Un generador de contraseñas aleatorias para la seguridad de las empresas
En un entorno cibernético cada vez más tenso, la solidez de las contraseñas es crucial.
Según el informe CESIN 2023, el phishing, que consiste en recuperar identificadores, en particular contraseñas, sigue siendo el principal vector de ataque contra las empresas.
Casi el 75% de los ataques comienzan con el phishing, ya que incluso una contraseña, que a primera vista no tiene ninguna repercusión en la seguridad, puede acarrear graves consecuencias si los piratas informáticos la utilizan con habilidad. En este contexto, el uso de una caja fuerte para contraseñas no es sólo una solución práctica, sino también un imperativo de seguridad.
¿Por qué las credenciales son cruciales para la seguridad de las empresas?
La forma en que trabajamos está cambiando, y el número de contraseñas se está disparando.
A medida que nuestras organizaciones se vuelven cada vez más digitales, con un segundo auge durante la COVID, el número de herramientas y aplicaciones digitales que permiten a los empleados gestionar, compartir o acceder a la información ha aumentado considerablemente.
Por ejemplo, las soluciones SaaS (software como servicio) han pasado de 16 por empleado en 2017 a más de 130 en 2022 (estudio Better Cloud).
Esta proliferación de herramientas ha aumentado automáticamente el número de contraseñas que debe gestionar cada persona, lo que ha dado lugar a la aparición de malas prácticas bien conocidas:
Contraseñas idénticas para todas las aplicaciones
Contraseñas almacenadas en navegadores web
Contraseñas escritas en cuadernos o notas adhesivas
Contraseñas almacenadas en un archivo csv en el escritorio.
Para cada una de nuestras herramientas, hay que crear, gestionar, almacenar e incluso renovar periódicamente una contraseña única para limitar el riesgo de filtraciones.
Contraseñas: un tema clave para las empresas
Las contraseñas son la puerta de acceso a multitud de recursos digitales.
Aseguran el acceso a datos cruciales como :
Datos personales de empleados o clientes (a través de un CRM, por ejemplo)
Acceso a las herramientas internas de la empresa (por ejemplo un Back-Office)
Las redes sociales de la empresa
Cuentas de clientes (para sucursales)
Acceso a los recursos del departamento informático
Estados financieros o contables (a través de herramientas de tesorería).
Por tanto, es evidente que confiar la creación de estos accesos a cada empleado puede crear un riesgo considerable de ciberataque.
Por razones de comodidad, los empleados tienden a menudo a crear contraseñas simples y memorizables o a utilizar la misma contraseña en todas partes, una puerta abierta para los ciberatacantes.
De hecho, en 2019 se ha desarrollado un proyecto llamado Proyecto Richelieu para ayudar a los responsables de la seguridad de los datos en las empresas a proteger mejor los accesos, cuya génesis es la siguiente:
«Richelieu» es una lista de las contraseñas francesas más comunes. Se basa en filtraciones de datos conocidas por el público. Estas filtraciones se han reelaborado para conservar únicamente las contraseñas vinculadas a direcciones de correo electrónico terminadas en «.fr». Además, la lista obtenida se analiza con frecuencia para encontrar las contraseñas más comunes.
El objetivo es proporcionar a los CISO y CIO franceses un diccionario más preciso para realizar pruebas de seguridad en sus infraestructuras mediante ataques de fuerza bruta».
Los ataques de diccionario se utilizan a menudo en criptoanálisis para comprobar la robustez de los accesos. Consisten simplemente en probar todas las contraseñas de un «diccionario» (una lista de identificadores de uso común) para comprobar que el acceso utilizado es único y robusto, y que tiene la longitud suficiente.
Contraseñas débiles: una puerta de entrada para los ciberatacantes
Todo el mundo ha utilizado «1234» como contraseña al menos una vez.
Podríamos pensar que estas contraseñas débiles sólo se utilizan para cuentas inútiles y que todo el mundo utiliza cadenas de caracteres más complejas, que contienen mayúsculas, minúsculas, números e incluso caracteres especiales para que sus cuentas en línea sean lo más seguras posible.
Sin embargo, la importancia de proteger los propios datos aún no ha arraigado en todo el mundo, y muchas personas utilizan identificadores simplistas o basados en información personal como su fecha de nacimiento, que no son muy robustos.
