Consellos sobre contrasinais

PuntoGal, a entidade xestora do dominio identificador de Galicia na rede, forma parte de Nonprofit Cyber, a coalición internacional de organizacións sen ánimo de lucro unidas para mellorar a ciberseguridade. Nonprofit Cyber leva catro anos unindo entidades que comparten e desenvolven boas prácticas, ferramentas e estándares para facer da internet un lugar máis seguro. Esta guía, publicada baixo a licencia CC BY-SA 4.0 de Creative Commons, forma parte da iniciativa ‘Máis que un contrasinal’, que os días 12 de novembro lembra aos usuarios que a ciberseguridade é unha tarefa cotiá.

Créese que empregar métodos de autenticación máis fortes constitúe un dos pasos máis eficaces e económicos que se poden dar para protexer as organizacións e as persoas en liña. No Día Mundial “Máis que un Contrasinal”, o 10 de novembro de 2023, publicouse a primeira Orientación Común sobre Contrasinais. No Día Mundial “Máis que un Contrasinal”, o 12 de novembro de 2024, publícase conxuntamente esta versión actualizada, que especifica pasos sinxelos que calquera pode seguir para mellorar a súa seguridade:

Pasos que se poden dar agora

1.- Empregar autenticación sen contrasinal

Recoméndase empregar autenticación sen contrasinal, como as chaves de acceso sempre que sexa posible. As chaves de acceso son máis sinxelas de utilizar e máis seguras ca os contrasinais. Utilizan criptografía para verificar a identidade en liña, cunha chave secreta gardada no dispositivo que nunca se comparte.
Os sistemas operativos, navegadores e servizos de correo electrónico máis estendidos admiten xa chaves de acceso. Abonda con buscar “passkey” xunto co nome do sistema operativo, navegador ou o sitio ou servizo correspondente.

2.- Protexer a conta de correo electrónico

No caso de empregar contrasinais para autenticar contas de correo, convén utilizar un contrasinal moi forte (longo, xerado ao azar e único) e autenticación multifactorial ou verificación en dous pasos.
O correo electrónico constitúe o medio máis habitual para restablecer contrasinais, polo que é fundamental garantir que ninguén poida “restablecer” contrasinais e acceder indebidamente ás contas.

3.- Engadir unha capa adicional de seguridade

Empregar unha chave de seguridade física, un token, unha aplicación autenticadora ou un PIN enviado por SMS como “segundo factor”, ademais do contrasinal, pode axudar a previr ataques de phishing e outras ameazas.
Este proceso coñécese como autenticación multifactor (MFA), autenticación en dous factores (2FA) ou verificación en dous pasos.
A opción máis recomendable consiste en empregar unha chave física ou unha aplicación de autenticación nun teléfono móbil, evitando na medida do posible o uso de mensaxes SMS como segundo factor.

4.- Utilizar un xestor de contrasinais

No caso de dispor de contas que só empreguen contrasinais, recoméndase utilizar un xestor de contrasinais para evitar ter que memorizar numerosos códigos. Deste modo pódense empregar contrasinais longos e xerados ao azar, moito máis difíciles de adiviñar.
Os xestores de contrasinais por software, os navegadores con función de almacenamento de contrasinais e mesmo os sistemas operativos poden cumprir adecuadamente esta tarefa.
O contrasinal do xestor de contrasinais debe ser forte e doado de lembrar, e é necesario modificar con rapidez todos os contrasinais se o servizo do xestor resulta comprometido.

5.- Empregar unha técnica recomendada para crear contrasinais

No caso de crear contrasinais manualmente en lugar de deixarlle esa tarefa ao ordenador ou ao xestor, pódese utilizar unha frase de paso (passphrase) ou unha técnica como a do Centro Nacional de Seguridade Cibernética do Reino Unido (NCSC) denominada “Three Random Words” (“Tres palabras ao azar”).
Estas técnicas permiten crear contrasinais máis fáciles de lembrar pero difíciles de adiviñar.

En caso de “hackeo”

6.- Cambio de contrasinais

Debe procederse a cambiar de inmediato os contrasinais se algún dispositivo resulta comprometido (por exemplo, no caso de que un atacante instale malware nun ordenador).
Se un sitio ou servizo en liña empregado (correo electrónico, páxina web, etc.) é pirateado, convén cambiar o contrasinal dese servizo e de calquera outro no que se reutilizase (aínda que, idealmente, non se deberían reutilizar contrasinais).
A subscrición ao servizo haveibeenpwned.com permite coñecer se algún contrasinal precisa ser actualizado.
Recoméndase realizar estes cambios desde un dispositivo que non estea comprometido.

Nota para provedores: Resulta máis conveniente esixir ou admitir autenticación forte que obrigar a cambiar os contrasinais de maneira periódica.