Microsoft dice que el cambio de contraseña obligatorio es "antiguo y obsoleto" [en]

Microsoft finalmente se está dando cuenta de una máxima que los expertos en seguridad han aceptado casi universalmente durante años: es probable que los cambios periódicos de contraseña hagan más daño que bien. En una publicación en gran parte pasada por alto publicada a fines del mes pasado, Microsoft dijo que estaba eliminando los cambios periódicos de contraseña de la configuración básica de seguridad que recomienda para clientes y auditores.

[#101 jaramero]

Unas que son fáciles de recordar
5pectlh
7ptcmp
8pectla
@tomarXculo1
@tomarXculo2
...

[#102 bitman]

#11 ¿una docena solo?

[#103 ninjum]

mi contraseña era contraseña despues ya se adornaba con las exigencias de la pagina de registro contra-seña contraseña0 etc

[#104 bitman]

#44 Lo corroboro. Visto en una noticia de un periódico hace ya muchos años. Hablaban de unos productos financieros de un banco acompañada de una foto con una persona sentada frente a su ordenador. En primer plano el Post-It con las credenciales de acceso al sistema. Por supuesto me faltó tiempo para probar

[#105 bitman]

#80 y en la tarjeta de crédito escrito con rotulador indeleble pones cuatro dígitos que puedan leerse de derecha a izda o viceversa y que no se entiendan muy bien, en plan 1658 -> 8291 -> 8297 -> 7658... o metes varios números tipo 4 + 3 (del CCV) y por supuesto el CCV original arrancado con navaja.

Con un poco de suerte, te llaman de algún banco porque uno de sus cajeros se tragó tu tarjeta extraviada

[#106 swapdisk]

#78 creo que no es el PIN de la tarjeta sino uno para compras por internet. Que luego se ponga el mismo, es otra historia.

[#107 kaysenescal]

#66 A mi un usuario me llego a mandar ese TXT con todas sus contraseñas al pedirle que necesitaba un usuario y contraseña para probar el funcionamiento de un servicio web.

- Necesito acceder a la web para ver si funciona correctamente.
- Claro que si guapi, aquí tienes todas mis contraseñas

[#108 --666006--]

#104 JAJAJA
En mi caso eran las claves del correo y la app interna de algunos de los trabajadores de una universidad privada. Con eso podías acceder desde tu casa a los exámenes en maquetación (preguntas y respuestas, incluyendo cuál era la correcta).

[#109 musg0]

#106 Hasta ahí ya no sé. Pero me extraña que fuera un pin para compras por Internet porque si no me lo habría dicho. Y si resulta que tiene pero es el mismo número, el banco tiene ahí otro fallo y debería no dejar meter el mismo número en ambos pines

[#110 Euripio]

#44 Qué antiguo.
windows ofrece la notas rápidas, ideales para tener todos los pwd a mano

[#111 --666006--]

#110 No tan ideal si no recuerdas la contraseña de Windows.

[#112 coche]

Error de hoy en mi cuenta de empresa. Metiendo bien la contraseña, me decía que no estaba bien. ¡Si la había metido para logearme! He tenido que ir a la opción de resetear y resetearla. Dos veces.  

[#113 NoPracticante]

En mi empresa te obligan a cambiar la contraseña cada pocos meses. Tienes que usar mayúsculas y números obligatoriamente. La nueva contraseña no se puede parecer a las anteriores.

Total. Que en una empresa donde la media de edad son 55 años al final te encuentras las contraseñas apuntadas en un papel, el monitor, el teclado o en cualquier sitio.

Tanta seguridad vuelve inseguro el sistema.

[#114 --67296--]

#27 Esa viñeta estuvo bien en su momento pero me da que con el machine learning va a envejecer mal. Lo mejor es tenerlo todo en un gestor de contraseñas, generar para cada cuenta un password aleatorio de 14 caracteres mínimo y olvidarse.

[#115 Pitt]

#114 No creo que el machine learning se pueda aplicar aquí. Cualquier página web o servicio que se precie tiene un máximo número de intentos antes de decirte que o te bloquean la cuenta o tienes que esperar X minutos, así que hacerlo por fuerza bruta es muy difícil.

Eso sí, yo estoy de acuerdo en lo del gestor de contraseñas, pero el usuario de a pie no sabe ni lo que es eso.

[#116 --67296--]

#115 Bueno el ML tendría sentido una vez han conseguido acceso a las contraseñas cifradas.

[#117 Pitt]

#116 Aún así no sé si el ML supondría mucha mejora a la hora de averiguar contraseñas, creo que es mucho más fácil, rápido y menos costoso hacerlo por diccionarios como se hace ahora.

[#118 GanaderiaCuantica]

#73 hombre, digo yo que #49 (como aclara en #51) se refiere a algo más complejo, es decir, que no se note que es un patrón
Y que tampoco sea una función que cambia una letra por la siguiente

Yo he pensado algo similar muchas veces, pero me da pereza cambiar mis contraseñas ahora...

[#119 TheGreatDoc]

#41 ERES EL DIABLO EN PERSONA!

