Contraseñas y Autenticación

Autenticación, Autorización e Identidad

Antes de hablar de contraseñas conviene distinguir tres conceptos. La autenticación responde a la pregunta "¿quién eres?": el proceso de verificar la identidad de un usuario. La autorización responde a "¿qué puedes hacer?": los permisos que se conceden una vez verificada la identidad. La gestión de identidad abarca todo el ciclo de vida de las cuentas: creación, modificación y eliminación de accesos.

Una analogía aeroportuaria ayuda a fijar la diferencia: mostrar el documento en el mostrador es autenticación (demuestras quién eres); la tarjeta de embarque que te deja subir a un vuelo específico, en una clase específica, es autorización (define qué puedes hacer). Son controles distintos, y ambos pueden fallar por separado: puedes ser exactamente quien dices ser y aun así no tener permiso para entrar a la cabina.

La autenticación se basa en uno o más factores: algo que sabes (una contraseña), algo que tienes (un teléfono o una llave física) y algo que eres (una huella dactilar o reconocimiento facial). La fortaleza de un sistema de autenticación depende de cuántos factores independientes combine y de la calidad de cada uno. Ojo con el detalle de "independientes": una contraseña más una pregunta de seguridad son dos cosas que sabes — es decir, un solo factor repetido, no dos factores.

| Factor | Qué es | Ejemplos | Debilidad típica | |---|---|---|---| | Algo que sabes | Un secreto memorizado | Contraseña, PIN, frase de paso | Se puede adivinar, filtrar o engañar para que lo reveles | | Algo que tienes | Un objeto en tu poder | Teléfono, llave FIDO2, tarjeta | Se puede robar o clonar (según el tipo) | | Algo que eres | Una característica biométrica | Huella, rostro, iris | No se puede "cambiar" si se compromete |

Comprender esta distinción es clave: una contraseña fuerte protege la autenticación, pero sin una autorización bien diseñada, una cuenta comprometida podría acceder a mucho más de lo necesario. Por eso el principio de mínimo privilegio, que veremos al final del curso, complementa a la autenticación. La gestión de identidad, por su parte, es la que suele fallar en silencio: la cuenta del empleado que renunció hace seis meses y sigue activa es una puerta abierta que nadie vigila — un clásico de las auditorías en empresas de cualquier tamaño.

Qué Hace Fuerte a una Contraseña

Durante años se promovieron reglas rígidas —mayúsculas, números, símbolos— que en la práctica generaban contraseñas difíciles de recordar pero fáciles de adivinar para una máquina. El resultado fue predecible: la gente escribió Nombre2024! y creyó estar segura. La investigación moderna, reflejada en guías como las del NIST, prioriza la longitud por encima de la complejidad artificial. Una frase de paso larga como caballo-correcto-bateria-grapa resiste mejor un ataque que P@ssw0rd!.

La matemática detrás es simple: cada carácter adicional multiplica el número de combinaciones posibles, así que la resistencia crece exponencialmente con la longitud, mientras que agregar un símbolo a una contraseña corta apenas la mueve. Una contraseña de 8 caracteres, por compleja que sea, puede caer ante hardware moderno en horas o días; una frase de paso de 20 caracteres está fuera del alcance práctico de la fuerza bruta. Y tiene una ventaja adicional: mate-lluvia-guitarra-jueves es fácil de recordar y de tipear; X#k9!q2$ no es ninguna de las dos cosas.

Los atacantes no adivinan contraseñas una por una: usan ataques de diccionario que prueban palabras comunes y sus variaciones predecibles (nombre123, Nombre2024!), fuerza bruta que recorre combinaciones, y sobre todo credential stuffing, que reutiliza contraseñas filtradas en otras brechas. Este último merece atención porque explica el peligro real de la reutilización: cuando un foro cualquiera donde te registraste hace años sufre una filtración, los atacantes prueban ese mismo correo y contraseña contra bancos, correos y redes sociales de forma automatizada. Si reutilizaste la contraseña, la brecha de un sitio irrelevante se convierte en la brecha de toda tu vida digital.

