Con los cuatro tipos de caracteres, un clúster de GPU necesitaría aproximadamente 12 veces la edad del universo para descifrarlo, y aún así cabe en casi todos los campos de contraseña. Dieciséis caracteres aleatorios es la longitud que recomendamos para las cuentas cotidianas.
Calculando…
Los PIN sólo son seguros cuando los intentos son limitados, como un teléfono o una tarjeta bancaria. Se omiten los obvios (1234, 0000, 1212).
Tiempo para descifrar your 16-character password
El peor de los casos: un ataque fuera de línea a un hash rápido por parte de un clúster de GPU que prueba un billón de conjeturas por segundo.
los numeros
Cada carácter aleatorio extra multiplica el trabajo. Aquí hay 16 caracteres aleatorios contra los dos ataques fuera de línea que importan: un clúster de GPU en un hash rápido (1 billón de conjeturas por segundo) y una plataforma de GPU en bcrypt (100.000 conjeturas por segundo).
| 16 caracteres aleatorios | Entropía | Clúster de GPU, hash rápido | Equipo GPU, bcrypt |
|---|---|---|---|
| Sólo números 0-9 | 53 bits | 1 hora | 1.584 años |
| Minúsculas a-z | 75 bits | 691 años | 6,9 mil millones de años |
| Mayúsculas y minúsculas a-z A-Z | 91 bits | 45 millones de años | 453 billones de años |
| Letras y números a-z A-Z 0-9 | 95 bits | 755 millones de años | 7,6 mil billones de años |
| Letras, números y símbolos + !@#$% | 103 bits | 171 mil millones de años | 1,7 × 1018 años |
Incluso sin símbolos, 16 letras y números aleatorios resisten durante unos 755 millones de años contra el ataque más rápido. Eso hace que 16 sea un valor predeterminado seguro cuando un sitio rechaza algunos símbolos.
Por qué 16
Con 16 caracteres aleatorios, adivinar deja de ser un ataque realista. En su lugar, los atacantes recurren al phishing, el malware y las contraseñas reutilizadas, por lo que el siguiente paso es la autenticación de dos factores, no una contraseña aún más larga.
Algunos sitios todavía limitan las contraseñas a 16 caracteres. Dieciséis caracteres aleatorios llenan esos campos por completo y la misma longitud funciona en todos los demás.
NIST solicita 15 caracteres cuando el único factor es una contraseña, PCI DSS solicita 12 y la CNIL recomienda 12 con los cuatro tipos de caracteres. Dieciséis caracteres aleatorios se encuentran con todos ellos. Construye tus propias reglas con el creador de políticas.
Nadie memoriza 16 caracteres aleatorios, y eso está bien: tu gestor de contraseñas los almacena y los completa. Para la contraseña maestra del administrador, elija una frase de contraseña.
Una contraseña aleatoria de 16 caracteres es una opción diferente a una frase de 16 caracteres o un patrón de teclado. Verifique que el sitio acepte el resultado completo, guárdelo en un gestor de contraseñas y manténgalo exclusivo para esa cuenta.
comparar el generador de contraseñas generales y frases de contraseña de palabras aleatorias. Los tiempos de descifrado mostrados son estimaciones según los supuestos de ataque establecidos.
Preguntas
Sí. Con los cuatro tipos de caracteres, contiene alrededor de 103 bits de entropía: un clúster de GPU que ataque un hash rápido necesitaría alrededor de 171 mil millones de años, aproximadamente 12 veces la edad del universo. Sin símbolos, todavía se mantiene durante cientos de millones de años.
Los caracteres aleatorios tienen más fuerza por carácter y las frases de contraseña son más fáciles de escribir. Utilice 16 caracteres aleatorios para todo lo que complete su gestor de contraseñas y una frase de contraseña de 6 o 7 palabras aleatorias para las pocas contraseñas que escriba usted mismo.
No por adivinación, pero puede ser robado: por una página de phishing, por malware o por la vulneración de un sitio donde lo reutilizaste. Mantenlo exclusivo para una cuenta y activa la autenticación de dos factores o las claves de acceso siempre que puedas.
Generalmente por motivos heredados: bases de datos antiguas con columnas de tamaño fijo o reglas escritas hace años. Un límite corto también puede sugerir que las contraseñas no están codificadas correctamente, así que use los 16 caracteres aleatorios completos allí, manténgalos únicos y active 2FA.
Sí. De forma predeterminada, cada contraseña tiene al menos una letra mayúscula, una letra minúscula, un dígito y un símbolo; el resto se extrae del conjunto completo y se baraja. Desactive un tipo si un sitio rechaza algunos símbolos.
Palabras aleatorias fáciles de recordar, con una estimación de entropía basada en la lista española.
Abrir herramientaUna clave fuerte WPA2/WPA3 y un código QR que tus invitados escanean para unirse, con una tarjeta para imprimir.
Abrir herramientaVea su contraseña como lo hace un atacante: patrones, entropía y cuatro escenarios de descifrado.
Abrir herramientaDescubra si una contraseña ya se filtró, sin revelarla nunca (k-anonimato).
Abrir herramientaInspeccione una URL y su nombre de host real localmente, sin abrir el destino.
Abrir herramientaAjustes preestablecidos de NIST, PCI DSS y CIS con scripts de Windows, Active Directory y Linux listos para ejecutar.
Abrir herramientaCuánto resiste cada longitud y combinación de caracteres ante un equipo moderno de GPU.
Abrir herramientaImporta la exportación de tu gestor de contraseñas y detecta contraseñas reutilizadas, débiles o filtradas, sin salir de tu dispositivo.
Abrir herramientaUna contraseña segura que aún se adapta a sitios web exigentes: longitud máxima, símbolos permitidos, tipos requeridos.
Abrir herramientaDoce mensajes realistas. ¿Puedes distinguir las estafas de las reales? Compártelo con tu equipo.
Abrir herramientaCalifique la seguridad de la cuenta de su empresa en cinco minutos e imprima un plan de acción priorizado.
Abrir herramientaQué método 2FA elegir y cómo activarlo para Google, Microsoft, Apple y más.
Abrir herramienta