Contraseñas: se roban cada vez más aunque sean más complejas

La semana pasada, durante la conferencia de seguridad Black Hat, que se realizó en Las Vegas, la compañía estadounidense Hold Security dio a conocer una cifra insólita. Un grupo de delincuentes informáticos rusos se habrían robado 1200 millones de contraseñas y 500 millones de direcciones de correo electrónico.El número supera todas las marcas anteriores y, si es cierto, se convierte en la mayor sustracción de datos de la historia. Como era de prever, la noticia no sólo encendió todas las alarmas, sino que también sembró escepticismo. Para el célebre criptógrafo Bruce Schneier, todo el asunto parece más una campaña mediática de Hold Security que el reporte del robo del siglo. Por su parte, el respetado experto en seguridad Brian Krebs cree que el asalto de verdad existió, más allá de la sospechosa falta de detalles técnicos y metodológicos aportados por Hold Security.Casi cada semana los datos sensibles de miles de usuarios son hurtadas de sitios web. En ocasiones las víctimas se cuentan por millones. El 3 de octubre de 2013 la compañía Adobe, creadora del Photoshop, anunció que le habían hurtado unos 3 millones de contraseñas. El número trepó en los días siguientes a 152 millones. Casi todas las compañías con algún servicio en Internet han padecido este flagelo, desde gigantes como Sony y Google hasta ignotas pero cruciales agencias de pago.Pero, aunque como titular es impactante, el robo de 1200 millones de contraseñas no dice mucho despojado de otros datos, que Hold Security no aportó. Por ejemplo, cuánto tardaron en obtener esa cantidad de credenciales, qué sitios fueron afectados y, sobre todo, qué proporción de esas claves estaban en texto plano (esto es, legibles de inmediato) o encriptadas (usando lo que se conoce como función hash).Hay casi 3000 millones de personas conectadas a Internet y más de 1000 millones de sitios, con el número de páginas web individuales en el orden de decenas de billones. Para los grandes robos de datos los criminales infectan cientos o miles de computadoras de particulares para incorporarlas a una red robot (o botnet) que busca de forma autónoma sitios que expongan alguna vulnerabilidad. En el caso de los delincuentes rusos, habrían explotado una falla llamada Inyección SQL. Con el tiempo suficiente y una botnet poderosa, la cifra de 1200 millones de contraseñas es menos impresionante de lo que parece a primera vista. Y también menos significativa.Delito en alzaPero un dato surge claro de las estadísticas. Esta clase de...