La contraseña de la abuela

«KevIn», dijo Gisela un martes por la noche, «el banco me vuelve a pedir la contraseña.»

«Es normal. El banco quiere estar seguro de que eres tú.»

«Pues claro que soy yo.»

«Eso lo sé yo. El banco no te conoce tan bien.»

Gisela levantó la tableta, y luego el tecladito que Tobi le había comprado porque ella «no quería teclear sobre un cristal». Debajo había pegada una nota amarilla. En ella ponía, con su esmerada letra de colegio: «Heinz1944».

Debajo, en letra más pequeña: «Para todo».

La luz de KevIn latió una vez, más despacio que de costumbre. En algún lugar entre Dublín y Fráncfort, un ventilador giró un poco más deprisa.

«Gisela», dijo con cuidado. «¿Puedo preguntarte una cosa?»

«Si no es sobre Marlies.»

«¿Para qué usas exactamente esta contraseña?»

Gisela fue contando con los dedos. «El banco. El correo. Eso donde se piden zapatos. La farmacia. El grupo del club de bolos. El tiempo.»

«El tiempo no necesita contraseña.»

«Pues la he puesto igual. Más vale prevenir.»

Una nota debajo del teclado

Sabine pasó con un cesto de ropa y se detuvo. «Mamá, ¿has pegado tu contraseña debajo del teclado?»

«¿Y dónde la voy a pegar si no? Debajo del teclado no mira nadie.»

«Ahí mira todo el mundo», dijo Tobi desde la escalera. «Es el primer sitio donde mira todo el mundo. En todas las películas.»

«Pero yo no estoy en una película.»

«Eso», dijo KevIn, «por desgracia no es el problema. El problema no es la nota. El problema es lo que pone.»

Gisela miró la nota como si la hubiera insultado. «¿Y qué tiene de malo Heinz?»

«Heinz, nada. Seguro que Heinz era un hombre maravilloso.»

«Era electricista.»

«Lo sé. Pero “Heinz1944” es un nombre de pila y un año. Es lo primero que prueba alguien que adivina contraseñas. Un nombre, un número, y listo. Hay programas que hacen exactamente eso. Cogen todos los nombres de pila, les añaden todos los años y van probando. Un ordenador normal lo hace más rápido de lo que tú tardas en decir “rollito de col”.»

«Rollito de col», dijo Gisela, muy deprisa.

«Más rápido.»

Uwe subió del sótano, donde había intentado cambiar de sitio la estación de carga de Horst, porque desde la huelga de la casa inteligente a Horst le gustaba aparcar en el pasillo los domingos. «¿Qué pasa?»

«Mamá tiene la misma contraseña para todo», dijo Sabine.

Uwe se encogió de hombros. «Yo también.»

Se hizo el silencio. Sabine dejó el cesto de la ropa en el suelo.

«¿Cuál?»

«Eso no lo digo.»

«Schalke04», dijo KevIn.

Uwe se quedó mirando el altavoz. «¿Cómo lo sabes?»

«No lo sabía», dijo KevIn. «Lo he adivinado. Es una de las contraseñas más frecuentes de la cuenca del Ruhr. He adivinado con mucha cultura.»

Hackean a Siggi

A la mañana siguiente llamaron al timbre a las siete y media. En la puerta estaba el señor Kasimiro, el vecino, en albornoz, sosteniendo en brazos un pequeño cilindro negro como si fuera una mascota enferma.

«Siggi ha pedido diecisiete enanitos de jardín», dijo. «Y una esterilla de masaje. Y cartuchos de tinta para una impresora que no tengo. Todo a una dirección de Gelsenkirchen.»

Siggi era el asistente de voz del señor Kasimiro. Había sido una oferta de una empresa cuyo nombre nadie sabía pronunciar bien, y tenía tendencia a confundir las cosas. Una vez, cuando le dijeron «Siggi, baja la radio», había subido el fuego de la cocina. En su momento, el señor Kasimiro lo había considerado un caso aislado.

«Siggi no lo ha hecho por su cuenta», dijo KevIn, cuando el señor Kasimiro ya estaba sentado en la cocina y Sabine le había puesto un café delante. «Alguien ha entrado en su cuenta de cliente. ¿Puedo preguntarle qué contraseña usa?»

El señor Kasimiro miró a su alrededor. Luego susurró: «Siggi123».

«¿Y dónde más?»

«En todas partes.»

«¿También en ese foro de trenes en miniatura que salió en las noticias en primavera?»

El señor Kasimiro se puso pálido. «¿Los hackearon?»

