Fuerza bruta

Brute Force - Ataque de Fuerza Bruta

Probar contraseñas contra un login y trabajar con hashes robados son escenarios distintos. Cambian las defensas y el coste del ataque; meterlos en la misma bolsa deja el build bastante cursed. (；一_一)

Las contraseñas y nombres de usuario son comunes para evitar el acceso no autorizado, pero son propensos al robo o adivinación. El ataque de fuerza bruta consiste en probar numerosas combinaciones hasta encontrar la correcta. Aquí algunos tipos de ataques:

Ataque de fuerza bruta simple:

• Intento con combinaciones variadas hasta el acceso.

Ataque de diccionario:

• Similar al simple, pero con una lista de credenciales comunes.

Password Spray:

• Similar a los anteriores pero utiliza pocas contraseñas comunes en muchas cuentas diferentes para evitar bloqueos por múltiples intentos fallidos en una sola cuenta.

Ataque de fuerza bruta inversa:

• El término se usa con variantes. Aquí lo usamos para probar una contraseña candidata contra muchas cuentas; ese comportamiento se solapa con password spraying. No lo confundo con reutilizar pares completos filtrados.

Relleno de credenciales:

• Reutiliza pares de usuario y contraseña filtrados en otros servicios. Pass-the-hash es otra técnica: utiliza hashes robados para autenticarse sin conocer la contraseña en claro; no es credential stuffing. MITRE, T1550.002.

Rainbow Tables:

• Uso de tablas precalculadas para buscar correspondencias entre contraseñas candidatas y hashes. Un hash no es una contraseña cifrada que podamos descifrar.
• Una sal distinta por contraseña impide reutilizar directamente la misma tabla para todos los registros. Eso no vuelve invulnerable una contraseña débil.

A menudo se utilizan herramientas como:

• Aircrack-ng
• Hashcat
• John the Ripper
• Ophcrack
• THC Hydra

Si bien las herramientas pueden usarse de manera maliciosa, también puedes usarlas para fortalecer sistemas.

Medidas de Prevención

Para mejorar la protección solemos utilizar una combinación de los siguientes controles técnicos y administrativos:

• Hashing y Salting:

  • Hashing: Calcula un resumen de los datos; puede haber colisiones. Para almacenar contraseñas se necesita una función adecuada para ese fin, con coste configurable.
  • Salting: Usa una sal por contraseña y la guarda junto al resultado; no necesita ser secreta.

• MFA (Autenticación Multifactor):

  • Combina factores de categorías distintas. Dos contraseñas siguen siendo un solo factor: conocimiento.

• Captcha:

  • Prueba automatizada que intenta distinguir actividad humana de automatizada. Es una barrera adicional; no demuestra identidad ni impide por sí sola toda automatización.

• Políticas de Contraseñas:

  • Priorizar longitud, bloqueo de contraseñas comunes o comprometidas y limitación de intentos. NIST SP 800-63B-4 exige al menos 15 caracteres cuando la contraseña es el único factor y permite un mínimo de 8 cuando forma parte de MFA; no impone reglas de composición arbitrarias. Estas pautas pertenecen al contexto de esa guía, no sustituyen los requisitos concretos del sistema.

Para obtener pautas detalladas, se puede hacer referencia al NIST SP800-63B.

Véase también

• Controles de acceso — Autenticación, autorización y factores de acceso frente a ataques a credenciales.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: bb6653713733          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+