Acceso al panel: una contraseña por sí sola no es una defensa

Se pone una contraseña al panel y se cree que el asunto termina ahí. Pero una contraseña es una sola línea de defensa, y su fuerza no es algo verificable: solo se puede suponer.

Tres cosas cambian de verdad el resultado.

Uno: un límite de intentos

La fuerza de una contraseña solo significa algo si adivinarla sale caro. Con intentos ilimitados, toda contraseña se convierte en cuestión de tiempo; la única diferencia es cuánto tarda.

Un límite de intentos no hace más fuerte la contraseña. Encarece el adivinar. Son dos cosas distintas, y la segunda está en tus manos.

Dos: dónde vive la sesión

Después de entrar, lo que te lleva no es la contraseña sino la sesión. Así que la pregunta real es: dónde vive esa sesión y quién puede alcanzarla?

La sesión debe estar en el navegador en un sitio que los scripts no puedan leer, y marcada de modo que una página de otro sitio no pueda enviar peticiones en tu nombre. Si no, una pestaña que dejaste abierta puede actuar con tu autoridad.

Tres: un segundo paso

Es la única medida que no deja sobrevivir a una contraseña filtrada. Una contraseña puede robarse, adivinarse o venir de una filtración en otro sitio. Un segundo paso no impide nada de eso, solo hace que por sí sola no baste.

Actívalo para las cuentas que pueden cambiar cosas. Para las que solo miran, es cuestión de preferencia.

La suposición que más cuesta: "estoy en la red local"

Esta frase es, en el lado de la seguridad, la más repetida y la más equivocada.

Cuenta qué hay en tu red local: la conexión inalámbrica que diste a tus invitados, un aparato inteligente sin actualizar desde hace años, el ordenador de los niños, y cada máquina virtual que ejecutas en tu propio servidor.

Esa última es la más olvidada. Cuando ejecutas dentro de una máquina virtual un programa descargado de internet, esa máquina está en tu red local y puede llegar a la página de acceso del panel.

Así que "no lo he expuesto" no significa "nadie puede intentarlo". Solo significa "no todo el mundo en internet puede intentarlo". La diferencia está en quién está lo bastante cerca para intentarlo.

Qué hacer, por orden

No expongas el panel directamente a internet. Si necesitas acceso remoto, pon una capa en medio.

Asegúrate de que hay un límite de intentos. Sin él, adivinar contraseñas desde la red local es gratis.

Pon un segundo paso en las cuentas que pueden cambiar cosas.

Deja de hacer el trabajo diario con la cuenta más poderosa. Tiene su propio artículo en esta wiki y vale como continuación de este: aunque el acceso esté protegido, cuánto puede cambiar quien entra es otra pregunta.

Qué hace Atlas

La puerta de acceso de Atlas tiene un contador de intentos, y se lleva por dirección de origen. Si hay diez intentos fallidos en una ventana de cinco minutos, esa dirección se bloquea durante quince minutos.

Por qué existe está escrito en el propio comentario del código y es justo el tema de este artículo: Proxmox ya tiene su propio retardo, pero también hay que detenerlo en la puerta del agente, de lo contrario adivinar contraseñas desde la red local es gratis.

En el lado de la sesión se usan dos marcas juntas. El identificador de sesión se guarda en el navegador de forma que los scripts no puedan leerlo, y está marcado para no enviarse junto con peticiones que vienen de otro sitio. Así que una página en otra pestaña que dejaste abierta no puede hacer que tu navegador use tu sesión.

Un límite honesto: nada de esto hace más fuerte tu contraseña. Encarece el adivinar y saca la sesión de la categoría de lo robable. La contraseña sigue siendo elección tuya, y activar el segundo paso también.