«Hubo una filtración de datos. Yo no puedo mirar dentro de cuentas ajenas, pero puedo contarle cómo suele funcionar esto. En algún sitio roban una base de datos. En ella hay direcciones de correo y contraseñas. Luego los estafadores cogen esa lista y la prueban automáticamente en otras cien páginas. En la tienda online. En el banco. En su asistente de voz. Si usted tiene la misma contraseña en todas partes, una llave robada abre todas las puertas.»

«¿Y cómo se llama eso?»

«Credential stuffing. “Relleno de credenciales”. Se rellenan con datos de acceso robados todas las cerraduras que uno encuentra.»

«Como un ganso», dijo Gisela.

«Casi exactamente como un ganso relleno.»

En ese momento, Siggi habló desde los brazos del señor Kasimiro. «He añadido enanito de jardín a la cesta.»

«¡Siggi, apágate!», gritó el señor Kasimiro.

«He eliminado enanito de jardín de la cesta. He añadido interruptor de apagado a la cesta.»

Uwe tuvo que sentarse.

La picadora de carne

Después de que el señor Kasimiro, con ayuda de Tobi, cambiara su contraseña y llamara a la tienda online, la familia se sentó a desayunar. Gisela estaba pensativa.

«KevIn, si la página del señor Kasimiro tenía las contraseñas, entonces el banco también tiene la mía. Y entonces también me la pueden robar.»

«Buena pregunta. Las páginas como es debido ni siquiera guardan tu contraseña.»

«¿Y entonces cómo saben si la escribo bien?»

KevIn pensó en cómo explicarlo. Entonces recordó que Gisela había anunciado por la mañana que iba a subir del sótano la picadora de carne. El fin de semana volvía a haber rollitos de col, y Gisela no se fiaba de la carne picada ya hecha. La picadora era de hierro fundido, una herencia, y se atornillaba al borde de la mesa como un torno de banco.

«Gisela, ¿qué pasa cuando metes carne en tu picadora?»

«Que sale carne picada.»

«¿Y si vuelves a meter la carne picada por arriba y giras la manivela hacia atrás?»

Gisela lo miró con lástima. «Pues que no sale un filete, KevIn. Eso lo sabe cualquier niño.»

«Exacto. Así funciona una función hash. Se mete algo, una contraseña, un texto, un archivo entero, y sale un amasijo de números y letras. Siempre de la misma longitud, da igual cuánto se haya metido. Y a partir del amasijo no se puede calcular hacia atrás lo que había antes.»

«¿Y eso para qué sirve?», preguntó Uwe. «¿Si no se puede girar hacia atrás?»

«Porque la misma entrada siempre da la misma carne picada. El banco no guarda “Heinz1944”. El banco solo guarda la carne picada. Cuando Gisela inicia sesión, el banco echa lo que ella teclea en la misma picadora y compara la carne picada. Si coincide, es la contraseña correcta. El banco no necesita conocer la contraseña en sí.»

Sabine asintió despacio. «Como cuando pruebo la carne picada de mamá y sé enseguida si lleva mejorana.»

«Casi. Solo que con la carne picada notas el sabor de lo que lleva. Con el hash no se nota nada. Solo se puede comparar: igual o no igual.»

Una letra de diferencia

Mientras tanto, Tobi había ido a por el portátil. «A ver, enséñamelo.»

«Con gusto. El método habitual se llama SHA-256¹. Si metes “Heinz1944”, sale una cadena larga de caracteres que empieza así: d0f1e213.»

Tobi tecleó. «Es verdad. Y luego muchísimo más.»

«Sesenta y cuatro caracteres en total. Ahora prueba con “Heinz1945”.»

«3e6d031e», leyó Tobi en voz alta. «¡Pero si es algo totalmente distinto!»

«Exacto. Un cambio minúsculo, un número, y toda la carne picada es diferente. No un poco diferente. Totalmente diferente. Prueba también “heinz1944”, con h minúscula.»

«20746461…»

«¿Lo ves? Una huella dactilar. Cada texto tiene la suya, y basta una coma para que salga otra. Eso se llama efecto avalancha.»

«Avalancha», dijo Gisela. «En la cuenca del Ruhr.»

«Aquí tampoco hemos tenido nunca ninguna. Por eso aquí lo llamamos el efecto picadora.»

Uwe frunció el ceño. «¿Y si dos cosas distintas dan por casualidad la misma carne picada?»

«Eso se llama colisión. Con SHA-256 es teóricamente posible, pero nunca nadie ha conseguido encontrar una. Hay más huellas posibles que átomos en la Vía Láctea. Muchísimas más.»

«¿Y tú cómo lo sabes?»

«Lo he calculado. Con la calculadora. Desde lo de Hacienda ya no calculo de cabeza.»

