Generador de contraseñas

Entropía por longitud y conjunto de caracteres

Qué significa la entropía en la práctica

• 40 bits: hoy puede romperse en días con una sola GPU. Vale para cuentas desechables.
• 60 bits: resiste ataques en línea, pero es vulnerable a descifrado sin conexión dedicado.
• 80 bits: fuerte frente a descifrado sin conexión con hardware actual.
• 100 bits: en la práctica no merece un ataque hasta que la computación cuántica madure.
• 128 bits: equivale a la fuerza de una clave AES-128.

Para la mayoría de cuentas en línea, 16 caracteres del conjunto completo (105 bits) es más que suficiente. Cuentas bancarias, contraseñas maestras de gestores, monederos cripto y cifrado completo de disco merecen 20 caracteres o más.

Por qué importan las clases de caracteres

Cada clase añade opciones por carácter. Con 26 letras minúsculas, un carácter aporta log₂(26) = 4,7 bits. Añadir mayúsculas da 52 caracteres y 5,7 bits por carácter. Añadir dígitos da 62 caracteres y 5,95 bits. Añadir símbolos llega a 94 caracteres y 6,55 bits. En 16 caracteres, esa diferencia suma unos 30 bits: la distancia entre “se puede romper” y “no compensa intentarlo”.

Cuándo conviene excluir caracteres ambiguos

Si la contraseña se va a escribir desde la pantalla en un dispositivo sin copiar y pegar, como instaladores de consola, algunos monederos hardware o una contraseña dictada en voz alta, excluir 0, O, 1, l e I evita errores de transcripción. El coste de entropía es mínimo, normalmente 2-3 bits de más de 80.

Flujo recomendado con un gestor de contraseñas

1. Instala un gestor de contraseñas como Bitwarden, 1Password o KeePass.
2. Configura una frase maestra fuerte, de 6 a 8 palabras aleatorias. Puedes usar el generador de frases de contraseña.
3. Usa el generador del gestor para cada sitio y acepta sus ajustes fuertes por defecto.
4. No reutilices contraseñas entre sitios, ni siquiera en cuentas que parezcan temporales.
5. Activa 2FA en todo servicio que lo admita.

Las contraseñas escritas a mano deberían ser raras: la maestra del gestor, el cifrado completo de disco y quizá el inicio de sesión del ordenador de trabajo.

Cosas que no ayudan

• Cambiar cada 90 días. La rotación forzada fomenta patrones previsibles como Verano2024 a Otoño2024. NIST SP 800-63B lo desaconseja expresamente.
• Apuntarla en un papel dentro de la cartera. Es más seguro que reutilizar contraseñas débiles, pero peor que usar un gestor.
• Preguntas de seguridad con respuestas reales. “Primer colegio” suele poder encontrarse con una búsqueda. Genera respuestas falsas aleatorias y guárdalas en el gestor.