Durante años, los consejos de ciberseguridad han sido los mismos: crear contraseñas mejores para proteger tu seguridad en línea. Entonces, ¿por qué siguen siendo tan comunes contraseñas como «qwerty»?
La responsabilidad debería recaer en los sitios web y los servicios, que deben fomentar y exigir una mejor «higiene cibernética», escribe un profesor de ciberseguridad.
Como mínimo, los sitios web deberían contar con procesos para filtrar las contraseñas débiles: una «lista negra» de opciones comunes.
Año tras año, se descubre que contraseñas como «123456», «qwerty» e incluso «password» están entre las más populares y 2021 no fue la excepción.
Estos informes suelen venir acompañados del mismo consejo para los usuarios: crear contraseñas mejores para proteger su seguridad en línea. Aunque esto bien puede ser cierto, también es hora de reconocer que años promoviendo este mensaje han tenido poco o ningún efecto.
Para mejorar la situación, creo que debemos dejar de culpar a las personas y hacer recaer la responsabilidad en los sitios web y los servicios, para que fomenten y exijan una mejor «higiene cibernética».
Por supuesto, es fácil señalar a los usuarios: en última instancia, son ellos quienes eligen contraseñas débiles. Pero, al mismo tiempo, ahora es bien sabido que la gente suele tomar estas decisiones. Por eso, es razonable suponer que, sin orientación ni restricciones para impedir las contraseñas débiles, probablemente seguirán con los mismos hábitos.
Sin embargo, hay generaciones sucesivas de usuarios a quienes no se les explica cómo es una buena contraseña ni se les impide tomar decisiones perezosas. No cuesta encontrar ejemplos de sitios web que aceptan las peores contraseñas sin quejarse. También es fácil encontrar sitios que exigen a los usuarios crear contraseñas, pero no les dan ninguna orientación para hacerlo. O sitios que avisan al usuario de que la contraseña que eligió es débil, pero aun así la permiten.
Cómo pueden mejorar los proveedores
Si eres responsable de gestionar un sitio web o un servicio que acepta contraseñas como «123456», «qwerty» o «password», es hora de replantearte el sistema. Si permites que los usuarios elijan contraseñas malas, creerán que son aceptables y seguirán con esta mala práctica.
Por el contrario, al implementar protocolos más estrictos, puedes ayudar a abordar el problema desde su origen. Los sitios web deberían contar con procesos para filtrar las contraseñas débiles: una «lista negra» de opciones comunes.
Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración entre sectores y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la resiliencia cibernética y a abordar desafíos que requieren respuestas colectivas.
Y aunque puede ser útil ofrecer orientación a los usuarios cuando crean una contraseña, los sitios deberían dejar de insistir en requisitos que organismos autorizados como el Centro Nacional de Ciberseguridad del Reino Unido y el Instituto Nacional de Estándares y Tecnología de Estados Unidos ahora dicen que no deberían imponerse. Por ejemplo, desaconsejan exigir complejidad en las contraseñas (como incluir letras mayúsculas y minúsculas, números y signos de puntuación).
Ambas organizaciones indican que aumentar la longitud de la contraseña es más importante que su complejidad. Esto se debe a que las contraseñas más largas son más resistentes al descifrado por fuerza bruta (en el que los atacantes prueban todas las combinaciones de letras, números y símbolos hasta encontrar una coincidencia) y las contraseñas menos complejas pueden ser más fáciles de recordar.
Sin embargo, muchos sitios siguen exigiendo complejidad e imponiendo límites máximos de longitud, lo que a menudo bloquea opciones de contraseña perfectamente razonables que nuestros navegadores y otras herramientas pueden generar automáticamente.
Quizá te preguntes por qué esto es importante. Si las personas quieren elegir contraseñas débiles y ponerse en riesgo, ¿por qué debería ser un problema del proveedor? Un argumento es que, si un servicio tiene la responsabilidad de proteger los datos personales de los usuarios (como les corresponde a los proveedores en virtud del RGPD), no tiene mucho sentido permitir que los usuarios se expongan al riesgo al elegir contraseñas débiles.
También cabe señalar que, en algunos casos, la contraseña débil de un usuario podría dar a un atacante un punto de apoyo dentro del sistema desde el que explotar otras vulnerabilidades y ampliar su acceso. Por eso, podría decirse que al proveedor le interesa reducir estas oportunidades y proteger, de paso, los datos de otras personas.
Las contraseñas no van a desaparecer
Ahora estamos viendo un cambio hacia la autenticación sin contraseña, pero el propio nombre subraya el predominio de los métodos basados en contraseñas. Se predijo su desaparición hace más de 15 años y, sin embargo, siguen aquí. Cabe suponer que nos acompañarán durante algún tiempo más.
Así que tenemos una elección: asumir la responsabilidad colectiva de hacer bien lo básico —lo que requiere actuar tanto por parte de los usuarios como de los proveedores— o mantener el esfuerzo colectivo de encogernos de hombros y quejarnos del comportamiento de los usuarios.
Para quienes proporcionan y gestionan sistemas, sitios y servicios basados en contraseñas, el llamamiento a la acción debería estar claro: comprueben qué permite su sitio y vean si puede hacerlo mejor. Si permite contraseñas débiles, cámbienlo o, como mínimo, hagan algo para disuadir a los usuarios de elegirlas.
Si lees esto como usuario y buscas buenos consejos para crear contraseñas mejores, el Centro Nacional de Ciberseguridad del Reino Unido ofrece algunos consejos útiles. Entre ellos figuran combinar tres palabras aleatorias para crear contraseñas más largas pero fáciles de recordar y guardar las contraseñas de forma segura en el navegador para reducir aún más la carga de recordarlas en varios sitios. Así que, aunque los proveedores no hagan lo suficiente, todavía hay cosas que puedes hacer para protegerte.
