A pesar de que las contrase\u00f1as no son actualmente el mecanismo de autenticaci\u00f3n m\u00e1s recomendado, muchos sistemas todav\u00eda dependen de ellas y probablemente lo seguir\u00e1n haciendo por alg\u00fan tiempo.<\/p>\n\n\n\n
En este contexto, el Instituto Nacional de Est\u00e1ndares y Tecnolog\u00eda de Estados Unidos (National Institute for Standards and Technology, NIST) est\u00e1 elaborando una gu\u00eda llamada Digital Authentication Guideline (Lineamientos de Autenticaci\u00f3n Digital), que contiene pol\u00edticas en relaci\u00f3n con el uso de contrase\u00f1as. Esta gu\u00eda se encuentra sujeta a revisi\u00f3n p\u00fablica la versi\u00f3n final ser\u00e1 adoptada por el Gobierno de los Estados Unidos. A trav\u00e9s de la Publicaci\u00f3n Especial del NIST 800-63-3 (SP 800-63-3), se proponen cambios a las pol\u00edticas recomendadas de contrase\u00f1as, algunos de los cu\u00e1les van en direcci\u00f3n contraria a las pr\u00e1cticas tradicionalmente m\u00e1s difundidas hasta el momento en esta materia. Es interesante analizar qu\u00e9 propone el NIST en la referida gu\u00eda, cu\u00e1les son los cambios importantes respecto a pr\u00e1cticas usuales y qu\u00e9 de esto podr\u00edan utilizar las empresas.<\/p>\n\n\n\n
Una de las conclusiones a las que llega el an\u00e1lisis desarrollado en la Gu\u00eda NIST es que obligar a los usuarios a utilizar contrase\u00f1as complejas no es tan efectivo como se pensaba. En este sentido, para evitar que se utilicen contrase\u00f1as demasiado sencillas, muchos sistemas obligan al usuario a utilizar contrase\u00f1as que requieran por ejemplo n\u00fameros, may\u00fasculas y s\u00edmbolos. No obstante, investigaciones relacionadas con seguridad han puesto de manifiesto que el beneficio de implementar este tipo de reglas no tiene la importancia que se cre\u00eda, pero sin embargo el impacto negativo en cuanto a usabilidad y facilidad de memorizaci\u00f3n s\u00ed es muy significativo. Seg\u00fan el estudio, el largo de la contrase\u00f1a ha probado ser el principal factor que caracteriza la fortaleza de la misma.<\/p>\n\n\n\n
La publicaci\u00f3n de NIST establece ciertos aspectos deseables en cuanto al establecimiento y uso de contrase\u00f1as, algunos de los cuales mencionamos a continuaci\u00f3n:<\/p>\n\n\n\n
– Los PINS deber\u00edan tener al menos 6 d\u00edgitos y las contrase\u00f1as 8.<\/p>\n\n\n\n
– Los Sistemas deber\u00edan impedir que los usuarios establezcan contrase\u00f1as que figuran en \u201clistas negras\u201d o listas de contrase\u00f1as que t\u00edpicamente han sido comprometidas (por ejemplo 123456, QWERTY, etc.).<\/p>\n\n\n\n
– No deber\u00edan establecerse otros requerimientos de complejidad adicionales para las contrase\u00f1as que fijen los usuarios, por lo comentado antes acerca de la efectividad real del uso de contrase\u00f1as complejas. \u00bfNuevas reglas para el establecimiento y uso de contrase\u00f1as? ECOVIS info. Issue 101\/ 07 de marzo \/2017 3<\/p>\n\n\n\n
– Los sistemas deber\u00eda permitir a los usuarios el uso de contrase\u00f1as de 64 caracteres o m\u00e1s, para habilitar y fomentar el uso de frases de contrase\u00f1a.<\/p>\n\n\n\n
– Los sistemas deber\u00edan permitir todos los Caracteres ASCII [RFC 20] y Unicode [ISO\/ISC 10646:2014]. – Los sistemas no deber\u00edan pedir a los usuarios \u201cpistas\u201d para recordar las contrase\u00f1as (por ejemplo, \u201ccu\u00e1l es el nombre de su primer mascota\u201d).<\/p>\n\n\n\n
– Los sistemas no deber\u00edan solicitar a los usuarios que modifiquen peri\u00f3dicamente sus contrase\u00f1as en forma arbitraria, salvo que exista evidencia de que esas contrase\u00f1as han sido violadas.<\/p>\n\n\n\n
– Cuando se recibe una solicitud de modificar una contrase\u00f1a por parte de un usuario, el sistema deber\u00eda verificar que la nueva contrase\u00f1a no se encuentre en una \u201clista negra\u201d de contrase\u00f1as comprometidas, que no sea una palabra del diccionario, que no sean caracteres repetitivos o secuenciales (por ejemplo: aaaaaaa, 123456), que no se trate de palabras significativas en el contexto (por ejemplo, nombre del usuario, contrase\u00f1a anterior, etc.).<\/p>\n\n\n\n
– La norma tambi\u00e9n establece determinadas recomendaciones en cuanto a la seguridad en que los sistemas almacenan las contrase\u00f1as.<\/p>\n\n\n\n
La SP 800-63-3 del NIST muestra que el uso de controles debe adaptarse continuamente a la realidad y a los cambios permanentes que se producen en el mundo de la Tecnolog\u00eda de la Informaci\u00f3n, particularmente las t\u00e9cnicas de ataque y la capacidad de los Sistemas Computacionales. Por ello el objetivo de esta gu\u00eda es mejorar la forma en la que los usuarios crean y utilizan las contrase\u00f1as y la forma en que los sistemas las almacenan, reduciendo al m\u00ednimo la complejidad cuando es posible. Las empresas deber\u00e1n analizar cu\u00e1les de estas recomendaciones pueden aplicar a su contexto particular, cu\u00e1les de ellas son f\u00e1cilmente adaptables y cu\u00e1les pueden tener un costo importante. Por ejemplo, la recomendaci\u00f3n de no obligar a los usuarios a cambiar la contrase\u00f1a en forma peri\u00f3dica implicar\u00e1 que la empresa tenga alg\u00fan mecanismo alternativo de monitoreo para verificar que una base de datos con contrase\u00f1as no ha sido vulnerada.<\/p>\n\n\n\n
A pesar de que las contrase\u00f1as no son actualmente el mecanismo de autenticaci\u00f3n m\u00e1s recomendado, muchos sistemas todav\u00eda dependen de ellas y probablemente lo seguir\u00e1n haciendo por alg\u00fan tiempo. En este contexto, el Instituto Nacional de Est\u00e1ndares y Tecnolog\u00eda de Estados Unidos (National Institute for Standards and Technology, NIST) est\u00e1 elaborando una gu\u00eda llamada Digital…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"ngg_post_thumbnail":0,"footnotes":""},"categories":[6],"tags":[4,5],"class_list":["post-1019","post","type-post","status-publish","format-standard","hentry","category-noticias","tag-consejo-del-mercado-comun-del-mercosur","tag-control-aduanero","entry","no-media"],"yoast_head":"\n