Entropía de Shannon y seguridad de la contraseña
La mayoría de los consejos sobre contraseñas se centran en mezclar mayúsculas, minúsculas, números y símbolos, pero esto pasa por alto la medida real de la seguridad de la contraseña: la entropía, la cantidad de aleatoriedad medida en bits. Comprender la entropía de Shannon le ayuda a crear contraseñas que realmente resistan los ataques, a menudo haciendo lo contrario de la sabiduría convencional.
¿Qué es la entropía de Shannon?
La entropía de Shannon, que lleva el nombre del matemático Claude Shannon, cuantifica la imprevisibilidad de un mensaje. Para las contraseñas, mide cuántos bits de información están empaquetados en su contraseña. Cuantos más bits, más combinaciones posibles debe intentar un atacante para adivinarla. Una contraseña con 64 bits de entropía es astronómicamente más difícil de descifrar que una con 32 bits, incluso si esta última parece más compleja.
Cómo se calcula la entropía
La entropía se calcula como log2(resultados_posibles), donde resultados_posibles es el número total de contraseñas únicas que alguien podría generar usando su método. Una contraseña extraída de un alfabeto de 94 caracteres (minúsculas, mayúsculas, dígitos y símbolos) y 8 caracteres de longitud tiene una entropía de aproximadamente 52 bits. Cada carácter adicional agrega aproximadamente 6,5 bits cuando se extrae de ese conjunto de 94 caracteres.
La entropía crece logarítmicamente con el tamaño del alfabeto pero linealmente con la longitud. Esto es importante: expandir su alfabeto de 26 a 52 caracteres duplica la entropía, pero agregar un carácter a la longitud agrega entropía proporcionalmente cada vez. Es por eso que la longitud es la palanca más poderosa para fortalecer la contraseña.
Por qué la longitud supera a los símbolos
Una contraseña de doce caracteres que utiliza sólo letras minúsculas tiene más entropía que una contraseña de ocho caracteres que utiliza minúsculas, mayúsculas, dígitos y símbolos. La matemática es simple: cada carácter adicional con una longitud de 12 multiplica tus posibilidades por 26. Con una longitud de 8, agregar soporte para símbolos solo se multiplica aproximadamente por 2. Cuanto más largo, más fuerte.
Una frase de contraseña memorable como "elefantes de la jungla iluminados por la luna nadando" (solo en minúsculas, 30 caracteres, extraídas de aproximadamente 170.000 palabras comunes en inglés) contiene alrededor de 68 bits de entropía. Una contraseña de aspecto aleatorio como "Kx7@mQ2p" (8 caracteres, alfabeto de 94 caracteres) tiene sólo 52 bits, pero la frase de contraseña es más fácil de escribir y recordar.
Alcanzando 80 bits de entropía
Los especialistas en seguridad recomiendan 80 bits de entropía para las contraseñas que protegen cuentas confidenciales. Aquí hay caminos concretos hacia 80 bits:
- Usando minúsculas y dígitos (alfabeto de 36 caracteres): 13 caracteres. Ejemplo: moonlitjungle42elephant9swim
- Uso de minúsculas, mayúsculas, dígitos y símbolos (alfabeto de 94 caracteres): 12 caracteres.
- Usando una lista de palabras de 10.000 palabras: 4 palabras. Ejemplo: jungla-elefante-nado-a la luz de la luna
- Usando una lista de palabras de 7776 palabras (estándar de dados): 5 palabras.
Los enfoques basados en palabras ganan en memorabilidad y no son menos seguros matemáticamente.
Diceware: el método probado
El método de dados crea frases de contraseña de alta entropía utilizando dados físicos y una lista de palabras. Tira cinco dados, busca el número de cinco dígitos resultante en el diccionario de dados y escribe la palabra. Repita 5 veces para obtener una frase de contraseña de 65 bits; repita 6 veces para 78 bits; 7 veces para 91 bits. Las frases de contraseña son memorables, fáciles de escribir y genuinamente aleatorias de una manera que los humanos no pueden lograr si intentan ser creativos.
Pruebe la entropía de su contraseña
Utilice un verificador de seguridad de contraseña para medir la entropía de cualquier contraseña en bits. Cree una contraseña de prueba con un generador de contraseñas aleatorias y ver cuántos bits contiene. Pruebe diferentes longitudes y alfabetos para desarrollar la intuición. A Calculadora de entropía de Shannon le muestra los cálculos: ingrese cualquier texto y mostrará los bits de entropía contenidos en él.
Privacidad: las herramientas se ejecutan localmente, no en un servidor
Todas las herramientas de TextArray se ejecutan completamente dentro de su navegador. Su contraseña nunca se envía a un servidor, nunca se registra, nunca se almacena en ningún lugar excepto en su propio dispositivo. El cálculo de la entropía se realiza localmente. Puede desconectarse de Internet y seguir generando contraseñas y medir su seguridad. Este enfoque solo local significa que sus contraseñas son únicamente suyas y ningún rastro de ellas llega a un servidor de terceros.