mirror of
https://github.com/privacyguides/i18n.git
synced 2025-06-15 15:31:12 +00:00
New Crowdin translations by GitHub Action
This commit is contained in:
Crowdin Bot
parent
0359917ab4
commit
c015b3a0ee
@ -50,19 +50,19 @@ Si un servicio es hackeado, podrías empezar a recibir correos electrónicos de
|
||||
|
||||
### "Iniciar sesión con..." (OAuth)
|
||||
|
||||
[Open Authorization (OAuth)](https://en.wikipedia.org/wiki/OAuth) is an authentication protocol that allows you to register for a service without sharing much information with the service provider, if any, by using an existing account you have with another service instead. Cuando veas algo parecido a "Iniciar sesión con *nombre del proveedor*" en un formulario de registro, normalmente está utilizando OAuth.
|
||||
[Open Authorization (OAuth)](https://en.wikipedia.org/wiki/OAuth) es un protocolo de autenticación que te permite registrarte en un servicio sin compartir mucha información con el proveedor del servicio, o incluso nada de información, utilizando en su lugar una cuenta existente que tengas con otro servicio. Cuando veas algo parecido a "Iniciar sesión con *nombre del proveedor*" en un formulario de registro, normalmente está utilizando OAuth.
|
||||
|
||||
Cuando inicies sesión con OAuth, se abrirá una página de inicio de sesión con el proveedor que elijas, y tu cuenta existente y la nueva estarán conectadas. Tu contraseña no se compartirá, pero sí algunos datos básicos (puedes revisarlos durante la solicitud de acceso). Este proceso es necesario cada vez que quieres iniciar sesión en la misma cuenta.
|
||||
|
||||
Las principales ventajas son:
|
||||
|
||||
- **Security**: You don't have to trust the security practices of the service you're logging into when it comes to storing your login credentials because they are stored with the external OAuth provider. Common OAuth providers like Apple and Google typically follow the best security practices, continuously audit their authentication systems, and don't store credentials inappropriately (such as in plain text).
|
||||
- **Ease-of-use**: Multiple accounts are managed by a single login.
|
||||
- **Seguridad**: no tienes que confiar en las prácticas de seguridad del servicio al que te conectas cuando se trata de almacenar tus credenciales de inicio de sesión, ya que se almacenan con el proveedor externo de OAuth. Los proveedores habituales de OAuth, como Apple y Google, suelen seguir las mejores prácticas de seguridad, auditan continuamente sus sistemas de autenticación y no almacenan credenciales de forma inapropiada (como en texto plano).
|
||||
- **Facilidad de uso**: varias cuentas se gestionan con un solo inicio de sesión.
|
||||
|
||||
Pero hay desventajas:
|
||||
|
||||
- **Privacy**: The OAuth provider you log in with will know the services you use.
|
||||
- **Centralization**: If the account you use for OAuth is compromised, or you aren't able to log in to it, all other accounts connected to it are affected.
|
||||
- **Privacidad**: el proveedor de OAuth con el que inicies sesión conocerá los servicios que utilizas.
|
||||
- **Centralización**: si la cuenta que utilizas para OAuth se ve comprometida, o no eres capaz de iniciar sesión en ella, todas las demás cuentas conectadas a ella se verán afectadas.
|
||||
|
||||
OAuth puede ser especialmente útil en aquellas situaciones en las que podrías beneficiarte de una integración más profunda entre servicios. Nuestra recomendación es limitar el uso de OAuth solamente donde lo necesites, y proteger siempre la cuenta principal con [MFA](multi-factor-authentication.md).
|
||||
|
||||
@ -76,10 +76,10 @@ Las aplicaciones maliciosas, especialmente en dispositivos móviles en los que l
|
||||
|
||||
Recomendamos evitar los servicios que exigen un número de teléfono para darse de alta. Un número de teléfono puede identificarte a través de múltiples servicios y, dependiendo de los acuerdos de intercambio de datos, esto hará que tu uso sea más fácil de rastrear, especialmente si uno de esos servicios es violado, ya que el número de teléfono a menudo **no** está cifrado.
|
||||
|
||||
Si puedes, evita dar tu número de teléfono real. Some services will allow the use of VoIP numbers, however these often trigger fraud detection systems, causing an account to be locked down, so we don't recommend that for important accounts.
|
||||
Si puedes, evita dar tu número de teléfono real. Algunos servicios permiten el uso de números VoIP, pero a menudo activan los sistemas de detección de fraude y provocan el bloqueo de la cuenta, por lo que no lo recomendamos para cuentas importantes.
|
||||
|
||||
En muchos casos, tendrás que facilitar un número desde el que puedas recibir SMS o llamadas, sobre todo cuando hagas compras internacionales, por si hay algún problema con tu pedido en el control fronterizo. Es habitual que los servicios utilicen tu número como método de verificación; ¡no dejes que te bloqueen una cuenta importante por haber querido pasarte de listo y dar un número falso!
|
||||
|
||||
### Nombre de usuario y contraseña
|
||||
|
||||
Algunos servicios permiten registrarse sin utilizar una dirección de correo electrónico y sólo exigen que establezcas un nombre de usuario y una contraseña. Estos servicios pueden proporcionar un mayor anonimato cuando se combinan con una VPN o Tor. Ten en cuenta que para estas cuentas lo más probable es que no haya **ninguna forma de recuperar tu cuenta** en caso de que olvides tu nombre de usuario o contraseña.
|
||||
Algunos servicios te permiten registrarte sin utilizar una dirección de correo electrónico y solo te exigen que establezcas un nombre de usuario y una contraseña. Estos servicios pueden proporcionar un mayor anonimato cuando se combinan con una VPN o Tor. Ten en cuenta que para estas cuentas lo más probable es que no haya **ninguna forma de recuperar tu cuenta** en caso de que olvides tu nombre de usuario o contraseña.
|
||||
|
||||
@ -27,7 +27,7 @@ Los sistemas operativos también suelen tener un gestor de contraseñas que pued
|
||||
|
||||
### Correo Electrónico
|
||||
|
||||
If you didn't use a password manager in the past, or you think you have accounts that were never added to your password manager, another option is to search the email account(s) that you believe you signed up on. En tu cliente de correo electrónico, busca palabras clave como "verificar" o "bienvenida" Casi siempre que se crea una cuenta en línea, el servicio envía un enlace de verificación o un mensaje introductorio a tu correo electrónico. Esta puede ser una buena manera de encontrar cuentas antiguas y olvidadas.
|
||||
Si no utilizaste un gestor de contraseñas en el pasado, o crees que tienes cuentas que nunca se añadieron a tu gestor de contraseñas, otra opción es buscar en la(s) cuenta(s) de correo electrónico en la(s) que crees que te registraste. En tu cliente de correo electrónico, busca palabras clave como "verificar" o "bienvenida" Casi siempre que se crea una cuenta en línea, el servicio envía un enlace de verificación o un mensaje introductorio a tu correo electrónico. Esta puede ser una buena manera de encontrar cuentas antiguas y olvidadas.