Las estadísticas son alarmantes: un estudio reciente de Verizon muestra que una gran mayoría de las violaciones de datos se deben a contraseñas débiles o robadas. Estas cifras ilustran la magnitud de la amenaza que suponen las contraseñas débiles para la seguridad de las empresas.
 "Etude Verizon - Data Breach 2022")
Por lo tanto, es necesario poder desterrar las malas prácticas de sus empleados para garantizar que todos sus datos están protegidos de forma eficaz y, al mismo tiempo, introducir métodos y políticas de seguridad claros que todos los empleados puedan aplicar fácilmente.
¿Por qué utilizar un generador de contraseñas aleatorias?
La ventaja de generar contraseñas aleatorias
Utilizar un generador de contraseñas aleatorias ofrece dos garantías: robustez y unicidad.
Robustez: Puede estar seguro de que sus contraseñas serán fuertes y seguras.
Unicidad: Todos sus accesos se generarán de la misma forma, por lo que ninguno puede representar una debilidad.
Una contraseña generada aleatoriamente es casi imposible de adivinar, ya que no sigue ningún patrón lógico o predecible.
Sin embargo, si la longitud del identificador es insuficiente, o si sólo utiliza un tipo de caracteres (sólo números o minúsculas), puede seguir siendo vulnerable a un ataque de fuerza bruta, aunque inicialmente sea robusta.
Pero queda otro reto: la gestión y el almacenamiento de estas contraseñas.
Evidentemente, escribir estas contraseñas en una nota adhesiva, en un archivo Excel o en el teléfono no es una buena idea, dados los riesgos de pérdida o robo. Sin embargo, es un comportamiento que observan a menudo los CISO o los responsables cibernéticos de las empresas.
Lamentablemente, a veces es difícil cambiar los hábitos de los empleados menos técnicos a la hora de gestionar sus contraseñas. No se oponen a la idea de adoptar prácticas más seguras, pero debe ser rápido y fácil de usar para que no afecte su productividad.
Más adelante veremos cómo gestionar contraseñas generadas aleatoriamente.
Cumplimiento de las normas de ciberseguridad
Actualmente existen varios repositorios para las contraseñas y su generación.
Estas normas proporcionan a las organizaciones un marco para asegurar su acceso.
He aquí tres de ellas:
Recomendaciones de la ANSSI ;
Las recomendaciones de la CNIL;
La norma ISO 27001.
Un aspecto importante cuando se opta por contraseñas aleatorias es que se vuelve más fácil cumplir con las recomendaciones de la ANSSI (Agence nationale de la sécurité des systèmes d'information) dentro de la empresa.
Según la ANSSI, una contraseña debe tener al menos 15 caracteres y una mezcla de letras mayúsculas y minúsculas, números y caracteres especiales para que se considere segura.
Aunque estas reglas pueden cumplirse sin la ayuda de un generador, los usuarios tienden a crear contraseñas predecibles, para recordarlas mejor, incorporando números y símbolos de forma transparente, por ejemplo transformando «password» en «p@ssw0rd».
Estas versiones aparentemente robustas de las contraseñas son bien conocidas por los piratas informáticos y no representan una seguridad fiable contra ellos.
Una herramienta como un generador aleatorio evita estos escollos creando combinaciones imprevisibles, complejas y, por tanto, más seguras.
Además de reducir el riesgo de ciberataques, el uso de un generador de contraseñas le permite cumplir con las directrices de la CNIL (Commission nationale de l'informatique et des libertés).
Aunque la CNIL recomienda el uso de la doble autenticación en lugar de una única contraseña, admite que una única contraseña segura es suficiente para muchos usos, especialmente los que no implican datos personales.
Por último, si desea obtener o renovar la certificación ISO 27001, esta última también establece un marco claro en torno a la pregunta «¿Quién tiene acceso a qué?"».
Esta pregunta forma parte integrante de la norma y, por tanto, también debe guiar su reflexión y su trabajo.
Más concretamente, el apéndice A.9 de la norma aborda la cuestión del control de acceso lógico a través de 4 subsecciones, que hemos resumido a continuación:
A.9.1 Requisitos empresariales para el control de acceso: Definir los procesos que detallan quién debe tener acceso a qué.
