Generador de frases de contraseña

Cómo funciona la fuerza de una frase de contraseña

La fuerza se mide en bits de entropía: el logaritmo en base 2 de cuántas frases igualmente probables podrían haberse generado. Cada palabra aleatoria extraída de una lista de N palabras añade log2(N) bits, y eso se multiplica por el número de palabras para obtener el total. Lista de palabras más grande, más palabras, más entropía.

La lista de palabras de este generador

Esta herramienta extrae de una lista integrada y compacta de palabras en inglés comunes (unas 90), así que cada palabra añade unos 6,5 bits. Por tanto, una frase de 5 palabras ronda los 33 bits, y el número opcional de dos cifras añade unos 6 más. Está bien para inicios de sesión memorables y de bajo riesgo, pero queda muy por debajo de lo que necesitas para una contraseña maestra. Para secretos de alto valor, usa más palabras, combina la frase con un gestor de contraseñas y prefiere una lista Diceware completa.

Listas de palabras de referencia y su entropía

Usando una lista Diceware completa de 7.776 palabras (12,9 bits por palabra):

• 4 palabras ≈ 51,6 bits (modesta)
• 6 palabras ≈ 77,4 bits (fuerte)
• 8 palabras ≈ 103,2 bits (nivel contraseña maestra)

Cómo se compara la entropía con el esfuerzo de descifrado

• 50 bits: resiste la mayoría de los ataques en línea; descifrable sin conexión por un adversario motivado en unos meses.
• 70 bits: resiste el descifrado sin conexión con el hardware actual durante años.
• 90 bits: fuera del alcance del descifrado masivo actual en un futuro previsible.
• 120 bits: supera la seguridad de las claves AES-128, que se generan a partir de 128 bits de aleatoriedad.

Por qué las palabras aleatorias ganan a una contraseña corta “complicada”

Una contraseña de 10 caracteres mezclados como Xp!9k@Lm3* tiene unos 66 bits de entropía si es realmente aleatoria. Una frase de 6 palabras como correct-horse-battery-staple-pine-kelp de una lista Diceware completa tiene 77 bits. La frase es más fuerte, más fácil de teclear y más fácil de recordar. La famosa tira cómica de xkcd explica la intuición: los humanos somos pésimos generando entropía a mano, así que producimos contraseñas “complicadas” y predecibles que los crackers han visto millones de veces.

Consejos

• Memoriza las primeras dos o tres palabras con imágenes. Construye una imagen mental extraña que conecte las palabras. El resto viene solo.
• No la reutilices entre cuentas. Una frase de contraseña es tan segura como el sitio más débil que la almacena. Usa un gestor y frases únicas por inicio de sesión.
• El número añadido ayuda solo un poco. Agregar dos cifras eleva la entropía unos 6 bits; no sustituye a añadir más palabras.
• Trata las frases maestras de otra manera. Para las contraseñas maestras de un gestor y para el cifrado de disco, usa 7 palabras o más de una lista Diceware completa, no la compacta integrada.

Qué no ayuda

• Poner mayúsculas en letras al azar. Añade una entropía insignificante y perjudica la memorización.
• Añadir un único símbolo. Añade unos pocos bits solo si su posición también es aleatoria. Apenas merece la pena.
• Sustituir letras por números (“p@ssw0rd”). Las herramientas de descifrado manejan estas sustituciones desde los años 2000. No hay mejora real.