Es el fin de la complejidad de las contraseñas tal y como la conocemos.
Tras años instando a las empresas a imponer cambios frecuentes de contraseña y a exigir a los empleados que utilicen contraseñas complejas que contengan letras, números y símbolos, el NIST (Instituto Nacional de Estándares y Tecnología) ha publicado unas nuevas directrices sorprendentes, ya que, al parecer, ninguna de esas viejas medidas funciona.
Las recomendaciones del NIST, actualizadas recientemente en y disponibles en , establecen que las contraseñas deben tener una longitud de entre 15 y 64 caracteres, y sugieren a las empresas que utilicen generadores aleatorios de contraseñas y gestores de contraseñas para garantizar la seguridad de los códigos.
Las nuevas directrices han sorprendido a algunos sectores de la industria, aunque los miembros del NIST llevaban ya unos años avanzando en esta dirección. De hecho, Bill Burr, un directivo de nivel medio y autor del documento 2003 del NIST en el que se recomendaba utilizar contraseñas complejas, ha reconocido que dicho consejo era erróneo. «Ahora me arrepiento de gran parte de lo que hice», declaró Burr, ya jubilado, a The Wall Street Journal en 2017.
Roger Grimes, un reconocido experto en autenticación de KnowBe4, afirma que, aunque las empresas han seguido las directrices sobre complejidad, no hay muchas pruebas —si es que hay alguna— de que crear contraseñas de una forma concreta pueda hacerlas imposibles de piratear.
«Los piratas informáticos son capaces hoy en día de descifrar incluso contraseñas complejas de 18 caracteres si no son verdaderamente aleatorias», explica. «La complejidad crea la ilusión de seguridad, pero, en la práctica, a menudo da lugar a patrones predecibles o incluso a la reutilización de contraseñas en distintos sitios web».
Esta perspectiva parece constituir el núcleo de las nuevas directrices del NIST, que sugieren que las frases de contraseña sencillas de 19 caracteres, como «OfficeLunchOrder2024», serían más seguras que las contraseñas más complejas de 10 caracteres, como «P@ssw0rd1!». porque se tarda más en descifrarlos mediante métodos de fuerza bruta.
«Las contraseñas muy complejas plantean una nueva vulnerabilidad potencial: es menos probable que se puedan recordar y más probable que se anoten o se almacenen electrónicamente de forma insegura», afirma la propuesta del NIST.
Dejen de obligar a cambiar las contraseñas
Una de las nuevas recomendaciones más reveladoras del NIST es que las organizaciones dejen de exigir cambios periódicos de contraseña. Durante años, muchos equipos de TI han impuesto rotaciones de 60 o 90 días, convencidos de que así se minimizaría el riesgo de robo de contraseñas.
«. Las contraseñas muy complejas plantean una nueva vulnerabilidad potencial: es menos probable que se recuerden y más probable que se anoten o se almacenen electrónicamente de forma insegura.»En agosto se publicaron las nuevas directrices del NIST sobre contraseñas
No obstante, al modificar su recomendación, el NIST reconoció que los cambios frecuentes de contraseña pueden generar más problemas de los que resuelven. Los usuarios con poco tiempo y poco pacientes actualizan con frecuencia sus contraseñas introduciendo versiones más recientes que repiten patrones antiguos, débiles y fáciles de descubrir —como cambiar « Summer2024 » por «Fall2024»—.
Cabe destacar que el NIST va un paso más allá al afirmar que las organizaciones no tienen por qué exigir el restablecimiento de contraseñas hasta que se haya producido una filtración. El NIST sostiene que esto reducirá la carga cognitiva de los empleados y permitirá al departamento de TI centrarse en las amenazas de seguridad reales en lugar de en restablecimientos arbitrarios de contraseñas. Y ambos contribuyen en gran medida a mejorar la experiencia general de los empleados de .
Grimes considera que ese consejo va demasiado lejos, ya que pasa por alto el hecho de que las propias vulnerabilidades de las contraseñas pueden dar lugar a filtraciones de datos.