|
||||
|
||||
## Eliminando Cuentas Antiguas
|
||||
|
||||
@ -39,7 +39,7 @@ Cuando intentes recuperar el acceso, si el sitio devuelve un mensaje de error di
|
||||
|
||||
### RGPD (solamente residentes del EEE)
|
||||
|
||||
Los residentes del EEA tienen derechos adicionales sobre la eliminación de sus datos, especificados en el [Artículo 19](https://gdpr-info.eu/art-17-gdpr) de la GDPR. Si es aplicable para ti, lee la política de privacidad del servicio para encontrar información sobre cómo ejercer tu derecho de eliminación. Leer la política de privacidad puede ser importante, ya que algunos servicios tienen una opción de "Borrar Cuenta" que solamente desactiva tu cuenta y para la eliminación real tienes que tomar acción adicional. A veces, la eliminación real puede implicar llenar formularios, enviar un correo electrónico al responsable de la protección de datos del servicio, o incluso demostrar tu residencia en el EEE. Si planeas seguir este camino, **no** sobrescribas la información de tu cuenta; es posible que se requiera tu identidad como residente del EEE. Ten en cuenta que la ubicación del servicio no importa; el RGPD se aplica a cualquiera que preste servicios a usuarios europeos. If the service does not respect your right to erasure, you can contact your national [Data Protection Authority](https://ec.europa.eu/info/law/law-topic/data-protection/reform/rights-citizens/redress/what-should-i-do-if-i-think-my-personal-data-protection-rights-havent-been-respected_en) and may be entitled to monetary compensation.
|
||||
Los residentes del EEE tienen derechos adicionales sobre la eliminación de sus datos, especificados en el [Artículo 17](https://gdpr-info.eu/art-17-gdpr) del RGPD. Si es aplicable para ti, lee la política de privacidad del servicio para encontrar información sobre cómo ejercer tu derecho de eliminación. Leer la política de privacidad puede ser importante, ya que algunos servicios tienen una opción de "Borrar Cuenta" que solamente desactiva tu cuenta y para la eliminación real tienes que tomar acción adicional. A veces, la eliminación real puede implicar llenar formularios, enviar un correo electrónico al responsable de la protección de datos del servicio, o incluso demostrar tu residencia en el EEE. Si planeas seguir este camino, **no** sobrescribas la información de tu cuenta; es posible que se requiera tu identidad como residente del EEE. Ten en cuenta que la ubicación del servicio no importa; el RGPD se aplica a cualquiera que preste servicios a usuarios europeos. Si el servicio no respeta tu derecho de supresión, puedes ponerte en contacto con tu [Autoridad de Protección de Datos](https://ec.europa.eu/info/law/law-topic/data-protection/reform/rights-citizens/redress/what-should-i-do-if-i-think-my-personal-data-protection-rights-havent-been-respected_en) nacional y podrías tener derecho a una compensación monetaria.
|
||||
|
||||
### Sobrescribir la información de la cuenta
|
||||
|
||||
@ -59,4 +59,4 @@ Aunque puedas eliminar una cuenta, no hay garantía de que toda tu información
|
||||
|
||||
## Evita Cuentas Nuevas
|
||||
|
||||
Como dice el refrán, "una onza de prevención vale más que una libra de cura." Cuando te sientas tentado a crear una nueva cuenta, pregúntate "¿realmente lo necesito? ¿Puedo lograr lo que necesito sin una cuenta?" A menudo puede ser mucho más difícil eliminar una cuenta que crearla. E incluso después de borrar o cambiar la información de tu cuenta, puede haber una versión en caché de un tercero, como en el [Internet Archive](https://archive.org). Evita la tentación cuando puedas, ¡tu futuro yo te lo agradecerá!
|
||||
Como dice el refrán, «más vale prevenir que curar». Cuando te sientas tentado a crear una nueva cuenta, pregúntate "¿realmente lo necesito? ¿Puedo lograr lo que necesito sin una cuenta?" A menudo puede ser mucho más difícil eliminar una cuenta que crearla. E incluso después de borrar o cambiar la información de tu cuenta, puede haber una versión en caché de un tercero, como en el [Internet Archive](https://archive.org). Evita la tentación cuando puedas, ¡tu futuro yo te lo agradecerá!
|
||||
|
||||
@ -63,13 +63,13 @@ Las políticas de privacidad y las prácticas empresariales de los proveedores q
|
||||
|
||||
## "Lo complicado es mejor"
|
||||
|
||||
A menudo vemos a gente que describe modelos de amenaza a la privacidad que son excesivamente complejos. Often, these solutions include problems like multiple email accounts or complicated setups with lots of moving parts and conditions. Las respuestas suelen responder a "¿Cuál es la mejor manera de hacer *X*?"
|
||||
A menudo vemos a gente que describe modelos de amenaza a la privacidad que son excesivamente complejos. A menudo, estas soluciones incluyen problemas como múltiples cuentas de correo electrónico o configuraciones complicadas con muchas piezas móviles y condiciones. Las respuestas suelen responder a "¿Cuál es la mejor manera de hacer *X*?"
|
||||
|
||||
Encontrar la "mejor" solución para uno mismo no significa necesariamente que se busque una solución infalible con docenas de condiciones: suele ser difícil trabajar con estas soluciones de forma realista. Como hemos comentado anteriormente, la seguridad a menudo viene a expensas de la comodidad. A continuación, te ofrecemos algunos consejos:
|
||||
|
||||
1. ==Las acciones tienen que servir a un propósito concreto:== piensa en cómo hacer lo que quieres con el menor número de acciones.
|
||||
2. ==Eliminar los puntos de fallo humanos:== Fallamos, nos cansamos y olvidamos cosas. Para mantener la seguridad, evita depender de condiciones y procesos manuales que tengas que recordar.
|
||||
3. ==Utiliza el nivel adecuado de protección para lo que pretendes.== A menudo vemos recomendaciones de las llamadas soluciones de aplicación de la ley o a prueba de citaciones. Estas a menudo requieren conocimientos especializados y generalmente no es lo que la gente quiere. There's no point in building an intricate threat model for anonymity if you can be easily deanonymized by a simple oversight.
|
||||
3. ==Utiliza el nivel adecuado de protección para lo que pretendes.== A menudo vemos recomendaciones de las llamadas soluciones de aplicación de la ley o a prueba de citaciones. Estas a menudo requieren conocimientos especializados y generalmente no es lo que la gente quiere. No tiene sentido construir un intrincado modelo de amenazas para el anonimato si puedes ser fácilmente desanonimizado por un simple descuido.
|
||||
|
||||
Así que, ¿cómo podría verse esto?
