¿Contraseña o frase de contraseña? Cuál es más segura

Es más fuerte lo que contiene más azar. Una contraseña aleatoria y una frase de palabras sacadas al azar pueden ser exactamente igual de fuertes. La diferencia está en otra parte: la contraseña es más corta y la frase se recuerda y se escribe con más facilidad. A continuación verá cuántas palabras equivalen a cuántos caracteres y cuándo conviene cada una.

De dónde sale la fortaleza

La fortaleza se mide en bits. Cada bit más duplica el número de intentos que necesita un atacante. Calculamos con rigor: el atacante sabe cómo se creó la contraseña o la frase, conoce la lista de palabras y su número, y solo ignora lo que decidió el azar.

• Contraseña aleatoria: cada carácter se elige entre 81 opciones (minúsculas, mayúsculas, cifras y símbolos), así que aporta 6,3 bits.
• Frase de contraseña: cada palabra se elige de una lista de 2048 palabras en español, así que aporta 11,0 bits. Una palabra equivale a 1,7 caracteres aleatorios.

Frase	Fortaleza	Contraseña aleatoria igual de fuerte	Hash rápido (MD5)
4 palabras	44 bits	8 caracteres	41 segundos
5 palabras	55 bits	9 caracteres	23 horas
6 palabras	66 bits	11 caracteres	5 años
7 palabras	77 bits	13 caracteres	11.000 años
8 palabras	88 bits	14 caracteres	23.000.000 años

El generador empieza con 6 palabras. Una frase así tiene 66 bits, lo mismo que una contraseña aleatoria de 11 caracteres. Para comparar: una contraseña aleatoria de 16 caracteres tiene 101 bits y una frase en español la alcanza con 10 palabras.

Más larga, pero más fácil de recordar

Las palabras de la lista tienen de media 5,5 letras. Una frase de 6 palabras unidas por guiones mide así de media 38 caracteres, mientras que una contraseña aleatoria igual de fuerte tiene solo 11. La longitud apenas importa. Usted recuerda 6 palabras, no 38 caracteres, y en el móvil las escribe sin cambiar a cifras y símbolos.

Con 6 palabras en español, la frase es buena, pero no inalcanzable. Si se filtrara una base de datos con hashes rápidos, una sola tarjeta gráfica tardaría de media 5 años. Donde el servicio guarda las contraseñas con un hash lento (bcrypt en la prueba), serían 4.600.000 años. El generador califica la frase de muy fuerte a partir de 10 palabras en español.

Solo palabras sacadas al azar

Las cifras de la tabla valen solo para palabras elegidas por el azar. Una frase inventada, una cita, el verso de una canción o un refrán son mucho más débiles. La gente elige las palabras de forma previsible y los atacantes tienen diccionarios de frases enteras.

Los retoques que piden los formularios apenas ayudan. Una mayúscula al principio de cada palabra es fácil de suponer, así que no aporta nada. Una cifra aleatoria al final aporta 3,3 bits, menos que una palabra. Si quiere reforzar la frase, añada mejor otra palabra.

Cuándo usar cada una

• Contraseñas para servicios habituales: una contraseña aleatoria del generador de contraseñas, guardada en un gestor de contraseñas. No tiene que recordarla, así que su longitud y sus caracteres dan igual.
• Lo que tiene que recordar o escribir a mano: la contraseña maestra del gestor, el inicio de sesión del ordenador o el cifrado del disco. Aquí es mejor una frase. Para la contraseña maestra, que protege todo lo demás, saque al menos 10 palabras en español o 8 en inglés.

El NIST estadounidense, en su norma SP 800-63B-4, exige al menos 15 caracteres cuando la contraseña es la única forma de iniciar sesión, y una frase de 6 palabras supera ese umbral con holgura. Contraseña o frase, rigen las mismas reglas: una por servicio y verificación en dos pasos en las cuentas importantes. Más en el artículo Cómo crear una contraseña segura.

El generador de frases de contraseña saca las palabras al azar en su propio navegador. La frase no se envía a ningún sitio ni se guarda.