Ojo con Karperski

 

Me pasó algo divertido y didáctico. Resulta que estaba pensando cambiar mus claves de alta seguridad (bancos, fotos porno y cosas así) y empecé a pensar en los criterios para construir claves fuertes. El primer requisito es que no hubiese forma que se me olvidaran, yo soy olvidadizo en extremo, así es que el primer peligro es que una clave complicada se me olvide, y como uso encriptación fuerte, no existe forma de recuperar si se me olvida el párrafo, me ha pasado algunas veces y eso si que es desesperante.

Otro requisito es que una clave fuerte no debe tener ninguna palabra o número que coincida con datos personales como dirección, teléfono, cumpleaños o cosas por el estilo, ese es el primer y más grave error. 

Además debe ser bastante larga, mínimo 20 caracteres, o más en lo posible. 

Tampoco debe contener textos conocidos, como letras de canciones, fragmentos de poemas  o cosas así, porque un ataque de diccionario por fuerza bruta podría romper la clave en segundos. Es impresionante la cantidad de textos que tienen los software de diccionario, si lleva texto debe ser incoherente, que no se encuentre publicado en ninguna parte. 

Parece imposible, pero con un poco de ingenio y nemotecnia podemos hacer claves fuertes bastante buenas combinando todos los criterios anteriores. Obviamente no voy a poner los criterios que yo he usado, porque un requisito adicional es no darle absolutamente a nadie una pista o una idea de como construimos nuestra clave, pero echando a andar la imaginación, no es difícil armar buenas claves.

Pero ¿es realmente buena nuestra clave? ¿como podríamos saber el comportamiento en un entorno real, sujeta a un ataque? Entonces me fui donde mi amigo Google y coloqué "probar la fortaleza de password"  donde me encontré con esto

Karpersky es una empresa que lleva muchos años en seguridad, así es que supuse que era seria, además en la página decía "nosotros no coleccionamos ni almacenamos sus password" estaba a punto de entrar mi recién cambiada contraseña cuando pensé "¡un momento! ¿vas a creer en todo lo que lees? Claro que no" entonces cambié el orden del password revolviéndolo. Luego, pensándolo mejor me di cuenta que era una medida bastante estúpida en términos de seguridad, porque ya había entregado los criterios con que lo había construido, lo lógico es que si no les funcionaba probaran con todas las permutaciones y variantes posibles.

Bueno, el analizador me dijo que la seguridad era óptima y que cualquier intento de ataque se demoraría no se cuantos años-ĺuz, después de leer eso me fui a dormir muy tranquilo y satisfecho. 

Pero al otro día, como hago habitualmente, me fui a monitorear los visitantes de mis principales sitios y -como muestra la imagen del principio- me encuentro con una sorpresiva visita de la Federación Rusa, antes tenía muchas visitas de Rusia pero al parecer se aburrieron de mis tonteras, así es que le presté atención a esta.

Era de Karpersky Lab Ao y lo más curioso es que apuntaba directo a mi servidor de correo por webmail https://mail.bradanovic.cl ¡Diablos! en ninguna parte de la web tenía un link a ese sitio, así es que se trataba de un intento de ataque directo, de no haber aparecido en las estadísticas de visitas, nunca me habría dado cuenta.

Yo tenía entendido que Karpersky era una reputada empresa inglesa, pero buscando en Wikipedia me encuentro que no, es de un matrimonio ruso, solo que tienen en Londres su "sede principal". Capaz que la sede principal sea una casilla de correos o una tienda de venta de vodka, en estos tiempos ya no se puede confiar en nadie.

Bueno, la cosa es que reformulé mis contraseñas con criterios totalmente distintos y las cambié enseguida. La moraleja es "ojo con Karpersky", yo no usaría su antivirus ni ninguno de sus productos aunque me pagaran con videos porno de Sonia Braga a los 28 años, ese es el nivel de desconfianza que les tengo, para que se hagan una idea nada más.