Genera contraseñas aleatorias y seguras

Entropía: cómo se mide la fuerza

Aquí la fuerza es la entropía, medida en bits. Para una contraseña aleatoria es una cuenta sencilla: la longitud por el log2 del número de caracteres posibles. Cada bit de más duplica la cantidad de intentos necesarios para probar todas las opciones.

Con los cuatro grupos activados y sin caracteres parecidos, hay 81 caracteres posibles, unos 6,34 bits cada uno. Octoolo califica el resultado como Débil por debajo de 50 bits, Aceptable desde 50, Fuerte desde 75 y Excelente desde 100.

La longitud pesa más que la variedad. Agregar símbolos a una contraseña de 16 caracteres suma unos 8 bits; alargarla cuatro caracteres suma unos 25. Y la cuenta solo vale para contraseñas elegidas al azar. Una que inventa una persona, como Verano2024!, tiene una fracción de la entropía que sugiere su longitud, porque los atacantes prueban primero esos patrones.

Aleatorio como debe ser

Dos detalles separan un buen generador de uno débil, y ninguno se ve en el resultado.

• La fuente aleatoria. Octoolo usa crypto.getRandomValues, el generador aleatorio criptográfico del motor web sobre el que funciona, del mismo tipo que se usa para crear claves de cifrado. Las funciones aleatorias comunes de muchos lenguajes de programación se vuelven predecibles cuando un atacante ha visto suficientes resultados.
• Sin sesgo. Convertir un número aleatorio en uno de 81 caracteres con un simple resto hace que algunos caracteres sean un poco más probables que los demás. Octoolo descarta los números aleatorios que causarían eso y saca otro, así que cada carácter del grupo tiene exactamente la misma probabilidad que los demás.

Lo que no hace es obligar a que cada tipo de carácter aparezca en todas las contraseñas. Cada carácter se saca del grupo completo, así que una contraseña puede salir sin un dígito o sin un símbolo, y eso pasa más a menudo cuanto más corta es. Si un sitio exige uno de cada, genera varias y quédate con una que cumpla.

Cómo cumplir las reglas de cada sitio

• ¿Rechazan un símbolo? El grupo de símbolos es ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? / ~, y algunos sitios rechazan unos cuantos. Desactiva !@# y agrega dos o tres caracteres de longitud para compensar la entropía.
• ¿Un límite de longitud? Algunos sistemas antiguos cortan las contraseñas, a veces sin avisar. Si una contraseña nueva no funciona al iniciar sesión, elige una longitud menor y vuelve a intentarlo.
• ¿Un PIN o un código numérico? Usa solo 0–9 y desactiva Sin caracteres parecidos, porque deja fuera los dígitos 0 y 1.
• ¿La vas a escribir en una tele o una consola? Letras y dígitos sin caracteres parecidos, y unos cuantos caracteres más de longitud, son más fáciles de escribir con un control remoto.

Sean cuales sean las reglas, usa cada contraseña para una sola cuenta. Una contraseña fuerte repetida en dos sitios es tan segura como el más débil de los dos.

Después de generarla

Una contraseña fuerte solo sirve si es única para una cuenta y se guarda en un lugar seguro. Ese es el trabajo de un gestor de contraseñas, y Octoolo tiene uno en su app Contraseñas: el gestor de contraseñas guarda tus inicios de sesión en una bóveda cifrada en tu PC, y su propio generador también crea frases de 3 a 10 palabras, más fáciles de escribir y de recordar. Para saber si una contraseña antigua apareció en una filtración, usa la comprobación de contraseñas filtradas.

Un aviso sobre copiar: si el historial del portapapeles de Windows (Win V) está activado, todo lo que copias, incluida una contraseña de esta lista, se queda en ese historial hasta que lo borres. El botón de copiar del propio gestor de contraseñas mantiene los secretos fuera del historial del portapapeles y vacía el portapapeles al poco tiempo.