Cómo se guarda una contraseña

La regla es tajante y no admite matices: una contraseña nunca se guarda.

Ni en texto plano —eso lo entiende todo el mundo— ni cifrada, que es donde falla mucha gente con buena intención.

La diferencia importa:

Cifrar es reversible. Existe una llave que devuelve el original. Y si existe la llave, existe alguien que la tiene, un archivo donde vive, y un día en que se filtra junto con la base.

Resumir con una función de hash no es reversible. Se convierte la contraseña en una cadena de longitud fija, y no hay operación que devuelva el original. No es que sea difícil: es que la información se perdió por el camino.

Entonces, ¿cómo se comprueba una contraseña que no se puede recuperar? No se recupera: se repite la operación. El usuario escribe su clave, se le aplica la misma función, y se compara el resultado con lo guardado. Si coinciden, entró.

El sistema nunca sabe cuál es tu contraseña. Solo sabe reconocerla.

Un resumen tiene un problema: la misma entrada da siempre el mismo resultado.

Eso suena a virtud y crea una debilidad. Si diez personas usan 123456, las diez tienen el mismo resumen guardado. Quien robe la base ve diez filas idénticas y sabe, sin romper nada, que esas diez comparten contraseña.

Y peor: existen tablas gigantes con los resúmenes ya calculados de millones de contraseñas comunes. No hay que romper nada — se busca.

La solución es la sal: un valor aleatorio distinto para cada usuario, que se añade a la contraseña antes de resumirla y se guarda al lado. Ahora las diez personas con 123456 tienen diez resúmenes distintos, y las tablas precalculadas dejan de servir porque no incluían tu sal.

Y falta una pieza más, que es la menos intuitiva: la función tiene que ser lenta a propósito.

Una función rápida permite probar millones de contraseñas por segundo contra una base robada. Las funciones que se usan para contraseñas están diseñadas para tardar — unas décimas de segundo. Para quien inicia sesión es imperceptible; para quien prueba millones, es la diferencia entre horas y siglos.

Con esto ya puedes interpretar las noticias, que es donde esto se vuelve útil.

Cuando se filtra una base de usuarios, lo que decide la gravedad no es cuántos registros son, sino qué había en la columna de la contraseña:

Fíjate en la última fila, porque es la honesta: ni la mejor forma de guardarlas salva una contraseña mala. Si la tuya es clinica2024, alguien la va a encontrar aunque esté bien guardada. Lo que hace el buen almacenamiento es comprar tiempo para que la organización avise y todos cambien la clave.

Y de ahí sale el consejo que sí sirve para el alumno como persona, no solo como profesional: lo que te protege de verdad no es tu contraseña, es no repetirla. La filtración de un foro cualquiera se convierte en un problema en tu correo solo si usabas la misma.

Ahora vuelve al archivo de configuración de la sala integradora del módulo 3. Ahí había una contraseña en texto plano, en un archivo legible por cualquiera. No era la de un usuario: era la de la base de datos entera. Y eso no tiene sal que valga.