Comprobar contraseñas contra listas filtradas

La comprobación se hace al crear la cuenta y en cada cambio de contraseña, contra una lista de valores comunes, esperables o filtrados, y también contra palabras propias del servicio. La guía pide comparar la contraseña entera, no buscar trozos: una frase larga que contiene una palabra común no es una contraseña común. Cuando se rechaza, hay que decirle a la persona el motivo, para que elija algo distinto en lugar de añadir un número al final.

La lista tiene que ser lo bastante grande como para descartar las candidatas que un atacante probaría antes de toparse con el límite de intentos, pero no tan exagerada que rechace casi todo y empuje a la gente a reglas propias peores.

Para preguntar a un servicio si una contraseña está en una lista no hace falta entregarle la contraseña ni su resumen completo. Un resumen SHA-1 sin sal de una contraseña es, a efectos prácticos, la contraseña: quien lo recibe puede compararlo contra listas propias y saber cuál es si es común. Y si viaja en la URL, queda escrito en los registros de cada intermediario.

Abre diseno-comprobacion.txt y lee la petición de la versión en producción.

La alternativa es la consulta por rango con anonimato: se envía solo el principio del resumen, el servicio devuelve todos los resúmenes conocidos que empiezan así, y la comparación final se hace en casa. El servicio responde a cientos de posibles contraseñas a la vez y no sabe cuál era la que interesaba.

El registro de pruebas no guarda contraseñas, solo su longitud y el motivo, y eso basta para revisar cada decisión. Busca la que no compara la contraseña entera con la lista.

Abre registro-rechazos.txt.

Un rechazo sin motivo produce el peor resultado: la persona prueba variaciones mínimas de lo mismo hasta que pasa. El mensaje tiene que decir por qué y orientar hacia algo mejor, sin revelar nada de la lista.

Abre mensajes.txt.