Medidas preventivas y correctivas
Un domingo, Fátima, estudiante de Santa Tecla, recibe un correo: «Tu cuenta aparece en una filtración de datos». Ella usa la misma contraseña en su correo, en su videojuego y en la app de su banco. ¿Está en problemas? Conocer las amenazas no basta: hay que prepararse antes de que lleguen y saber reaccionar cuando algo falla. Al final de la página volvemos al caso de Fátima.
Contraseñas robustas
Un ejemplo con números: un PIN de 4 dígitos tiene $10^4 = 10,000$ combinaciones; uno de 6 dígitos, $10^6 = 1,000,000$, es decir, 100 veces más. Si un programa probara 1,000 combinaciones por segundo, el primero caería en 10 segundos como máximo y el segundo en unos 1.000 segundos (poco más de 16 minutos).
Otra defensa es el bloqueo por intentos fallidos: tras unos cuantos errores, el celular o el cajero automático se bloquea o te hace esperar. Así un atacante no puede probar miles de PIN por segundo, y un PIN corto se vuelve una defensa razonable.
Las preguntas de seguridad («¿nombre de tu primera mascota?») son un eslabón débil: si la respuesta está en tus redes, cualquiera la encuentra. Una estrategia es responder con una frase inventada que no tenga relación con la pregunta y guardarla en tu gestor de contraseñas.
Ordená estas tres contraseñas de menor a mayor seguridad y explicá el criterio que seguiste: «luna2024», «Tr3s!TristesTigres», «123456».
Ordená estas tres contraseñas de menor a mayor seguridad y explicá el criterio que seguiste: «luna2024», «Tr3s!TristesTigres», «123456».
¿Qué datos personales no deberían aparecer nunca en una contraseña (tu año de nacimiento, el nombre de tu mascota, tu equipo de fútbol)? Explicá por qué son precisamente…
¿Qué datos personales no deberían aparecer nunca en una contraseña (tu año de nacimiento, el nombre de tu mascota, tu equipo de fútbol)? Explicá por qué son precisamente los primeros que prueba un atacante que te conoce o te investiga en redes.
Un PIN de cuatro dígitos admite $10^4$ combinaciones posibles. Calculá cuántas combinaciones admite un PIN de seis dígitos y, si un programa prueba $1,000$ combinaciones…
Un PIN de cuatro dígitos admite $10^4$ combinaciones posibles. Calculá cuántas combinaciones admite un PIN de seis dígitos y, si un programa prueba $1,000$ combinaciones por segundo, estimá cuánto tardaría como máximo en descifrar cada uno. ¿Qué conclusión sacás sobre añadir caracteres a una contraseña?
Longitud frente a alfabeto
Compará dos contraseñas de 8 caracteres: una solo con minúsculas ($26^8$) y otra con unos 70 símbolos ($70^8$). Para ver cuánto más resistente es la segunda sin calcular el valor exacto, usá potencias de diez: $26^8 \approx 2 \times 10^{11}$ y $70^8 \approx 6 \times 10^{14}$. El cociente es de unas $3{,}000$ veces (del orden de $10^3$).
La figura compara la solidez estimada de dos contraseñas. Indicá cuál de las dos es más robusta, explicá qué características la hacen fuerte y razoná qué tiempo de…
La figura compara la solidez estimada de dos contraseñas.
Indicá cuál de las dos es más robusta, explicá qué características la hacen fuerte y razoná qué tiempo de descifrado ocuparía, en comparación, el hueco marcado con ?.
Explicá qué es el bloqueo por intentos fallidos en un celular o en un cajero automático y cómo convierte un PIN de solo cuatro dígitos en una defensa razonable aunque…
Explicá qué es el bloqueo por intentos fallidos en un celular o en un cajero automático y cómo convierte un PIN de solo cuatro dígitos en una defensa razonable aunque existan pocas combinaciones posibles.
Compará estas dos contraseñas: «X7#k9», de cinco caracteres muy raros, y «casa verde luna rio», una frase larga de palabras comunes. Explicá qué pesa más en la…
Compará estas dos contraseñas: «X7#k9», de cinco caracteres muy raros, y «casa verde luna rio», una frase larga de palabras comunes. Explicá qué pesa más en la resistencia de una contraseña, la longitud o la rareza de los caracteres, cuál recordarías mejor vos y qué tipo de ataque sufre cada una.
Gestores de contraseñas y correo como cuenta clave
Existen gestores libres y gratuitos (como KeePassXC o Bitwarden), útiles si preferís no depender de una empresa. Si un compañero guarda sus claves en una nota sin bloqueo en el celular, cualquiera que tome el aparato las lee todas; el gestor, en cambio, las cifra y exige la contraseña maestra. Su punto débil es que esa contraseña no se puede perder ni compartir.
La figura explica cómo funciona un gestor de contraseñas. Explicá qué representa la caja fuerte marcada con ?, qué ventaja tiene memorizar una única contraseña maestra…
La figura explica cómo funciona un gestor de contraseñas.
Explicá qué representa la caja fuerte marcada con ?, qué ventaja tiene memorizar una única contraseña maestra frente a repetir la misma contraseña en todas partes y qué precaución especial exige esa contraseña maestra.
¿Por qué se dice que el correo electrónico es la cuenta más importante que tenés que proteger? Explicá qué puede hacer un atacante que controle tu correo con todas tus…
¿Por qué se dice que el correo electrónico es la cuenta más importante que tenés que proteger? Explicá qué puede hacer un atacante que controle tu correo con todas tus demás cuentas, pensando en el botón «olvidé mi contraseña».