|
||||
|
||||
@ -94,4 +94,4 @@ Uno de los modelos de amenaza más claros es aquel en el que la gente *sabe qui
|
||||
|
||||
Usar Tor puede ayudar con esto. También cabe destacar que es posible un mayor anonimato mediante la comunicación asíncrona: la comunicación en tiempo real es vulnerable al análisis de los patrones de escritura (es decir, más de un párrafo de texto, distribuido en un foro, por correo electrónico, etc.)
|
||||
|
||||
[^1]: A notable supply chain attack occurred in March 2024, when a malicious maintainer added an obfuscated backdoor into `xz`, a popular compression library. La puerta trasera ([CVE-2024-3094](https://cve.org/CVERecord?id=CVE-2024-3094)) pretendía dar a un desconocido acceso remoto a la mayoría de los servidores Linux a través de SSH, pero se descubrió antes de que se hubiera desplegado ampliamente.
|
||||
[^1]: En marzo de 2024 se produjo un notable ataque a la cadena de suministro, cuando un mantenedor malintencionado añadió una puerta trasera ofuscada en `xz`, una popular biblioteca de compresión. La puerta trasera ([CVE-2024-3094](https://cve.org/CVERecord?id=CVE-2024-3094)) pretendía dar a un desconocido acceso remoto a la mayoría de los servidores Linux a través de SSH, pero se descubrió antes de que se hubiera desplegado ampliamente.
|
||||
|
||||
@ -2,51 +2,51 @@
|
||||
meta_title: "Por Qué el Correo Electrónico No es la Mejor Opción para la Privacidad y la Seguridad - Privacy Guides"
|
||||
title: Seguridad del correo electrónico
|
||||
icon: material/email
|
||||
description: Email is insecure in many ways, and these are some of the reasons it isn't our top choice for secure communications.
|
||||
description: El correo electrónico es inseguro en muchos aspectos, y estas son algunas de las razones por las que no es nuestra primera opción para las comunicaciones seguras.
|
||||
---
|
||||
|
||||
El correo electrónico es una forma de comunicación insegura por defecto. You can improve your email security with tools such as OpenPGP, which add end-to-end encryption to your messages, but OpenPGP still has a number of drawbacks compared to encryption in other messaging applications.
|
||||
El correo electrónico es una forma de comunicación insegura por defecto. Puedes mejorar la seguridad de tu correo electrónico con herramientas como OpenPGP, que añaden cifrado de extremo a extremo a tus mensajes, pero OpenPGP sigue teniendo una serie de inconvenientes en comparación con el cifrado de otras aplicaciones de mensajería.
|
||||
|
||||
En consecuencia, el correo electrónico se utiliza mejor para recibir correos electrónicos transaccionales (como notificaciones, correos de verificación, restablecimiento de contraseñas, etc.) de los servicios en los que te registras en línea, no para comunicarte con otras personas.
|
||||
|
||||
## Descripción de la encriptación del correo electrónico
|
||||
|
||||
La forma estándar de añadir E2EE a los correos electrónicos entre diferentes proveedores de correo electrónico es utilizando OpenPGP. There are different implementations of the OpenPGP standard, the most common being [GnuPG](../encryption.md#gnu-privacy-guard) and [OpenPGP.js](https://openpgpjs.org).
|
||||
La forma estándar de añadir E2EE a los correos electrónicos entre diferentes proveedores de correo electrónico es utilizando OpenPGP. Existen diferentes implementaciones del estándar OpenPGP, siendo las más comunes [GnuPG](../encryption.md#gnu-privacy-guard) y [OpenPGP.js](https://openpgpjs.org).
|
||||
|
||||
Even if you use OpenPGP, it does not support [forward secrecy](https://en.wikipedia.org/wiki/Forward_secrecy), which means if the private key of either you or the message recipient is ever stolen, all previous messages encrypted with it will be exposed. Es por eso que recomendamos [servicios de mensajería instantáneos](../real-time-communication.md) que implementan el secreto perfecto hacia adelante por sobre el correo electrónico para las comunicaciones de persona a persona siempre que sea posible.
|
||||
Aunque utilices OpenPGP, no es compatible con [el secreto hacia adelante](https://en.wikipedia.org/wiki/Forward_secrecy), lo que significa que si alguna vez te roban la clave privada a ti o al destinatario del mensaje, todos los mensajes cifrados previamente con ella quedarán expuestos. Es por eso que recomendamos [servicios de mensajería instantáneos](../real-time-communication.md) que implementan el secreto perfecto hacia adelante por sobre el correo electrónico para las comunicaciones de persona a persona siempre que sea posible.
|
||||
|
||||
There is another standard which is popular with business called [S/MIME](https://en.wikipedia.org/wiki/S/MIME), however it requires a certificate issued from a [Certificate Authority](https://en.wikipedia.org/wiki/Certificate_authority) (not all of them issue S/MIME certificates, and often a yearly payment is required). In some cases it is more usable than PGP because it has support in popular/mainstream email applications like Apple Mail, [Google Workplace](https://support.google.com/a/topic/9061730), and [Outlook](https://support.office.com/article/encrypt-messages-by-using-s-mime-in-outlook-on-the-web-878c79fc-7088-4b39-966f-14512658f480). However, S/MIME does not solve the issue of lack of forward secrecy, and isn't particularly more secure than PGP.
|
||||
Existe otro estándar muy popular entre las empresas, llamado [S/MIME](https://en.wikipedia.org/wiki/S/MIME), pero requiere un certificado emitido por una [Autoridad de Certificación](https://en.wikipedia.org/wiki/Certificate_authority) (no todas emiten certificados S/MIME y a menudo hay que pagar una cuota anual). En algunos casos es más útil que PGP porque es compatible con aplicaciones de correo electrónico populares como Apple Mail, [Google Workplace](https://support.google.com/a/topic/9061730) y [Outlook](https://support.office.com/article/encrypt-messages-by-using-s-mime-in-outlook-on-the-web-878c79fc-7088-4b39-966f-14512658f480). Sin embargo, S/MIME no resuelve el problema de la falta de secreto hacia adelante, y no es particularmente más seguro que PGP.
|
||||
|
||||
## ¿Qué es el estándar del Directorio de Claves Web?
|
||||
|
||||
The [Web Key Directory (WKD)](https://wiki.gnupg.org/WKD) standard allows email clients to discover the OpenPGP key for other mailboxes, even those hosted on a different provider. Los clientes de correo electrónico compatibles con WKD le solicitarán al servidor receptor una clave basada en el nombre de dominio de la dirección de correo electrónico. Por ejemplo, si envías un correo electrónico a `jonah@privacyguides.org`, tu cliente de correo electrónico le solicitará a `privacyguides.org` la clave OpenPGP de Jonah, y si `privacyguides.org` tiene la clave para esa cuenta, tu mensaje se encriptará automáticamente.