«La mayoría de las personas no saben que sus contraseñas se han visto comprometidas», afirma. «Si se le dice a la gente: “No cambien sus contraseñas”, y no las cambian a lo largo de los años, uno o varios patrones de contraseñas acabarán apareciendo en estas listas de contraseñas filtradas y pondrán en riesgo a la organización».
Autenticación multifactorial: ¿la clave para una empresa segura?
Además de modificar sus directrices sobre contraseñas, el NIST ha destacado la importancia de la autenticación multifactorial (MFA) para la seguridad empresarial. Lamentablemente, aunque casi el 97 % de las grandes organizaciones aplican políticas de contraseñas, solo el 38 % utiliza la autenticación multifactorial (MFA) en toda la empresa, según una encuesta reciente de KnowBe4.
«. La mayoría de las personas no saben que sus contraseñas se han visto comprometidas». «Sus patrones de contraseñas acaban en estas listas de contraseñas filtradas y ponen en riesgo a la organización.»Roger Grimes, reconocido experto en autenticación, KnowBe4
Sin duda, eso pone de manifiesto una laguna. Sin embargo, es posible que esa brecha siga existiendo para las empresas que utilizan la autenticación multifactorial (MFA), ya que, sin que ellas lo sepan, la mayoría recurre a métodos obsoletos como los SMS, y los piratas informáticos han estado atacando esos sistemas con un éxito cada vez mayor. Una de las técnicas que están utilizando es la denominada « » (fatiga de la autenticación multifactorial), en la que los usuarios se ven abrumados por repetidas solicitudes de autenticación multifactorial, lo que les lleva a aprobar solicitudes fraudulentas por frustración o por costumbre. Otra posibilidad es piratear empresas con sistemas de seguridad deficientes que prestan servicios de autenticación multifactorial (MFA) a otras empresas. A principios de este año, por ejemplo, un proveedor encargado de la autenticación multifactorial (MFA) de Cisco sufrió una filtración a raíz de un ataque de ingeniería social de tipo « » ( ).
Andrew Shikiar, director ejecutivo de la Alianza FIDO ( ), un consorcio industrial mundial dedicado a eliminar la dependencia mundial de las contraseñas, afirma que ya existe una alternativa mejor: las claves de acceso basadas en el marco FIDO2 de la organización.
Las claves de acceso se basan en pares de claves criptográficas, en lugar de en secretos compartidos como las contraseñas, en las que un usuario (en teoría) conoce e introduce un código que también se encuentra en el servidor de alguna organización. Esto las hace mucho más resistentes a los ataques de fuerza bruta y de ingeniería social, como los que se utilizan para saturar los métodos de autenticación multifactorial (MFA) más antiguos.
[Lea también: Qué es la ingeniería social en ciberseguridad – una guía completa]
Las claves de acceso son prácticamente imposibles de suplantar mediante phishing, ya que utilizan pares de claves públicas y privadas en los que toda la autenticación se lleva a cabo a través de un diálogo cifrado entre dichas claves, lo que impide que los atacantes engañen a los usuarios para que revelen información confidencial. Este diálogo solo aparece después de que el usuario se haya identificado localmente en su dispositivo —lo cual suele hacerse mediante la misma acción sencilla que utiliza para desbloquear dicho dispositivo—, como por ejemplo, mediante la tecnología biométrica del teléfono (por ejemplo, Face ID) o un código PIN.
Qué implican las directrices del NIST para las contraseñas, las claves de acceso y su organización
¿Acabarán las claves de acceso con las contraseñas de una vez por todas?
