Por qué se están desmoronando las contraseñas
La gente anhela simplicidad. Memorizar una larga mezcla de letras, números y símbolos es un problema, así que la mayoría elige algo rápido y fácil. Pero incluso si has sido disciplinado lo suficiente como para crear una contraseña compleja, todavía está almacenada en la base de datos de una empresa.
Y las bases de datos son hackeadas.
Regular.
Filtros de contraseña: Algunas historias a considerar
- McDonald’s, 2025: Un chatbot de contratación impulsado por AIs estaba corriendo con el login Admin y la contraseña 123456. ¿El resultado? Se filtraron más de 64 millones aplicaciones de empleo, incluyendo números de teléfono, direcciones de correo electrónico, educación e historial de trabajo. [1]
- Ah, 2013: El mayor incumplimiento de la historia: más de 3 mil millones cuentas comprometidas, incluyendo contraseñas y preguntas de seguridad. [2]
Estas historias tienen una cosa en común: incluso las corporaciones con presupuestos multimillonarios de seguridad cibernética no son inmunes al fracaso.
Buenas prácticas para el almacenamiento de contraseñas
Aunque estamos pasando más allá de las contraseñas, todavía están ampliamente utilizadas. Así que vale la pena entender cómo almacenarlos adecuadamente — especialmente si ejecutas una plataforma o aplicación.
Nunca guardar contraseñas como texto plano
Las contraseñas siempre deben ser cifradas usando algoritmos fuertes como bcrypt o argon2. Esto hace que sea costoso para el cálculo revertirlos en ingeniería.
Añadir sal
Salting asegura que incluso si dos usuarios eligen la misma contraseña, sus hasks serán diferentes. Se trata de una protección crítica contra los ataques con arco lluvioso.
Usar el estiramiento de teclas
Esta técnica hace que los intentos de fuerza bruta sean significativamente más lentos, comprándole tiempo y reduciendo el riesgo si se produce una violación.
Aún así, incluso con estas prácticas, el mero hecho de que las credenciales de usuario se almacenen en servidores los convierte en un posible objetivo. Por eso el objetivo debe ser eliminar completamente el almacenamiento de contraseñas.
Buenas prácticas para la construcción de contraseñas y la reutilización
Si debe utilizar contraseñas, aquí está cómo hacerlo de forma segura:
Usar contraseñas largas y aleatorias
Longitud > complejidad. Una contraseña aleatoria de 20 caracteres es mucho más segura que una contraseña corta con símbolos.
Ejemplo: qH7T#sY9!GmK3*vBxZlP
Evitar reutilizar contraseñas
Una contraseña reutilizada = acceso a todas sus cuentas. Las fugas de datos facilitan que los atacantes prueben las mismas credenciales en varios sitios (llamado relleno de credenciales).
Usar un gestor de contraseñas
Esto le ayuda a generar y almacenar contraseñas únicas y fuertes para todos los sitios, reduciendo su carga mental y mejorando la seguridad.
Pero incluso la mejor contraseña aún es justa... una contraseña. Se puede adivinar, suplantar, filtrar, o forzar brutas.
¿Qué es la autenticación de múltiples factores y por qué es importante?
Autenticación de múltiples factores (MFA) añade una capa segunda (o tercera) de protección, combinando algo que sabes (contraseña), algo que tienes (dispositivo), o algo que son (biométrico).
Por ejemplo:
- Contraseña + código SMS
- Contraseña + app de autenticación móvil (TOTP)
- Contraseña + huella dactilar
La AMF reduce significativamente la posibilidad de tener en cuenta, especialmente en los casos en que se han filtrado o robado las contraseñas.
Pero no es perfecto:
- Los códigos SMS pueden ser interceptados a través de ataques de intercambio de SIM
- Las aplicaciones de autenticación solo son tan seguras como el dispositivo que viven en
Siguiente, MFA es un necesario al usar sistemas basados en contraseña. Es el equivalente a poner un punto muerto en la puerta en lugar de depender de un simple atasco.
El fallo central del modelo de contraseña antiguo
Una contraseña es una sola clave. La entregas a otra persona y esperas que la mantengan a salvo. Pero si fracasan, un extraño tendrá acceso a su “hogar”.
Así que esta es la pregunta: ¿realmente debería confiar en alguien más con su única clave?
Cuando las cuentas desaparecen: El enfoque NymVPN
Imagina un servicio con:
- No hay logins
- Sin contraseñas
- No hay bases de datos de credenciales masivas para hackear
En lugar de cuentas tradicionales, NymVPN utiliza una frase de semilla — una combinación única de palabras que sirve como clave privada. Esto significa que no te registras, no creas un nombre de usuario o contraseña, y no dependes de ninguna autoridad centralizada para gestionar tu identidad.
¿Qué es una frase de semilla?
Una frase de semilla (también llamada frase de recuperación o frase secreta) es una secuencia de generalmente **12 o 24 palabras generadas al azar. Representa su identidad criptográfica y se utiliza para generar claves privadas de forma segura.
Ejemplo (no usar este):
El famoso baño de cebolla de cebolla del virus melt platanero acústico de la tortuga negra
Esta frase se muestra sólo a ti durante la configuración. Nunca se almacena en un servidor NymVPN o se transmite a través de Internet. Usted es el único propietario y custodiano de esta frase.
Por qué es más seguro
Porque no hay nada almacenado en un servidor, incluso si NymVPN fue hackeado, no hay nada que robar:
- Ninguna base de datos de credenciales de usuario
- No hay registros de sesión vinculados a identidades
- No hay correos de recuperación que puedan ser falsificados
La frase de semilla existe sólo en tu dispositivo, y lo ideal es que lo almacene fuera de línea — escrito en papel o guardado en un gestor de contraseñas seguro o en una cartera de hardware.
¿Qué son las pruebas del conocimiento cero, y por qué importan?
Pruebas de conocimiento cero (ZKP) son una potente herramienta de privacidad que te permite probar que algo es cierto sin revelar la información real detrás de ella.
Imagina poder demostrar que eres mayor de 18 años sin mostrar tu fecha de nacimiento, o prueba que pagó por un servicio sin revelar su identidad o datos de transacción.
Esa es la magia de ZKPs: separan la verificación de la exposición de datos.
En el contexto de Nym, Las pruebas de conocimiento cero en forma de zk-nyms ayudan a los usuarios a verificar el acceso o la participación a NymVPN sin vincularlo a una cuenta específica o revelar datos personales. Forman parte de lo que hace posible la infraestructura de protección de la privacidad como Nym: un sistema en el que se puede interactuar de forma segura sin dejar huellas identificables.
ZKMs cambia la web de un modelo "mostrar todo para probar cualquier cosa" a un más inteligente, Estándar necesario – uno que respete su derecho a ser privado por defecto.