|
||||
El estándar [Web Key Directory (WKD)](https://wiki.gnupg.org/WKD) permite a los clientes de correo electrónico descubrir la clave OpenPGP de otros buzones, incluso los alojados en un proveedor diferente. Los clientes de correo electrónico compatibles con WKD le solicitarán al servidor receptor una clave basada en el nombre de dominio de la dirección de correo electrónico. Por ejemplo, si envías un correo electrónico a `jonah@privacyguides.org`, tu cliente de correo electrónico le solicitará a `privacyguides.org` la clave OpenPGP de Jonah, y si `privacyguides.org` tiene la clave para esa cuenta, tu mensaje se encriptará automáticamente.
|
||||
|
||||
Además de los [clientes de correo electrónico que recomendamos](../email-clients.md) y son compatibles con WKD, algunos clientes web de correo electrónico también son compatibles con WKD. Si *tu propia* clave es publicada en WKD para que otros la utilicen, esto dependerá de tu configuración de dominio. Si utilizas un [proveedor de correo electrónico](../email.md#openpgp-compatible-services) compatible con WKD, como Proton Mail o Mailbox.org, ellos pueden publicar tu clave OpenPGP en su dominio por usted.
|
||||
|
||||
Su utilizas tu propio dominio personalizado, necesitarás configurar WKD por separado. Si tienes control sobre tu nombre de dominio, puedes configurar WKD sin importar el proveedor de correo electrónico que utilices. One easy way to do this is to use the "[WKD as a Service](https://keys.openpgp.org/about/usage#wkd-as-a-service)" feature from the `keys.openpgp.org` server: Set a CNAME record on the `openpgpkey` subdomain of your domain pointed to `wkd.keys.openpgp.org`, then upload your key to [keys.openpgp.org](https://keys.openpgp.org). De manera alternativa, puedes [hospedar WKD en tu propio servidor web](https://wiki.gnupg.org/WKDHosting).
|
||||
Su utilizas tu propio dominio personalizado, necesitarás configurar WKD por separado. Si tienes control sobre tu nombre de dominio, puedes configurar WKD sin importar el proveedor de correo electrónico que utilices. Una forma sencilla de hacer esto es utilizar la función «[WKD as a Service](https://keys.openpgp.org/about/usage#wkd-as-a-service)» del servidor `keys.openpgp.org`: Establece un registro CNAME en el subdominio `openpgpkey` de tu dominio apuntando a `wkd.keys.openpgp.org`, luego sube tu clave a [keys.openpgp.org](https://keys.openpgp.org). De manera alternativa, puedes [hospedar WKD en tu propio servidor web](https://wiki.gnupg.org/WKDHosting).
|
||||
|
||||
If you use a shared domain from a provider which doesn't support WKD, like `@gmail.com`, you won't be able to share your OpenPGP key with others via this method.
|
||||
Si utilizas un dominio compartido de un proveedor que no admite WKD, como `@gmail.com`, no podrás compartir tu clave OpenPGP con otros a través de este método.
|
||||
|
||||
### ¿Qué clientes de correo electrónico admiten E2EE?
|
||||
|
||||
Los proveedores de correo electrónico que permiten utilizar protocolos de acceso estándar como IMAP y SMTP pueden utilizarse con cualquiera de los clientes de correo electrónico [que recomendamos](../email-clients.md). Depending on the authentication method, this may lead to decreased security if either the provider or the email client does not support [OAuth](account-creation.md#sign-in-with-oauth) or a bridge application as [multifactor authentication](multi-factor-authentication.md) is not possible with plain password authentication.
|
||||
Los proveedores de correo electrónico que permiten utilizar protocolos de acceso estándar como IMAP y SMTP pueden utilizarse con cualquiera de los clientes de correo electrónico [que recomendamos](../email-clients.md). Dependiendo del método de autenticación, esto puede conducir a una disminución de la seguridad si el proveedor o el cliente de correo electrónico no es compatible con [OAuth](account-creation.md#sign-in-with-oauth) o una aplicación puente, ya que la [autenticación multifactor](multi-factor-authentication.md) no es posible con la autenticación de contraseña simple.
|
||||
|
||||
### ¿Cómo puedo proteger mis claves privadas?
|
||||
|
||||
A smart card (such as a [YubiKey](https://support.yubico.com/hc/articles/360013790259-Using-Your-YubiKey-with-OpenPGP) or [Nitrokey](../security-keys.md#nitrokey)) works by receiving an encrypted email message from a device (phone, tablet, computer, etc.) running an email/webmail client. The message is then decrypted by the smart card and the decrypted content is sent back to the device.
|
||||
Una tarjeta inteligente (como [YubiKey](https://support.yubico.com/hc/articles/360013790259-Using-Your-YubiKey-with-OpenPGP) o [Nitrokey](../security-keys.md#nitrokey)) funciona recibiendo un mensaje de correo electrónico cifrado desde un dispositivo (teléfono, tableta, ordenador, etc.) que ejecute un cliente de correo electrónico/correo web. A continuación, la tarjeta inteligente descifra el mensaje y envía el contenido descifrado al dispositivo.
|
||||
|
||||
It is advantageous for the decryption to occur on the smart card to avoid possibly exposing your private key to a compromised device.
|
||||
Es beneficioso que el descifrado se produzca en la tarjeta inteligente para evitar la posible exposición de tu clave privada a un dispositivo comprometido.
|
||||
|
||||
## Descripción general de los metadatos de correo electrónico
|
||||
|
||||
Email metadata is stored in the [message header](https://en.wikipedia.org/wiki/Email#Message_header) of the email message and includes some visible headers that you may have seen such as `To`, `From`, `Cc`, `Date`, and `Subject`. También hay una serie de encabezados ocultos incluidos por muchos clientes y proveedores de correo electrónico que pueden revelar información sobre tu cuenta.
|
||||
Los metadatos del correo electrónico se almacenan en el [encabezado del mensaje](https://en.wikipedia.org/wiki/Email#Message_header) del correo electrónico e incluyen algunos encabezados visibles que es posible que hayas visto, como `Para`, `De`, `CC`, `Fecha` y `Asunto`. También hay una serie de encabezados ocultos incluidos por muchos clientes y proveedores de correo electrónico que pueden revelar información sobre tu cuenta.
|
||||
|
||||
El software del cliente puede usar metadatos de correo electrónico para mostrar de quién es un mensaje y a qué hora se recibió. Los servidores pueden utilizarlo para determinar dónde debe enviarse un mensaje de correo electrónico, [entre otros fines](https://es.wikipedia.org/wiki/Correo_electr%C3%B3nico#Escritura_del_mensaje) que no siempre son transparentes.
