El NIST ja no recomana canviar sovint les contrasenyes: aposta per frases de pas llargues i úniques
Durant anys, moltes organitzacions han obligat els seus usuaris a canviar la contrasenya cada poques setmanes o mesos. Ara, les recomanacions actualitzades del National Institute of Standards and Technology (NIST) posen el focus en una protecció més efectiva: utilitzar contrasenyes llargues, úniques i difícils de predir, i canviar-les quan hi hagi indicis que s’han compromès.
Per què el canvi periòdic pot ser contraproduent?
El NIST indica que no s’haurien d’exigir canvis arbitraris o periòdics de les contrasenyes. Quan una persona sap que haurà de substituir-la aviat, és habitual que triï opcions més senzilles o que faci variacions previsibles, com afegir un número o un símbol al final de l’anterior.
Aquest comportament pot donar una falsa sensació de seguretat i facilitar la feina als atacants, que coneixen aquestes pautes.
Què recomana el NIST?
Les directrius actuals prioritzen aquests principis:
- Contrasenyes llargues: les frases de pas memorables ofereixen una protecció superior a les claus curtes i artificiosament complicades.
- Una contrasenya diferent per a cada servei: si una credencial es filtra, no ha de permetre accedir a altres sistemes.
- Canvi quan hi ha compromís: cal forçar la substitució si hi ha evidències d’una filtració, un accés fraudulent o qualsevol altre incident.
- Bloqueig de contrasenyes comunes o filtrades: els sistemes haurien d’impedir l’ús de credencials massa habituals o presents en filtracions conegudes.
- Gestors de contrasenyes i doble factor: són eines recomanables per generar i protegir credencials úniques, especialment quan es combinen amb l’autenticació multifactor.
Què implica per a una organització?
Empreses, administracions i entitats poden revisar les seves polítiques d’accés i substituir l’obligació de canviar contrasenyes cada cert temps per controls més útils: autenticació multifactor, gestió segura de credencials, bloqueig de contrasenyes compromeses, limitació d’intents i monitoratge d’activitat sospitosa.
Això no significa deixar les contrasenyes sense supervisió. Una credencial compromesa s’ha de canviar immediatament, i les comptes amb privilegis elevats haurien de disposar de controls addicionals i revisions periòdiques.
Una política més segura i més fàcil de complir
La recomanació del NIST ajuda a avançar cap a polítiques de seguretat més realistes: menys canvis mecànics i més protecció basada en el risc. Una frase de pas llarga, única i guardada en un gestor de confiança és, en molts casos, una opció més segura i fàcil de recordar que una contrasenya curta plena de símbols.
Revisar aquestes polítiques és una bona oportunitat per reforçar la seguretat de tota l’organització i reduir els hàbits previsibles que els ciberdelinqüents aprofiten.
Font: NIST, SP 800-63B i preguntes freqüents sobre l’expiració i la composició de contrasenyes.