Las recomendaciones actuales son claras:

• Longitud primero: frases de paso de cuatro o más palabras, o contraseñas de 16 caracteres o más.
• Única para cada servicio: la regla más importante de todas; ninguna contraseña se repite.
• Sin datos personales predecibles: nombres, fechas de nacimiento, patentes, equipos de fútbol — todo eso está en los diccionarios de los atacantes.
• Sin cambios periódicos forzados: rotar por calendario sin motivo empeora las elecciones (Clave01, Clave02...); se cambia cuando hay sospecha de compromiso.
• Verifica filtraciones: servicios como Have I Been Pwned permiten consultar si tu correo apareció en brechas conocidas, para reaccionar a tiempo.

Un Método Simple para Crear Frases de Paso

Para las pocas contraseñas que sí necesitas memorizar (la del gestor, la de tu sesión), un método probado es el de las palabras al azar:

1. Elige cuatro o cinco palabras que no tengan relación entre sí. Cuanto más azarosa la selección, mejor; algunos usan dados y listas de palabras para garantizarlo (el método conocido como diceware).
2. Únelas con un separador: termo-ventana-cactus-farol-nube.
3. Verifica que no formen una frase famosa ni un dato personal: la letra de una canción conocida o tu dirección no sirven.
4. Practícala tipeándola unas cuantas veces: en dos días la vas a escribir sin pensar.

El resultado es largo (más de 25 caracteres), fácil de recordar y muy costoso de atacar por fuerza bruta. Lo que nunca hay que hacer es la versión "trucha" de este método: tomar una sola palabra y decorarla (Cactus2024!), porque eso ya está en todos los diccionarios de ataque.

Un apunte para quienes desarrollan sistemas: las contraseñas nunca se almacenan en texto plano, se guardan como hashes calculados con algoritmos diseñados para ser lentos (bcrypt, Argon2). Como usuario no controlas eso, pero explica por qué algunas filtraciones son catastróficas (contraseñas en texto plano) y otras dan margen de reacción (hashes robustos).

Autenticación Multifactor (MFA)

La autenticación multifactor (MFA) exige dos o más factores independientes, de modo que robar la contraseña no basta para acceder. Es, con diferencia, una de las medidas más eficaces y de mejor relación costo-beneficio en toda la ciberseguridad: bloquea la gran mayoría de los ataques automatizados contra cuentas.

La lógica es la del doble candado: aunque el atacante consiga tu contraseña mediante phishing o una filtración —cosas que, como vimos, pasan todo el tiempo—, todavía necesita tu teléfono o tu llave física para completar el ingreso. Y ese segundo obstáculo no se resuelve a distancia ni a escala, que es justamente lo que rompe el modelo de negocio del atacante automatizado.

No todos los segundos factores son iguales. Los códigos por SMS son mejores que nada, pero vulnerables al SIM swapping: el atacante convence a la operadora (o a un empleado cómplice) de transferir tu número a un chip propio, y a partir de ahí recibe tus códigos. Las aplicaciones de autenticación que generan códigos temporales (TOTP), como las basadas en el estándar de Google Authenticator o Authy, son más seguras porque el secreto vive en tu dispositivo. En lo más alto están las llaves físicas basadas en FIDO2/WebAuthn (por ejemplo YubiKey), resistentes incluso al phishing porque verifican criptográficamente el sitio web: aunque escribas tus datos en una página falsa perfecta, la llave se niega a autenticar porque el dominio no coincide.

| Método | Seguridad | Comodidad | Vulnerable a | |---|---|---|---| | Solo contraseña | Baja | Alta | Todo lo visto: phishing, filtraciones, stuffing | | SMS | Media | Alta | SIM swapping, interceptación | | App TOTP (códigos temporales) | Alta | Media | Phishing en tiempo real (el usuario tipea el código en un sitio falso) | | Notificación push | Alta | Alta | Fatiga de MFA (aprobar por cansancio ante solicitudes repetidas) | | Llave física FIDO2 | Muy alta | Media | Prácticamente solo el robo físico de la llave |

Dos hábitos completan el cuadro: guardar los códigos de recuperación que el servicio entrega al activar MFA (en el gestor de contraseñas o impresos en lugar seguro, porque son la salida de emergencia si pierdes el teléfono), y nunca aprobar una notificación de acceso que no iniciaste tú — esa es la señal de que alguien ya tiene tu contraseña.

Activar MFA en cuentas de correo, banca y servicios críticos debería ser una prioridad absoluta. El correo, en particular, suele ser la llave maestra: si un atacante lo controla, puede restablecer las contraseñas de casi todo lo demás mediante el clásico "olvidé mi contraseña".

