¿Qué es una frase de contraseña y cuándo es mejor?
Las palabras cambian densidad por memoria. Si el cambio compensa depende de si la vas a teclear.
La aritmética
Una frase de contraseña toma palabras independientes de una lista conocida. Con la lista grande de EFF, de 7.776 palabras, cada palabra aporta log2(7776) ≈ 12,93 bits. Cuatro palabras son unos 52 bits; seis, unos 78.
Es menos que una contraseña aleatoria de 16 caracteres (unos 103 bits), pero la frase se recuerda y la cadena aleatoria no, y una contraseña que tienes que consultar acaba escrita en un papel.
El tamaño de la lista es toda la afirmación
Un generador que no declara el tamaño de su lista no se puede evaluar. La diferencia entre una lista de 1.000 palabras y la de EFF es un factor de 4.000 en espacio de búsqueda para las mismas cuatro palabras en pantalla.
| Tamaño de lista | Bits por palabra | Total con 4 palabras |
|---|---|---|
| 1.000 palabras | 9,97 | 40 bits |
| 2.048 palabras | 11,00 | 44 bits |
| 7.776 palabras (EFF) | 12,93 | 52 bits |
| 20.000 palabras | 14,29 | 57 bits |
Cuándo es la elección correcta
Cuando un gestor puede guardar el valor, una cadena aleatoria es más densa y claramente mejor. La frase existe para los casos en los que el gestor no está al alcance.
- Contraseña maestra de un gestor: hay que recordarla y teclearla a menudo.
- Cifrado de disco completo: se introduce antes de que haya ningún gestor disponible.
- Códigos de acceso en televisiones, consolas y reproductores, donde meter símbolos es incómodo.
- Cualquier cosa que vayas a teclear a mano en un dispositivo sin portapapeles.
Preguntas frecuentes
¿Son más fáciles de romper que una contraseña?
Por carácter, sí. Por unidad de memoria, no. Seis palabras aleatorias son unos 78 bits y las puedes recordar; una cadena de 78 bits son 12 caracteres de ruido.
¿Puedo inventarme la frase?
No. Las frases inventadas siguen gramática e idioma, que un atacante puede modelar con un modelo de lenguaje. La selección aleatoria e independiente es lo que hace real la cifra de entropía.
¿Cuántas palabras debe tener la contraseña maestra?
Seis. Protege todo lo demás y es la única contraseña en la que el esfuerzo extra de teclear compensa.