El origen de las contraseñas - Desde las consignas romanas hasta la autenticación biométrica
Lectura de 13 min aprox.
Las contraseñas no son un invento moderno. Desde soldados romanos susurrando contraseñas en la oscuridad hasta investigadores del MIT creando el primer sistema de inicio de sesión, el concepto de "probar quién eres con un secreto" abarca más de 3.000 años. Este artículo recorre la sorprendentemente entretenida historia de las contraseñas, desde campos de batalla antiguos hasta la revolución de las passkeys que podría finalmente hacerlas obsoletas.
Las contraseñas están desapareciendo después de 3.000 años
La historia de las contraseñas, que comenzó con las contraseñas romanas, explotó con la llegada de las computadoras y ahora se acerca a su fin a través de passkeys y autenticación biométrica. Sin embargo, algo ha permanecido constante durante 3.000 años: la necesidad de probar que eres quien dices ser. El método ha evolucionado de palabras habladas a contraseñas hasheadas a biometría, pero el concepto de autenticación ha caminado junto a la civilización humana.
Las contraseñas militares romanas - el origen de las contraseñas
La historia de las contraseñas se remonta al ejército romano antes de la era común. Según el historiador Polibio, los soldados romanos usaban "contraseñas" (watchwords) para distinguir amigos de enemigos durante las guardias nocturnas. La contraseña se escribía en una tablilla de madera y se distribuía a cada unidad antes del atardecer. Cualquiera que se acercara al campamento de noche debía dar la contraseña - no responder correctamente significaba ser tratado como enemigo.
Curiosamente, este sistema ya enfrentaba los mismos desafíos que la seguridad moderna. ¿Qué pasa si la contraseña se filtra al enemigo? Los romanos lo resolvían cambiando la contraseña diariamente - una forma temprana de la política actual de "rotación regular de contraseñas." Sin embargo, la investigación moderna de seguridad sugiere que las contraseñas fuertes importan más que los cambios frecuentes.
"Ábrete Sésamo" - la contraseña más antigua de la literatura
"Ábrete Sésamo" de "Alí Babá y los cuarenta ladrones" es quizás la contraseña más famosa de la literatura. Los ladrones la usan para abrir la puerta de una cueva, y Alí Babá la escucha para reclamar el tesoro. Esta historia aparece en "Las mil y una noches" del siglo VIII aproximadamente, mostrando que el concepto de contraseña ha sido un motivo narrativo durante al menos 1.200 años.
Desde una perspectiva de seguridad, la historia de "Ábrete Sésamo" ilustra brillantemente la debilidad fundamental de las contraseñas. Como la autenticación pasa simplemente por "conocer" la contraseña, ser escuchado significa el fin. Esta es exactamente la misma dinámica que los keyloggers modernos y los ataques de phishing que roban contraseñas.
Bares clandestinos de la Prohibición - cultura de contraseñas
Durante la era de la Prohibición en Estados Unidos en los años 1920, los bares ilegales llamados "speakeasies" requerían una contraseña para entrar. Había que decir la contraseña correcta al portero que miraba por una pequeña ventana en la puerta. Las contraseñas se cambiaban frecuentemente y se compartían solo de boca en boca entre los habituales.
En términos modernos de seguridad, esto era autenticación mediante "secreto compartido." Solo quienes conocían la contraseña podían acceder, pero la debilidad de difundirse de boca en boca - alto riesgo de filtración - es la misma que hoy. Por cierto, el nombre "speakeasy" viene de "speak easy" (habla bajo), un recordatorio de decir la contraseña en voz baja.
1961 MIT CTSS - la primera contraseña de computadora del mundo
La historia de las contraseñas de computadora comienza en 1961 con el Compatible Time-Sharing System (CTSS) del MIT. CTSS permitía que múltiples usuarios compartieran una computadora, y se introdujeron contraseñas para evitar que los usuarios vieran los archivos de otros. El desarrollador Fernando Corbató reflexionó después que "las contraseñas fueron una solución primitiva."
