Contraseñas: por qué la longitud importa más que la complejidad

Qué mide realmente la seguridad de una contraseña

Una contraseña no es «fuerte» o «débil» en términos absolutos: es más o menos difícil de adivinar para un ordenador que prueba combinaciones hasta dar con la correcta. Ese número de combinaciones posibles depende solo de dos cosas: el tamaño del alfabeto usado en cada posición (26 letras minúsculas, o más si se añaden mayúsculas, números, símbolos) y el número de posiciones, es decir, la longitud de la contraseña. Los expertos llaman a esto entropía, pero la idea es simple: cuantas más combinaciones posibles, más tiempo hace falta para probarlas todas.

La trampa está en que estos dos factores no actúan igual sobre el resultado final. Ampliar el alfabeto multiplica el número de combinaciones por posición. Añadir una posición multiplica el conjunto entero por el tamaño del alfabeto, en cada carácter añadido. Como la longitud actúa como exponente y no como simple factor, un carácter más suele tener mucho más efecto que un alfabeto más rico.

La demostración con cifras reales

Tomemos dos contraseñas. La primera tiene 8 caracteres y usa un alfabeto completo de minúsculas + mayúsculas + números + símbolos, es decir, unos 94 caracteres posibles por posición. El número de combinaciones posibles es entonces 94⁸, aproximadamente 6,1 × 10¹⁵ combinaciones, lo que equivale a poco más de 52 bits de entropía.

La segunda tiene 16 caracteres, pero solo minúsculas, es decir, 26 caracteres posibles por posición. El número de combinaciones es 26¹⁶, aproximadamente 4,4 × 10²² combinaciones, unos 75 bits de entropía.

La diferencia es enorme: la contraseña larga y «simple» ofrece aproximadamente 7 millones de veces más combinaciones que la contraseña corta y compleja, aunque solo use un tipo de carácter. Duplicar la longitud ha tenido mucho más impacto que cuadruplicar la riqueza del alfabeto. Este mecanismo, puramente matemático, explica por qué la longitud se ha convertido en el criterio número uno en las recomendaciones recientes.

Por qué han cambiado las reglas

Durante mucho tiempo, la norma en empresas y administraciones imponía reglas de complejidad estrictas: una mayúscula, un número, un símbolo, renovación cada tres meses. El instituto estadounidense de estandarización NIST, cuyas recomendaciones son referencia en todo el mundo, ha revisado este enfoque. La constatación era simple: forzar la complejidad empuja a la mayoría de la gente hacia soluciones predecibles para un humano, pero adivinables por una máquina: sustituir una «a» por una «@», añadir un número al final, o escribir variantes de «Password1!». Estas transformaciones clásicas son bien conocidas por las herramientas de cracking, que las prueban en primer lugar.

Las recomendaciones actuales insisten más en una longitud mínima generosa (a menudo entre 12 y 16 caracteres) y en evitar contraseñas ya filtradas o demasiado comunes, en lugar de reglas de composición rígidas. Una contraseña larga sigue siendo difícil de romper incluso sin complejidad artificial, mientras que una contraseña corta sigue siendo débil incluso llena de símbolos.

La frase de contraseña, una solución concreta

En la práctica, ¿cómo conseguir una contraseña larga sin que sea imposible de recordar? La respuesta más extendida es la passphrase: una sucesión de varias palabras elegidas al azar, por ejemplo cuatro o cinco palabras sin relación lógica entre ellas, unidas en una sola cadena. Algo como «tigre-nube-maleta-septiembre-tranvía» es largo, mucho más fácil de memorizar que una sucesión de caracteres aleatorios, y aun así su entropía es muy alta siempre que las palabras se elijan al azar de un vocabulario suficientemente amplio, en lugar de inventarse de memoria.

Lo importante es que el azar debe recaer sobre la elección de las palabras en sí, no sobre su combinación en una frase que «suene bien»: una cita real o un refrán conocido sigue siendo adivinable, incluso siendo largo. Por eso los gestores de contraseñas suelen ofrecer un generador de passphrase basado en una lista de palabras, en lugar de dejar que el usuario componga su propia frase.

Lo que hay que recordar

• El número de combinaciones posibles depende del tamaño del alfabeto Y de la longitud, pero la longitud actúa como exponente.
• 94⁸ (≈ 6,1 × 10¹⁵) sigue siendo muy inferior a 26¹⁶ (≈ 4,4 × 10²²): una contraseña larga y simple gana a una corta y compleja, por un factor de unos 7 millones.
• Las recomendaciones actuales priorizan una longitud mínima generosa en vez de reglas de composición forzadas.
• Una passphrase de varias palabras aleatorias combina longitud, fácil memorización y alta entropía.