Diseño de políticas de contraseñas

Tu organización tiene requisitos complejos de contraseña, y los usuarios aún encuentran la forma de evitarlos. Se necesita una letra mayúscula, un número y un carácter especial, así que cambias

Jaroslaw102026!

a

Jaroslaw112026!

Sí, Jaroslaw es mi nombre, por si no lo habías adivinado.

Quien escribió las reglas de las contraseñas lo hizo hace mucho tiempo y nunca volvió a revisarlas contra bases de datos de contraseñas comprometidas o los patrones actuales.

Las reglas de la complejidad

Muchas organizaciones basaron su política en las antiguas directrices de NIST. Estaba escrito para sistemas federales de autenticación, pero las organizaciones privadas podían adoptarlo voluntariamente, y muchas lo hicieron. Luego, las personas encontraron la forma más fácil de cumplir cada requisito. Cuando las contraseñas se volvieron demasiado complejas para recordarlas, la gente las anotaba en un papel. Cambiar caracteres en algo memorable se volvió la norma.

Los atacantes saben esto y diseñan sus herramientas en torno a ello. La guía actual de NIST (SP 800-63B) ha dejado de lado las reglas de composición para centrarse en filtrar contraseñas contra listas comunes y comprometidas.

Ataques que una política de contraseñas puede prevenir

Una política no detendrá todos los ataques, pero elimina las victorias fáciles. Estas son las que afecta directamente.

Ataques de diccionario. Los atacantes prueban listas enormes de palabras comunes y contraseñas conocidas contra una cuenta. Una política que bloquea palabras del diccionario hace que esos intentos fallen antes de comenzar.

Ataques basados en reglas y mutaciones. Las herramientas de cracking no solo prueban "password." También prueban Password1!, P@ssw0rd, y cada intercambio común de una letra por un número o símbolo. Si tu política solo verifica que exista un carácter especial, estas contraseñas pasan. Una política que detecta sustitución de caracteres las rechaza.

Ataque de password spraying. En lugar de atacar una cuenta, los atacantes prueban algunas contraseñas comunes en miles de cuentas para evitar los límites de bloqueo. Patrones como Winter2026! o Company123! son los objetivos habituales. Bloquear patrones predecibles elimina las contraseñas de las que depende el password spraying.

Credential stuffing. Los atacantes toman nombres de usuario y contraseñas de brechas anteriores y los prueban en sus sistemas, apostando a que las personas los reutilizan. Verificar nuevas contraseñas contra datos de brechas bloquea las que ya circulan.

Adivinanza dirigida. Si tu nombre es Jaroslaw, un atacante que lo encuentre en LinkedIn intentará Jaroslaw más un año. Bloquear nombres personales y nombres de usuario elimina las conjeturas más obvias.

Cracking sin conexión. Cuando los atacantes roban hashes de contraseñas, las contraseñas débiles caen primero. Una política no puede evitar el robo, pero rechazar contraseñas predecibles hace que el cracking tome mucho más tiempo.

Lo que debe rechazar su política de contraseñas

Cuando rediseñes tu política, decide cuál es tu posición en cada uno de estos puntos:

• Nombres personales y nombres de usuario: bloquéelos.
• Patrones repetitivos: rechazar Jarojaro y Jaaaaaro.
• Patrones de teclado: rechazar ASDFG y secuencias similares.
• Sustituciones de caracteres: detectarlas, para que un patrón como abcd no pueda ser alterado en algo que pase.
• Contraseñas comprometidas: verifique contra datos de brechas conocidas, al crear y de forma programada.

Los requisitos de mayúsculas, minúsculas, números y caracteres especiales siguen siendo importantes. Construya las reglas de patrón sobre ellos.

Cómo ayuda Netwrix Password Policy Enforcer

Las políticas nativas de contraseñas de Active Directory no pueden hacer la mayoría de lo anterior. Netwrix Password Policy Enforcer agrega:

• Múltiples políticas de contraseña para usuarios, grupos y OUs
• Controles personalizados de complejidad para longitud, conjuntos de caracteres y frases de contraseña
• Protección de diccionario y patrones que bloquea palabras comunes, sustituciones y patrones predecibles
• Bloqueo de nombre de usuario, para que las personas no puedan crear una contraseña a partir del nombre de su propia cuenta
• Bloqueo de patrones de teclado, como ASDFG
• Comprobaciones de contraseñas comprometidas contra datos de filtraciones, como Have I Been Pwned, durante la creación de contraseñas o escaneos programados
• Retroalimentación en tiempo real para que los usuarios sepan si la nueva contraseña que están escribiendo cumple con los requisitos designados por la política
• Prueba de políticas antes del despliegue, para que puedas ver el impacto antes que los usuarios
• Plantillas de cumplimiento integradas para CIS, HIPAA, NERC CIP, NIST, PCI DSS y CJIS

Dos cosas más por hacer

Activa MFA. Las herramientas de IA pueden adivinar una contraseña de 15 caracteres si es predecible. MFA protege la cuenta cuando la contraseña falla de todos modos.

Almacene contraseñas en una bóveda. Una bóveda ofrece a las personas un lugar seguro para las credenciales en lugar de papel o una hoja de cálculo. Netwrix Password Secure cubre eso.