Tr7$mK9!qL2 es una contraseña técnicamente fuerte y prácticamente imposible de recordar sin apuntarla. caballo-lampara-once-jardin-fuego es igual de fuerte (o más) y se puede memorizar en un par de intentos. La diferencia es el método Diceware: en vez de generar caracteres al azar, genera palabras al azar de una lista predefinida.
Por qué la entropía no depende del tipo de carácter, sino de las combinaciones posibles
La fuerza de una contraseña se mide en entropía: cuántas combinaciones distintas son posibles. Una contraseña de caracteres aleatorios gana entropía añadiendo símbolos y mayúsculas; una passphrase Diceware gana la misma entropía (o más) simplemente añadiendo otra palabra de la lista.
El cálculo es sencillo: si la lista tiene 7.776 palabras posibles (el estándar de Diceware, elegido porque es exactamente 6⁵, el número de combinaciones de 5 tiradas de un dado de 6 caras), cada palabra añadida multiplica las combinaciones posibles por 7.776. Con 5 palabras, ya se supera con margen la entropía de una contraseña random de 12-14 caracteres con símbolos.
Por qué es más fácil de recordar sin ser más débil
El cerebro humano recuerda conceptos, no secuencias arbitrarias de símbolos. M7#kL9$pQ2! no significa nada, así que memorizarlo requiere repetición mecánica. elefante-triangulo-jueves-oceano son cuatro conceptos concretos que se visualizan y encadenan mentalmente con mucha más facilidad, aunque desde el punto de vista matemático sean igual de "aleatorios" que la primera opción.
Cómo generar una passphrase Diceware
- Elige cuántas palabras quieres en la passphrase (más palabras = más entropía; 5-6 es un punto de partida sólido para la mayoría de usos).
- La herramienta selecciona palabras al azar usando
crypto.getRandomValues, el generador criptográficamente seguro del navegador. - Copia la passphrase generada, o vuelve a generar si quieres otra combinación.
Puedes hacerlo gratis con el generador de passphrase Diceware de esta web.
Por qué el generador de números aleatorios importa tanto como las palabras
Si las palabras se eligen con un generador de números pseudoaleatorio predecible (como Math.random() en JavaScript, que no está pensado para uso criptográfico), un atacante con suficiente información podría, en teoría, predecir o acotar las combinaciones posibles. Usar crypto.getRandomValues(), la API criptográfica del navegador diseñada específicamente para generar valores impredecibles, es lo que garantiza que la selección de palabras sea realmente aleatoria en el sentido criptográfico, no solo en apariencia.
Cuándo usar Diceware en vez de un generador de contraseñas normal
- Para la contraseña maestra de un gestor de contraseñas: es precisamente el caso donde vas a teclearla de memoria repetidamente, así que la memorabilidad importa tanto como la fuerza.
- Para contraseñas que compartes verbalmente (por teléfono, dictándola a alguien): una passphrase se dicta y se entiende sin ambigüedad; una cadena de símbolos aleatorios es un infierno de deletrear.
- Para cualquier caso donde vayas a necesitar recordarla tú mismo, sin depender de un gestor.
Para el resto de contraseñas (las que un gestor recuerda por ti), un generador de contraseñas aleatorio tradicional sigue siendo la opción más práctica, porque nunca necesitas memorizarlas.
Preguntas frecuentes
¿Cuántas palabras necesito para estar realmente seguro? 5-6 palabras ya superan la entropía de la mayoría de requisitos de contraseña habituales; para máxima seguridad, 7-8 palabras.
¿Es Diceware más seguro que una contraseña aleatoria de caracteres? A igualdad de entropía, no es "más" seguro matemáticamente, pero sí más práctico porque se puede recordar sin apuntarlo, reduciendo el riesgo de reutilización por comodidad.
¿Puedo añadir símbolos o números a mi passphrase Diceware? Sí, aunque no es estrictamente necesario si ya usas suficientes palabras; algunos servicios exigen símbolos por política, en cuyo caso puedes añadir uno sin comprometer la memorabilidad.
¿Se genera la passphrase en mi navegador o en un servidor? En tu navegador, con la API criptográfica del propio navegador; la passphrase nunca se envía a ningún servidor.
Genera passphrases seguras y memorables gratis con el generador de Diceware, usando crypto.getRandomValues y 100% en tu navegador.