Gestores de Contraseñas

Es humanamente imposible recordar decenas de contraseñas largas y únicas. La solución no es reutilizarlas, sino usar un gestor de contraseñas: una aplicación que genera, almacena y completa contraseñas robustas, protegidas todas por una única contraseña maestra y, idealmente, por MFA.

Herramientas como Bitwarden, 1Password o KeePass cifran tu bóveda de credenciales con algoritmos sólidos, de modo que solo tú puedes descifrarla: ni siquiera el proveedor del servicio puede leer su contenido (arquitectura de "conocimiento cero"). Además de comodidad, aportan seguridad: cada servicio recibe una contraseña distinta y aleatoria, y muchos gestores alertan si una de tus credenciales apareció en una filtración.

| Gestor | Modelo | Costo | Ideal para | |---|---|---|---| | Bitwarden | Nube, código abierto | Gratuito con plan pago opcional | Quien busca equilibrio entre precio, transparencia y comodidad | | 1Password | Nube, comercial | Suscripción | Familias y empresas que priorizan pulido y soporte | | KeePass | Archivo local, código abierto | Gratuito | Quien prefiere control total sin depender de la nube |

Cualquiera de las tres opciones es enormemente mejor que no usar ninguna: elige la que realmente vayas a usar todos los días.

Hay un beneficio menos obvio que vale la pena conocer: el autocompletado del gestor es en sí mismo una defensa contra el phishing. El gestor asocia cada credencial al dominio exacto donde la guardaste; si un correo te lleva a banco-seguro-verificacion.com en lugar de tu banco real, el gestor no ofrecerá completar nada. Esa "falla" silenciosa es una alarma: si el gestor no reconoce el sitio, frena y verifica la dirección.

Frente al cuaderno de contraseñas o el archivo de Excel —soluciones frecuentes en oficinas de toda la región—, la diferencia es sustancial: el archivo sin cifrar puede ser leído por cualquier malware o compañero curioso, no genera contraseñas aleatorias y no avisa de filtraciones. El cuaderno, al menos, no es hackeable a distancia, pero no escala ni acompaña al teléfono.

El único punto crítico es la contraseña maestra, que debe ser larga, única y memorable —una frase de paso es ideal—, y nunca compartirse ni reutilizarse en ningún otro servicio. Combinada con MFA sobre el propio gestor, esta arquitectura ofrece un equilibrio excelente entre seguridad y usabilidad. Para uso empresarial, los gestores con planes de equipo suman ventajas extra: carpetas compartidas por área en lugar del "Excel de claves" circulando por correo, y revocación centralizada cuando alguien deja la empresa.

El Futuro: Passkeys y Autenticación sin Contraseña

La industria avanza hacia un mundo sin contraseñas. Las passkeys, basadas en el estándar FIDO2/WebAuthn, reemplazan la contraseña por un par de claves criptográficas: una privada que nunca abandona tu dispositivo y una pública que guarda el servicio. Al iniciar sesión, tu dispositivo demuestra que posee la clave privada sin transmitir ningún secreto reutilizable.

En la práctica, la experiencia es simple: el sitio te pide confirmar con la huella, el rostro o el PIN del dispositivo — lo mismo que usas para desbloquear el teléfono. No hay nada que memorizar ni que tipear. Google, Apple, Microsoft y cada vez más bancos y servicios ya las soportan, y los sistemas operativos las sincronizan entre tus dispositivos.

Este enfoque elimina de raíz el phishing de credenciales y las filtraciones de contraseñas, porque no hay contraseña que robar: el sitio falso no puede pedirte un secreto que no existe, y una brecha del servidor solo expone claves públicas, que no sirven para autenticarse. Aunque la transición llevará tiempo y las contraseñas seguirán entre nosotros varios años más, comprender estos mecanismos te prepara para el modelo de autenticación que se está volviendo el estándar. Mientras tanto, la recomendación práctica es simple: activa passkeys donde ya estén disponibles y mantén el resto de tus cuentas con contraseñas únicas más MFA.