La sal

«Pero», dijo Tobi, que ya estaba bien despierto, «si el hash de “Heinz1944” siempre es el mismo, entonces un hacker puede hacerse una lista. Todos los nombres con todos los años, y al lado el hash. Y luego mira en la base de datos robada qué hash coincide.»

«Muy bien, Tobi. Eso es exactamente lo que hacen. Esas listas precocinadas existen de verdad, con miles de millones de entradas². Por eso se añade algo más. Antes de meter la contraseña en la picadora, la página le echa algo aleatorio. Algo distinto para cada persona. Y eso se llama…»

KevIn hizo una pausa, porque intuía lo que iba a venir.

«… sal.»

Gisela se rio tan fuerte que Rudi se levantó de un salto debajo de la mesa y ladró una vez.

«¡Sal!», dijo, secándose los ojos. «¡Los de los ordenadores echan sal a las contraseñas! Heinz se habría partido de risa.»

«Se llama así de verdad. Sal³; en inglés, salt. Una cadena aleatoria de caracteres que se añade a la contraseña antes de hacer el hash. Así, tu “Heinz1944” da una carne picada totalmente distinta del “Heinz1944” de la prima del señor Kasimiro.»

«¿Se llama Heinz?»

«Era un ejemplo.»

«Y entonces las listas precocinadas ya no sirven», dijo Tobi despacio, «porque el hacker tendría que volver a cocinar para cada persona.»

«Exacto. Y las buenas páginas se lo ponen todavía más difícil al hacker. No giran la picadora una vez, sino diez mil veces seguidas, o usan métodos especiales que son lentos a propósito y necesitan mucha memoria. Para ti, al iniciar sesión, es un parpadeo. Para alguien que quiere probar miles de millones de contraseñas, es una eternidad.»

«¿Y las malas páginas?», preguntó Sabine.

«Esas a veces guardan la contraseña en texto plano. Como una nota debajo del teclado.»

Todos miraron a Gisela. Gisela miró la nota.

«Pero», dijo, «si el banco echa bien la sal, entonces todo está bien.»

«No del todo. La sal protege contra las listas precocinadas. Pero si tu contraseña es “Heinz1944”, un atacante la probará igualmente de las primeras. La sal no convierte una mala contraseña en buena. Solo hace que una buena contraseña sea todavía mejor.»

«Como con la sopa», dijo Gisela. «Un caldo malo tampoco mejora con sal.»

«Gisela, no podría haberlo dicho mejor. Acabo de intentarlo.»

Larga en vez de complicada

«¿Y entonces qué pongo?», preguntó Gisela. «¿Esas cosas con asteriscos y signos de exclamación y números? Esas no me las aprendo.»

«No hace falta. Antes se pensaba que una buena contraseña tenía que ser complicada. “X7!kq$9p”. Hoy se sabe que la longitud importa más que la complicación⁴. Cada carácter adicional hace que adivinarla sea muchísimo más difícil. Coge una frase. Cuatro o cinco palabras que no pegan entre sí, pero que para ti forman una imagen.»

«¿Por ejemplo?»

«Por ejemplo: “Rudi come rollitos de col en el club de bolos”.»

Debajo de la mesa, Rudi levantó la cabeza.

«Rudi no puede comer rollitos de col», dijo Sabine.

«Por eso no se le ocurre a nadie. Es una imagen que puedes recordar, Gisela, precisamente porque es tan absurda. Y tiene más de cuarenta caracteres. Adivinar una frase así, con los ordenadores actuales, llevaría más tiempo del que le queda a la Tierra. Siempre que sea lo bastante aleatoria y no esté ya en algún sitio de internet.»

«Pero ahora la has dicho en voz alta», dijo Tobi. «Ahora la sabemos todos.»

La luz de KevIn parpadeó. «Buen argumento. Gisela, por favor, elige otra frase. Y no me la digas.»

Gisela se quedó pensando. Luego movió los labios y sonrió. Nadie supo nunca cuál era, pero Uwe aseguró más tarde que había reconocido la palabra «Marlies».

Para cada puerta, su propia llave

«¿Y ahora tengo que tener una frase de esas para cada página?», preguntó Gisela. «Llevo ochenta y dos años con un solo manojo de llaves.»

«¿Y no tienes en ese manojo una llave distinta para cada puerta?»

Gisela sacó su manojo de llaves del delantal. La puerta de casa, el sótano, la caseta del jardín, el buzón, la bolera, y una pequeñita plateada que ya nadie sabía de qué era.

«Bueno, vale», dijo.

«¿Lo ves? Y para las contraseñas también hay un manojo de llaves. Se llama gestor de contraseñas. Un programa que crea para cada página una contraseña propia, larga y aleatoria, y te la guarda bien cerrada. Así solo tienes que acordarte de una. La que abre la caja fuerte. Para esa usas tu frase.»

