Las contraseñas se discuten mucho en este sitio, y tanto para los usuarios como para los sitios hay que estar en línea con la "mejor práctica".
Los sitios web necesitan una política de seguridad de contraseña, política de bloqueo de cuenta y almacenamiento seguro de contraseña con un hash lento y salado. Algunos de estos requisitos tienen impactos de usabilidad, riesgos de denegación de servicio y otros inconvenientes. Y generalmente no es posible para los usuarios saber si un sitio realmente hace todo esto (por lo tanto, plaintextoffenders.com).
Los usuarios deben elegir una contraseña segura que sea única para cada sitio, cambiarla regularmente y nunca escribirla. Y verifique cuidadosamente la identidad del sitio cada vez que ingrese su contraseña. No creo que nadie realmente siga esto, pero es la supuesta "mejor práctica".
En los entornos empresariales suele haber un sistema de inicio de sesión único bastante completo, que ayuda de forma masiva, ya que los usuarios solo necesitan una buena contraseña de trabajo. Y con solo una autenticación para proteger, el uso de múltiples factores es más práctico. Pero en la web no tenemos inicio de sesión único; Cada intento de Passport, a través de SAML, OpenID y OAuth no ha logrado ganar una masa crítica.
Pero existe una tecnología que se presenta a los usuarios como el inicio de sesión único, y es un administrador de contraseñas con integración de navegador. Se puede indicar a la mayoría de ellos que generen una contraseña segura única para cada sitio y que la roten periódicamente. Esto lo mantiene seguro incluso en el caso de que un sitio web en particular no siga las mejores prácticas. Y la integración del navegador vincula una contraseña a un dominio en particular, lo que hace que el phishing sea casi imposible. Para ser justos, los administradores de contraseñas tienen el riesgo de "poner todos sus huevos en una canasta" y son particularmente vulnerables al malware, que es la mayor amenaza. presente.
Pero si nos fijamos en la tecnología que tenemos disponible, está bastante claro que el consejo actual está ladrando al árbol equivocado. Deberíamos decirles a los usuarios que utilicen un administrador de contraseñas, no recordar un montón de contraseñas complejas. Y los sitios podrían simplemente almacenar un hash rápido sin sal de la contraseña, olvidar las reglas de seguridad de la contraseña y los bloqueos de cuentas.