# Què és una contrasenya, i per què fa seixanta anys que ens equivoquem > La contrasenya informàtica va néixer el 1961 i la primera filtració va arribar un any després. Gairebé tot el que ens van ensenyar surt d’una conjectura del 2003 que el seu propi autor lamenta. 2026-07-17 · David Carrero · password.es Original: https://password.es/ca/blog/que-es-una-contrasenya/ --- Una contrasenya és la resposta a una pregunta molt vella: **ets dels nostres?** No la va inventar la informàtica. Polibi, al segle II a. C., descriu com l’exèrcit romà feia circular cada nit una paraula escrita en una tauleta de fusta — la *tessera* — que passava d’unitat en unitat i tornava al comandament. Qui la sabia era dels seus. Qui no, no. Dos mil anys després continuem fent exactament el mateix. L’únic que ha canviat és qui pregunta, i a quina velocitat pot intentar endevinar la resposta. ## 1961: la contrasenya entra a l’ordinador El novembre del 1961, el MIT va demostrar el **CTSS** (*Compatible Time-Sharing System*), dirigit per **Fernando Corbató**. Era una idea nova: un sol ordinador, molt car, compartit per diverses persones alhora. I allà va aparèixer el problema. Si la màquina és de tothom, els fitxers de cadascú han de ser de cadascú. Calia una manera perquè l’ordinador sabés qui estava escrivint. La solució va ser la més òbvia i la més romana possible: que cada usuari tingués una paraula seva. Convé dir-ho amb precisió: Corbató no va inventar la contrasenya. Va inventar la **contrasenya per usuari en un ordinador multiusuari**, que és una altra cosa. Ell mateix, ja gran, va dir que allò s’havia convertit en «un malson». ## 1962: la primera filtració, i va ser per temps de màquina Un any després, **Allan Scherr**, doctorand en aquell mateix MIT, tenia un problema molt terrenal: només li assignaven quatre hores d’ordinador a la setmana i en necessitava més per a la tesi. Així que va demanar al sistema que **imprimís el fitxer de contrasenyes**. Res més. Era allà, en text pla, i ningú havia pensat que algú el demanaria. Amb el llistat a la mà, va fer servir els comptes d’altres per continuar treballant. L’interessant no és el truc. És el mòbil: **la primera filtració de contrasenyes de la història no la va fer un delinqüent, sinó algú que volia continuar treballant**. Seixanta anys després, la majoria dels forats de seguretat encara neixen de gent raonable buscant el camí curt. ## 1979: algú s’adona que no s’han de desar Durant gairebé dues dècades, molts sistemes van desar les contrasenyes tal qual. Si algú llegia el fitxer, s’ho enduia tot. El 1979, **Robert Morris i Ken Thompson** van publicar a *Communications of the ACM* un article titulat «Password Security: A Case History», sobre el que havien fet a Unix. Dues idees que avui són la base de tot: - **No desar la contrasenya, desar-ne el hash.** El sistema no necessita saber quina és la teva contrasenya; només necessita poder comprovar si la que acabes d’escriure dona el mateix resultat. - **La sal**: afegir un valor aleatori a cada contrasenya abans d’aplicar-hi el hash, perquè dues persones amb la mateixa contrasenya no tinguin el mateix hash i perquè no es pugui precalcular una taula i trencar-les totes de cop. Quan avui diem que un servei «no hauria de saber la teva contrasenya», estem citant un article del 1979. ## 2003: les regles que tots vam aprendre, i d’on van sortir El 2003, **Bill Burr**, del NIST nord-americà, va escriure el document que acabaria regint com mig món demanava contrasenyes: l’**SP 800-63**. D’allà va sortir tot el que reconeixes a l’instant: > Almenys una majúscula, un número i un símbol. Canvia-la cada 90 dies. Sonava a ciència. No ho era. Burr no tenia bones dades sobre contrasenyes reals —gairebé no n’existien— així que es va recolzar en el que hi havia i va raonar cap al que semblava sensat: més varietat de caràcters, més combinacions, més seguretat. El problema és que **les persones no som generadors aleatoris**. Demana una majúscula i la posarà la primera. Demana un número i anirà al final. Demana un símbol i serà un `!`. I si l’obligues a canviar-la cada tres mesos, `Estiu2024!` es convertirà en `Tardor2024!`. El resultat va ser tota una generació de contrasenyes que **semblen complexes i són trivials**, i uns usuaris esgotats que les reutilitzen arreu perquè ja no poden més. ## 2017: el NIST es desdiu, i Burr també El 2017, el NIST va publicar l’**SP 800-63B** i va fer marxa enrere en gairebé tot: - **La longitud importa més que la complexitat.** - **Res de rotació forçada** llevat que hi hagi indicis de compromís. - **Comprovar la contrasenya contra llistes de filtrades**, en lloc d’exigir símbols. Aquell mateix any, Burr va dir al *Wall Street Journal* que lamentava bona part del que havia escrit. És una de les rectificacions més honestes que ha donat la seguretat informàtica, i encara avui hi ha milers de formularis demanant-te un símbol per culpa d’un document que el seu propi autor va desautoritzar. ## Per què això no és història antiga Tot això té una conseqüència molt concreta, i la pots veure aquí mateix. El nostre [comprovador](/ca/comprovador/) funcionava fins fa no res amb la lògica del 2003: comptava majúscules, números i símbols. Donava un **92 % «Molt forta»** a `Contraseña1!` —literalment la paraula castellana per «contrasenya»— i un **0 % «Molt feble»** a una frase de cinc paraules a l’atzar, que és incomparablement millor. Estava premiant exactament el que no s’ha de fer. L’hem canviat: ara busca la teva contrasenya en diccionaris de paraules, noms, ciutats i patrons de teclat, i et diu quant trigaria a caure de debò. I per això el [generador](/ca/) t’ensenya els **bits d’entropia** en lloc d’un percentatge. Un percentatge no significa res. Els bits sí: són quantes vegades hauria d’intentar-ho algú que no sap res de tu. ## Què fer, en dues línies - **Llargues abans que retorçades.** Quatre o cinc paraules a l’atzar guanyen a `P@ssw0rd` per molts ordres de magnitud. - **Diferent a cada lloc, i en un gestor.** És l’única regla del 2003 que continua dreta, i la que menys cas vam fer. La pregunta continua sent la mateixa que a la Roma del segle II: *ets dels nostres?* El que ha canviat és que ara qui pregunta pot intentar mil milions de respostes per segon. Convé que la teva no sigui al diccionari. --- *Fonts: F. J. Corbató i el CTSS (MIT, 1961) · el relat del mateix Allan Scherr sobre el 1962 · R. Morris i K. Thompson, «Password Security: A Case History», Communications of the ACM, 1979 · NIST SP 800-63 (2003) i SP 800-63B (2017) · declaracions de Bill Burr al Wall Street Journal, agost del 2017.*