|
||||
|
||||
### ¿Quién puede ver los metadatos del correo electrónico?
|
||||
|
||||
Email metadata is protected from outside observers with [opportunistic TLS](https://en.wikipedia.org/wiki/Opportunistic_TLS), but it is still able to be seen by your email client software (or webmail) and any servers relaying the message from you to any recipients including your email provider. A veces, los servidores de correo electrónico también utilizan servicios de terceros para protegerse del spam, que generalmente también tienen acceso a tus mensajes.
|
||||
Los metadatos del correo electrónico están protegidos de observadores externos con [TLS oportunista](https://en.wikipedia.org/wiki/Opportunistic_TLS), pero aún pueden ser vistos por tu software de cliente de correo electrónico (o webmail) y cualquier servidor que retransmita el mensaje de ti a cualquier destinatario, incluido tu proveedor de correo electrónico. A veces, los servidores de correo electrónico también utilizan servicios de terceros para protegerse del spam, que generalmente también tienen acceso a tus mensajes.
|
||||
|
||||
### ¿Por qué los metadatos no pueden ser E2EE?
|
||||
|
||||
Los metadatos del correo electrónico son cruciales para la funcionalidad más básica del correo electrónico (de dónde viene y a dónde tiene que ir). E2EE was not built into standard email protocols originally, instead requiring add-on software like OpenPGP. Because OpenPGP messages still have to work with traditional email providers, it cannot encrypt some of this email metadata required for identifying the parties communicating. That means that even when using OpenPGP, outside observers can see lots of information about your messages, such as whom you're emailing, when you're emailing, etc.
|
||||
Los metadatos del correo electrónico son cruciales para la funcionalidad más básica del correo electrónico (de dónde viene y a dónde tiene que ir). Originalmente, E2EE no estaba integrado en los protocolos de correo electrónico estándar, sino que requería un software adicional como OpenPGP. Dado que los mensajes OpenPGP siguen teniendo que funcionar con proveedores de correo electrónico tradicionales, no puede cifrar algunos de estos metadatos de correo electrónico necesarios para identificar a las partes que se comunican. Esto significa que, aunque utilices OpenPGP, los observadores externos pueden ver mucha información sobre tus mensajes, como a quién envías correos, cuándo lo haces, etc.
|
||||
|
||||
@ -55,7 +55,7 @@ La mayoría de las implementaciones de autenticación facial requieren que esté
|
||||
<div class="admonition warning" markdown>
|
||||
<p class="admonition-title">Advertencia</p>
|
||||
|
||||
Algunos dispositivos no disponen del hardware adecuado para la autenticación facial segura. There are two main types of face authentication: 2D and 3D. La autenticación facial 3D utiliza un proyector de puntos que permite al dispositivo crear un mapa de profundidad 3D de tu cara. Asegúrate de que tu dispositivo dispone de esta capacidad.
|
||||
Algunos dispositivos no disponen del hardware adecuado para la autenticación facial segura. Hay dos tipos principales de autenticación facial: 2D y 3D. La autenticación facial 3D utiliza un proyector de puntos que permite al dispositivo crear un mapa de profundidad 3D de tu cara. Asegúrate de que tu dispositivo dispone de esta capacidad.
|
||||
|
||||
</div>
|
||||
|
||||
@ -102,9 +102,9 @@ Un dispositivo de hombre muerto impide que una máquina funcione sin la presenci
|
||||
|
||||
Algunos portátiles son capaces de [detectar](https://support.microsoft.com/en-us/windows/managing-presence-sensing-settings-in-windows-11-82285c93-440c-4e15-9081-c9e38c1290bb) cuándo estás presente y pueden bloquearse automáticamente cuando no estás sentado frente a la pantalla. Deberías comprobar la configuración de tu sistema operativo para ver si tu ordenador admite esta función.
|
||||
|
||||
You can also get cables, like [BusKill](https://buskill.in), that will lock or wipe your computer when the cable is disconnected.
|
||||
También puedes conseguir cables, como [BusKill](https://buskill.in), que bloquearán o borrarán tu ordenador cuando se desconecte el cable.
|
||||
|
||||
### Anti-Interdicción/Ataque Evil Maid
|
||||
### Anti-Interdicción/Ataque de Doncella Malvada
|
||||
|
||||
La mejor manera de prevenir un ataque dirigido contra ti antes de que un dispositivo esté en tu posesión es comprarlo en una tienda física, en lugar de encargarlo a domicilio.
|
||||
|
||||
|
||||
@ -1,10 +1,10 @@
|
||||
---
|
||||
title: "Multifactor Authentication"
|
||||
title: "Autenticación Multifactor"
|
||||
icon: 'material/two-factor-authentication'
|
||||
description: La MFA es un mecanismo de seguridad fundamental para proteger sus cuentas en línea, pero algunos métodos son más eficaces que otros.
|
||||
description: La MFA es un mecanismo de seguridad fundamental para proteger tus cuentas en línea, pero algunos métodos son más eficaces que otros.
|
||||
---
|
||||
|
||||
**Multifactor Authentication** (**MFA**) is a security mechanism that requires additional steps beyond entering your username (or email) and password. El método más común son los códigos de tiempo limitado que puedes recibir de un SMS o una aplicación.
|
||||
La **Autenticación Multifactor** (**MFA**) es un mecanismo de seguridad que requiere pasos adicionales a la introducción del nombre de usuario (o correo electrónico) y la contraseña. El método más común son los códigos de tiempo limitado que puedes recibir de un SMS o una aplicación.
|
||||
|
||||
Normalmente, si un hacker (o adversario) es capaz de averiguar tu contraseña, entonces obtendrá acceso a la cuenta a la que pertenece esa contraseña. Una cuenta con MFA obliga al hacker a tener tanto la contraseña (algo que *conoces*) como un dispositivo de tu propiedad (algo que *tienes*), como tu teléfono.
|
||||
|
||||
@ -26,9 +26,9 @@ La seguridad de las notificaciones push MFA depende tanto de la calidad de la ap
|
||||
|
||||
### Contraseñas de un solo uso basado en tiempo (TOTP)
|
||||
|
||||
El TOTP es una de las formas más comunes de MFA disponibles. Cuando se configura el TOTP, generalmente se requiere escanear un [código QR](https://es.wikipedia.org/wiki/C%C3%B3digo_QR) que establece un "[secreto compartido](https://es.wikipedia.org/wiki/Secreto_compartido)" con el servicio que se pretende utilizar. The shared secret is secured inside the authenticator app's data, and is sometimes protected by a password.
|
||||
El TOTP es una de las formas más comunes de MFA disponibles. Cuando se configura el TOTP, generalmente se requiere escanear un [código QR](https://es.wikipedia.org/wiki/C%C3%B3digo_QR) que establece un "[secreto compartido](https://es.wikipedia.org/wiki/Secreto_compartido)" con el servicio que se pretende utilizar. El secreto compartido está protegido dentro de los datos de la aplicación de autenticación y, en ocasiones, está protegido por una contraseña.