Verificación en dos pasos
Funciona porque un atacante que roba tu contraseña (por una filtración o por phishing) todavía necesita tu celular o tu huella, que están físicamente con vos.
¿Dónde activarla primero? Priorizá según el daño que causaría perder la cuenta: 1) correo electrónico (abre todas las demás), 2) banco y pagos, 3) redes sociales y plataforma del centro escolar (o del colegio), 4) videojuegos. Poner la máxima seguridad en todo cansa y se abandona; lo sensato es proteger más lo que más duele perder.
Explicá qué es la verificación en dos pasos y por qué protege tu cuenta aunque alguien logre robar tu contraseña.
Explicá qué es la verificación en dos pasos y por qué protege tu cuenta aunque alguien logre robar tu contraseña.
Priorizá esta lista de cuentas para activar la verificación en dos pasos, de imprescindible a prescindible, y justificá tu criterio: correo electrónico, banco,…
Priorizá esta lista de cuentas para activar la verificación en dos pasos, de imprescindible a prescindible, y justificá tu criterio: correo electrónico, banco, videojuego favorito, red social, plataforma del colegio. Terminá reflexionando sobre si tiene sentido poner la máxima seguridad en todo.
Actualizaciones y capas de seguridad
Redes wifi públicas. En el wifi gratuito de una cafetería o un cibercafé otra persona puede espiar el tráfico o crear una red falsa con un nombre parecido. Precauciones: entrar solo a páginas con https, usar una VPN o los datos del celular, y evitar operaciones sensibles (banca, compras, cambios de contraseña) desde ahí.
Iniciar sesión con otra cuenta («Iniciar sesión con Google»): fijate en los permisos. Si una app de edición de imágenes pide «ver, editar y eliminar tus archivos de Drive», viola el principio de mínimo privilegio (dar solo el acceso necesario). Además, usar una sola cuenta como llave de veinte servicios crea un punto único de fallo: si cae, caen todos.
Tu celular lleva meses avisando de una actualización del sistema y siempre pulsás «más tarde». Explicá qué riesgo concreto estás aceptando y qué relación hay entre las…
Tu celular lleva meses avisando de una actualización del sistema y siempre pulsás «más tarde». Explicá qué riesgo concreto estás aceptando y qué relación hay entre las actualizaciones y las brechas de seguridad que ya se conocen públicamente.
Qué hacer cuando algo ya falló
Si un servicio avisa de «un inicio de sesión desde otro país», el orden es parecido: confirmá si fuiste vos (por ejemplo, con una VPN); si no, cambiá la contraseña desde un dispositivo de confianza, cerrá las sesiones desconocidas y activá los dos pasos. No uses el enlace del aviso si tenés dudas: entrá escribiendo vos la dirección, por si el aviso fuera phishing.
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describí paso a paso y en orden qué harías desde ese momento: qué contraseñas…
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describí paso a paso y en orden qué harías desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.
Un servicio te avisa: «se detectó un inicio de sesión desde otro país». Describí paso a paso y en orden qué harías desde ese aviso: cómo confirmar si fuiste vos, qué…
Un servicio te avisa: «se detectó un inicio de sesión desde otro país». Describí paso a paso y en orden qué harías desde ese aviso: cómo confirmar si fuiste vos, qué credenciales cambiar, dónde revisar las sesiones abiertas y qué protección activar después.
Tras filtrarse la base de datos con correos y contraseñas de una tienda de ropa en línea, varios clientes sufren accesos no autorizados en sus cuentas bancarias y de…
Tras filtrarse la base de datos con correos y contraseñas de una tienda de ropa en línea, varios clientes sufren accesos no autorizados en sus cuentas bancarias y de correo, a pesar de que esas entidades no sufrieron ningún fallo de seguridad.
- a) Justificá el procedimiento técnico automatizado que utilizan los atacantes para entrar en las demás cuentas a partir de los datos filtrados, explicando por qué una contraseña larga y compleja deja de ser segura en cuanto se reutiliza.
- b) Un usuario afectado afirma: «Con cambiar la contraseña de la tienda de ropa hackeada ya estoy a salvo». Rebatí su afirmación prediciendo los riesgos reales a los que sigue expuesto y diseñá un protocolo de respuesta inmediata en tres pasos para proteger su identidad digital.
Copias de seguridad y plan de protección
Una política de contraseñas para una organización (por ejemplo, un club de fútbol de una colonia con datos de menores) aplica todo lo anterior: longitud mínima de 12 caracteres o más, dos pasos obligatorios para entrenadores y directivos, una cuenta personal por usuario en lugar de una compartida (o, si es indispensable, una cuenta compartida cuya clave se guarde en un gestor y se cambie cuando alguien se va), y guías sencillas para las familias menos expertas.
Volvé al principio: Fátima debe cambiar la clave repetida en cada servicio (empezando por correo y banco), cerrar sesiones extrañas, activar los dos pasos y usar un gestor para tener una clave distinta en cada cuenta.
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describí paso a paso y en orden qué harías desde ese momento: qué contraseñas…
Una red social sufre una filtración y tu correo aparece en la lista de cuentas afectadas. Describí paso a paso y en orden qué harías desde ese momento: qué contraseñas cambiar, qué comprobar en otras cuentas y qué protección adicional activar.
Diseñá la política de contraseñas para la web de un club deportivo que guarda datos de menores: longitud mínima, verificación en dos pasos para entrenadores y…
Diseñá la política de contraseñas para la web de un club deportivo que guarda datos de menores: longitud mínima, verificación en dos pasos para entrenadores y directivos, qué hacer con la cuenta compartida del equipo y cómo ayudar a las familias menos expertas a cumplirla.