Lo inútil que son las preguntas secretas para recuperar contraseñas

 Usar preguntas secretas para recuperar contraseñas es totalmente inútil

Recuperar la contraseña de cualquier servicio utilizando una pregunta secreta es un práctica relativamente habitual. Pero un informe elaborado por Google (y también en parte el sentido común) afirma no sólo que la mayoría no son efectivas, sino que además suponen un riesgo para la seguridad.

Hay varios factores que intervienen para llegar a esa conclusión. Por un lado, buena parte de los servicios ofrecen una serie fija de preguntas, que varían desde “El nombre de tu perro” a “El apellido de soltera de tu madre”. El problema con este tipo de preguntas a menudo es que, aunque sí que suponen un obstáculo para cualquier desconocido de internet, no lo son para personas cercanas a nosotros (tu propia madre, para empezar).

La otra práctica, según el informe, es responder a esas preguntas con información errónea pensando que así aumentaremos la seguridad del sistema. ¿La realidad? La respuesta “falsa” se olvida rápidamente y al final se pierde tanto la pregunta como la contraseña.

Una de las preguntas más utilizadas es responder a la ciudad de nacimiento del individuo. Según el estudio, en países como Corea, hicieron falta sólo 10 intentos para adivinar el 39% de las cuentas comprometidas, puesto que no hay tantas ciudades importantes en el país. En el caso del español, hay un 4% de posibilidades de adivinar a la primera el apellido del padre utilizando una genérico como “Sánchez” o “García”.

¿Lo más seguro? O bien utilizar la verificación en dos pasos o bien recuperar esa contraseña mediante un mensaje SMS al teléfono móvil o email. [Descargar: Secrets, Lies, and Account Recovery]

ABRIL 22, 2015 

Cómo gestionar todas tus contraseñas online de forma sencilla y segura

La era de las contraseñas ha muerto, pero hasta que llegue el relevo (probablemente algún sistema biométrico lo bastante seguro y extendido) nos toca cargar con el cadaver. Aquí os ofrecemos una pequeña guía para gestionar vuestras contraseña sin tener que dedicarle más tiempo del necesario.

Las contraseñas son un lastre necesario (de momento)

¿Por qué creo que las contraseñas han muerto? Sencillamente porque el sistema basado en contraseñas se ha vuelto insostenible. Hace 15 años tenía una misma contraseña para todo y un pin para la tarjeta bancaria que cambiaba de cuando en cuando. Poco a poco mi número de contraseñas fue aumentando. Ahora son cientos.

Los usuarios domésticos nunca hemos sido blanco directo de ataques, pero las empresas que nos proporcionan diferentes servicios sí que lo son, y nuestra información también es valiosa. Eso nos convierte en el daño colateral de una guerra entre grandes empresas que pugnan por salvaguardar su información, y ciberdelincuentes que tratan de robarla para venderla al mejor postor.

Lo peor de que un ataque nos obligue a cambiar de contraseña es que la contraseña en sí se quema en el proceso y ya no la podemos volver a utilizar. La lista de contraseñas diferentes se ha hecho ya tan larga que memorizarla es una tarea casi imposible.

Además, está el problema de la usabilidad. Las compañías se han vuelto tan paranoicas que han convertido la experiencia de usar cualquier servicio online en un auténtico incordio. Basta que nos conectemos desde un equipo no habitual, o desde uno recién reiniciado, que lo hagamos desde otro país, o que no nos hayamos conectado desde hace tiempo para hacer saltar la alarma.

Introduzca la contraseña. Otra. Maldita. Vez.

¿Qué hacer entonces?

Podemos decidir hacer una lista de Excel con todas nuestras contraseñas, y luego proteger esa lista mediante una contraseña maestra, pero no es una medida muy aconsejable. Primero porque seguimos teniendo que molestarnos en pensar una contraseña larga y segura para cada servicio. En segundo lugar porque cada vez que queramos introducirla lo más probable es que tengamos que acceder al Excel para consultarla. Por último, romper la seguridad de un archivo excel es una asignatura de primero de hacking.

La mejor solución, por el momento, pasa por instalar una aplicación que permita gestionar todas las contraseñas de la manera más automática posible. En esencia, lo que hacen estas aplicaciones es instalar un plug-in en el navegador que captura nuestras contraseñas y se encarga de rellenarlas por nosotros en cada servicio online que nos la pide. Estas aplicaciones también se encargan de detectar cambios en contraseñas y aplicarlos. Por último. Si no queremos estar pendientes de idear contraseñas nuevas, la mayor parte de los programas de gestión de contraseñas disponen de un generador que crea contraseñas seguras por nosotros y las almacena en su servidor. Todo el sistema depende de una única contraseña maestra que, eso sí, mejor que no sea 123456.

Finalmente, no tenemos que preocuparnos por si alguien accede a nuestro archivo Excel y lo piratea. Las empresas que venden aplicaciones de gestión de contraseñas viven precisamente de la seguridad, así que procuran proteger toda su información mediante cifrados de alto nivel como el AES-256. Se puede considerar que guardan nuestras contraseñas a buen recaudo, probablemente mejor que nosotros mismos.

