Seguridad de la recuperación de contraseñas olvidadas

Cuando las barbas de Sarah Palin veas cortar, pon las tuyas a remojar...

Hace unos días saltaba la noticia de que una cuenta de correo que Sarah Palin (candidata a vicepresidenta de EEUU) tenía en Yahoo había sido hackeada. Los periodistas, amigos de titulares impactantes, hablaban del 'ataque del siglo'.

La realidad era bastante más sencilla. El intruso utilizó el sistema de recuperación de contraseñas olvidadas de Yahoo, que te obliga a responder a una serie de preguntas personales que rellenó en el momento de crear la cuenta. Si todas las preguntas son respondidas correctamente, te permite cambiar la contraseña. En el caso de Sarah, las preguntas eran relativas a su vida personal, y, cómo no, la Wikipedia tenía las respuestas.

Servicios como Yahoo, Google, Hotmail y otros ofrecen dos tipos de sistemas para restaurar una contraseña de acceso olvidad:

• Preguntas sobre datos personales, o sobre una lista de preguntas fijas, o dándonos la posibilidad de poner nuestra propia pregunta/respuesta
• Dirección de correo secundaria, a la que nos enviarán un mensaje con un enlace que nos permitirá cambiar la contraseña

Yo personalmente prefiero el segundo sistema, siempre que uses como respaldo una cuenta de correo segura, en la que tengas una contraseña diferente.

En ocasiones, no es posible desactivar el sistema de pregunta/respuesta, y el problema es que la respuesta a esta pregunta debería ser tan secreta o compleja como la propia contraseña a la que protege.

En este caso, mi recomendación sería poner una respuesta imposible de adivinar (un montón de caracteres tecleados 'a loco'). Con esta contraseña imposible, podemos hacer dos cosas, olvidarla completamente o guardarla en una aplicación como Password Safe, que nos permite guardar nuestros secretos de forma segura protegidos por una única contraseña.