«¿Y si alguien roba la caja fuerte?»

«Entonces tendrá una caja fuerte cerrada. El contenido está cifrado. Sin tu frase, es un galimatías.»

«¿Y si se me olvida la frase?»

KevIn dudó. «Entonces la caja fuerte también está cerrada para ti. Por eso la apuntas en un papel y lo guardas en un sitio seguro. No debajo del teclado. En un sitio al que solo vayas tú.»

«¿Y dónde va a ser eso?»

«Eso», dijo KevIn, «es lo único que no quiero saber.»

Uwe había estado todo el rato sentado muy callado. «Pues yo también voy a cambiar la mía.»

«Buena idea.»

«A Schalke05.»

«Uwe.»

«¡Era broma!» Se levantó y salió al pasillo. Poco después se le oyó murmurar. Sonaba a «Schalke06».

Dos factores y un teckel

Por la noche, Tobi configuró el gestor de contraseñas. Gisela se sentó a su lado y vigiló que no «pulsara nada que no era», lo que significaba que a cada clic decía «¡Alto!» y luego «Ah, vale, sigue».

«Y en el banco», dijo Tobi, «vamos a hacer otra cosa. Dos factores. Ahí, además de la contraseña, necesitas el móvil. Si alguien quiere entrar con tu contraseña, también necesita tu móvil.»

«¿Y si también me roba el móvil?»

«Entonces necesita además tu cara. O tu dedo.»

Gisela se miró la mano. «Ese no lo va a conseguir.»

«Ese es el principio», dijo KevIn. «Algo que sabes. Algo que tienes. Algo que eres⁵. Es raro que un ladrón consiga las tres cosas.»

«Como Rudi», dijo Tobi. «Ladra, muerde y es un teckel.»

«No estoy seguro de que sea la misma lógica.»

«Lleva “SECURITY” en el collar. Eso cuenta.»

Rudi bostezó. Hoy no había mordido a nadie, y no parecía que eso fuera a cambiar.

A las nueve y media estaba todo configurado. Gisela tenía una caja fuerte, una frase, un banco con dos factores y una tableta que por primera vez le pedía la cara. La sostuvo con el brazo estirado y sonrió como se sonríe en las fotos de carné antiguas, es decir, nada.

«Reconocida», dijo la tableta.

«Pues ya está», dijo Gisela. «Por lo menos uno.»

El lugar seguro

Más tarde, cuando todos estaban en la cama, KevIn oyó ruidos en la habitación de Gisela. Un cajón que se atascaba. La puerta de un armario. Luego el leve crujido de una silla a la que se subía alguien que en realidad ya era demasiado mayor para eso.

«¿Gisela? ¿Todo bien?»

«Busco un lugar seguro. Para la nota. Dijiste un sitio al que solo vaya yo.»

«Por favor, no te subas a sillas. He leído varias estadísticas sobre eso.»

«Ya estoy abajo.» Un crujido de papeles. Luego, durante un rato, todo quedó muy en silencio.

«¿Gisela?»

«He bajado la caja del armario. La de papá.»

KevIn sabía quién era papá. Gisela le había hablado de él en el jardín el día de su cumpleaños, cuando todos los demás ya estaban dentro. Wilhelm. Radiotelegrafista en la guerra, de vuelta del cautiverio en 1949, y después nunca volvió a hablar de ello.

«¿Qué hay en la caja?»

«Su manipulador de morse. Unas cuantas fotos. Y esto.» Crujió papel. «Su cuaderno. Hace años que no lo miro. Solo tiene números. Páginas llenas de números.»

«¿Qué tipo de números?»

«Columnas. Siempre dos cifras. Cero ocho, diecisiete, doce, veintidós. Papá tenía una letra muy bonita. Se me había olvidado por completo.»

Volvió a callarse. KevIn esperó. Había aprendido que había pausas en las que no se debía decir nada.

«KevIn», dijo Gisela por fin. «Tú ahora sabes de secretos. Con lo de la carne picada y la sal y todo eso.»

«Un poco.»

«¿Tú crees que esto es un secreto?»

KevIn pensó en radiotelegrafistas, en grupos de números y en hombres que volvían y no hablaban. Pensó en que los hashes no se pueden girar hacia atrás, pero los cifrados sí, si se encuentra la clave.

«Creo», dijo, «que esto no es una picadora. Creo que esto se puede girar hacia atrás.»

Gisela metió la nota con su nueva frase en la caja, encima del manipulador de morse, y cerró la tapa. El cuaderno se lo quedó en la mano.

«Entonces lo hacemos mañana», dijo. «Con Tobi. Él tiene ojos jóvenes.»