El Instituto Nacional de Estándares y Tecnología (NIST), organismo federal que establece estándares tecnológicos, ha propuesto prohibir algunos requisitos de contraseña considerados innecesarios o perjudiciales. Entre ellos se incluyen los reinicios obligatorios, el uso restringido de ciertos caracteres y la dependencia de preguntas de seguridad.
Requisitos de contraseñas que no mejoran la seguridad
Elegir contraseñas seguras y almacenarlas de forma adecuada es una parte compleja del régimen de ciberseguridad. Sin embargo, las reglas impuestas por empleadores, agencias federales y proveedores en línea a menudo socavan la seguridad en lugar de mejorarla.
La semana pasada, NIST publicó su segundo borrador público de SP 800-63-4, la última versión de sus Directrices de identidad digital. Una sección dedicada a las contraseñas incluye prácticas que desafían políticas comunes.
Prohibición del cambio periódico de contraseñas
Una de las principales novedades es la prohibición del requisito de cambiar periódicamente las contraseñas. Este requisito surgió hace décadas, cuando no se entendía bien la seguridad de las contraseñas y era común que las personas eligieran nombres comunes o palabras del diccionario.
Desde entonces, la mayoría de los servicios requiere el uso de contraseñas más seguras compuestas por caracteres o frases generadas aleatoriamente. Sin embargo, cuando se eligen correctamente, el requisito de cambiarlas periódicamente puede disminuir la seguridad porque incentiva contraseñas más débiles.
Rechazo a reglas de composición obligatorias
Otro requisito que a menudo hace más daño que bien es el uso obligatorio de ciertos caracteres, como al menos un número, un carácter especial y una letra mayúscula o minúscula. Cuando las contraseñas son lo suficientemente largas y aleatorias, no resulta beneficioso exigir o restringir el uso de ciertos caracteres.
Las nuevas directrices del NIST establecen que:
- No deben imponer reglas de composición para contraseñas;
- No deben exigir cambios periódicos, aunque sí se debe forzar un cambio si hay evidencia de compromiso del autenticador.
Recomendaciones adicionales sobre longitud y caracteres
Entre las nuevas directrices, se incluyen recomendaciones como:
- Deben exigir una longitud mínima de ocho caracteres, aunque deberían exigir al menos 15.
- Deberían permitir una longitud máxima de contraseña de al menos 64 caracteres.
- Deberían aceptar todos los caracteres ASCII impresos y el carácter de espacio.
- Deberían aceptar caracteres Unicode, contando cada código como un solo carácter.
- No deben imponer otras reglas de composición para contraseñas.
- No deben exigir cambios periódicos.
- No deben permitir que el suscriptor almacene una pista accesible por un reclamante no autenticado.
- No deben solicitar autenticación basada en conocimientos (KBA) ni preguntas de seguridad.
- Deben verificar toda la contraseña enviada, sin truncarla.
Durante años, los críticos han denunciado el daño causado por muchas reglas de contraseñas comúnmente aplicadas. A pesar de ello, bancos, servicios en línea y agencias gubernamentales se han aferrado a ellas.
Las nuevas directrices no son universalmente vinculantes, pero podrían servir como puntos de conversación para abordar estas prácticas.