Dudas relacionadas con gestores de contraseñas

[omeprazol]

Soy un novato en esto de la criptografía, pero tengo interés en aprender. Llevo varios días
informándome y este foro me ha sido de mucha ayuda. Por supuesto, me he leído las normas antes
de participar. (Aunque se que no es habitual, xD)

La cuestión es que me he concienciado seriamente con la importancia de la seguridad y este es  
uno de los puntos, las contraseñas de las cuentas de correo y registros de webs y foros.

Estoy aprendiendo a utilizar un gestor de contraseñas, en concreto KeePassX. Por defecto usa el
algoritmo AES 256 bits Rijndael, y Twofish como segunda opción y 50000 rondas de cifrado.
Las contraseñas las estoy creando de 30 de longitud, con mayúsculas, minúsculas, números,
carácteres especiales y espacios. Al generarlas el programa muestra que la calidad de la
contraseña es de 197 bits, al añadirle la entropía aumenta a 240 bits.

Según he leído en este foro, si no he entendido mal, equivale a 2^240 (en bits) o 96^30
(espectro ascii, menor por no llevar entropía, supongo).

No se realmente cuanto de seguros son estos tamaños, ni si 30 de longitud es suficiente o no.  
Ni que fecha de caducidad es recomendable es estos casos, he puesto un mes. La contraseña
maestra la he creado del mismo estilo pero de 16 de longitud.
El programa te da la posibilidad de crear una key, no se si será recomendable, porque entonces
es como si lo convirtiera en criptografía asimétrica. No tengo los datos en el sistema, tengo  
la base de datos de los passwords en un pendrive y la key en otro, comprimida y con contraseña.
Creo que es más seguro.

Hace una semana no tenía ni idea de todo esto, lo he aprendido en este magnífico foro. En la
red no he encontrado buena información en ningún otro sitio.
No es que tenga nada importante que esconder, pero me estoy tomando muy en serio mi seguridad.
O quizás es que me estoy volviendo un poco paranóico. xD

¿Estoy demasiado paranóico?, ¿estoy haciendo bien?, ¿me estoy pasando?, o ¿por el contrario no
es suficiente? ¿Si me petan la clave maestra, pueden acceder al contenido sin la key?

Agradecería mucho unos consejos.

[APOKLIPTICO]

Okay, bienvenido al foro, enhorabuena por haber leido las reglas (es verdad, no es habitual que lo hagan) y se dice "cifrar" y "descifrar" "encriptar" no existe.

Mirá, para AES 256 y con contraseñas de 30 caracteres con ese charset, no vas a tener el más mínimo problema...
Hoy por hoy es infeasible crackear una clave aes con un keyspace mayor a 2^50 mas o menos. Es decir que si tenés un charset de 90 caracteres y una longitud de 30 caracteres, tenés un keyspace de 90^30, pasándolo a base dos, tenés una clave con keyspace 2^194, completamente imposible crackearla con fuerza bruta.

Una contraseña de alta entropía, significa que incluye o pretende incluir todos los caracteres del 0 al 255 ASCII de manera uniforme, es decir la misma cantidad de veces cada uno. Claro que hay ciertos valores máximos que puede tener la entropía dependiendo del tamaño de la contraseña, ya que para tener exáctamente 8 de entropía (el máximo en base 2) en teoría debería no solo ser uniforme la distribución de caracteres, sino que tendría que ser múltiplo de 256.

Sin embargo, una contraseña de alta entropía, no significa que sea segura, debido a que puede haber correlacion entre los caracteres, un ejemplo trivial, es si la contraseña fuesen todos los caracteres de 0 al 255 seguidos uno tras otro, esta contraseña, tendría una entropía de exáctamente 8, sin embargo no se puede considerar segura.

Estos archivos, según la ley de moore, serían seguros por al menos 90 años.

Un abrazo
APOKLIPTICO

[omeprazol]

Muchas gracias, por la bienvenida y por la pronta respuesta.

Me quedo más tranquilo, tengo todas las claves diferentes y si como dices segun la ley de
moore, se necesitarían 90 años para vulnerarlas, al cambiarlas cada mes (como voy ha hacer),
creo que  es prácticamente imposible que lo hagan.

Tomo nota de lo de "cifrar" y "descifrar", ("cifrar" y "descifrar" son anglicismos que
no deben ser utilizados, según explicas en el Taller de criptografía asimétrica). Aprendida la
lección.

He leído con especial atención precisamente ese artículo tuyo, "Taller de criptografía
asimétrica", me ha gustado mucho y me ha resuelto muchas dudas.
Lástima que me quedé en la enseñanza primaria y no puedo aprovechar las matemáticas avanzadas 
que hacen falta para comprenderlo todo. Pero aún así pienso aprenderlas, xD

Casi todo lo que se quiere aprender, es cuestión de ponerle ilusión y ganas.

[APOKLIPTICO]

Por nada, una cosa, ojo si vas a cambiar las contraseñas cada mes, tené en cuenta que si vos cifras un archivo con una clave, generada por una contraseña, si vos cambiás esa clave, tenés que descifrar el archivo con la antigua clave y cifrarlo devuelta con la nueva, de otra manera, perderías la información del archivo.

Offtopic: Curiosa elección para tu nick, problemas con úlceras?

Saludos
APOKLIPTICO.

[omeprazol]

Comprendido, tendré cuidado.   

Respecto a lo del offtopic, tengo hernia de hiato (reflujo gastroesofágico) y me divierte
ponerme este nick, porque a mucha gente le hace gracia, (en el irc-hispano nada más entrar     
casi siempre me preguntan, y se forman unas buenas juergas, xD) antes no sabía que este
medicamento fuera tan conocido.

Debe ser un estilo a si una chica se pone de nick "Vaginesil" (lo anuncian en la televisión 
en mi tierra), no es muy buena la comparación pero el cachondeo está asegurado, seguro...