Medidas preventivas y correctivas
Un domingo, Daniela recibe un mensaje: «Tu cuenta aparece en una filtración de datos». Ella usa la misma contraseña en su correo, en su videojuego y en la app de su banco. ¿Está en problemas? Conocer las amenazas no basta: hay que prepararse antes de que lleguen y saber reaccionar cuando algo falla. Al final de la página volvemos al caso de Valentina.
Contraseñas robustas
Un ejemplo con números: un PIN de 4 dígitos tiene $10^4 = 10.000$ combinaciones; uno de 6 dígitos, $10^6 = 1.000.000$, es decir, 100 veces más. Si un programa probara 1.000 combinaciones por segundo, el primero caería en 10 segundos como máximo y el segundo en unos 1.000 segundos (poco más de 16 minutos).
Otra defensa es el bloqueo por intentos fallidos: tras unos cuantos errores, el celular o el cajero automático se bloquea o te hace esperar. Así un atacante no puede probar miles de PIN por segundo, y un PIN corto se vuelve una defensa razonable.
Las preguntas de seguridad («¿nombre de tu primera mascota?») son un eslabón débil: si la respuesta está en tus redes, cualquiera la encuentra. Una estrategia es responder con una frase inventada que no tenga relación con la pregunta y guardarla en tu gestor de contraseñas.
Ordena estas tres contraseñas de menor a mayor seguridad y explica el criterio que has seguido: «luna2024», «Tr3s!TristesTigres», «123456».
Ordena estas tres contraseñas de menor a mayor seguridad y explica el criterio que has seguido: «luna2024», «Tr3s!TristesTigres», «123456».
¿Qué datos personales no deberían aparecer nunca en una contraseña (tu año de nacimiento, el nombre de tu mascota, tu equipo de pelota)? Explica por qué son precisamente…
¿Qué datos personales no deberían aparecer nunca en una contraseña (tu año de nacimiento, el nombre de tu mascota, tu equipo de pelota)? Explica por qué son precisamente los primeros que prueba un atacante que te conoce o te investiga en redes.
Explica qué es el bloqueo por intentos fallidos en un celular o en un cajero automático y cómo convierte un PIN de solo cuatro dígitos en una defensa razonable aunque…
Explica qué es el bloqueo por intentos fallidos en un celular o en un cajero automático y cómo convierte un PIN de solo cuatro dígitos en una defensa razonable aunque existan pocas combinaciones posibles.
Explica qué son las preguntas de seguridad («¿nombre de tu primera mascota?»), por qué son un eslabón débil si las respuestas se pueden encontrar en tus redes y qué…
Explica qué son las preguntas de seguridad («¿nombre de tu primera mascota?»), por qué son un eslabón débil si las respuestas se pueden encontrar en tus redes y qué estrategia puedes usar al responderlas sin olvidarlas después.
Longitud frente a alfabeto
Compara dos contraseñas de 8 caracteres: una solo con minúsculas ($26^8$) y otra con unos 70 símbolos ($70^8$). Para ver cuánto más resistente es la segunda sin calcular el valor exacto, usa potencias de diez: $26^8 \approx 2 \times 10^{11}$ y $70^8 \approx 6 \times 10^{14}$. El cociente es de unas $3.000$ veces (del orden de $10^3$).
La figura compara la solidez estimada de dos contraseñas. Indica cuál de las dos es más robusta, explica qué características la hacen fuerte y razona qué tiempo de…
La figura compara la solidez estimada de dos contraseñas.
Indica cuál de las dos es más robusta, explica qué características la hacen fuerte y razona qué tiempo de descifrado ocuparía, en comparación, el hueco marcado con ?.
Compara estas dos contraseñas: «X7#k9», de cinco caracteres muy raros, y «casa verde luna rio», una frase larga de palabras comunes. Explica qué pesa más en la…
Compara estas dos contraseñas: «X7#k9», de cinco caracteres muy raros, y «casa verde luna rio», una frase larga de palabras comunes. Explica qué pesa más en la resistencia de una contraseña, la longitud o la rareza de los caracteres, cuál recordarías mejor y qué tipo de ataque sufre cada una.
Gestores de contraseñas y correo como cuenta clave
Existen gestores libres y gratuitos (como KeePassXC o Bitwarden), útiles si prefieres no depender de una empresa. Si un amigo guarda sus claves en una nota sin bloqueo en el celular, cualquiera que tome el aparato las lee todas; el gestor, en cambio, las cifra y exige la contraseña maestra. Su punto débil es que esa contraseña no se puede perder ni compartir.
La figura explica cómo funciona un gestor de contraseñas. Explica qué representa la caja fuerte marcada con ?, qué ventaja tiene memorizar una única contraseña maestra…
La figura explica cómo funciona un gestor de contraseñas.
Explica qué representa la caja fuerte marcada con ?, qué ventaja tiene memorizar una única contraseña maestra frente a repetir la misma contraseña en todas partes y qué precaución especial exige esa contraseña maestra.
¿Por qué se dice que el correo electrónico es la cuenta más importante que debes proteger? Explica qué puede hacer un atacante que controle tu correo con todas tus demás…
¿Por qué se dice que el correo electrónico es la cuenta más importante que debes proteger? Explica qué puede hacer un atacante que controle tu correo con todas tus demás cuentas, pensando en el botón «olvidé mi contraseña».