|
||||
|
||||
El código de tiempo limitado se deriva entonces del secreto compartido y de la hora actual. Como el código sólo es válido durante un corto periodo de tiempo, sin acceso al secreto compartido, un adversario no puede generar nuevos códigos.
|
||||
El código de tiempo limitado se deriva entonces del secreto compartido y de la hora actual. Como el código solo es válido durante un corto periodo de tiempo, sin acceso al secreto compartido, un adversario no puede generar nuevos códigos.
|
||||
|
||||
Si tienes una llave de seguridad de hardware con soporte para TOTP (como una YubiKey con [Yubico Authenticator](https://yubico.com/products/yubico-authenticator)), recomendamos que almacenes tus "secretos compartidos" en el hardware. El hardware como el YubiKey se desarrolló con la intención de que el "secreto compartido" fuera difícil de extraer y copiar. Una YubiKey tampoco está conectada al Internet, a diferencia de un teléfono con una aplicación TOTP.
|
||||
|
||||
@ -82,7 +82,7 @@ Esta presentación habla de la historia de la autenticación de contraseñas, lo
|
||||
|
||||
FIDO2 y WebAuthn tienen propiedades de seguridad y privacidad superiores en comparación con cualquier método MFA.
|
||||
|
||||
Typically, for web services it is used with WebAuthn which is a part of the [W3C recommendations](https://en.wikipedia.org/wiki/World_Wide_Web_Consortium#W3C_recommendation_(REC)). Utiliza autenticación de clave pública y es más segura que los secretos compartidos utilizados en los métodos OTP y TOTP de Yubico, ya que incluye el nombre de origen (normalmente, el nombre del dominio) durante la autenticación. La certificación se proporciona para protegerte del phishing, ya que te ayuda a determinar que estás utilizando el servicio auténtico y no una copia falsa.
|
||||
Normalmente, para los servicios web se utiliza con WebAuthn, que forma parte de las [recomendaciones del W3C](https://en.wikipedia.org/wiki/World_Wide_Web_Consortium#W3C_recommendation_(REC)). Utiliza autenticación de clave pública y es más segura que los secretos compartidos utilizados en los métodos OTP y TOTP de Yubico, ya que incluye el nombre de origen (normalmente, el nombre del dominio) durante la autenticación. La certificación se proporciona para protegerte del phishing, ya que te ayuda a determinar que estás utilizando el servicio auténtico y no una copia falsa.
|
||||
|
||||
A diferencia de Yubico OTP, WebAuthn no utiliza ningún ID público, entonces la clave **no** es identificable a través de diferentes sitios web. Tampoco utiliza ningún servidor de nube de terceros para la autenticación. Toda la comunicación se completa entre la clave y el sitio web en el que estás iniciando sesión. FIDO también utiliza un contador que se incrementa cuando se utiliza para evitar la reutilización de la sesión y llaves clonadas.
|
||||
|
||||
@ -116,15 +116,15 @@ Si usas MFA de SMS, utiliza un operador que no cambie tu número de teléfono a
|
||||
|
||||
## Más lugares para configurar MFA
|
||||
|
||||
Beyond just securing your website logins, multifactor authentication can be used to secure your local logins, SSH keys or even password databases as well.
|
||||
Además de proteger los inicios de sesión en sitios web, la autenticación multifactor también se puede utilizar para proteger los inicios de sesión locales, las claves SSH o incluso las bases de datos de contraseñas.
|
||||
|
||||
### macOS
|
||||
|
||||
macOS tiene [soporte nativo](https://support.apple.com/es-es/guide/deployment/depd0b888248/web) para la autenticación con tarjetas inteligentes (PIV). If you have a smart card or a hardware security key that supports the PIV interface such as the YubiKey, we recommend that you follow your smart card or hardware security vendor's documentation and set up second factor authentication for your macOS computer.
|
||||
macOS tiene [soporte nativo](https://support.apple.com/es-es/guide/deployment/depd0b888248/web) para la autenticación con tarjetas inteligentes (PIV). Si tienes una tarjeta inteligente o una llave de seguridad de hardware compatible con la interfaz PIV, como YubiKey, te recomendamos que sigas la documentación de tu tarjeta inteligente o de tu proveedor de seguridad de hardware y configures la autenticación de segundo factor para tu ordenador macOS.
|
||||
|
||||
Yubico tiene una guía [Uso de tu YubiKey como una Tarjeta Inteligente en macOS](https://support.yubico.com/hc/articles/360016649059) que puede ayudarte a configurar tu YubiKey en macOS.
|
||||
|
||||
After your smart card/security key is set up, we recommend running this command in the Terminal:
|
||||
Después de configurar tu tarjeta inteligente/clave de seguridad, te recomendamos que ejecutes este comando en el Terminal:
|
||||
|
||||
```text
|
||||
sudo defaults write /Library/Preferences/com.apple.loginwindow DisableFDEAutoLogin -bool YES
|
||||
@ -159,4 +159,4 @@ MFA de SSH también se puede configurar utilizando TOTP. DigitalOcean ha proporc
|
||||
|
||||
### KeePass (y KeePassXC)
|
||||
|
||||
KeePass and KeePassXC databases can be secured using HOTP or Challenge-Response as a second-factor of authentication. Yubico ha proporcionado un documento para KeePass [Usando Tu YubiKey con KeePass](https://support.yubico.com/hc/articles/360013779759-Using-Your-YubiKey-with-KeePass) y también hay uno en el sitio web de [KeePassXC](https://keepassxc.org/docs/#faq-yubikey-2fa).
|
||||
Las bases de datos de KeePass y KeePassXC pueden protegerse utilizando HOTP o Desafío-Respuesta como segundo factor de autenticación. Yubico ha proporcionado un documento para KeePass [Usando Tu YubiKey con KeePass](https://support.yubico.com/hc/articles/360013779759-Using-Your-YubiKey-with-KeePass) y también hay uno en el sitio web de [KeePassXC](https://keepassxc.org/docs/#faq-yubikey-2fa).
|
||||
|
||||
@ -4,17 +4,17 @@ icon: material/form-textbox-password
|
||||
description: Estos son algunos consejos y trucos para crear contraseñas más seguras y mantener a salvo tus cuentas.
|
||||
---
|
||||
|
||||
Las contraseñas son una parte esencial de nuestra vida digital cotidiana. We use them to protect our accounts, our devices, and our secrets. A pesar de ser a menudo lo único que nos separa de un adversario que busca nuestra información privada, no se piensa mucho en ellas, lo que a menudo lleva a la gente a utilizar contraseñas que pueden ser fácilmente adivinadas o forzadas.