[#120 --255308--]

#98 lo que es innegable es que menéame está lleno de críos que no tienen dinero ni contactos para meterse en ForoCoches a soltar las gilipolleces de turno de milenial.

#95 no es que llore, sino que me asombra con qué facilidad se juzga un comentario con tan poco contexto, solo porque alguien se ha ofendido y le ha votado negativo. ¿Ya no es políticamente correcto no querer leer en cada noticia decenas de comentarios basura?

Encima algunos preguntándome que si quiero rollo por preguntar la edad. Joder cómo está el nivel y cómo han cambiado los foros desde 2005

[#121 bitman]

#108 uffff, qué bien sabe eso

[#122 Robus]

#26 Sería buena idea sino ocurrirera que:

- El sitio a pide cambio de contraseña cada mes, el b cada 6 meses, el c si llevas sin conectarte más de 3 meses, el d cuando lo decide la dirección...

- El sitio a requiere más de 6 digitos con una mayuscula, una minuscula, un simbolo y un número, el sitio b requiere exactamente 8 digitos, el sitio c requiere 10 caracteres y ninguno puede ser un simbolo, el stio d requiere una contraseña númerica de 6 posiciones...

[#123 ACEC]

#47 peor, delante de un auditor PCI

[#124 Robus]

#102 Je! justo ayer me pasaron un excel con más de 30 passwords de un cliente...

que si el de la vpn
que si el de administrador de la máquina A
que si el de usuario de la máquina A
que si el usuario con licencia en tal aplicación o tal otra en la máquina A
todo lo mismo para la máquina B
que si el de ftp contra el servidor C
que si el de ftp contra el servidor D
el usuario administrador de la base de datos TAL_db
el usuario administrador de la base de datos CUAL_db
los dos mismos para PRE y DES
que si el usuario con acceso de solo lectura a la base de datos Tal
el usuario que tiene permisos para....

en fin...

[#125 Pitt]

#122 Jajaja, bueno, generalmente con tener una de 8 posiciones, mayúsculas minúsculas, número y símbolo suele servir para todo. Pero vamos, que yo no estoy a favor, me parece un error.

[#126 futsuu]

Siempre ha sido contraproducente.

Por un lado no vas a recodar tanto password, por lo que debe estar anotado en algún sitio. Yo lo tengo automatizado pero ya me supongo que muchos lo tendrán escrito en la agenda de papel.

Por otro lado no puedes usar passwords aleatorios porque eso no es comestible, así que tienes tu password que vas reutilizando con los cambios mínimos que exija el algoritmo de "te lo voy a poner más difícil". Si además se pasa de difícil, pues lo hackeas y a la porra.

Luego está la guerra de los tokens. No aportan nada.

Ni me pregunteis por la biometría, realmente una mala idea.

2 factor es un rollazo.

[#127 Find]

#64 Qué sabrán ellos

[#128 futsuu]

#21 Tengo cuatro niveles de passwords
- El seguro, para abrir gestores de passwords, discos encriptados, firmar emails.
- El serio, para las cosas del trabajo y cuentas de pago
- El inseguro para las páginas de internet y cuentas de servicios que da igual
- El chorra, que es siempre la misma palabra, para donde no debería ni haberlo.

[#129 jmpep]

#9 O que fueras el personal de limpieza. Como hubiera una mancha en el cero que no acabara de salir

[#130 --673591--]

#88 una clase de persona con sentido del humor. Para todo lo demás come fibra, independientemente de la edad.

[#131 sauron34_1]

#11 por eso es mejor el single sing on o aplicaciones como keepass o similares. Hace tiempo que se va en esa dirección, pero en Microsoft se han dado cuenta algo más tarde.

[#132 Caravantes]

Es un tema bien conocido y documentado desde hace años.

Cambiar tu contraseña a menudo está poniendo tu seguridad en peligro.
curiosos.info/cambiar-tu-contrasena-a-menudo-esta-poniendo-tu-segurida

¿Cambiar de contraseña cada dos por tres? Mala idea si buscas más seguridad.
www.genbeta.com/seguridad/cambiar-de-contrasena-cada-dos-por-tres-mala

Porqué cambiar de contraseña a menudo es una mala idea.
as.com/betech/2016/08/08/portada/1470651312_264383.html

Cambiar tu contraseña cada poco tiempo no sirve de nada.
omicrono.elespanol.com/2016/08/cambiar-contrasena-no-sirve/

Si cambias tu contraseña con frecuencia pierdes seguridad.
www.ticbeat.com/seguridad/si-cambias-tu-contrasena-con-frecuencia-pier

Cambiar constantemente de contraseña y usar caracteres especiales es inútil, según quien lo recomendó originalmente.
www.genbeta.com/seguridad/cambiar-constantemente-de-contrasena-y-usar-

Microsoft renuncia a la caducidad de las contraseñas por ser un método inútil. "Si no la han robado, no hay que cambiarla y si lo han hecho, no hay que esperar a que caduque para modificarla", explica el consultor principal de la compañía.
elpais.com/tecnologia/2019/04/25/actualidad/1556185091_716349.html

Aun así, mi universidad me obliga a cambiar la contraseña cada año, como puede verse en webidentidad.usal.es/politicaspassword .