Microsoft dice que el cambio de contraseña obligatorio es "antiguo y obsoleto" [en]

Microsoft finalmente se está dando cuenta de una máxima que los expertos en seguridad han aceptado casi universalmente durante años: es probable que los cambios periódicos de contraseña hagan más daño que bien. En una publicación en gran parte pasada por alto publicada a fines del mes pasado, Microsoft dijo que estaba eliminando los cambios periódicos de contraseña de la configuración básica de seguridad que recomienda para clientes y auditores.

[#60 empanadilla.cosmica]

#52 Con respecto a la contraseña MENEAME123456 manualmente probaría en gmail tu dirección de correo y la ontraseña GMAIL123456, pero obviamente en una herramienta automatizada no funcionaría.

Si un hacker malicioso hiciese un ataque dirigido en lugar de uno al tun tun a lo bestia a ver que sale usaría el método manual, ya que primero hubiera filtrado en los ficheros de claves tus direcciones conocidas de correo electrónico o algo que identificase a su víctima deseada y quizás dedujese el patrón.

[#62 swapdisk]

#36 Si la idea de la clave múltiple es buenísima. El problema era la implementación, caso real: tener un "tocho" de tarjetas de coordenadas que usar casi a diario. ¿Cómo se compagina eso con la usabilidad? Porque realmente no es práctico tenerlas en una caja fuerte e ir cada vez a buscarlas. Pues en un caso tenían fotocopias de las tarjetas (porque eran más finas) recortaditas y metidas en un sobre pegado bajo una mesa. En otro, estaban en una carpeta de la oficina. En otro tenían fotos en el móvil.

En cualquiera de esos casos la implementación se ha cargado el propósito de la tarjeta, porque no se consigue más seguridad. La clave antigua, si era medio decente y no estaba apuntada en ningún sitio, era mucho más segura.

[#78 musg0]

#33 me llamó mi madre el otro día porque en una compra por internet, en una página en la que lleva años comprando, le pidieron el pin de la tarjeta. Supuse que sería la pasarela del banco pero por si acaso no la puso. Toda la vida diciendo que no hay que poner en internet el número de la tarjeta y el pin, que luego te roban y ¿hay bancos que en esta época de autenticación en 2 pasos te piden el pin? A algunos listos habría que fusilarlos

[#84 epa2]

#5 Lo mejor es un texto de la Biblia, hay millones de combinaciones

Juan 16:3

Genesis2:4

Apocalipsis 21:4

[#85 empanadilla.cosmica]

#81 ¿Ya, pero como gestionas las contraseñas de las consolas y de los usuarios administradores genéricos en servidores?

Y lo mismo en aplicaciones que tenían un usuario administrador genérico. Teniendo un solo administrador lo resuelves, pero entonces hablamos de otro riesgo aún mayor.

[#94 sonixx]

#5 te deja cambiar a la décima por la que tenías ?

[#100 Trolencio]

#7 Uff, muy astuto, me has jodido!

[#101 jaramero]

Unas que son fáciles de recordar
5pectlh
7ptcmp
8pectla
@tomarXculo1
@tomarXculo2
...

[#106 swapdisk]

#78 creo que no es el PIN de la tarjeta sino uno para compras por internet. Que luego se ponga el mismo, es otra historia.

[#109 musg0]

#106 Hasta ahí ya no sé. Pero me extraña que fuera un pin para compras por Internet porque si no me lo habría dicho. Y si resulta que tiene pero es el mismo número, el banco tiene ahí otro fallo y debería no dejar meter el mismo número en ambos pines

[#113 NoPracticante]

En mi empresa te obligan a cambiar la contraseña cada pocos meses. Tienes que usar mayúsculas y números obligatoriamente. La nueva contraseña no se puede parecer a las anteriores.

Total. Que en una empresa donde la media de edad son 55 años al final te encuentras las contraseñas apuntadas en un papel, el monitor, el teclado o en cualquier sitio.

Tanta seguridad vuelve inseguro el sistema.

[#126 futsuu]

Siempre ha sido contraproducente.

Por un lado no vas a recodar tanto password, por lo que debe estar anotado en algún sitio. Yo lo tengo automatizado pero ya me supongo que muchos lo tendrán escrito en la agenda de papel.

Por otro lado no puedes usar passwords aleatorios porque eso no es comestible, así que tienes tu password que vas reutilizando con los cambios mínimos que exija el algoritmo de "te lo voy a poner más difícil". Si además se pasa de difícil, pues lo hackeas y a la porra.

