- ¿Por qué una frase de contraseña en lugar de una contraseña?
- Porque a las personas se nos da mal recordar cadenas de alta entropía. tH7$kQ9!mP2@ tiene unos 78 bits de entropía y es imposible de recordar; correct-horse-battery-staple-anchor-yodel tiene la misma entropía y puedes repetirla tras leerla una vez. El cómic 936 de XKCD hizo famoso este argumento. Las cuentas siguen siendo válidas.
- ¿Qué es la lista larga de la EFF?
- Una lista de 7,776 palabras en inglés que publicó la Electronic Frontier Foundation en 2016 para generar frases de contraseña al estilo Diceware. Se seleccionó para que fuera fácil de recordar y de escribir, sin insultos, y con palabras de longitud parecida para que las frases se vean uniformes. Cada palabra aporta log2(7,776) ≈ 12.92 bits de entropía. La usamos porque es el estándar moderno de facto.
- ¿Qué significan realmente los bits de entropía?
- Los bits de entropía son el log2 del número de frases posibles que pueden salir con tus ajustes. 77.5 bits = 2^77.5 ≈ 2.1×10^23 posibilidades. Incluso a un billón de intentos por segundo (un programa de cracking offline de primer nivel), probarlas todas llevaría unos 6,800 años. 50 bits es aceptable (disuade ataques en línea), 70 o más es fuerte (disuade ataques offline), 100 o más es excesivo para todo salvo adversarios con presupuesto de un Estado.
- ¿Cuántas palabras debería elegir?
- 6 es el punto justo para la mayoría de los usos: ~77.5 bits de entropía y todavía fácil de recordar. 4 palabras (~52 bits) bastan para cuentas poco importantes. 8 o más palabras (~103 bits o más) es lo adecuado para la contraseña maestra de un gestor de contraseñas, claves de cifrado o cualquier cosa que odiarías perder. Más palabras = más entropía, de forma lineal.
- ¿Es seguro usarlo?
- La selección es criptográficamente segura: crypto.getRandomValues es el generador seguro del navegador, la misma fuente que usan TLS y WebAuthn. La lista de palabras está incluida entera en esta página: nada se descarga, se transmite ni se registra. Dicho esto, no pegues una frase de contraseña real en ningún chat, captura de pantalla ni documento en la nube. El eslabón más débil casi siempre es dónde la guarda la persona, no cómo se genera.
- ¿Debería poner mayúsculas o añadir un dígito?
- No por seguridad: esos ajustes añaden muy poca entropía (las mayúsculas añaden ~1 bit por palabra; un dígito al final, ~3.3 bits). La razón real para activarlos es cumplir reglas como “debe contener una mayúscula” o “debe contener un número”. Si el sistema no lo exige, déjalos desactivados: la frase es más fácil de escribir y de recordar.
- ¿Por qué no Math.random()?
- Math.random() en los navegadores es un generador pseudoaleatorio no criptográfico: es rápido, pero su salida se puede predecir a partir de resultados anteriores y no es seguro para claves, tokens ni frases de contraseña. Usamos crypto.getRandomValues, que recurre a la fuente segura de entropía del sistema operativo (urandom en Linux, BCryptGenRandom en Windows, SecRandomCopyBytes en macOS). Además, cada palabra se elige con muestreo por rechazo para eliminar el sesgo del módulo: 2^32 mod 7,776 no es cero, así que un selector ingenuo favorecería ligeramente las primeras palabras.
- ¿De verdad la voy a recordar?
- Sí, de eso se trata. La lista de la EFF se ajustó para que fuera memorable. Repite la frase en voz alta tres veces al generarla; visualiza cada palabra; escríbela una vez y destruye el papel cuando ya la recuerdes de memoria. Para una contraseña maestra, guárdala además en dos lugares físicos (un sobre cerrado en un cajón del escritorio; otro sobre cerrado en casa de una persona de confianza): ese es el modelo de amenaza de las frases de contraseña, memorizable por un humano y con un respaldo en papel.
- ¿Puedo usarla como contraseña maestra de un gestor de contraseñas?
- Sí: Diceware es justo lo que recomiendan los fabricantes de gestores de contraseñas para esto. Elige 7 u 8 palabras (unos 90–103 bits), pon mayúsculas si el gestor lo exige y no reutilices nunca la frase en ningún otro sitio. Bitwarden, 1Password y KeePass recomiendan oficialmente las frases maestras al estilo Diceware frente a contraseñas cortas y complejas.
