A raíz de las recomendaciones actualizadas de Microsoft sobre contraseñas, el Instituto Nacional de Estándares y Tecnología (NIST) ha publicado sus propias directrices actualizadas al respecto. Estas recomendaciones coinciden con muchas de las de Microsoft, lo que les confiere una credibilidad adicional; en algunos aspectos, incluso van más allá. Cuando dos figuras clave del sector de la seguridad llegan de forma independiente a conclusiones tan similares, es una clara señal de que las empresas deberían revisar a fondo sus políticas de contraseñas, tanto para sus sistemas internos como para sus servicios externos que cuentan con un almacén de identidades.
Por qué es importante el documento del NIST
¿En qué consiste esta nueva publicación del NIST? La SP 800-63-3 se titula «Directrices de autenticación digital» y define los requisitos para cumplir con cuatro niveles de garantía (LOA, por sus siglas en inglés; el grado de certeza de que una entidad es lo que dice ser o quien dice ser). Uno de los documentos, la SP 600-63-3B, se titula «Autenticación y gestión del ciclo de vida» y se centra en las directrices sobre contraseñas.
¿Por qué es tan importante este documento? Una de las muchas funciones del NIST es proporcionar directrices para el sector público; en otras palabras, para todas las aplicaciones del Gobierno federal. Muchas de estas directrices son meras recomendaciones, pero otras son requisitos que todas las aplicaciones deben cumplir. Se trata de un amplio ámbito de influencia, pero es aún más amplio, ya que muchos otros sectores y empresas siguen estas directrices.
Veamos las recomendaciones del NIST, cómo se comparan con las de Microsoft y en qué aspectos el NIST va más allá. Un tema común en ambos conjuntos de recomendaciones es una mayor facilidad de uso, especialmente cuando las recomendaciones mejoran la seguridad o cuando las políticas actuales, poco intuitivas, no la mejoran. Las investigaciones han demostrado que cuanto más estrictas son las políticas de contraseñas, mayor es la probabilidad de que los usuarios las incumplan o utilicen un método predecible (1, 2, etc.) que se pueda piratear fácilmente.
El NIST recomienda utilizar frases de contraseña fáciles de recordar
El NIST exige ahora un mínimo de 8 caracteres, lo cual no es nada radical, pero también exige un máximo superior a 64 caracteres para fomentar el uso de frases de contraseña. Este es uno de los temas del documento: reforzar los sistemas para que puedan gestionar contraseñas más seguras de una forma que resulte más fácil de recordar para el usuario. En otras palabras, que la carga recaiga sobre los sistemas, no sobre los usuarios. Junto con Microsoft, también recomiendan un diccionario de contraseñas comunes que se puede utilizar para rechazar contraseñas débiles (por ejemplo, «passw0rd!») cuando el usuario intente establecerlas.
Otro requisito que a todos nos encantará ver es que se permitan espacios, todos los caracteres ASCII e incluso, potencialmente, caracteres Unicode (como los emojis) en las contraseñas. ¿Te imaginas usar emojis en tus contraseñas? ¡Alguien tendrá que enseñarme algunos atajos de teclado antes de que me atreva a hacerlo! Los espacios pueden causar problemas porque es difícil distinguir entre uno y dos espacios, pero esto se simplifica un poco gracias a otra nueva recomendación: que el usuario pueda ver la contraseña que ha introducido, siempre y cuando esta vuelva a ocultarse tras un cierto tiempo. Hemos visto cómo esta función se ha ido generalizando, y me alegro de ello.
Dejar de caducar contraseñas
Tanto Microsoft como el NIST abordan la cuestión de la caducidad de las contraseñas, y ambos recomiendan que estas no caduquen de forma arbitraria tras un determinado intervalo, a menos que haya indicios de que hayan sido comprometidas. A diferencia de los sistemas de identidad locales, como Active Directory, la mayoría de los sitios web siempre han seguido esta norma. Sin embargo, no les reconozco el mérito de haber sido visionarios en sus políticas de contraseñas; simplemente no querían las molestias que la caducidad de las contraseñas supondría para sus servicios de asistencia técnica y sus clientes.
El NIST rechaza la autenticación basada en conocimientos (pistas) que un atacante pueda descubrir o descifrar mediante un ataque de fuerza bruta. Seamos realistas: a estas alturas, la mayoría de los delincuentes ya saben cuál es el apellido de soltera de tu madre. También recomiendan no utilizar reglas de composición, ya que resultan demasiado complicadas para el usuario y no ofrecen tanta seguridad como se pensaba inicialmente.
Es hora de dejar atrás los SMS
Un gran cambio, que ha suscitado muchos comentarios, es la obsolescencia ( «no lo vamos a descartar todavía, pero tampoco vamos a seguir mejorándolo») del uso de los SMS como segundo factor de autenticación. Además, rechaza de plano el uso de un número de VoIP (por ejemplo, Google Voice) para la autenticación por SMS, ya que en realidad no constituye un segundo factor: no es algo que uno tenga. Su preocupación con respecto a los SMS en general es que el servicio no es tan seguro como debería, ya que no fue diseñado para este tipo de uso. Los delincuentes han creado malware capaz de redirigir mensajes SMS, y el «SIM swapping» permite a un delincuente apropiarse de los mensajes de un usuario.
Por desgracia, si trabajas en un sector que debe cumplir con normativas como la HIPAA, no puedes simplemente aplicar estas nuevas recomendaciones cuando entren en conflicto con dichas normativas. Tendrás que esperar, quizá años, hasta que las normativas se adapten a las recomendaciones.
¿Estás en desacuerdo con alguna de estas nuevas directrices? Se trata de un borrador de especificación, y el NIST anima encarecidamente a participar y enviar comentarios a través de GitHub.