Luego está la guerra de los tokens. No aportan nada.

Ni me pregunteis por la biometría, realmente una mala idea.

2 factor es un rollazo.

[#128 futsuu]

#21 Tengo cuatro niveles de passwords
- El seguro, para abrir gestores de passwords, discos encriptados, firmar emails.
- El serio, para las cosas del trabajo y cuentas de pago
- El inseguro para las páginas de internet y cuentas de servicios que da igual
- El chorra, que es siempre la misma palabra, para donde no debería ni haberlo.

[#20 rei_bob]

#5 para hacerlo bien, el administrador no debe dejar cambiar lacontraseña como minimo pasadas 48 horas. De esta manera se tiraría 20 dias para volver a tener la “original”. No sale a cuenta

[#38 igoron]

#27 Venía a poner esto.
El ejemplo que ha puesto #14 no es tan seguro (ejem...), sería mejor "QuijoteRojoOVNIhuerta"

[#56 snok87]

#5 por eso se suele configurar una edad mínima de la contraseña de 24 horas, para que mínimo esa rotación dure 10 dias y no tenga sentido

[#63 chorre]

#1 ¿Estás diciendo que más gente lo hace?

[#77 Trompi]

#61 te falta al final un $1 o un 01.

[#79 Patrañator]

#5 pero eso es un sistema mal diseñado porque no debe dejarte realizar tantos cambios de la misma contraseña en poco tiempo

[#86 Patrañator]

#62 la idea de la clave múltiple, con cierto soporte físico o en el móvil, será algo con lo que los torpes de la oficina no dejarán hacer otra cosa a los informáticos. Eso y cambiar constantemente las contraseñas.

[#89 Patrañator]

#12 quizá dar por saco con el cambio continuo de contraseñas y obligarte a instalarte aplicaciones en el móvil lleva, a la larga, inevitablemente a obligarte a una autentificación biométrica, regalando por tu parte información vital e inmodificable, con tal de huir del calvario de calentarte la cabeza con los otros sistemas.

[#90 January11]

#45 Yo entendía lo de "evento de seguridad" de una forma muy amplia, por ejemplo, una contraseña compartida tiene que cambiar cuando efectivamente cambian los administradores, incluso antes para evitar venganzas.

[#95 carellot]

#88 El menosprecio es peor que un insulto.
Lo que tiene tela es que encima llores por los negativos.

[#103 ninjum]

mi contraseña era contraseña despues ya se adornaba con las exigencias de la pagina de registro contra-seña contraseña0 etc

[#110 Euripio]

#44 Qué antiguo.
windows ofrece la notas rápidas, ideales para tener todos los pwd a mano

[#112 coche]

Error de hoy en mi cuenta de empresa. Metiendo bien la contraseña, me decía que no estaba bien. ¡Si la había metido para logearme! He tenido que ir a la opción de resetear y resetearla. Dos veces.  

[#129 jmpep]

#9 O que fueras el personal de limpieza. Como hubiera una mancha en el cero que no acabara de salir

[#130 --673591--]

#88 una clase de persona con sentido del humor. Para todo lo demás come fibra, independientemente de la edad.

[#55 astur_phate]

#1 Yo en una empresa para la que trabajaba hace años llevaba la cuenta del número de meses que llevaba trabajando con el numerito que añadía a la contraseña En aquel sitio no nos dejaban instalar nada así que no podía usar un gestor de contraseñas.

[#88 --255308--]

#29 Simplemente como curiosidad sobre qué clase de persona aporta un comentario tan tan profundo, constructivo e interesante como #8

Si hasta deja el emoticono de malote para el final. Lo que no entiendo es por qué me votan negativo. Ni que hubiera insultado.

[#93 empanadilla.cosmica]

#90 Efectivamente los administradores nuevos deberíamos cambiar las contraseñas al llegar. En mi caso el problema es que administro un parque de cacharros muy enorme y heterogéneo. En cinco años hay dispositivos a los que aún no me he conectado nunca. Quizás el enfoque del cliente es erróneo y alguien le tiene que explicar que tener equipos de menos personas administrando cada vez más cosas es inviable, que se pierde conocimiento, que resolver problemas es cada vez más difícil y que el ahorro de costes le pone en un riesgo muy elevado.

Pero los demás competidores del sector también lo hacen.