Política de contraseñas: longitud frente a complejidad

Política de Contraseñas: Longitud vs Complejidad -- ¿Qué Recomienda NIST en Realidad?

NIST SP 800-63B (actualizado 2024) cambió décadas de consejos sobre contraseñas: deja de forzar reglas de complejidad, comienza a requerir longitud. Aquí está por qué, con las matemáticas para probarlo.

La Matemática de la Entropía

La entropía mide lo difícil que es forzar una contraseña mediante ataques de fuerza bruta. La fórmula es log2(tamaño_conjunto_caracteres ^ longitud).

Una contraseña de 16 caracteres en minúsculas es 8 millones de veces más difícil de crackear que una contraseña "compleja" de 8 caracteres. La longitud gana.

¿Qué Dice NIST SP 800-63B?

Por Qué las Reglas de Complejidad Fallan

Cuando fuerzas patrones como P@ssw0rd!, los usuarios hacen exactamente eso -- sustituciones predecibles que las herramientas de cracking explotan primero. Los ataques de diccionario con reglas de leetspeak crackean Tr0ub4dor&3 en segundos. Mientras tanto, correct horse battery staple (4 palabras aleatorias, ~44 bits de una lista de 2048 palabras, o elige 5-6 palabras para 55-66 bits) es tanto más fuerte como memorable.

Implementación Práctica

# Pseudocódigo para validación alineada con NIST
def validate_password(password: str, blocklist: set) -> bool:
    if len(password) < 12:
        return False  # aplica longitud mínima
    if password.lower() in blocklist:
        return False  # rechaza contraseñas vulneradas conocidas
    return True  # no se necesitan reglas de complejidad

Usa un administrador de contraseñas para generar contraseñas aleatorias de 16-20 caracteres para cada cuenta. Prueba el Generador de Contraseñas para crear contraseñas de alta entropía al instante -- establece la longitud en 16+ y salta el dolor de cabeza de la complejidad.

Conclusión Clave

Actualiza la política de contraseñas de tu organización: mínimo 12 caracteres, verificación de lista negra, no rotación forzada, no reglas de complejidad. Obtendrás seguridad más fuerte y menos boletos de ayuda.

Relacionado