Comenta esta práctica: «apunto la contraseña en un papel pegado bajo el teclado; total, no es digital». Valora su riesgo real y propón dos alternativas más seguras para…
Comenta esta práctica: «apunto la contraseña en un papel pegado bajo el teclado; total, no es digital». Valora su riesgo real y propón dos alternativas más seguras para no olvidar las contraseñas importantes.
Verificación en dos pasos
Funciona porque un atacante que roba tu contraseña (por una filtración o por phishing) todavía necesita tu celular o tu huella, que están físicamente contigo.
¿Dónde activarla primero? Prioriza según el daño que causaría perder la cuenta: 1) correo electrónico (abre todas las demás), 2) banco y pagos (tarjeta en MLC), 3) redes sociales y plataforma de la escuela, 4) videojuegos. Poner la máxima seguridad en todo cansa y se abandona; lo sensato es proteger más lo que más duele perder.
Explica qué es la verificación en dos pasos y por qué protege tu cuenta aunque alguien consiga robar tu contraseña.
Explica qué es la verificación en dos pasos y por qué protege tu cuenta aunque alguien consiga robar tu contraseña.
Prioriza esta lista de cuentas para activar la verificación en dos pasos, de imprescindible a prescindible, y justifica tu criterio: correo electrónico, banco,…
Prioriza esta lista de cuentas para activar la verificación en dos pasos, de imprescindible a prescindible, y justifica tu criterio: correo electrónico, banco, videojuego favorito, red social, plataforma de la escuela. Termina reflexionando sobre si tiene sentido poner la máxima seguridad en todo.
Actualizaciones y capas de seguridad
Redes wifi públicas. En una zona wifi pública o en la red gratuita de una cafetería otra persona puede espiar el tráfico o crear una red falsa con un nombre parecido. Precauciones: entrar solo a páginas con https, usar una VPN o los datos móviles de ETECSA, y evitar operaciones sensibles (banca, compras, cambios de contraseña) desde ahí. Lo mismo vale para una zona wifi pública.
Iniciar sesión con otra cuenta («Iniciar sesión con Google»): fíjate en los permisos. Si una app de edición de imágenes pide «ver, editar y eliminar tus archivos de Drive», viola el principio de mínimo privilegio (dar solo el acceso necesario). Además, usar una sola cuenta como llave de veinte servicios crea un punto único de fallo: si cae, caen todos.
Tu celular lleva meses avisando de una actualización del sistema y siempre pulsas «más tarde». Explica qué riesgo concreto estás aceptando y qué relación hay entre las…
Tu celular lleva meses avisando de una actualización del sistema y siempre pulsas «más tarde». Explica qué riesgo concreto estás aceptando y qué relación hay entre las actualizaciones y las brechas de seguridad que ya se conocen públicamente.
Estás conectado a la wifi gratuita de una cafetería y necesitas consultar tu cuenta bancaria. Explica qué riesgos tiene una red wifi pública, qué precauciones técnicas…
Estás conectado a la wifi gratuita de una cafetería y necesitas consultar tu cuenta bancaria. Explica qué riesgos tiene una red wifi pública, qué precauciones técnicas la hacen más segura (https, VPN, usar los datos móviles) y qué operaciones es mejor no hacer nunca desde ella.
Qué hacer cuando algo ya falló
Si un servicio avisa de «un inicio de sesión desde otro país», el orden es parecido: confirma si fuiste tú (por ejemplo, si estabas usando una VPN); si no, cambia la contraseña desde un dispositivo de confianza, cierra las sesiones desconocidas y activa los dos pasos. No uses el enlace del aviso si tienes dudas: entra escribiendo tú la dirección, por si el aviso fuera phishing.
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describe paso a paso y en orden qué harías desde ese momento: qué contraseñas…
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describe paso a paso y en orden qué harías desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.
Un servicio te avisa: «se ha detectado un inicio de sesión desde otro país». Describe paso a paso y en orden qué harías desde ese aviso: cómo confirmar si fuiste tú, qué…
Un servicio te avisa: «se ha detectado un inicio de sesión desde otro país». Describe paso a paso y en orden qué harías desde ese aviso: cómo confirmar si fuiste tú, qué credenciales cambiar, dónde revisar las sesiones abiertas y qué protección activar después.
Copias de seguridad y plan de protección
Una política de contraseñas para una organización (por ejemplo, el laboratorio de computación de la escuela) aplica todo lo anterior: longitud mínima de 12 caracteres o más, dos pasos obligatorios para profesores y directivos, una cuenta personal por usuario en lugar de una compartida (o, si es indispensable, una cuenta compartida cuya clave se guarde en un gestor y se cambie cuando alguien se va), y guías sencillas para quienes tienen menos experiencia.
Vuelve al principio: Daniela debe cambiar la clave repetida en cada servicio (empezando por correo y banco), cerrar sesiones extrañas, activar los dos pasos y usar un gestor para tener una clave distinta en cada cuenta.
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describe paso a paso y en orden qué harías desde ese momento: qué contraseñas…
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describe paso a paso y en orden qué harías desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.