|
||||
Las contraseñas son una parte esencial de nuestra vida digital cotidiana. Las utilizamos para proteger nuestras cuentas, nuestros dispositivos y nuestros secretos. A pesar de ser a menudo lo único que nos separa de un adversario que busca nuestra información privada, no se piensa mucho en ellas, lo que a menudo lleva a la gente a utilizar contraseñas que pueden ser fácilmente adivinadas o forzadas.
|
||||
|
||||
## Buenas prácticas
|
||||
|
||||
### Utilice contraseñas únicas para cada servicio
|
||||
### Utiliza contraseñas únicas para cada servicio
|
||||
|
||||
Imagine this: You sign up for an account with the same e-mail and password on multiple online services. Si alguno de esos proveedores de servicios es malicioso, o su servicio tiene una filtración de datos que expone tu contraseña en un formato sin encriptar, todo lo que los malos actores deben hacer es probar esa combinación de correo electrónico y contraseña, a través de múltiples servicios populares hasta obtener un resultado. No importa lo fuerte que sea esa contraseña, porque ya la tienen.
|
||||
Imagina esto: te registras para obtener una cuenta con el mismo correo electrónico y contraseña en varios servicios en línea. Si alguno de esos proveedores de servicios es malicioso, o su servicio tiene una filtración de datos que expone tu contraseña en un formato sin encriptar, todo lo que los malos actores deben hacer es probar esa combinación de correo electrónico y contraseña, a través de múltiples servicios populares hasta obtener un resultado. No importa lo fuerte que sea esa contraseña, porque ya la tienen.
|
||||
|
||||
Esto es llamado [suplantación de identidad](https://en.wikipedia.org/wiki/Credential_stuffing), y es una de las formas comunes en que las cuentas son comprometidas por malos actores. Para evitar esto, asegúrate de que nunca reutilices tus contraseñas.
|
||||
Esto es llamado [relleno de credenciales](https://en.wikipedia.org/wiki/Credential_stuffing), y es una de las formas comunes en que las cuentas son comprometidas por malos actores. Para evitar esto, asegúrate de que nunca reutilices tus contraseñas.
|
||||
|
||||
### Utilizar contraseñas generadas aleatoriamente
|
||||
### Utiliza contraseñas generadas aleatoriamente
|
||||
|
||||
==**Nunca** debes confiar en ti mismo para inventar una buena contraseña.== Recomendamos utilizar [contraseñas generadas aleatoriamente](#passwords) o [frases de contraseña](#diceware-passphrases) con suficiente entropía para proteger tus cuentas y dispositivos.
|
||||
|
||||
@ -24,12 +24,12 @@ Todos nuestros [gestores recomendados de contraseñas](../passwords.md) incluyen
|
||||
|
||||
Debes evitar cambiar frecuentemente las contraseñas que debes recordar (como la contraseña maestra de tu gestor de contraseñas), a menos que tengas alguna razón para creer que ha sido comprometida, porque cambiarla con mucha frecuencia te expone al riesgo de olvidarla.
|
||||
|
||||
When it comes to passwords that you don't have to remember (such as passwords stored inside your password manager), if your [threat model](threat-modeling.md) calls for it, we recommend going through important accounts (especially accounts that don't use multifactor authentication) and changing their password every couple of months, in case they have been compromised in a data breach that hasn't become public yet. La mayoría de los gestores de contraseñas permiten fijar una fecha de caducidad para facilitar su gestión.
|
||||
Cuando se trata de contraseñas que no tienes que recordar (como las contraseñas almacenadas en tu gestor de contraseñas), si tu [modelo de amenazas](threat-modeling.md) lo requiere, recomendamos revisar las cuentas importantes (especialmente las cuentas que no utilizan autenticación multifactor) y cambiar sus contraseñas cada dos meses, en caso de que se hayan visto comprometidas en una filtración de datos que aún no se haya hecho pública. La mayoría de los gestores de contraseñas permiten fijar una fecha de caducidad para facilitar su gestión.
|
||||
|
||||
<div class="admonition tip" markdown>
|
||||
<p class="admonition-title">Comprobación de las violaciones de datos</p>
|
||||
|
||||
Si su gestor de contraseñas te permite comprobar si hay contraseñas comprometidas, asegúrate de hacerlo y cambia inmediatamente cualquier contraseña que pueda haber quedado expuesta en una filtración de datos. Alternativamente, podrías seguir el [feed de Últimos Alcances de Pwned](https://feeds.feedburner.com/HaveIBeenPwnedLatestBreaches) con la ayuda de un [agregador de noticias](../news-aggregators.md).
|
||||
Si tu gestor de contraseñas te permite comprobar si hay contraseñas comprometidas, asegúrate de hacerlo y cambia inmediatamente cualquier contraseña que pueda haber quedado expuesta en una filtración de datos. Alternativamente, podrías seguir la [fuente web las Últimas Filtraciones de Have I Been Pwned](https://feeds.feedburner.com/HaveIBeenPwnedLatestBreaches) con la ayuda de un [agregador de noticias](../news-aggregators.md).
|
||||
|
||||
</div>
|
||||
|
||||
@ -47,22 +47,22 @@ Diceware es un método para crear contraseñas fáciles de recordar, pero difíc
|
||||
|
||||
Las frases de contraseña Diceware son una gran opción cuando necesitas memorizar o introducir manualmente tus credenciales, como para la contraseña maestra de tu gestor de contraseñas o la contraseña de cifrado de tu dispositivo.
|
||||
|
||||
Un ejemplo de una frase de contraseña de diceware es `lápiz blando diecisiete resistente a la solidez visible`.
|
||||
Un ejemplo de una frase de contraseña de diceware es `viewable fastness reluctant squishy seventeen shown pencil`.
|
||||
|
||||
Para generar una frase de contraseña diceware utilizando dados reales, sigue estos pasos:
|
||||
|
||||
<div class="admonition Note" markdown>
|
||||
<p class="admonition-title">Nota</p>
|
||||
|
||||
These instructions assume that you are using [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) to generate the passphrase, which requires five dice rolls per word. Other word lists may require more or less rolls per word, and may require a different amount of words to achieve the same entropy.
|
||||
Estas instrucciones asumen que estás usando [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) para generar la frase de contraseña, que requiere cinco tiradas de dados por palabra. Otras listas de palabras pueden requerir más o menos tiradas por palabra, y pueden necesitar una cantidad diferente de palabras para lograr la misma entropía.
|
||||
|
||||
</div>
|
||||
|
||||
1. Tira un dado de seis caras cinco veces y anota el número después de cada tirada.
|
||||
|
||||
2. Por ejemplo, digamos que sacas `2-5-2-6-6`. Look through the [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) for the word that corresponds to `25266`.
|
||||
2. Por ejemplo, digamos que sacas `2-5-2-6-6`. Busca en la [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) la palabra que corresponde a `25266`.
