Contraseñas

 

Las contraseñas son los componentes centrales en la mayoría de los esquemas de seguridad; las cuentas de usuario, los sitios web sensibles y los servicios del sistema están protegidos por ellas. Si conoce las contraseñas correctas, puede obtener privilegios de administrador en un sistema en el que ni siquiera sea un usuario o infiltrarse en un entorno en el que nunca ha trabajado antes. Tradicionalmente se han aceptado como una buena manera de implementar la seguridad, ya que pueden ser incorporados fácilmente en la mayoría de los sistemas operativos y el software sensible y, sin embargo, se pueden hacer suficientemente complejas como para ser difícil de “descifrar”, mientras que sea recordada por el usuario. Su debilidad como medida de seguridad está en su poder, una contraseña es todo lo que necesita para tener acceso completo a todo un sistema y las contraseñas PUEDEN descifrarse. Lo mejor que puede hacer es tratar de hacer que estas dos cosas sean muy poco probables. Requerir contraseñas únicas y complejas de todas las cuentas de usuario en el sistema, no es aceptable tener cuentas de “invitados” u otras cuentas que no requieren ningún tipo de autenticación. Si una cuenta no se ha usado para la conexión (es decir, que esa cuenta nunca será utilizada), quite su posibilidad de iniciar sesión por completo. Las contraseñas deben contener al menos 8 caracteres y una combinación de letras y números, mayúsculas y minúsculas. Las contraseñas no deben parecerse a cualquier palabra, nombre, idea o concepto que pueda aparecer en cualquier diccionario de cualquier parte del mundo. Un buen ejemplo: jY2EHxq#y Obligar la rotación (distinta a las anteriores) y caducidad de contraseñas. Los usuarios nunca deberían poder mantener una contraseña más de unos pocos meses, ya que alguien fácilmente podría (pero imperceptiblemente) romper por fuerza bruta una contraseña durante un largo período de tiempo. También debe asesorar a los usuarios contra el uso de la misma contraseña en otros sitios. El archivo de contraseñas o mecanismo que se use para almacenar las contraseñas debería estar encriptado y no debería estar disponible para el usuario medio. Si un usuario pudiera obtener el archivo de contraseñas, puede utilizarlo en otro sistema para intentar descifrar las contraseñas sin que te des cuenta. No escriba las contraseñas y no las guarde en otra cosa que no sea la memoria humana, a ser posible. Las contraseñas del sistema se deben cambiar al menos una vez al mes y no se deberían compartir con más gente de lo necesario.