Basándose en los datos obtenidos de, literalmente, miles de millones de intentos de inicio de sesión en su servicio en la nube Azure, Microsoft actualiza sus recomendaciones sobre contraseñas y descarta varias de las mejores prácticas del sector que se venían aplicando desde hace tiempo.
Microsoft ha publicado recientemente un informe técnico titulado «Recomendaciones de Microsoft sobre contraseñas», en el que explica sus nuevas recomendaciones sobre contraseñas, basadas en la enorme cantidad de datos que recopila en los inicios de sesión de Azure AD. (Registra más de 10 millones de intentos de ataque con nombre de usuario y contraseña cada día) . Algunas de estas recomendaciones son las que cabría esperar… pero otras desafían las ideas preconcebidas sobre las contraseñas.
La autora (Robyn Hicock, del equipo de protección de identidades de Microsoft, con una larga lista de colaboradores de sus compañeros de equipo, Microsoft Research y Microsoft IT) afirma que las prácticas de contraseñas que se han mantenido durante mucho tiempo fracasan ante los modernos ataques orientados a las credenciales. Además, algunas de estas políticas en realidad aumentan la facilidad con la que las contraseñas pueden verse comprometidas y, por lo tanto, deberían cambiarse o abandonarse por completo.
Microsoft recomienda siete acciones para proporcionar la máxima protección de identidad basada en contraseña:
- Mantenga un requisito de longitud mínima de 8 caracteres (y más largo no es necesariamente mejor).
- Eliminar los requisitos de composición de caracteres.
- Eliminar los restablecimientos periódicos obligatorios de contraseña para las cuentas de usuario.
- Prohíba las contraseñas comunes, para mantener las contraseñas más vulnerables fuera de su sistema.
- Eduque a sus usuarios para que no vuelvan a utilizar su contraseña para fines no relacionados con el trabajo.
- Imponer el registro para la autenticación multifactor.
- Habilite desafíos de autenticación multifactor basados en el riesgo.
Veamos las recomendaciones más inusuales que influyen directamente en la forma en que una organización establecería su política de contraseñas de dominio.
Acabar con los antipatrones
Mantén un requisito de longitud mínima de 8 caracteres. Microsoft Research ha descubierto que las contraseñas web largas y complejas suponen una carga para los usuarios (lo cual no es ninguna sorpresa), pero que, en realidad, su eficacia es limitada por varias razones. La solidez de la contraseña es irrelevante si el usuario es víctima de un ataque de phishing y la revela, o si tiene un keylogger en su sistema. Estos son los ataques más comunes según los autores. La contraseña solo tiene que ser lo suficientemente segura como para resistir una regla de bloqueo del tipo «tres intentos fallidos». Ten en cuenta que, aunque este estudio trata sobre las contraseñas web, no hay razón para que no se aplique también a las contraseñas de Active Directory (y a tu propia política de bloqueo).
Eliminar los requisitos de composición de caracteres. Es una buena idea en teoría, pero Microsoft y otras empresas (Bruce Schneier, por ejemplo) han descubierto que, cuando se enfrentan a requisitos de complejidad en las contraseñas, las personas caen en unos pocos patrones reconocibles que los programas de descifrado de contraseñas aprovechan. Por ejemplo, resulta que una contraseña típica se compone de una raíz, que suele ser algo pronunciable, más un sufijo, como un número. ¡Y sí, saben que estás usando «$» en lugar de «s», «!» en lugar de «i», etc.!
Elimina los cambios periódicos obligatorios de contraseña para las cuentas de usuario. Los cambios periódicos de contraseña, que en principio también son una buena idea, fracasan cuando pasan por el cerebro humano. ¿Por qué? Porque la gente tiende a crear su nueva contraseña basándose en la anterior, de una forma muy predecible. Además, dado que los delincuentes utilizan las contraseñas tan pronto como las obtienen, la contención no sirve de nada (es decir, las advertencias del tipo «Hemos sufrido una filtración; por favor, cambia tu contraseña para evitar que tu cuenta sea pirateada» llegan demasiado tarde).