Preguntas Frecuentes

¿Es seguro guardar todas las contraseñas en un solo lugar? ¿No es "poner todos los huevos en la misma canasta"? La canasta importa menos que su blindaje. Una bóveda cifrada, protegida por una frase maestra fuerte y MFA, es incomparablemente más segura que la alternativa real: contraseñas repetidas y débiles repartidas por decenas de sitios. El riesgo concentrado y bien protegido vence al riesgo disperso y sin protección.

¿Puedo anotar contraseñas en un papel? Para un usuario doméstico, un papel bien guardado en casa protege contra todos los ataques remotos — el ladrón informático no puede leer tu cajón. Es mala idea en oficinas (mucha gente circula) y no escala, pero como respaldo de la frase maestra, guardado con tus documentos importantes, es perfectamente razonable.

¿La biometría reemplaza a la contraseña? En el teléfono, la huella o el rostro normalmente desbloquean una credencial guardada en el dispositivo; son comodidad más que reemplazo. Con las passkeys esa arquitectura se vuelve el mecanismo principal. El matiz importante: la biometría no se puede cambiar si se compromete, por eso funciona mejor como factor local del dispositivo que como secreto enviado a servidores.

¿Cada cuánto debo cambiar mis contraseñas? Solo cuando haya motivo: apareció en una filtración, la compartiste, sospechas un acceso extraño o la usaste en un equipo ajeno. El cambio calendario obligatorio es una práctica en retirada, incluso en las guías oficiales.

¿Qué hago primero si me robaron una contraseña? Cámbiala de inmediato en el servicio afectado y en cualquier otro donde la hayas reutilizado, cierra las sesiones activas desde la configuración de la cuenta y activa MFA si no lo tenías. Si el correo fue el comprometido, priorízalo: desde ahí se restablece todo lo demás.

Errores Comunes

• Reutilizar contraseñas "solo en cuentas sin importancia": el credential stuffing convierte la brecha de un sitio menor en la llave de tus cuentas importantes.
• Cumplir requisitos con el mínimo esfuerzo: Nombre2024! cumple todas las reglas clásicas y está entre lo primero que prueba un diccionario.
• Compartir credenciales de trabajo: la cuenta compartida del "usuario administración" impide saber quién hizo qué y multiplica los puntos de fuga.
• Elegir siempre "recordar preguntas de seguridad" reales: el apellido materno y la primera mascota se encuentran en redes sociales; si el servicio las exige, responde con datos inventados guardados en el gestor.
• No guardar los códigos de recuperación de MFA: perder el teléfono sin ellos puede significar perder la cuenta.
• Aprobar notificaciones push que no iniciaste: eso confirma al atacante que la contraseña robada funciona — y le abre la puerta.

Ejercicio: Audita Tu Identidad Digital

Antes de pasar a la próxima lección, dedícale media hora a este inventario:

1. Lista tus cuentas críticas: correo principal, banca, billeteras digitales, redes sociales, trabajo.
2. Marca las contraseñas repetidas: cada repetición es un contagio en potencia; esas van primero en la lista de cambios.
3. Consulta tus correos en un servicio de alerta de filtraciones y anota qué cuentas aparecen comprometidas.
4. Activa MFA en el correo hoy mismo, aunque sea lo único que hagas del ejercicio: es la cuenta que abre todas las demás.
5. Instala un gestor de contraseñas y migra al menos las cinco cuentas más importantes, generando contraseñas nuevas y únicas en el proceso.
6. Guarda los códigos de recuperación de cada MFA que actives, en la bóveda del gestor o impresos en lugar seguro.

No hace falta terminar todo en un día: el objetivo es que las cuentas críticas queden cubiertas esta semana y el resto vaya migrando con el uso.

Puntos Clave: Mini-Checklist de Identidad

• Autenticación es demostrar quién eres; autorización es lo que te permiten hacer. No las confundas.
• La longitud vence a la complejidad artificial: frases de paso de cuatro o más palabras, únicas por servicio.
• Instala un gestor de contraseñas y migra tus cuentas gradualmente, empezando por las críticas.
• Activa MFA en el correo primero (es la llave maestra de todo), después banca y servicios principales; prefiere apps TOTP o llaves físicas sobre SMS.
• Guarda los códigos de recuperación en lugar seguro.
• Verifica tus correos en un servicio de alerta de filtraciones y cambia cualquier contraseña comprometida.
• Adopta passkeys en los servicios que ya las ofrecen.

En la próxima lección veremos la criptografía que hace posible toda esta protección.