Seguridad de Contraseña — Dos Relojes, No un Número
No escribas una contraseña que uses de verdad. Escribe una con la misma forma — el mismo largo y la misma mezcla — y el reemplazo te da la misma lectura.
Lo que escribes no se guarda, no se envía y no se compara con ninguna lista. Esta página no hace ninguna petición de red.
Esperando algo que medir.
- Entropía estimada
- —
- Largo
- —
- Contra un login (100/seg)
- —
- Contra una filtración (100 mil millones/seg)
- —
Son las dos cifras de la misma contraseña frente a dos ataques distintos. Un formulario que frena los intentos repetidos es el caso amable. Un archivo robado de hashes corriendo en una placa de video es el hostil, y es el que conviene prever, porque nunca te enteras a tiempo de que un servicio fue vulnerado.
Seguridad de Contraseña: en qué consiste
Casi todos los medidores dan un puntaje y un tiempo de descifrado enorme. Ese tiempo sale de suponer que alguien prueba todas las combinaciones de todos los caracteres que usaste, sin ningún orden, y así no adivina nadie una contraseña. Los ataques reales arrancan por las contraseñas que la gente ya eligió, siguen por las palabras de diccionario y después por esas mismas palabras con una mayúscula adelante y un número o un año al final.
Esta página se arma al revés. Primero busca las partes baratas — una contraseña conocida, una palabra de diccionario disfrazada con símbolos, un recorrido por el teclado, un bloque repetido, un año de cuatro dígitos — y le pone a cada una el precio que realmente tiene. Solo los caracteres que sobran se cuentan como si fueran al azar.
Después muestra dos relojes en vez de uno, porque una contraseña no tiene una sola fuerza. Frente a un formulario que frena los intentos repetidos, casi cualquier cosa aguanta. Frente a un archivo filtrado de hashes en una placa de video, esa misma contraseña puede caer en segundos. La distancia entre esos dos números suele ser toda la historia, y una sola cifra la tapa.
Nada de lo que escribes se guarda, se envía ni se consulta. Lo último es una decisión y no un olvido: comparar una contraseña contra una lista de filtraciones significa entregarla, o entregar un pedazo, al servidor de otro.
Cómo leer el resultado
- Escribe algo con la forma de una contraseña que uses de verdad — el mismo largo, la misma mezcla de letras, dígitos y símbolos — y no la contraseña misma. Lo que se mide es el patrón, así que un reemplazo da la misma respuesta.
- Mira el cerrojo. Se mueve con la estimación y no con una lista de tipos de carácter, por eso agregarle un símbolo a una palabra común casi no lo corre.
- Lee los dos relojes. El lento es lo que enfrenta un login de sitio web. El rápido es lo que enfrenta un archivo de contraseñas filtrado, y cuando los dos no coinciden hay que prever el rápido.
- Lee los hallazgos de abajo. Nombran la parte que es barata de adivinar, y esa es la parte que conviene cambiar. Una contraseña puede tener doce caracteres y aparecer igual en menos de un segundo.
- Toca los botones de ejemplo para comparar una palabra rellenada con una tira de palabras sueltas. La segunda se recuerda mejor y tarda muchísimo más en caer, que es el punto de todo esto.
Preguntas frecuentes
¿Es gratis? ¿Hace falta una cuenta?
Es gratis, no hay cuenta y no hay nada que instalar. La página es un archivo de JavaScript que corre en tu navegador, así que funciona sin conexión una vez cargado.
¿Mi contraseña sale del navegador?
No. No se envía, no se guarda y la página no hace ninguna petición mientras escribes. Puedes verificarlo tú mismo en el panel de red del navegador, que es mejor garantía que cualquier promesa escrita en una página.
¿Por qué no comparan contra una lista de filtraciones, como otros sitios?
Porque eso implica mandar la contraseña, o un pedazo de su hash, al servidor de otro. Hay servicios que lo hacen con cuidado y el riesgo es chico, pero no es cero, y preferimos que esta página no tenga forma de filtrar nada. Si quieres esa consulta, hazla desde un gestor de contraseñas al que ya le confías tus claves.
¿Por qué dos tiempos y no uno?
Porque son la misma contraseña frente a dos ataques distintos. Un formulario que frena los intentos permite unos cien por segundo; un archivo robado de hashes en una placa de video permite cien mil millones. Que una contraseña aguante uno y no el otro es de lo más común, y un solo número no puede decir eso.
¿Por qué agregar un símbolo casi no ayuda?
Porque los programas de adivinanza ya conocen el truco. Cambiar una a por arroba o una o por cero es una de las primeras reglas que le aplican a cada palabra de diccionario, así que multiplica el trabajo por dos y no por la cantidad de símbolos del teclado. Cuatro caracteres más de largo lo multiplican por millones.
¿Qué tan precisa es esta estimación?
Es una estimación y peca de generosa. El diccionario de acá tiene unos cientos de palabras, mientras que un ataque real usa listas de cientos de millones más reglas para combinarlas, y trae pocas palabras en español. Todo lo que nuestra lista no reconoce se cuenta como azar, así que una frase armada con palabras comunes se ve más fuerte acá de lo que sería contra un ataque por listas. Toma un puntaje bajo como mala noticia confiable y uno alto como aliento, no como prueba.
¿Conviene usar un gestor de contraseñas en vez de inventarlas?
Para casi todas las cuentas sí, y es otra clase de respuesta al mismo problema. Un gestor hace que todas sean largas y distintas entre sí, así que una filtración no se propaga. Las pocas que igual tienes que recordar — el gestor mismo, el equipo, el correo — son las que vale la pena armar a mano con palabras sueltas, y son las que vale la pena medir acá.