El consejo actualizado tanto de Schneier como de Microsoft es que, a menos que creas que tu contraseña pueda estar comprometida, no la cambies. Yo matizaría esta recomendación diciendo que refuerces tus contraseñas con el tiempo, pero que no intentes llevar un control de ellas tú mismo: ríndete ante nuestros amos robóticos y utiliza una herramienta como LastPass para generar contraseñas largas, complejas e imposibles de memorizar, y guárdalas en su almacén cifrado. Así solo tendrás que recordar una contraseña compleja: la contraseña maestra de tu almacén. Una vez que delegas la gestión a una herramienta de este tipo, resulta realmente liberador; puedes crear al instante una contraseña complicada de 18 caracteres, como «wO2AECJ^OZhbXwY#0Y», para una página web y tener la tranquilidad de que es prácticamente imposible de descifrar.
Aplicar patrones de éxito
Prohíba las contraseñas comunes. Microsoft cree que el paso más importante que puede dar para la seguridad es prohibir una lista de contraseñas débiles conocidas (por ejemplo, abcdefg, passw0rd, etc.) de su sistema para fortalecerlo contra ataques de fuerza bruta. Microsoft ha descubierto que prohibir estas contraseñas (lo que hacen para Azure AD) es muy eficaz para eliminar las contraseñas débiles del sistema.
Si estás leyendo esto en una empresa tradicional, probablemente estés pensando: «Todo esto está muy bien, pero ¿cómo puedo implementar una política así en mi entorno de Active Directory local?». Si eres un experto en AD como yo, sabrás que esto requiere un filtro de contraseñas personalizado que debe instalarse en todos los controladores de dominio de AD, y que Microsoft no ofrece de serie funciones para bloquear contraseñas.
Existen productos de terceros, como Anixis Password Policy Enforcer o nFront Password Filter que sí ofrecen esta funcionalidad. Según se informa, Microsoft está trabajando en su propia implementación de esta funcionalidad; en su cuenta de Twitter, la autora afirma: «Estamos trabajando en algo al respecto. Estad atentos», pero, por supuesto, no hay forma de saber cuándo estará disponible esta funcionalidad. Dado que esta funcionalidad tendría que integrarse con Active Directory de Windows Server, el tiempo que lleve dependerá de cómo se implemente. Si forma parte de Active Directory, ya ha pasado el momento de integrarla en profundidad en Windows Server 2016, lo que significa una espera de dos años hasta que se lance la próxima versión de Windows Server. Un filtro de contraseñas actualizado (passfilt.dll) puede ponerse a disposición para su descarga en cualquier momento.
Informa a tus usuarios de que no deben reutilizar su contraseña para fines ajenos al trabajo. No es difícil imaginar que, una vez que un usuario ha elegido lo que considera una buena contraseña para el trabajo, la vuelva a utilizar en otras páginas web. Por desgracia, es una práctica tan habitual que los delincuentes siempre prueban las credenciales robadas en numerosas páginas web; Microsoft detecta cada día 12 millones de credenciales filtradas (Microsoft mantiene una amplia lista de credenciales comprometidas) que se utilizan para intentar acceder a sus sistemas.
Es un patrón muy difícil de aplicar, porque solo se puede conseguir mediante la formación de los usuarios. Y es una tarea ardua, ya que supone una dificultad añadida para los usuarios.
Exige el registro para la autenticación multifactorial. La autenticación multifactorial (MFA) se está implantando rápidamente en las empresas y entre los principales proveedores de SaaS. Disponer de un segundo conjunto de datos de seguridad (como una dirección de correo electrónico alternativa o un número de teléfono móvil) que se pueda verificar fuera de banda supone una mejora espectacular en la seguridad. ¡Activa la MFA siempre que puedas! Sí, puede resultar un poco molesto, pero es, con diferencia, menos molesto que tener una cuenta comprometida.
Habilitar desafíos de autenticación multifactor basados en el riesgo. Este patrón lleva la MFA al siguiente nivel, activando una solicitud de MFA cuando se detecta una actividad sospechosa (como una dirección IP geográficamente diferente a aquella con la que el usuario ha iniciado sesión anteriormente). Esto, por supuesto, requiere que la capacidad esté disponible en su sistema de seguridad de inicio de sesión.
Ten en cuenta que, si tu empresa tiene requisitos de cumplimiento normativo, es posible que no puedas poner en práctica algunas o todas estas sugerencias. No obstante, siempre es bueno estar al tanto de lo que ocurre en el mundo real. Y no hay nada más real que los datos procedentes de un lugar donde se producen 10 millones de ataques al día.
