Guía · 2 min de lectura
Cuánto se tarda en descifrar una contraseña, de verdad
Las tablas de «tu contraseña tardaría X años» suelen engañar. Cómo atacan realmente los ladrones de contraseñas y qué hace que una aguante o caiga en segundos.
Última actualización:
Las tablas que circulan por internet con colores y años, «8 caracteres con símbolos: 5 horas», cuentan algo cierto pero incompleto. Suponen que el atacante prueba todas las combinaciones posibles una a una. Casi nunca lo hace.
Cómo atacan de verdad
Cuando una web sufre una filtración, los atacantes no suelen obtener tu contraseña, sino su huella (un hash). Con esa huella pueden probar contraseñas en sus propios ordenadores, sin límite de intentos y sin que nadie se entere. El orden en que prueban es lo que decide todo:
- Contraseñas ya filtradas. Hay listas con cientos de millones de contraseñas reales. «123456», «contraseña» o «Barcelona1992» caen en el primer segundo.
- Palabras y nombres con variaciones. Diccionarios en muchos idiomas, nombres propios, equipos, fechas, y las sustituciones de siempre: «a» por «@», «o» por «0», una mayúscula al principio y un número al final.
- Patrones de teclado y secuencias. «qwerty», «asdfgh», «1qaz2wsx».
- Fuerza bruta, solo al final, para lo que no ha caído antes.
La velocidad depende de la web, no de ti
Cuántas contraseñas por segundo puede probar un atacante depende de cómo guardaba la web las huellas:
- Con algoritmos rápidos y antiguos, una sola tarjeta gráfica moderna prueba decenas de miles de millones por segundo.
- Con algoritmos lentos diseñados para contraseñas, como bcrypt o Argon2, la misma tarjeta baja a miles o decenas de miles por segundo.
Tú no sabes cómo guarda cada web tu contraseña, así que lo prudente es suponer el caso malo.
Qué hace que una contraseña aguante
- Que no se parezca a nada. Lo que más protege es que no aparezca en ninguna lista ni siga ningún patrón.
- Longitud. Cada carácter imprevisible multiplica el trabajo.
- Que sea única. Si reutilizas una contraseña y se filtra en una web, los atacantes la prueban en todas las demás.
Una frase de varias palabras elegidas al azar, como las que genera el auditor, es larga, fácil de recordar y no aparece en ninguna lista.
Compruébalo con la tuya
Auditar contraseñas estima cuánto tardaría en caer una contraseña en tres escenarios realistas, teniendo en cuenta palabras de diccionario en español e inglés, nombres, fechas y patrones de teclado. La contraseña se analiza en tu navegador y no se envía a ningún sitio. Aun así, si no quieres escribir la tuya, prueba con una variante del mismo estilo: el resultado será igual de útil.