Diceware explicado: origen, seguridad y cómo crear tu propia frase de paso

Diceware sigue siendo uno de los ejemplos más claros de seguridad usable bien hecha. En vez de pedir a la gente que invente una contraseña «ingeniosa», propone elegir palabras aleatorias de una lista fija.

Ese paso de la creatividad a la aleatoriedad es precisamente lo que hace que Diceware siga funcionando tan bien.

De dónde viene Diceware

Diceware fue diseñado por Arnold G. Reinhold como un método práctico para crear, con dados físicos y una lista numerada de palabras, frases de paso memorables y de alta entropía.

La idea de fondo es sencilla: si las palabras se eligen de verdad al azar, unas pocas palabras corrientes pueden formar un secreto muy sólido.

Por qué funciona

La seguridad de Diceware proviene de la selección aleatoria, no de frases poéticas ni de significados ocultos. Cada palabra añade otra porción de entropía.

Una frase de paso bien generada de 5 o 6 palabras puede ser memorable y al mismo tiempo muy resistente a intentos de adivinación, sobre todo frente a las contraseñas cortas que mucha gente todavía improvisa.

Cómo crear tu propia frase de paso

1. Toma cinco dados normales de seis caras, o lanza un dado cinco veces por cada palabra.
2. Anota el resultado de cinco dígitos, por ejemplo 43126.
3. Busca ese número en la lista en tu idioma — en español la wordlist_es (.txt), en inglés la lista larga de la EFF (.txt) — y anota la palabra correspondiente.
4. Repite el proceso hasta obtener el número de palabras deseado.
5. Conserva exactamente el orden en que salieron.

Por qué importa el tamaño de la lista

Una lista Diceware correcta contiene exactamente 7 776 palabras — es decir, 6⁵, una entrada por cada combinación posible de cinco dados. Con tantas palabras, cada tirada aporta unos 12,9 bits de entropía. Cinco palabras dan aproximadamente 64 bits; seis palabras, unos 77 bits — muy por encima de lo que los atacantes pueden romper offline a un coste razonable.

Las listas más cortas rompen esa garantía en silencio. Una lista de 1 000 palabras baja cada tirada a solo 10 bits, de modo que una frase de cinco palabras acaba siendo tan débil como una contraseña aleatoria mediocre — aunque tenga el aspecto de una frase Diceware real.

Cuando lances los dados manualmente, usa una lista que puedas verificar tú mismo. Las siguientes son listas reconocidas de 7 776 entradas que cumplen el estándar:

• Lista larga de la EFF (.txt) — inglés, 7 776 palabras, por la Electronic Frontier Foundation
• diceware-fr-alt (.txt) — francés, 7 776 palabras, por Arthur Pons (licencia MIT)
• wordlist_de (.txt) — alemán, 7 776 palabras, proyecto ulif/diceware
• wordlist_es (.txt) — español, 7 776 palabras, proyecto ulif/diceware (adaptado)

¿Cuántas palabras deberías usar?

• 4 palabras: aceptable solo para casos de menor valor
• 5 palabras: una base moderna fuerte
• 6 palabras: la mejor opción por defecto para frases de paso importantes
• 7 o más palabras: margen adicional si no te molesta la longitud

Dados físicos frente a generación digital

Los dados físicos son ideales cuando quieres un proceso totalmente transparente y offline. Son más lentos, pero fáciles de auditar y de explicar.

Un generador de frases de paso local en el navegador es mucho más cómodo para el día a día, sobre todo si usa listas fijas y aleatoriedad criptográficamente segura.

Prueba el Rodador Diceware Manual

Si quieres que la búsqueda se haga sola sin renunciar al proceso manual, prueba el Rodador Diceware Manual en passwords.lu. Lanza los dados, escribe cada código de cinco dígitos y la herramienta busca la palabra al instante — todo en tu navegador, sin enviar nada a ningún servidor.

Admite las cuatro listas — inglés, francés, alemán y español — para que puedas trabajar en tu idioma nativo. También puedes usar el simulador de dados integrado para practicar y luego cambiar a dados físicos cuando sea importante.

¿Debes descargar las listas de palabras?

Sí — y el idioma que elijas importa más de lo que parece. Una palabra que ya conoces es mucho más fácil de recordar que una extranjera. Si tu lengua materna no es el inglés, usar una lista en tu propio idioma hace que la frase de paso sea de verdad memorable, no solo técnicamente sólida.

Descarga la lista en tu idioma, guárdala en un lugar seguro y úsala cuando quieras generar y verificar tu propia frase de paso.

Buenas prácticas

• Usa Diceware para secretos que realmente necesites recordar.
• Usa un gestor de contraseñas para todo lo demás.
• No «mejores» el resultado convirtiéndolo a propósito en una frase con sentido.
• Añade MFA a las cuentas importantes.
• Si apuntas temporalmente la frase de paso, guarda la nota con cuidado y elimínala cuando ya no la necesites.