Las contraseñas complejas que utilizan una combinación de caracteres y se cambian con frecuencia ya no son la mejor práctica de gestión de contraseñas. Esta información se basa en una guía recientemente publicada por el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), que desarrolla y emite guía para ayudar a las organizaciones a proteger los sistemas de información.

Durante años, los expertos y proveedores de servicios han preferido las contraseñas complejas, que combinan letras mayúsculas y minúsculas, números y símbolos, porque se cree que hacen que las contraseñas sean más difíciles de adivinar o descifrar mediante ataques de fuerza bruta.
Sin embargo, las contraseñas complejas son contraproducentes y en realidad debilitan la seguridad. Las contraseñas complejas hacen que los usuarios desarrollen malos hábitos, como elegir contraseñas simples o reutilizar contraseñas antiguas.
En sus últimas directrices, el NIST ha fomentado el uso de contraseñas más largas en lugar de contraseñas complejas.
La primera razón es que los usuarios a menudo tienen dificultades para recordar contraseñas complejas, lo que los lleva a utilizar contraseñas basadas en reglas fáciles de adivinar o a utilizar la misma contraseña para varios sitios web. Esto se ve agravado por el hecho de que muchas organizaciones requieren que usted cambie su contraseña cada 60 a 90 días. NIST ya no recomienda esto.
La fortaleza de una contraseña a menudo se mide por la entropía, la cantidad de combinaciones posibles que se pueden crear utilizando los caracteres de la contraseña. Cuanto mayor sea el número de combinaciones, más difícil será descifrar la contraseña mediante ataques de fuerza bruta o adivinando.
La longitud juega un papel mucho más importante en el número de combinaciones posibles que la complejidad. Una contraseña más larga con más caracteres tiene exponencialmente más combinaciones posibles.
La segunda razón es que las contraseñas largas con muchas palabras simples son más fáciles de recordar, lo que garantiza que los usuarios no recurran a prácticas inseguras como escribir las contraseñas o reutilizarlas.
Además, las contraseñas largas, debido a la gran cantidad de combinaciones posibles, son más difíciles de descifrar para los algoritmos complejos que las contraseñas cortas y complejas.
Por ejemplo, cambiar una contraseña de 4 a 6 dígitos aumenta el número de combinaciones posibles de 10.000 a 1.000.000.
NIST recomienda que los usuarios creen contraseñas de hasta 64 caracteres. En ese caso, una contraseña que sólo utilice letras minúsculas y palabras será extremadamente difícil de descifrar, y si incluye letras mayúsculas y símbolos, descifrar la contraseña será casi matemáticamente imposible.