Sorprendentemente, la primera filtración de contraseñas del mundo ocurrió al año siguiente, en 1962. Un investigador descubrió un comando que imprimía el archivo de contraseñas, exponiendo las contraseñas de todos los usuarios en texto plano. Solo un año después de inventarse las contraseñas, ocurrió el primer incidente de seguridad. Este evento fue la primera demostración mundial del peligro de almacenar contraseñas en texto plano.
1970s Unix crypt() - el nacimiento del hashing de contraseñas
El incidente de CTSS dejó claro que almacenar contraseñas en texto plano era peligroso. En los años 1970, el desarrollador de Unix Robert Morris Sr. introdujo la función crypt(), que aplicaba hash a las contraseñas antes de almacenarlas. En lugar de guardar la contraseña, el sistema guardaba una transformación matemática. Al iniciar sesión, la contraseña ingresada se hasheaba y se comparaba con el hash almacenado. Incluso si un atacante obtenía el archivo, no podía leer las contraseñas directamente. Morris también introdujo el concepto de salt - añadir datos aleatorios a cada contraseña antes del hash para evitar que contraseñas idénticas produjeran hashes idénticos. Estas dos innovaciones - hashing y salting - siguen siendo la base de la seguridad de contraseñas hoy. Para más información sobre cómo los sistemas modernos protegen las contraseñas, consulta fundamentos de cifrado.
2000s - el auge de la autenticación multifactor
Con la expansión de internet, las filtraciones de contraseñas se dispararon y se extendió la idea de que "las contraseñas solas no son suficientes." En los 2000, la autenticación multifactor (MFA) comenzó a extenderse. Al combinar contraseñas (factor de conocimiento) con códigos SMS (factor de posesión) o huellas dactilares (factor biométrico), la seguridad se fortaleció significativamente.
Google introdujo la verificación en dos pasos en 2011, y Apple trajo Touch ID al iPhone en 2013, haciendo la autenticación multifactor accesible para usuarios cotidianos. Para más detalles, consulta la guía de autenticación en dos pasos.
2020s La revolución de las passkeys - un futuro sin contraseñas
Los años 2020 están presenciando el cambio más dramático en la historia de la autenticación: las passkeys. Desarrolladas por la FIDO Alliance con el apoyo de Apple, Google y Microsoft, las passkeys usan criptografía de clave pública para eliminar las contraseñas por completo. En lugar de escribir una contraseña, te autenticas con la biometría de tu dispositivo (huella dactilar o reconocimiento facial), y un par de claves criptográficas se encarga del resto. Las passkeys no pueden ser phisheadas, no pueden reutilizarse entre sitios y no pueden filtrarse en una brecha de base de datos. Para una mirada más profunda, consulta la guía de passkeys y riesgos de la autenticación biométrica.
Para quienes quieran explorar más la historia de la autenticación, libros sobre historia de la criptografía (Amazon) pueden ser un gran recurso.
Preguntas frecuentes
- ¿Cuándo se creó la primera contraseña de computadora?
- En 1961, en el Compatible Time-Sharing System (CTSS) del MIT. Se creó para proteger los archivos de cada usuario cuando múltiples usuarios compartían una computadora. La primera filtración de contraseñas del mundo ocurrió al año siguiente, en 1962.
- ¿Qué son las passkeys y en qué se diferencian de las contraseñas?
- Las passkeys son un método de autenticación de próxima generación desarrollado por la FIDO Alliance usando criptografía de clave pública. A diferencia de las contraseñas, no necesitas recordar ni escribir nada - te autenticas con la biometría de tu dispositivo (huella o rostro). Son resistentes al phishing, eliminan problemas de reutilización y no pueden filtrarse en brechas de bases de datos.
- ¿Qué es el hashing de contraseñas?
- El hashing transforma una contraseña mediante una función matemática en una cadena irreversible (valor hash). Se implementó por primera vez en los años 1970 con la función crypt() de Unix. Los servidores almacenan valores hash en lugar de las contraseñas, así que incluso si se filtra la base de datos, las contraseñas no pueden leerse directamente.