source: libros/maquetacion/capitulo2/gestionContrasenas.tex @ 772329b

\section{Gestión de contraseñas}
\label{section:gestionDeContrasenas}

El objetivo de la gestión personal de contraseñas es seleccionar secuencias de
caracteres lo suficientemente difíciles
de ``romper'', es decir, que sean tales que difícilmente puedan
ser obtenidas mediante algún procedimiento que utilice una persona
no autorizada para acceder a los activos de información
que la contraseña protege.

El uso de contraseñas es el mecanismo 
más utilizado para la autenticación en los sistemas informáticos,
pero de la misma forma representa uno de 
los puntos mas débiles en la seguridad de la información.
Utilizando técnicas como el 
 \textit{phising}, espionaje, ingeniería 
social, engaño, extorsión o fuerza bruta se pueden obtener contraseñas y 
provocar daños o alteraciones significativas a los activos de información.

Hay muchos usuarios que eligen contraseñas muy cortas o de fácil
asociación con datos personales. 
Existen  sistemas informáticos que asignan de manera automáticas
contraseñas con un tamaño adecuado (por ejemplo de longitud mayor
o igual a 8)  y cuyos caracteres 
son seleccionados aleatoriamente entre símbolos, números y letras
minúsculas y mayúsculas, es decir, que cumplen con la condiciones
para una buena contraseña,  pero que representan una carga para
los usuarios al ser difíciles de recordar.

Existen algunas recomendaciones generales para la generación de
las contraseñas que pueden ser útiles para cualquier persona.
A continuación se describen algunas reglas a seguir para tener
contraseñas de difícil rompimiento: 

\begin{itemize}

\item No solo se conformen con letras o números, es mejor utilizar
la combinación 
de ambos grupos y que se incluyan mayúsculas, minúsculas
y caracteres especiales. 


\item Usar siempre diferentes contraseñas  para los
distintos sistemas informáticos.

\item No utilice palabras que puedan encontrarse
en un diccionario (de inglés, español u otro idioma popular).

\item No repita el mismo símbolo seguido en la contraseña, por
ejemplo evitar palabras del tipo "aaaaa" o "zzzzzz".

\item Use contraseñas de longitud mayor o iguales a 8 símbolos
(caracteres). Este es un número mínimo para que la contraseña no
sea considerada de débil rompimiento.

\item Pruebe la fortaleza de la contraseña con alguna herramienta
especializada o algún servicio certificado (que utilice protocolo
https y sea reconocido) en internet. 

\item No comparta las contraseñas con otras personas. En lugar de
ello solicite al administrador del sistema informático que active
procedimientos de delegación de tareas donde se le otorga un permiso
temporal a un tercero sin compartir la contraseña personal.

\end{itemize}

Ahora bien, cualquier persona se puede formular la siguiente
pregunta: ¿Cómo se puede generar una clave que sea fácil de
recordar, que cumpla 
las recomendaciones descritas anteriormente, que no pueda
ser descubierta por 
cualquier atacante, y que además, no genere una carga para
el usuario en su 
generación, recordación, resguardo y utilización?. 

Como respuesta a esta pregunta se han desarrollado sistemas 
de software integrados con los navegadores web que facilitan
la generación y resguardo de claves. 
 Sin embargo, 
el principal elemento para contar con una buena gestión de
contraseñas es  la responsabilidad de las personas para
generar y resguardar 
sus claves, y se debe tomar en cuenta que esto depende de
las costumbres, el contexto social, el uso consciente, 
el tipo de información que resguarda y el nivel de riesgo
que implica el acceso a determinados activos de información.

\subsection{Tamaños de contraseñas}

Suponga que existen 96 caracteres posibles a utilizar en
una clave (letras minúsculas y mayúsculas, 
números y caracteres especiales). En una clave con 8 dígitos
existen $96^{8}$ %(7.213.895.789.838.336) 
(más de 7 trillones) posibilidades para descubrirla y
analizando 1.000.000 posibilidades por segundo 
tardaría 228 años, en probarlas
todas (peor de los casos)\cite{SCHNEIER:14}.

\begin{comment}
%Cantidad de caracteres
%Letras (27)
%Letras y números (37)
%Letras minúsculas y mayúsculas (54)
%Letras, números y símbolos (96)
%5
%14,349 seg
%69 seg
%459 seg
%2 horas
%6
%387,42 seg
%2.565 seg
%6 horas
%217 horas
%7
%2 horas
%26 horas
%371 horas
%2 años 4 meses
%8
%78 horas
%975 horas
%2 años 3 meses
%228 años y 9 meses
%9
%2118 horas
%4 años 1 mes
%123 años y 9 meses
%21960 años y 2 meses
%10
%6 años 6 meses
%152 años  y 5 meses
%6.685 años y 4 mese
%2.108.170 años y 2 meses
\end{comment}

Probablemente no se dispone de esa cantidad de tiempo para verificarlos por 
el método de fuerza bruta. Existen métodos que reducen el tiempo
de descubrimiento de 
las contraseñas como probar primero con palabras de 
diccionarios, palabras que tenga relación con el usuario, ya que la mayoría de 
las contraseñas de los usuarios se conforman de esta manera.

Existen técnicas básicas para la selección de contraseñas. 
Se les puede explicar a los usuarios la importancia de usar secuencias
de caracteres difíciles como contraseñas, 
sensibilizándolos en las posibles implicaciones de una mala gestión
de las contraseñas. 
A continuación se explica un método para construir un contraseña fuerte que
permite ser recordada a través de la asociación. Para ello debemos seleccionar
una oración que sea fácil de recordar y a partir de ella generar la contraseña.
Por ejemplo:

\begin{itemize}
\item Oración 1 (Ejemplo 1), \textit{Mi hermana Sofía me regaló una poderosa computadora}

\item Oración 2 (Ejemplo 2), \textit{Pase todas las materias con 20 puntos}
\end{itemize}

Si tomamos los primeros caracteres de cada palabra de la oración nos resultaría:

\begin{itemize}

\item Oración 1 (Ejemplo 1), \texttt{MhSmr1pc} 

\item Oración 2 (Ejemplo 2),\texttt{Ptlmc20p}

\end{itemize}

Si a esto se le incorpora reglas como por ejemplo,
cambiar la \texttt{p} por algún 
símbolo, que para este caso será ($\%$), entonces las oraciones quedarían:

\begin{itemize}
\item Oración 1 (Ejemplo 1), \texttt{MhSmr1$\%$c}

\item Oración 2 (Ejemplo 2), \texttt{$\%$tlmc20$\%$}

\end{itemize}

Como se puede notar, de esta manera se generaría una buena
contraseña, que es difícil 
de romper  por un tercero, y fácil de recordar para la persona
ya que es generada
a partir de oraciones particulares que generalmente están
asociadas con el usuario autorizado.