¿Por qué la contraseña maestra es distinta a todas las demás?
Si usas un gestor de contraseñas, casi todas tus claves pueden ser cadenas aleatorias imposibles de memorizar: el gestor las recuerda por ti. Pero hay una que no puede guardar, porque es la que lo abre: la contraseña maestra. Es la única que tienes que llevar en la cabeza, y por eso merece un tratamiento especial.
Tres reglas la distinguen del resto:
- Nunca se reutiliza. Ni la has usado antes ni la usarás en ningún otro sitio. Si aparece en una filtración de cualquier servicio, deja de servir como maestra.
- No se guarda dentro del propio gestor. Parece obvio, pero ocurre: alguien la apunta en una nota de la bóveda «por si acaso». Si no puedes abrir la bóveda, esa nota no te sirve de nada.
- Tiene que resistir un ataque sin conexión. Los buenos gestores cifran la bóveda con una clave derivada de tu contraseña maestra. Si alguien roba una copia cifrada de la bóveda, puede probar combinaciones en su propio equipo, sin límite de intentos ni bloqueos. La única defensa real es que la maestra tenga mucha entropía.
Ese último punto es el que cambia las reglas del juego. Para una cuenta web, el servicio limita los intentos; para una bóveda robada, no hay nadie que limite nada. Por eso a la maestra le pedimos más que a cualquier otra clave.
¿Qué método usar? Palabras aleatorias (diceware)
El método más recomendado para una contraseña que debes memorizar es la frase de contraseña con palabras elegidas al azar, conocida como diceware. La idea, popularizada por Arnold Reinhold en los años noventa, es sencilla: tomas una lista pública de palabras numeradas y eliges varias de forma realmente aleatoria, por ejemplo tirando dados.
La lista diceware clásica tiene 7.776 palabras, que es 65: cinco tiradas de un dado de seis caras identifican una palabra. También existen listas diceware en español con ese mismo tamaño, y la Electronic Frontier Foundation (EFF) publicó listas en inglés pensadas para ser más fáciles de escribir y recordar.
¿Cuánta entropía tiene una frase diceware?
Lo bonito de este método es que su seguridad se calcula con exactitud, porque no depende de lo que tú creas que es «difícil», sino del azar. La fórmula es:
entropía = número de palabras × log₂(tamaño de la lista)
Con una lista de 7.776 palabras, cada palabra aporta log₂(7.776) ≈ 12,9 bits. Así queda la tabla:
| Palabras | Lista de 7.776 | Valoración para una maestra |
|---|---|---|
| 4 | ≈ 51,7 bits | Insuficiente |
| 5 | ≈ 64,6 bits | Mínimo razonable |
| 6 | ≈ 77,5 bits | Recomendado |
| 7 | ≈ 90,5 bits | Margen amplio |
Cada bit adicional duplica el número de combinaciones que un atacante tendría que probar. Pasar de 5 a 6 palabras multiplica el trabajo del atacante por unas 7.776 veces. Por eso, para una contraseña maestra, la recomendación habitual es entre 5 y 6 palabras de una lista grande, y 6 si quieres dormir tranquilo durante años.
Cómo crearla paso a paso
Tu frase maestra en 10 minutos
- Consigue una lista grande.Una lista diceware de 7.776 palabras en el idioma que prefieras. Descárgala de una fuente reconocida o imprímela.
- Usa azar de verdad.Dados físicos o un generador que use aleatoriedad criptográfica. No elijas tú las palabras: el cerebro humano es pésimo generando azar.
- Elige 6 palabras.Cinco tiradas por palabra. Si sale una combinación que no te gusta, no la descartes: descartar resultados reduce la entropía.
- Decide un separador fijo.Espacio, guion o punto. No añade mucha seguridad, pero evita confusiones al teclear.
- Crea una imagen mental.Inventa una escena absurda que enlace las palabras en orden. Cuanto más rara, mejor se recuerda.
¿Y el método del acróstico o la frase mnemotécnica?
Otro método muy extendido consiste en pensar una frase y quedarte con la primera letra de cada palabra: «En mi pueblo hay 3 fuentes y 2 iglesias desde 1890» se convierte en Emph3fy2id1890. Parece aleatorio y cumple las reglas de composición de cualquier formulario.
Sus problemas son serios cuando hablamos de una maestra:
- La entropía es imposible de calcular. Depende de cómo elegiste la frase, y las frases que la gente elige son predecibles.
- Las frases famosas están en los diccionarios de ataque. Versos, refranes, letras de canciones y citas célebres se procesan con estas mismas reglas de iniciales.
- Es fácil equivocarse al recordarla. ¿Era «3» o «tres»? ¿Llevaba mayúscula la segunda palabra? Esa ambigüedad lleva a la gente a acortarla o simplificarla.
Si te gusta este método, úsalo solo como apoyo para recordar algo generado al azar, nunca como fuente de la contraseña.
¿Cómo memorizarla sin olvidarla nunca?
Una frase de 6 palabras parece mucho, pero el cerebro retiene muy bien las palabras cuando se repasan en el momento adecuado. La técnica que mejor funciona es la repetición espaciada: repasar justo antes de olvidar, con intervalos cada vez más largos.
- Día 1: escríbela de memoria varias veces seguidas (en un papel que destruirás después o en un campo de texto que no se envíe a ningún sitio).
- Días 2 a 7: tecléala una o dos veces al día. Lo ideal es configurar el gestor para que te la pida cada vez que lo abras durante esta semana.
- Semanas 2 a 4: repásala cada pocos días.
- A partir del mes: el uso normal del gestor suele bastar. Si usas desbloqueo biométrico, configura el gestor para que pida la maestra cada cierto tiempo, porque si solo usas la huella acabarás olvidándola.
No cambies la contraseña maestra mientras la estás aprendiendo. Esto también coincide con la guía de NIST sobre contraseñas: no hay que cambiarlas periódicamente sin motivo, solo cuando hay indicios de que se han comprometido.
¿Dónde guardar una copia de emergencia?
Recordarla durante años no te protege de un accidente, una enfermedad o, simplemente, de que tu familia necesite acceder a tus cuentas. Una copia en papel bien guardada es una medida razonable, siempre que respetes algunas reglas:
- En papel, no en digital. Nada de capturas, notas del móvil ni correos a ti mismo.
- En un lugar físico seguro: una caja fuerte doméstica, un sobre cerrado en casa de una persona de confianza o una caja de seguridad bancaria.
- Sin etiquetas obvias. No escribas «contraseña del gestor» en el sobre.
- Junto a los códigos de recuperación del gestor y de tu autenticación de dos factores, si el gestor los ofrece. Una maestra perfecta no sirve si pierdes el segundo factor.
Muchos gestores ofrecen además un «kit de emergencia» o un acceso de contacto de confianza. Revisa qué opciones tiene el tuyo antes de necesitarlas.
Errores que debes evitar
- Letras de canciones, citas, refranes o versos. Aunque sean largos, están en listas que los atacantes prueban primero.
- Datos personales: nombres de hijos o mascotas, fechas, direcciones, tu equipo de fútbol. Se encuentran en redes sociales en minutos.
- Elegir tú las palabras. «Sol playa verano mar» son cuatro palabras, pero muy predecibles juntas.
- Sustituciones obvias como cambiar «a» por «4» o «o» por «0». Los programas de ataque las aplican automáticamente.
- Reutilizar una contraseña antigua, aunque le añadas un número. Repasa los errores comunes con contraseñas si tienes dudas.
- Hacerla demasiado corta para escribirla rápido. La comodidad se gana con práctica, no recortando palabras.