Qué es una frase de contraseña
Una contraseña hecha de varias palabras elegidas al azar de una lista larga, como tomate-colina-brujula-humo-ancla-vapor. En inglés se llama passphrase.
Su ventaja es que encaja con cómo funciona la memoria. Recordar q8#Lv!2mWz9e exige memorizar doce símbolos sin relación; recordar seis palabras es recordar seis imágenes, y con una pequeña historia que las una se quedan en pocos días.
De dónde viene la idea
En 1995 Arnold Reinhold publicó el método Diceware: una lista de 7.776 palabras numeradas y cinco dados. Cada tirada de cinco dados da un número entre 11111 y 66666 (65 = 7.776 posibilidades) que señala una palabra. Repitiendo la tirada varias veces se obtiene una frase elegida por puro azar, sin ordenador.
La idea se hizo famosa en 2011 con una tira de XKCD que comparaba Tr0ub4dor&3, difícil de recordar y fácil de adivinar, con correct horse battery staple, justo al revés. En 2016 la Electronic Frontier Foundation publicó una lista nueva, con palabras más fáciles de escribir y recordar, que es la que usamos en inglés.
Nuestro generador de frases hace lo mismo que los dados, pero con el generador criptográfico del navegador: cada palabra tiene exactamente la misma probabilidad de salir.
Frase o contraseña aleatoria
Cada palabra de una lista de 7.776 aporta 12,92 bits. Cada carácter aleatorio con letras, números y símbolos aporta unos 6,55. Así quedan las equivalencias:
| Frase | Bits | Equivale a una contraseña aleatoria de |
|---|
| 4 palabras | 51 | 8 caracteres |
| 5 palabras | 64 | 10 caracteres |
| 6 palabras | 77 | 12 caracteres |
| 7 palabras | 90 | 14 caracteres |
| 8 palabras | 103 | 16 caracteres |
La frase es más larga de teclear, pero mucho más fácil de recordar y de escribir sin errores en el móvil. Para las contraseñas que guarda un gestor da igual recordarlas, así que ahí gana la aleatoria. Puedes ver el cálculo completo en la guía de entropía.
Errores que la vuelven previsible
Elegir tú las palabras
Es el error más común y el más grave. Las personas elegimos palabras frecuentes, relacionadas entre sí o con nuestra vida (el perro, el equipo, el pueblo). Toda la seguridad de la frase depende de que las palabras salgan de un sorteo.
Usar una frase con sentido
«Enunlugardelamancha» tiene 19 letras y es de lo primero que se prueba. Refranes, versos, letras de canciones y frases de películas están en las listas de ataque.
Quedarse corto
Tres o cuatro palabras no bastan contra un ataque sin conexión. Usa seis como mínimo y siete u ocho para la contraseña maestra.
Retocar el resultado
Cambiar una palabra que no te gusta por otra que eliges tú, o reordenarlas para que suenen mejor, mete otra vez el factor humano. Si una frase no te convence, genera otra entera.
Cuando la web pide mayúsculas y números
Algunos servicios siguen exigiendo una mayúscula, un número o un símbolo. Con una frase es fácil cumplirlo: activa «primera letra en mayúscula» en el generador, y si piden un número, añade uno al final. No suma seguridad (un atacante lo prueba enseguida), pero tampoco la quita, y te deja usar la frase. Los separadores (guion, punto, espacio) cuentan como símbolo en la mayoría de webs.