A.9.2 Gestión del acceso de los usuarios: definir los procesos utilizados para gestionar el acceso a la información por parte de los empleados a lo largo del tiempo (asignación y revocación de los derechos de acceso).
A.9.3 Responsabilidad de los usuarios: definir los procesos que permiten a los empleados generar un acceso suficientemente sólido (generador de contraseñas) y compartirlo con las personas adecuadas (gestor centralizado).
A.9.4 Responsabilidad del acceso a los sistemas y aplicaciones: Definir las autorizaciones de cada uno dentro de la organización.
Contraseñas seguras para toda su empresa
Utilizar un generador de contraseñas aleatorias de forma individual es un primer paso para reducir el riesgo de ciberataques y debería convertirse en un hábito.
Sin embargo, lo ideal es que esta práctica se convierta en un automatismo para el mayor número posible de personas de los equipos.
Se pueden poner en marcha varias palancas que, idealmente, deberían activarse juntas:
Poner a disposición de todos los empleados un generador aleatorio de contraseñas.
Definir una o varias políticas de contraseñas e imponerlas en función de los derechos y el nivel de privilegio de cada persona.
Comunicar las mejores prácticas y las herramientas que deben utilizarse.
Esta palanca de «comunicación» es esencial para anclar los reflejos correctos en la vida cotidiana de todos los empleados:
Utilizar un generador de contraseñas aleatorias para crear y/o renovar las contraseñas;
Generar las contraseñas mediante el generador respetando la política de contraseñas de la empresa;
Utilizar un gestor de contraseñas centralizado para gestionar las contraseñas a diario y acceder directamente a los recursos adecuados.
Mediante la implantación de un generador de contraseñas aleatorias en todos los niveles de la empresa, junto con una política de contraseñas adecuada, podemos garantizar una seguridad uniforme de las contraseñas.
Esta singularidad es esencial en ciberseguridad porque, no lo olvidemos, incluso un acceso que inicialmente parece inofensivo puede simplificar la lateralización de un atacante dentro del sistema de información de la empresa y la recuperación de información crítica.
Un ataque exitoso de phishing a un miembro de un equipo puede acabar con un ejecutivo en el punto de mira y la extracción de datos confidenciales. Esto se denomina fraude de ingeniería social, y hablamos de ello aquí.
¿Cómo se utiliza un generador de contraseñas aleatorias?
¿Qué parámetros debo utilizar para generar una contraseña segura?
«¿Cómo puedo crear una contraseña segura?» Seguro que ya se ha preguntado cómo hacer.
En realidad es bastante sencillo.
Hay dos parámetros principales que afectan a la fortaleza de una contraseña:
El número de caracteres utilizados, es decir, la longitud de la contraseña.
El conjunto del que se extraen estos caracteres. Por conjunto entendemos todos los caracteres que se pueden incluir en una contraseña.
A la hora de crear una contraseña, las recomendaciones de la ANSSI sugieren un mínimo de 15 caracteres de una amplia gama de símbolos, incluyendo mayúsculas, minúsculas, números y caracteres especiales.
En LockSelf, recomendamos ir más allá, optando por una longitud de 18 caracteres. Aunque esta recomendación pueda parecer más exigente, ofrece una mayor seguridad a un coste mínimo en términos de complejidad. Y con las herramientas adecuadas, nada le impide optar por longitudes mucho más largas para garantizar que su acceso sea siempre más robusto.
De hecho, según un estudio de Hive Systems, una contraseña de 18 caracteres aumenta exponencialmente el tiempo que tarda un posible pirata informático en descifrarla, lo que refuerza considerablemente la barrera de seguridad contra los hackers.
| Número de caracteres | Sólo números | Tiny | Números, minúsculas, mayúsculas | Números, minúsculas, mayúsculas, caracteres especiales |
|---|---|---|---|---|
| 12 | 2 semanas | 2 000 años | 97 millones de años | 419 millones de años |
| 13 | 4 meses | 75 000 años | 6 mil millones de años | 29 mil millones de años |
| 14 | 3 años | 1 millones de años | 376 mil millones de años | 2 trillones de años |
| 15 (Recomendación de la ANSSI) | 30 años | 50 millones de años | 23 trillones de años | 144 trillones de años |
| 16 | 303 años | 1 mil millones de años | 1 cuatrillones de años | 10 cuatrillones de años |
| 17 | 3 000 años | 34 mil millones de años | 89cuatrillones de años | 705 cuatrillones de años |
| 18 | 30 000 años | 894 mil millones de años | 5 quintillones de años | 49 quintillones de años |
Para concluir con las buenas prácticas en la generación de contraseñas aleatorias, un método existente es la frase de contraseña. Las frases de contraseña son una alternativa interesante a las contraseñas tradicionales porque contienen muchos más caracteres.
