Expertos del Instituto de Tecnología y Estándares norteamericano (NIST) han actualizado sus pautas para garantizar la seguridad de las contraseñas, eliminando la recomendación de cambiar las contraseñas de forma periódica, ya que puede crear el efecto contrario al hacer que los usuarios cada vez busquen opciones de contraseña menos seguras.
Las contraseñas son una de las formas de autenticación más utilizadas por los usuarios, ya sea a la hora de iniciar sesión en un servicio, como barrera para almacenar información personal o para desbloquear dispositivos.
Se trata de un código compuesto por una serie de caracteres que los usuarios generan de forma secreta. En este sentido, de cara a garantizar la seguridad de estas claves, los expertos habitualmente recomiendan que alcancen una determinada longitud y combinen letras, números, símbolos, mayúsculas y minúsculas, e incluso indican la necesidad de cambiarlas cada cierto tiempo para evitar que se puedan utilizar en caso de filtración.
Este tipo de pautas se han recomendado durante los últimos años como medidas fiables de seguridad, sin embargo, el NIST, organismo estadounidense dedicado a fijar estándares tecnológicos para organizaciones gubernamentales y privadas, ha desmontado algunas de estas recomendaciones en su último borrador público del documento de Directrices sobre identidad digital.
Concretamente, una de estas rectificaciones revisa la recomendación de cambiar periódicamente las contraseñas. Tal y como detalla el NIST en el apartado de Autenticadores de contraseñas, los verificadores y políticas de seguridad de contenido (CSP) «no deben exigir a los usuarios» que lleven a cabo esta recomendación, a no ser que haya una evidencia de que «el autenticador está comprometido».
Esto se debe a que, según ha explicado el organismo, los usuarios tienden a generar contraseñas cada vez más sencillas que puedan recordar cuando tienen que cambiarlas de forma habitual. Esto hace que sean menos resistentes frente a ciberataques y filtraciones de datos.
Por otra parte, los expertos del NIST también han hecho referencia a la recomendación de utilizar distintos tipos de caracteres dentro de una misma contraseña. Al respecto, se ha detallado que los verificadores y CSP «no deben imponer otras reglas de composición» para las contraseñas.
Aunque estas reglas de composición se utilizan para aumentar la dificultad en la adivinación de las contraseñas elegidas por el usuario, "las investigaciones recientes han demostrado que los usuarios responden de formas muy predecibles a los requisitos impuestos por las reglas de composición".
Como señalan, estas reglas solo provocan cambios como introducir un número o un símbolo totalmente predecibles para los ciberdelincuentes. Por ejemplo, un usuario que escoja la palabra 'contraseña' como contraseña, «sería relativamente probable que eligiera 'Contraseña1' si se le solicitara que incluya una letra mayúscula y un número o '¡Contraseña1!' si también se requiere un símbolo».
"Los análisis de bases de datos de contraseñas violadas revelan que el beneficio de tales reglas es menos significativo de lo que se pensaba inicialmente, y los impactos en la usabilidad y la memorabilidad son graves", han sentenciado al respecto desde el NIST.
A pesar de estos cambios en las recomendaciones, los expertos también han mantenido otras pautas, como la de alcanzar una longitud adecuada de caracteres al generar una contraseña para incrementar la dificultad.
En concreto, el organismo ha detallado que los verificadores y los CSP "deben exigir que las contraseñas tengan un mínimo de ocho caracteres de longitud", aunque también ha señalado que, para garantizar la seguridad, se debería requerir que las contraseñas tengan un mínimo de 15 caracteres de longitud. No obstante, han concretado que la longitud máxima recomendada para las contraseñas es de 64 caracteres.