«. Estamos observando un creciente interés por parte de las empresas en las claves de acceso, ya que ofrecen una defensa más sólida frente a los vectores de ataque más comunes en la actualidad: el phishing y el credential stuffing.»Andrew Shikiar, director ejecutivo de la Alianza FIDO
Incluso Shikiar, uno de sus defensores más acérrimos, admite que las contraseñas están tan arraigadas en las empresas que resultará difícil eliminarlas. No obstante, señala que el marco FIDO, que prescinde de contraseñas, está cobrando impulso gracias al respaldo de importantes proveedores de plataformas como Apple, Google y Microsoft. «Más del 20 % de los principales sitios web del mundo admiten ya las claves de acceso», añade, «y millones de clientes de Amazon y del Bank of America ya utilizan estas claves para iniciar sesión».
«Estamos observando un creciente interés por parte de las empresas en las claves de acceso, ya que ofrecen una protección más sólida frente a los vectores de ataque más habituales en la actualidad: el «», el phishing y el «credential stuffing»», afirma.
Las directrices del NIST son precisamente eso: directrices. Las organizaciones de TI pueden optar por utilizarlas o prescindir de ellas. Grimes señala que, para empezar, muchas organizaciones no estaban cumpliendo las directrices anteriores. No obstante, los expertos recomiendan a las empresas que, como mínimo, tengan en cuenta las nuevas recomendaciones, junto con algunas buenas prácticas para reducir el riesgo y mejorar su nivel de seguridad, entre las que se incluyen:
1. Preste más atención a la longitud de la contraseña que a su complejidad
Exija contraseñas o frases de contraseña que sean más fáciles de recordar para los empleados, pero que tengan una longitud de 18 caracteres o más. El objetivo es dejar atrás el «P@ssw0rd!». y hacia algo así como «ProjectKiteboard2025».
2. Limitar los cambios obligatorios de contraseña
A menos que se haya producido un incidente o una filtración concretos, no es necesario obligar a los empleados a cambiar sus contraseñas con tanta frecuencia como hasta ahora. Grimes afirma que, incluso teniendo en cuenta la recomendación del NIST, no es necesario a menos que se haya producido una filtración, y que sería aconsejable exigir el cambio de contraseña aproximadamente una vez al año.
3. Exija la autenticación de dos factores siempre que sea posible
Active y aplique la autenticación multifactorial (MFA) en la mayor medida posible, especialmente en el caso de cuentas sensibles o sistemas empresariales críticos. Change Healthcare, una de las mayores empresas del mundo dedicadas a la gestión de pagos sanitarios, aprendió esa lección por las malas. A principios de este año, la unidad de UnitedHealth, que gestiona 15 000 millones de reclamaciones médicas al año, quedó fuera de servicio porque no utilizaba la autenticación multifactorial (MFA). Se estima que, como consecuencia de ello, un tercio de los estadounidenses ha visto cómo su información confidencial se filtraba en la dark web.
4. Proporcione gestores de contraseñas a los empleados
Shikiar señala que cualquier contraseña es susceptible de ser objeto de un intento de suplantación de identidad. Cualquier contraseña puede ser pirateada. «Por lo tanto, si todavía utiliza contraseñas, es mejor que las proteja mediante un gestor de contraseñas», afirma. No son infalibles. También pueden ser objeto de un ataque informático. No obstante, al generar y utilizar contraseñas aleatorias que sean únicas para cada sitio web y servicio, pueden contribuir a reducir las amenazas de phishing.
«Si no puede utilizar la autenticación multifactorial (MFA) resistente al phishing, utilice la MFA; si no puede utilizar la MFA, utilice un gestor de contraseñas», afirma Grimes. «Si la mayoría de la gente hiciera eso, les iría mucho mejor». «Si no utiliza un gestor de contraseñas, podría estar poniendo en riesgo a su empresa».
Las organizaciones que adopten estos cambios reducirán su superficie de ataque y simplificarán las medidas de seguridad para sus equipos. Por decirlo de alguna manera: «Las contraseñas son las cucarachas de Internet: son difíciles de eliminar». Sin embargo, gracias a herramientas como la autenticación multifactorial (MFA) a prueba de suplantación de identidad, las claves de acceso y los gestores de contraseñas, los departamentos de TI pueden, por fin, protegerlos de formas que no resulten molestas para los usuarios ni agoten a su propio personal.
