La seguridad de las contraseñas está cambiando y las pautas actualizadas del NIST rechazan las prácticas obsoletas en favor de protecciones más efectivas. Las organizaciones deben conocer estas seis conclusiones para crear políticas de contraseñas que funcionen.
1. Longitud de contraseña > complejidad de contraseña
Durante años, las organizaciones han creado políticas de contraseñas que exigen que los usuarios incluyan letras mayúsculas y minúsculas, números y símbolos para crear contraseñas difíciles de descifrar. Sin embargo, la investigación del NIST destaca una falla en este enfoque: los humanos son predecibles y a menudo siguen patrones predecibles al desarrollar contraseñas «complejas».
Los usuarios suelen utilizar los siguientes «trucos»:
- Comienzan sus contraseñas con una letra mayúscula (ejemplo: «Welcome456»)
- Terminan sus contraseñas con un número o símbolo (ejemplo: «Welcome2024!!»)
- Intercambian caracteres comunes (ejemplo: «W3lcomeToXYZC0rp»)
Las contraseñas que pueden parecer complejas son relativamente fáciles de descifrar porque siguen patrones predecibles. El NIST recomienda imponer la longitud de la contraseña en lugar de la complejidad de la misma.
En lugar de pedirles a los usuarios que se inventen una combinación aleatoria y difícil de recordar, instélos a crear contraseñas o frases de contraseña más largas que sean fáciles de recordar pero más difíciles de adivinar. Las mejores frases de contraseña combinan palabras no relacionadas en una sola frase más larga.
2. Facilite el uso de contraseñas más largas
Sobre la base de las pautas anteriores, la última revisión del NIST confirma que la longitud de la contraseña es la medida de seguridad más importante, pero muchas empresas socavan su seguridad al imponer límites de caracteres en las contraseñas.
Para maximizar la protección que brindan las contraseñas, sus políticas deben poder admitir frases de contraseña largas. El NIST recomienda admitir hasta 64 caracteres, mucho más de lo que la mayoría de los usuarios necesitará, pero importante para aquellos que priorizan la máxima seguridad.
Las contraseñas más largas aumentan la dificultad de descifrado, pero no son invencibles: incluso una frase de contraseña de 64 caracteres puede verse comprometida mediante la reutilización de contraseñas o el robo por parte de malware. Dicho esto, las contraseñas largas ofrecen más protección que sus contrapartes más cortas.
3. Implemente la autenticación multifactor (MFA)
Las investigaciones de Microsoft muestran que el 99% de las cuentas vulneradas carecían de autenticación multifactor. Sin embargo, muchas organizaciones aún tratan la autenticación multifactor como un lujo en lugar de una necesidad.
El NIST no se anda con rodeos: la autenticación multifactor ya no es opcional, es una línea de defensa imprescindible para cuando las contraseñas inevitablemente fallan. Para cumplir con las pautas del NIST, no se aferre a la autenticación de un solo factor.
4. Evitar los cambios frecuentes de contraseña
A los usuarios finales no les gusta que los obliguen a cambiar sus contraseñas, por lo que les complacerá saber que el NIST insta a las organizaciones a renunciar a la caducidad obligatoria de las contraseñas a menos que haya evidencia de que se han visto comprometidas.
El NIST afirma que los cambios frecuentes de contraseñas a menudo conducen a una seguridad más débil, no más fuerte. Sin embargo, abandonar por completo las políticas de caducidad puede ir demasiado lejos en la dirección opuesta. Se recomienda un enfoque matizado: extender el tiempo entre los cambios necesarios y mantener las medidas de seguridad esenciales.
5. Evitar el uso de contraseñas ya vulneradas
La última guía del NIST es clara: las organizaciones deben comparar las contraseñas nuevas con las bases de datos de credenciales comprometidas conocidas.
Estas contraseñas expuestas se convierten en llaves maestras para los atacantes, que aprovechan listas masivas de credenciales vulneradas para acelerar sus ataques. Los usuarios rara vez saben cuándo sus contraseñas preferidas han sido expuestas en vulneraciones anteriores.
Al bloquear de forma proactiva estas contraseñas vulneradas, su organización puede cerrar un vector de ataque favorito antes de que los delincuentes informáticos puedan explotarlo.
6. Dejar de usar pistas de contraseñas y otras formas de recuperación basadas en el conocimiento
Las pistas de contraseñas y las preguntas de seguridad como «¿Cómo se llamaba su primera mascota?» muestran su antigüedad. La última guía del NIST insta a las organizaciones a renunciar a estos métodos de recuperación tradicionales porque nuestra vida en línea los ha vuelto obsoletos.
En lugar de pistas, el NIST sugiere alternativas como incluir enlaces seguros de recuperación de correo electrónico y verificación MFA durante el restablecimiento de contraseñas. Estos enfoques permiten a los usuarios validar su identidad a través del acceso físico a dispositivos o cuentas.