La fortaleza de una contraseña explicada - Cuánto tiempo se tarda en descifrarla

La "fortaleza" de una contraseña se mide por cuánto tiempo resiste ataques de fuerza bruta, donde un atacante prueba sistemáticamente todas las combinaciones posibles. En 2024, una sola GPU NVIDIA RTX 4090 puede intentar aproximadamente 164 mil millones de hashes MD5 por segundo. Esto es lo que significa en la práctica.

La tabla deja algo claro: aumentar la longitud y la diversidad de caracteres eleva la fortaleza exponencialmente. Sin embargo, la memoria humana tiene límites, por lo que las mejores prácticas modernas priorizan la longitud sobre la complejidad.

El método de frase de contraseña - Fácil de recordar, difícil de descifrar

En 2017, el NIST (Instituto Nacional de Estándares y Tecnología) publicó SP 800-63B, retirando oficialmente la antigua regla de "mezclar mayúsculas, minúsculas, dígitos y símbolos" en favor de frases de contraseña largas.

Cómo funciona el método Diceware

1. Lanza un dado físico cinco veces para producir un número de 5 dígitos (por ejemplo, 4-1-6-2-3)
2. Busca la palabra correspondiente en la lista de palabras Diceware (7.776 palabras)
3. Repite seis veces para construir una frase de 6 palabras
4. Separa las palabras con espacios o cualquier delimitador que prefieras

Una frase Diceware de 6 palabras tiene aproximadamente 77 bits de entropía, casi igualando una contraseña aleatoria de 12 caracteres alfanuméricos con símbolos (~79 bits), siendo mucho más fácil de memorizar.

Consejos para crear frases de contraseña fuertes

• Usa al menos 6 palabras. Cuatro palabras son insuficientes contra ataques de diccionario
• Selecciona palabras con verdadera aleatoriedad. Los humanos que eligen "al azar" introducen sesgos predecibles
• Evita letras de canciones, citas famosas o pasajes de libros. Los atacantes mantienen listas de estos
• Escribir mal deliberadamente una palabra aumenta aún más la resistencia a ataques de diccionario

Patrones de contraseña que debes evitar

Los rankings anuales de "contraseñas más comunes" apenas cambian de un año a otro. Cada patrón a continuación está en la parte superior de la lista de palabras de todo atacante.

• Palabras simples del diccionario: password, dragon, monkey, shadow
• Recorridos de teclado: qwerty, 1234567890, zxcvbnm
• Información personal: fechas de nacimiento, números de teléfono, nombres de mascotas, nombres de celebridades favoritas
• Sustituciones simples: p@ssw0rd, l3tme1n (las herramientas de descifrado manejan el leet speak por defecto)
• Reutilización de contraseñas: cuando un servicio es vulnerado, todas las cuentas que comparten esa contraseña quedan comprometidas

Según las estadísticas de filtraciones de datos de 2023, aproximadamente el 59% de las contraseñas filtradas tenían 8 caracteres o menos, y el 73% de ellas podían descifrarse mediante ataques de diccionario en menos de una hora.

Por qué la reutilización de contraseñas es tan peligrosa

Los atacantes prueban automáticamente pares de correo electrónico y contraseña robados en otros servicios mediante una técnica llamada credential stuffing. En 2024, se observaron aproximadamente 100 millones de intentos de credential stuffing por día. Asegúrate también de comprobar si tus cuentas han sido comprometidas.

Uso de un gestor de contraseñas

Memorizar una contraseña única y fuerte para cada servicio no es realista. Los gestores de contraseñas resuelven este problema de raíz.

Cómo funcionan los gestores de contraseñas

Una única contraseña maestra desbloquea una base de datos cifrada que almacena y autocompleta las credenciales de cada servicio. La base de datos está protegida con cifrado AES-256, usando una clave derivada de la contraseña maestra mediante PBKDF2 o Argon2.

Independientemente del tipo que elijas, eliminar por completo la reutilización de contraseñas te hace drásticamente más seguro que prescindir de uno.

Combinando contraseñas con autenticación multifactor (MFA)

Por muy fuerte que sea una contraseña, se vuelve inútil una vez robada mediante phishing. Añadir "algo que tienes" (un smartphone) o "algo que eres" (biometría) sobre la contraseña es el estándar moderno para la protección de cuentas.

Métodos MFA comparados por fortaleza

Para tus cuentas más críticas (correo electrónico, banca, almacenamiento en la nube), se recomienda encarecidamente configurar una llave de seguridad FIDO2 o passkey. Combinar MFA con cifrado de extremo a extremo protege tanto la capa de autenticación como el canal de comunicación.

El futuro de las contraseñas - Passkeys y autenticación sin contraseña

En 2022, Apple, Google y Microsoft anunciaron conjuntamente el soporte para "passkeys", una tecnología que elimina las contraseñas por completo. Basada en el estándar FIDO2/WebAuthn, las passkeys se autentican usando una clave privada almacenada en tu dispositivo, eliminando fundamentalmente el riesgo de filtración de contraseñas.

Sin embargo, la adopción aún está en progreso. En 2025, el soporte de passkeys se limita a un subconjunto de servicios principales, y la mayoría todavía requiere contraseñas tradicionales. Por ahora, la estrategia óptima es un enfoque por capas.

1. Usa un gestor de contraseñas para asignar una contraseña única y fuerte a cada servicio
2. Activa passkeys donde estén disponibles
3. Para servicios sin soporte de passkeys, activa TOTP o una llave de seguridad para MFA
4. Configura tu contraseña maestra como una frase Diceware de 6 palabras o más

Para profundizar en la seguridad de contraseñas, los libros sobre seguridad de contraseñas son un excelente recurso. Visita IP確認さん para revisar los detalles de tu conexión y dar el primer paso hacia una mayor conciencia de seguridad.