|
||||
|
||||
3. Encontrarás la palabra `encriptar`. Escribe esa palabra.
|
||||
3. Encontrarás la palabra `encrypt`. Escribe esa palabra.
|
||||
|
||||
4. Repite este proceso hasta que tu frase de contraseña tenga tantas palabras como necesites, que deberás separar con un espacio.
|
||||
|
||||
@ -73,27 +73,27 @@ These instructions assume that you are using [EFF's large word list](https://eff
|
||||
|
||||
</div>
|
||||
|
||||
If you don't have access to or would prefer to not use real dice, you can use your password manager's built-in password generator, as most of them have the option to generate diceware passphrases in addition to regular passwords. We recommend setting the generated passphrase length to at least 6 words.
|
||||
Si no tienes acceso a dados reales o prefieres no utilizarlos, puedes utilizar el generador de contraseñas integrado en tu gestor de contraseñas, ya que la mayoría de ellos tienen la opción de generar frases de contraseña diceware además de contraseñas normales. Recomendamos establecer la longitud de la frase de contraseña generada en, al menos, 6 palabras.
|
||||
|
||||
We also recommend using [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) to generate your diceware passphrases, as it offers the exact same security as the original list, while containing words that are easier to memorize. There are also [word lists in different languages](https://theworld.com/~reinhold/diceware.html#Diceware%20in%20Other%20Languages|outline), if you do not want your passphrase to be in English.
|
||||
También recomendamos utilizar [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) para generar tus frases de contraseña diceware, ya que ofrece exactamente la misma seguridad que la lista original, aunque contiene palabras más fáciles de memorizar. También hay [listas de palabras en diferentes idiomas](https://theworld.com/~reinhold/diceware.html#Diceware%20in%20Other%20Languages|outline), si no quieres que tu frase de contraseña esté en inglés.
|
||||
|
||||
<details class="note" markdown>
|
||||
<summary>Explicación de la entropía y la fuerza de las frases de contraseña diceware</summary>
|
||||
|
||||
To demonstrate how strong diceware passphrases are, we'll use the aforementioned seven word passphrase (`viewable fastness reluctant squishy seventeen shown pencil`) and [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) as an example.
|
||||
Para demostrar lo fuertes que son las frases de contraseña de diceware, utilizaremos la frase de contraseña de siete palabras antes mencionada`(viewable fastness reluctant squishy seventeen shown pencil`) y [la gran lista de palabras de EFF](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) como ejemplo.
|
||||
|
||||
Una métrica para determinar la fuerza de una frase de contraseña diceware es cuánta entropía tiene. La entropía por palabra en una frase de contraseña diceware se calcula como <math> <mrow> <msub> <mtext>log</mtext> <mn>2</mn> </msub> <mo form="prefix" stretchy="false">(</mo> <mtext>PalabrasEnLista</mtext> <mo form="postfix" stretchy="false">)</mo> </mrow> </math> y la entropía global de la frase de contraseña se calcula como: <math> <mrow> <msub> <mtext>log</mtext> <mn>2</mn> </msub> <mo form="prefix" stretchy="false">(</mo> <msup> <mtext>PalabrasEnLista</mtext> <mtext>PalabrasEnFrase</mtext> </msup> <mo form="postfix" stretchy="false">)</mo> </mrow> </math>
|
||||
|
||||
Por tanto, cada palabra de la lista mencionada genera ~12,9 bits de entropía (<math> <mrow> <msub> <mtext>log</mtext> <mn>2</mn> </msub> <mo form="prefix" stretchy="false">(</mo> <mn>7776</mn> <mo form="postfix" stretchy="false">)</mo> </mrow> </math>), y una frase de contraseña de siete palabras derivada de ella tiene ~90,47 bits de entropía (<math> <mrow> <msub> <mtext>log</mtext> <mn>2</mn> </msub> <mo form="prefix" stretchy="false">(</mo> <msup> <mn>7776</mn> <mn>7</mn> </msup> <mo form="postfix" stretchy="false">)</mo> </mrow> </math>).
|
||||
|
||||
The [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) contains 7776 unique words. Para calcular la cantidad de posibles frases de contraseña, todo lo que tenemos que hacer es <math> <msup> <mtext>PalabrasEnLista</mtext> <mtext>PalabrasEnFrase</mtext> </msup> </math>o en nuestro caso, <math><msup><mn>7776</mn><mn>7</mn></msup></math>.
|
||||
La [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) contiene 7776 palabras únicas. Para calcular la cantidad de posibles frases de contraseña, todo lo que tenemos que hacer es <math> <msup> <mtext>PalabrasEnLista</mtext> <mtext>PalabrasEnFrase</mtext> </msup> </math>o en nuestro caso, <math><msup><mn>7776</mn><mn>7</mn></msup></math>.
|
||||
|
||||
Let's put all of this in perspective: A seven word passphrase using [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) is one of ~1,719,070,799,748,422,500,000,000,000 possible passphrases.
|
||||
Pongamos todo esto en perspectiva: una frase de siete palabras utilizando la [EFF's large word list](https://eff.org/files/2016/07/18/eff_large_wordlist.txt) es una de las ~1.719.070.799.748.422.500.000.000.000 frases posibles.
|
||||
|
||||
Por término medio, se necesita probar el 50% de todas las combinaciones posibles para adivinar su frase. Teniendo esto en cuenta, incluso si tu adversario es capaz de realizar ~1.000.000.000.000 de intentos por segundo, aún tardaría ~27.255.689 años en adivinar tu frase de contraseña. Esto es así incluso si las siguientes cosas son ciertas:
|
||||
|
||||
- Tu adversario sabe que has utilizado el método diceware.
|
||||
- Your adversary knows the specific word list that you used.
|
||||
- Tu adversario conoce la lista específica de palabras que utilizaste.
|
||||
- Tu adversario sabe cuántas palabras contiene tu frase de contraseña.
|
||||
|
||||
</details>
|
||||
@ -113,7 +113,7 @@ Hay muchas buenas opciones para elegir, tanto basadas en la nube como locales. E
|
||||
<div class="admonition warning" markdown>
|
||||
<p class="admonition-title">No coloques tus contraseñas y tokens TOTP en el mismo gestor de contraseñas</p>
|
||||
|
||||
When using [TOTP codes as multifactor authentication](multi-factor-authentication.md#time-based-one-time-password-totp), the best security practice is to keep your TOTP codes in a [separate app](../multi-factor-authentication.md).
|
||||
Cuando utilices [códigos TOTP como autenticación multifactor](multi-factor-authentication.md#time-based-one-time-password-totp), la mejor práctica de seguridad es mantener tus códigos TOTP en una [aplicación separada](../multi-factor-authentication.md).
|
||||
|
||||
Almacenar tus tokens TOTP en el mismo lugar que tus contraseñas, aunque cómodo, reduce las cuentas a un único factor en caso de que un adversario acceda a tu gestor de contraseñas.
|
||||
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user