Estáis de acuerdo?

Saludos.

J. Fabello