Somos muchos los que usamos una misma contraseña en varias páginas web -yo me incluyo- y no son pocos los servicios cuya seguridad es bastante débil. Ya ha habido numerosos casos de bases de datos de contraseñas que son filtradas y/o vendidas en Internet, y seguramente alguna de nuestras claves haya sido comprometida.
Para comprobarlo, hasta ahora teníamos servicios gratuitos online como Have I Been Pwned, que puede realizar búsquedas mediante correo electrónico o directamente introduciendo tu contraseña.
Bien es cierto que en la mayoría de los casos, si la página web tiene un mínimo de cuidado con la información de sus usuarios, las contraseñas son convertidas en cadenas de longitud fija mediante funciones hash*, como son MD5 (considerada insegura en la actualidad) o SHA-256, entre muchas otras.
*Estas funciones permiten obtener dicha cadena si disponemos de la contraseña; sin embargo, a partir de la cadena no podemos conocer qué contraseña la ha generado. Es decir, funcionan solo en un sentido, de tal manera que ni siquiera los servidores saben cuál es tu clave de acceso.
Debido a la cantidad de contraseñas filtradas en la actualidad, Google ha puesto en marcha una extensión que te avisa si alguna de tus claves de acceso que introduces ha sido comprometida, comprobando si el hash de la misma está en alguna de las bases de datos hackeadas de las que tienen constancia.
Puedes descargar la extensión haciendo clic aquí o en la imagen de arriba. Es completamente gratuita y segura, pues toda la información está cifrada, y la comprobación final siempre se hace en tu propio ordenador. Puedes leer más información en la entrada que han publicado en el blog de seguridad de Google.
Recordad que si alguna de vuestras claves de acceso ha sido comprometida, deberíais cambiarla en todos los servicios donde la tengáis puesta, pues aunque las webs utilicen funciones hash es posible realizar ataques de fuerza bruta para descubrir la contraseña original (generando hashes probando todas las contraseñas posibles). Para disminuir las probabilidades de éxito de este tipo de ataques es preferible que vuestras claves sean largas, que no utilicen palabras de diccionario, y que tengan símbolos y números. Además, algunas webs usan una serie de bits aleatorios (llamados sal) como entrada en la función hash para complicar la efectividad de estos ataques. ¡Así que manteneos seguros!
JAJUBlog 