Chismes del Lince 84: contraseñas seguras y reconocer phishing

En Sierra Bermeja, el Lince recibe un correo del «banco» que le dice que su cuenta se bloqueará en 24 horas. Antes de hacer clic, la Gata Montesa le pregunta: «¿Y si el correo no es del banco?». Vamos a reconocer phishing.

Introducción

Hoy construimos dos herramientas sencillas para protegernos en la red: un comprobador de contraseñas y un juego para reconocer mensajes falsos. Las dos se usan en el ordenador, sin necesidad de móvil.

Por qué este chisme

Una contraseña débil o un clic en el enlace equivocado bastan para perder una cuenta. Esta es la forma más común de entrar en los sistemas: pedir a la persona que entregue sus datos.

Cómo funciona

Contraseñas. Una contraseña es más difícil de adivinar cuanto más larga es y cuantos más tipos de caracteres usa. El comprobador calcula cuántas combinaciones son posibles y lo expresa en bits. Cada bit dobla el número de intentos necesarios para adivinarla. Es una aproximación: también mira si la contraseña contiene palabras típicas, que se adivinan aunque tengan números.

Phishing. Es un mensaje que se hace pasar por una entidad de confianza para robar datos. Suele tener tres señales: prisa, un enlace raro y una petición de datos o de pago.

Qué necesitamos

• Un ordenador con navegador.
• La página del chisme.

Construcción

No hay que construir nada: abre la página y prueba las dos herramientas.

Cómo probarlo

1. Escribe «lince» en el comprobador. ¿Qué nivel obtiene? ¿Por qué?
2. Prueba una frase larga con mayúsculas, números y símbolos. ¿Cómo cambia la puntuación?
3. Juega una ronda completa al reconocimiento de phishing y anota en cuáles fallas.

Qué estamos midiendo realmente

El comprobador mide la longitud y la variedad de caracteres, no si la contraseña es realmente segura. Una palabra conocida con números puede tener buena puntuación y aun así ser fácil de adivinar. Por eso la página avisa de su límite: un número no sustituye al criterio.

Para el aula

• ¿Qué variable estamos midiendo? ¿Qué unidad usa? (bits de entropía).
• ¿Qué error tiene el comprobador? Busca una contraseña que puntúe bien y sea fácil de adivinar.
• Hipótesis: ¿una frase de cinco palabras es más segura que una contraseña de ocho caracteres con símbolos?
• Diseña tu propio juego de mensajes falsos: ¿qué señales usarías?

Retos

1. Haz que funcione: juega una ronda y comprueba tus aciertos.
2. Mejora: añade más mensajes al juego.
3. Amplía: añade palabras típicas a la lista del comprobador.

Para profundizar en la protección de cuentas, puedes consultar la web del Instituto Nacional de Ciberseguridad (INCIBE).

Qué hemos aprendido

Una contraseña larga y variada protege mejor, pero la defensa más importante es no entregarla. Antes de hacer clic, pregunta: ¿quién me escribe, qué me pide y por qué tanta prisa?