Novacreations

Uno de mis clientes cuenta con una aplicación realizada por una consultora ya hace un tiempo atrás que maneja información sensitiva de la organización. Trabajando en la implementación de este sistema (el mismo de la instalación compleja) en esta ocasión me encontré en la parte de crear los usuarios y asignarles contraseñas.

Aunque este es un proceso sencillo me di cuenta que el sistema tenía la opción (obligada) de permitir caducar las contraseñas por lo que tenía que asignarles un tiempo de caducidad. Una vez que la contraseña expiraba aparecía un coqueto mensaje que amablemente te pide ingresar una nueva contraseña:

Los beneficios que en teoría tiene este método, es que permite evitar que las contraseñas puedan ser “crackeadas” y utilizadas por alguna persona maliciosa.

Por el momento las contraseñas que asigne se conforman de 10 caracteres letras y números, y en el caso de los administradores diferentes signos adicionales como puntos, arrobas y otros. Por lo que las contraseñas son suficientemente seguras.

Me imagine que pasaría dentro de 3 meses cuando a mis usuarios (personas con un mínimo uso computacional) les pidieran crear una nueva contraseña:

• Pensarían en algo menos complicado como CAMION, 12345, ABC, HOLA, MARY entre otros. Pervirtiendo por completo la necesidad de la contraseña. (Son contraseñas reales de usuarios reales que me he encontrado)
• Pondrían el mismo nombre del usuario, la perfecta contraseña para el usuario ESTIMACIONES es por supuesto, ESTIMACIONES
• Crearían la contraseña y sin apuntarla en ningún lado, una semana después la habrían olvidado.
• Esto sin contar el caos de que lo mas probable es que algunas contraseñas se compartan entre personal de confianza dentro de un mismo departe maneto. ¿Que va a pasar cuando uno de ellos la cambie y sus compañeros no sepan por que su usuario ya no sirve?

Por lo cual, después de analizarlo me di cuenta de lo poco útil e inseguro que es este tipo de candados de seguridad de caducar las contraseñas. Este método seria útil solamente si estas seguro de que la cuenta pertenece a un solo usuario y que además contaras con una herramienta que se asegurara de que tu password es lo suficientemente seguro y obviamente, usuarios que entiendan la necesidad de la contraseña y sepan cuidarlas.

El beneficio de este método radica en que si una contraseña es comprometida, el usuario atacante puede tener siguiendo acceso a los recursos sin ser detectado (si quisiera hacer daño, este método no sirve), beneficio que se pierde ante la inminente llegada de contraseñas para nada seguras y usuarios confundidos.

Además, forzar a los usuarios a crear contraseñas seguras cada mes, lo mas probable es que causara que se les olviden, o que necesariamente tengan un Postit con la contraseña en su monitor.

Por lo tanto esta opción forzosa la tuve que desactivar. Me vi obligado a poner la fecha de expiración dentro de los próximos 100 años ya que para variar no existe forma de configurar eso. Estableceré algunos métodos y procedimientos de seguridad diferentes, ya que definitivamente no quiero que rápidamente adivinen que el password es “hola”

Encontré una lectura muy interesante sobre el tema, habla sobre las contraseñas y sus mitos. Recomendable ya que precisamente nos explica como algunas mejores practicas como está, no son necesariamente las mejores.

CERIAS Weblogs » Security Myths and Passwords

Así que si estas armando una aplicación y quieres o tienes el requerimiento que indica un cambio periódico de contraseña, piénsalo dos veces.

Popularidad: 35%