Qué buscar en una aplicación de gestión de contraseñas

El desastre del mundo de las contraseñas ha hecho que proliferen bastantes aplicaciones que se dedican a gestionar el problema por nosotros, pero ¿qué hay que buscar a la hora de elegir? A continuación una pequeña lista de recomendaciones:

• La primera condición es evidente, que una vez instalado capture y reproduzca automáticamente las contraseñas que vamos metiendo y sus cambios.
  
• Que permitan importar o exportar datos de nuestras contraseñas. Esto es útil si algún día queremos cambiar de aplicación por otra de la competencia.
  
• Que soporte verificación en dos pasos en los servicios en los que se pueda activar.
  
• Que cuente con aplicación móvil para nuestro sistema operativo. Introducir contraseñas en el teclado de un smartphone es un trabajo pesado. Es importante que aplicación que elijamos tenga versión para smartphones o tabletas.
  
• Que soporte contraseñas de aplicaciones, no solo de sitios web. Esto está relacionado con lo anterior. No solo están los servicios que están dentro del navegador. La mayor parte de ellos los utilizamos desde aplicaciones. Si el software de gestión de contraseñas no soporta estas aplicaciones no nos sirve de nada.
  
• Que soporte contraseñas generadas y propias. Pongamos el caso de que no quieres cambiar tu sistema de contraseñas porque crees que ya es perfecto como está. Entonces te conviene elegir una aplicación que te permita mantener tus contraseñas actuales. No viene mal que también las puntúe según su complejidad, no sea que esa contraseña que crees tan impenetrable en realidad no lo sea tanto.
  
• Que sea compatible con sitemas biométricos: Algunas aplicaciones de gestión de contraseñas ya soportan el uso de escáneres de huellas dactilares como los del iPhone 6 o el Samsung Galaxy S6. Si tenemos uno de esos dispositivos puede ser interesante.
• Que soporte rellenado de formularios: La mayor parte de aplicaciones de contraseñas permiten establecer perfiles con, por ejemplo, nuestro nombre y apellidos, dirección (o direcciones), el número de teléfono, etc. Es muy útil para activarlo cuando tenemos que introducir esos datos en una página no habitual.
  
• Extras: Algunas aplicaciones de gestión de contraseñas cuentan con navegadores seguros, blocks de notas encriptados o hasta soporte para sistemas de pago como tarjetas bancarias. Todo depende de hasta donde quieras llegar configurando la aplicación.
  

Las mejores aplicaciones para gestionar tus contraseñas

Lastpass

• Navegadores soportados: Explorer, Chrome, Firefox, Opera, Safari
  
• Sistemas operativos: Windows, OS X, Linux
  
• Aplicaciones móviles: Android, iOS, Windows Phone, BB OS
  
• Precio: gratuito / 12 al año

La única pega de LastPass es que para sacarle todo el partido (acceso ilimitado desde aplicaciones móviles) hay que pagar suscripción. Por lo demás, es probablemente la mejor aplicación de gestión de contraseñas que hay ahí fuera. Al menos es la más compatible con todo tipo de sistemas operativos y plataformas.

1Password

• Navegadores soportados: Explorer, Chrome, Firefox, Opera, Safari
  
• Sistemas operativos: Windows, OS X
  
• Aplicaciones móviles: Android, iOS
  
• Precio: 49,99

1Password es más cara que LastPass, pero su sistema es más intuitivo y se integra particularmente bien con dispositivos Apple. La sincronización entre dispositivos es manual, pero a los maniáticos de la seguridad les gustará saber que no almacena nada en la nube, sino de forma cifrada en cada dispositivo. En teoría, eso lo hace menos vulnerable.

PasswordBox

• Navegadores soportados: Explorer, Chrome, Firefox, Opera, Safari
  
• Sistemas operativos: Windows, OS X
  
• Aplicaciones móviles: Android, iOSS
  
• Precio: gratuito

Probablemente PasswordBox sea la solución perfecta para muchos usuarios que simplemente quieren almacenar contraseñas de forma segura y no tener que escribirlas cada dos por tres. Su mayor ventaja es que todas sus aplicaciones son gratuitas. No tiene muchos extras y es algo intrusivo en su versión de complemento web, pero funciona bien y es simple.

StickyPassword

• Navegadores soportados: Explorer, Chrome, Firefox, Opera, Safari
  
• Sistemas operativos: Windows, OS X
  
• Aplicaciones móviles: Android, iOS, BB OS, Kindle Fire OS
  
• Precio: gratuito / 19,99 al año

Aunque la versión gratuita carece de algunas opciones de sincronización entre dispositivos, es una opción muy sólida y sencilla en la línea de PasswordBox, pero con algunas funciones adicionales muy interesantes como la compatibilidad con lectores biométricos o la posibilidad de cargar el sistema en una memoria USB.

Roboform

• Navegadores soportados: Explorer, Chrome, Firefox, Opera, Safari
  
• Sistemas operativos: Windows, OS X
  
• Aplicaciones móviles: Android, iOS
  
• Precio: gratuito / 17,95 al año

Nuestra última recomendación es quizá la menos estética, pero su funcionamiento es también muy bueno. La versión gratuita es ideal para el navegador, pero si queremos extender su uso a todos los dispositivos tendremos que pasar por caja. También es epecialmente útil si rellenamos muchos formularios.