Estas secuencias de palabras suelen formar frases con sentido, lo que las hace más fáciles de memorizar, además de ser relativamente robustas. Sin embargo, las frases de contraseña tienen sus defectos. Su generación no siempre es aleatoria y pueden carecer de diversidad de caracteres, lo que limita su eficacia. Por ejemplo, según otro estudio de Hive Systems, el simple hecho de combinar números con letras minúsculas puede multiplicar por 100 y más la robustez de una contraseña.
Por eso, las frases de contraseña que suelen estar compuestas íntegramente por letras pueden resultar problemáticas.
Es más, si no utiliza una herramienta para almacenar sus credenciales, una frase de contraseña puede ser difícil de recordar, aunque tenga sentido.
¿Cómo combinar el generador con otras medidas de seguridad?
Es fundamental recordar al personal y a la dirección que, aunque las contraseñas seguras son esenciales, no son más que un aspecto de la estrategia global de seguridad. Las contraseñas pueden ser robadas mediante ataques de phishing, por ejemplo, en cuyo caso su fortaleza tiene poca importancia.
Por ello, la ANSSI recomienda el uso de la autenticación multifactor (AMF) para reforzar la protección de las cuentas. La combinación de contraseñas fuertes generadas aleatoriamente con otras formas de autenticación, como la validación telefónica o las claves de seguridad, constituye un baluarte mucho más sólido contra los intentos de intrusión.
Almacenamiento de contraseñas: un error demasiado común
Como hemos mencionado anteriormente en este artículo, uno de los escollos más comunes en la gestión de contraseñas es el almacenamiento inadecuado.
«Tener una cerradura difícil de forzar es un gran comienzo, pero si la llave se deja a la vista, los esfuerzos son en vano».
A menudo nos hemos encontrado con CIO preocupados por los problemas de contraseñas porque su personal las almacenaba en :
Post-its a la vista de todos
Archivos Excel intercambiados por unidad
Directamente en sistemas de mensajería instantánea (por ejemplo, Slack)
En correos electrónicos intercambiados a veces durante varios meses
En una nota en el teléfono.
Por lo tanto, el uso combinado de generadores y gestores de contraseñas es crucial.
Estos últimos permiten almacenar todas las contraseñas de forma segura, eliminando la necesidad de memorizarlas o escribirlas en soportes vulnerables.
Y para mayor rapidez y sencillez, los gestores de contraseñas ofrecen herramientas de autorrellenado de campos a través de plugins del navegador, para que pueda conectarse con sólo dos clics, o guardar sus nuevos accesos al crear una cuenta.
Una función muy práctica si tenemos en cuenta la cantidad de contraseñas que una sola persona tiene que gestionar cada día.
Integre el generador de contraseñas de Lockself en su sistema de información
Como hemos mencionado antes, para que su acceso sea lo más seguro posible, necesita utilizar un generador de contraseñas aleatorias.
Luego, para evitar cualquier problema de almacenamiento, necesita emparejar este generador con un gestor de contraseñas para guardar tus contraseñas en un lugar seguro.
Por último, considerando la gestión de accesos y la respuesta a la pregunta «¿Quién tiene acceso a qué?», también hay que tener cuidado de seleccionar un gestor diseñado para empresas que facilite su trabajo como administrador y responsable de seguridad.
Si resumimos estos tres puntos, obtenemos :
Una generación de contraseñas robusta forzada por una política adecuada
Una caja fuerte segura para almacenar cada una de las cuentas de su empresa
Una gestión avanzada del almacén de contraseñas para asignar y seguir el uso de los accesos.
LockPass, la caja fuerte de contraseñas de LockSelf, cumple estos tres requisitos al incluir un generador de contraseñas, cuya versión adaptada puede probar en esta página.
)
)
