Medidas preventivas y correctivas

Ordena estas tres contraseñas de menor a mayor seguridad y explica el criterio que has seguido: «luna2024», «Tr3s!TristesTigres», «123456».

¿Qué datos personales no deberían aparecer nunca en una contraseña (tu año de nacimiento, el nombre de tu mascota, tu equipo de fútbol)? Explica por qué son precisamente los primeros que prueba un atacante que te conoce o te investiga en redes.

Un PIN de cuatro dígitos admite $10^4$ combinaciones posibles. Calcula cuántas combinaciones admite un PIN de seis dígitos y, si un programa prueba $1,000$ combinaciones por segundo, estima cuánto tardaría como máximo en descifrar cada uno. ¿Qué conclusión sacas sobre añadir caracteres a una contraseña?

La figura compara la solidez estimada de dos contraseñas.

Indica cuál de las dos es más robusta, explica qué características la hacen fuerte y razona qué tiempo de descifrado ocuparía, en comparación, el hueco marcado con ?.

Explica qué es el bloqueo por intentos fallidos en un celular o en un cajero automático y cómo convierte un PIN de solo cuatro dígitos en una defensa razonable aunque existan pocas combinaciones posibles.

Compara estas dos contraseñas: «X7#k9», de cinco caracteres muy raros, y «casa verde luna rio», una frase larga de palabras comunes. Explica qué pesa más en la resistencia de una contraseña, la longitud o la rareza de los caracteres, cuál recordarías mejor y qué tipo de ataque sufre cada una.

Una contraseña de ocho caracteres usa solo letras minúsculas, es decir, un alfabeto de $26$ símbolos; otra de la misma longitud usa mayúsculas, minúsculas, dígitos y signos, un alfabeto de unos $70$ símbolos. Escribe las combinaciones posibles de cada una como potencias, $26^8$ y $70^8$, y, sin calcular el valor exacto, razona con potencias de diez cuántas veces más resistente es la segunda. ¿Qué protege más: alargar la contraseña o ampliar el alfabeto?

La figura explica cómo funciona un gestor de contraseñas.

Explica qué representa la caja fuerte marcada con ?, qué ventaja tiene memorizar una única contraseña maestra frente a repetir la misma contraseña en todas partes y qué precaución especial exige esa contraseña maestra.

¿Por qué se dice que el correo electrónico es la cuenta más importante que debes proteger? Explica qué puede hacer un atacante que controle tu correo con todas tus demás cuentas, pensando en el botón «he olvidado mi contraseña».

Comenta esta práctica: «apunto la contraseña en un papel pegado bajo el teclado; total, no es digital». Valora su riesgo real y propón dos alternativas más seguras para no olvidar las contraseñas importantes.

Un amigo guarda todas sus contraseñas en una nota sin bloquear del celular «porque el gestor le da flojera». Compara ambos riesgos (nota sin cifrar frente a gestor con contraseña maestra), explica qué protege y qué no protege cada opción y escribe el consejo que le darías.

Explica qué es la verificación en dos pasos y por qué protege tu cuenta aunque alguien consiga robar tu contraseña.

La huella dactilar y el reconocimiento facial desbloquean el celular sin escribir nada. Analiza si la biometría sustituye o complementa a la contraseña, qué problema hay si se filtra una base de datos de huellas (no puedes cambiar tus dedos) y por qué los sistemas serios combinan varios factores.

Prioriza esta lista de cuentas para activar la verificación en dos pasos, de imprescindible a prescindible, y justifica tu criterio: correo electrónico, banco, videojuego favorito, red social, plataforma de la escuela. Termina reflexionando sobre si tiene sentido poner la máxima seguridad en todo.

Tu celular lleva meses avisando de una actualización del sistema y siempre presionas «más tarde». Explica qué riesgo concreto estás aceptando y qué relación hay entre las actualizaciones y las brechas de seguridad que ya se conocen públicamente.

Estás conectado al wifi gratuito de una cafetería y necesitas consultar tu cuenta bancaria. Explica qué riesgos tiene una red wifi pública, qué precauciones técnicas la hacen más segura (https, VPN, usar los datos móviles) y qué operaciones es mejor no hacer nunca desde ella.

Un conocido afirma: «Tengo instalado un antivirus de pago muy potente, así que me da igual usar una contraseña sencilla en todas mis cuentas y no necesito perder el tiempo instalando las actualizaciones del sistema operativo».

1. a) Predice detalladamente un escenario de ataque en el que un ciberdelincuente tome el control de su equipo o de sus cuentas personales sin que el antivirus llegue a emitir ninguna alerta (por ejemplo, mediante una vulnerabilidad no parcheada del sistema o por fuerza bruta e ingeniería social).
2. b) Justifica mediante el principio de defensa en profundidad por qué un único mecanismo de seguridad nunca es suficiente, explicando cómo deben complementarse tres capas defensivas distintas (actualizaciones del sistema, autenticación y protección activa) para neutralizar la amenaza si una de ellas falla.

Al registrarte en una aplicación web gratuita de edición de imágenes, la plataforma te ofrece pulsar en «Iniciar sesión con Google». Antes de entrar, una ventana te solicita autorizar el acceso a tu nombre y correo, pero además pide permisos para «Ver, editar y eliminar tus archivos de Google Drive».

1. a) Interpreta los permisos solicitados y justifica por qué concederlos supone una vulneración del principio de mínimo privilegio en este caso concreto.
2. b) Analiza el riesgo del «punto único de fallo» para un usuario que utiliza su cuenta de Google como llave de acceso para más de veinte servicios distintos en internet. Predice las consecuencias inmediatas si le sustraen la cuenta principal y diseña un procedimiento de tres pasos para auditar y revocar accesos periódicamente.

Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describe paso a paso y en orden qué harías desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.

Un servicio te avisa: «se ha detectado un inicio de sesión desde otro país». Describe paso a paso y en orden qué harías desde ese aviso: cómo confirmar si fuiste tú, qué credenciales cambiar, dónde revisar las sesiones abiertas y qué protección activar después.

Explica qué son las preguntas de seguridad («¿nombre de tu primera mascota?»), por qué son un eslabón débil si las respuestas se pueden encontrar en tus redes y qué estrategia puedes usar al responderlas sin olvidarlas después.

Tras filtrarse la base de datos con correos y contraseñas de una tienda de ropa en línea, varios clientes sufren accesos no autorizados en sus cuentas bancarias y de correo, a pesar de que esas entidades no sufrieron ningún fallo de seguridad.

1. a) Justifica el procedimiento técnico automatizado que utilizan los atacantes para entrar en las demás cuentas a partir de los datos filtrados, explicando por qué una contraseña larga y compleja deja de ser segura en cuanto se reutiliza.
2. b) Un usuario afectado afirma: «Con cambiar la contraseña de la tienda de ropa hackeada ya estoy a salvo». Rebate su afirmación prediciendo los riesgos reales a los que sigue expuesto y diseña un protocolo de respuesta inmediata en tres pasos para proteger su identidad digital.

El disco de la computadora familiar se daña y se pierden años de fotos y documentos. Diseña una estrategia de copias de seguridad razonable para una familia: qué copiar, dónde guardar las copias y con qué frecuencia, y explica por qué una sola copia en la misma computadora no sirve.

Diseña la política de contraseñas para la web de un club deportivo que guarda datos de menores: longitud mínima, verificación en dos pasos para entrenadores y directivos, qué hacer con la cuenta compartida del equipo y cómo ayudar a las familias menos expertas a cumplirla.