Hablar de autenticaci\u00f3n de contrase\u00f1as es un poco aburrido, pero es fundamental, sobre todo con la frecuencia con la que ocurren las filtraciones de datos. Probablemente hayas visto alertas sobre sitios web pirateados que exponen informaci\u00f3n de usuarios, concretamente nombres de usuario y contrase\u00f1as. Esto es crucial, ya que si se almacenan en texto plano, cualquiera con acceso a esa base de datos puede obtener y usar esas credenciales. No es lo ideal. Por lo tanto, comprender lo que ocurre entre bastidores puede ayudarte a que tus sistemas de inicio de sesi\u00f3n sean mucho m\u00e1s seguros, o al menos a saber c\u00f3mo proteger mejor tus propias cuentas.<\/p>\n
El punto principal es que las buenas pr\u00e1cticas de seguridad sugieren almacenar una versi\u00f3n hash de las contrase\u00f1as, no las originales. El hash es como ejecutar la contrase\u00f1a en una calle de un solo sentido: se obtiene un hash, pero no se puede recuperar f\u00e1cilmente la contrase\u00f1a original. Cuando alguien inicia sesi\u00f3n, el sistema aplica un hash a todo lo que escribe y lo compara con el hash almacenado. Si coinciden, la contrase\u00f1a es correcta. Aun as\u00ed, si los hackers logran acceder a la base de datos, solo se quedan mirando los hashes, que son bastante in\u00fatiles a menos que se descifren. Pero aqu\u00ed est\u00e1 el truco: los hashes no son totalmente indescifrables, especialmente si no se han codificado correctamente o si se utilizan algoritmos d\u00e9biles. Por eso, gran parte del trabajo pesado recae en c\u00f3mo se codifican las contrase\u00f1as y en el lado del atacante, independientemente de si intentan descifrarlos o no.<\/p>\n
Descifrar un hash es un poco extra\u00f1o porque, t\u00e9cnicamente, no se puede revertir un hash a la contrase\u00f1a original directamente. En su lugar, los atacantes intentan adivinar las contrase\u00f1as hasta que su hash coincida con el almacenado. B\u00e1sicamente, se prueban todas las llaves hasta que una abre la cerradura. Esto puede ser un ataque de fuerza bruta: se prueban todo tipo de contrase\u00f1as, desde la \u00aba\u00bb hasta la \u00abzzz\u00bb, incluyendo n\u00fameros y s\u00edmbolos. Dado que las posibles combinaciones aumentan exponencialmente a medida que aumenta la longitud de la contrase\u00f1a, es muy lento descifrar contrase\u00f1as largas y complejas mediante fuerza bruta. Las GPU ayudan a acelerar el proceso, pero aun as\u00ed, las contrase\u00f1as muy largas siguen siendo bastante seguras.<\/p>\n
Para reducir el tiempo de adivinaci\u00f3n, los atacantes suelen revisar las reglas de contrase\u00f1a del sitio. Si un sitio impone una longitud m\u00ednima o requiere un n\u00famero y una letra may\u00fascula, omitir\u00e1n el intento de \u00abcontrase\u00f1a\u00bb y buscar\u00e1n contrase\u00f1as comunes que cumplan con esas reglas. Aun as\u00ed, la fuerza bruta es lenta, especialmente para contrase\u00f1as m\u00e1s seguras. Otra forma de hacerlo es con ataques de diccionario. En lugar de probarlo todo, usan listas de contrase\u00f1as comunes; consid\u00e9relo una estrategia m\u00e1s inteligente. Estas listas, llamadas diccionarios, se crean a partir de contrase\u00f1as filtradas, por lo que suelen incluir \u00abcontrase\u00f1a123\u00bb, \u00abqwerty\u00bb o \u00abd\u00e9jame entrar\u00bb.Si tu contrase\u00f1a est\u00e1 en una de esas listas, probablemente est\u00e9 perdida.<\/p>\n
Un truco que aumenta el \u00e9xito de los ataques de diccionario es la manipulaci\u00f3n de palabras: sustituir letras por s\u00edmbolos (como reemplazar la \u00abe\u00bb por \u00ab3\u00bb), a\u00f1adir n\u00fameros al final o cambiar las letras. Estos peque\u00f1os ajustes pueden aumentar las tasas de \u00e9xito por encima del 70 %, a veces incluso por encima del 90 %, especialmente si el atacante usa un buen diccionario con algoritmos de manipulaci\u00f3n integrados. As\u00ed que, s\u00ed, si tu contrase\u00f1a es una palabra o frase simple, podr\u00eda ser vulnerable; estas t\u00e1cticas son como trucos para descifrar contrase\u00f1as.<\/p>\n
Aqu\u00ed es donde entran en juego los h\u00e1bitos de los usuarios. Las personas tienden a reutilizar sus contrase\u00f1as en varios sitios y suelen elegir cosas relacionadas con su vida: mascotas, cumplea\u00f1os, deportes favoritos o palabras comunes como \u00abcontrase\u00f1a\u00bb.Los atacantes aprovechan esta situaci\u00f3n utilizando largas listas de contrase\u00f1as comunes o filtraciones para crear sus diccionarios. Es bastante inquietante, pero la mayor\u00eda de las contrase\u00f1as son f\u00e1ciles de adivinar si siguen patrones t\u00edpicos o est\u00e1n en la lista. Por eso es fundamental crear contrase\u00f1as impredecibles que no est\u00e9n vinculadas a tu informaci\u00f3n personal.<\/p>\n
A\u00f1adir variaciones, como sustituir letras por n\u00fameros o s\u00edmbolos, es habitual. Por ejemplo, \u00abcontrase\u00f1a\u00bb se convierte en \u00ab\u00a1p@ssw0rd!\u00bb, y as\u00ed sucesivamente. Estos peque\u00f1os cambios dificultan el descifrado de los ataques de diccionario tradicionales, pero no lo imposibilitan. Combinar longitud con imprevisibilidad es lo mejor; una contrase\u00f1a de m\u00e1s de 10 caracteres con palabras aleatorias (no frases reales, sino m\u00e1s bien palabras sin relaci\u00f3n unidas) es una buena regla general. En esencia, busca elementos que no estar\u00edan en una lista, idealmente m\u00e1s largos y verdaderamente aleatorios. Porque, al fin y al cabo, cuanto m\u00e1s largos y complejos, menos posibilidades hay de descifrarlos r\u00e1pidamente.<\/p>\n
\u00bfEn resumen? Los ataques de diccionario son m\u00e1s inteligentes que los ataques de fuerza bruta, ya que son selectivos. Se basan en suposiciones de filtraciones anteriores o listas de contrase\u00f1as comunes, por lo que son m\u00e1s r\u00e1pidos y tienen mayor impacto si tu contrase\u00f1a aparece en la lista o sigue patrones predecibles. Protegerse implica crear contrase\u00f1as largas e inconexas que no est\u00e9n en ninguna base de datos de contrase\u00f1as comunes. Usar administradores de contrase\u00f1as facilita este proceso, ya que pueden generar y almacenar contrase\u00f1as complejas y \u00fanicas para cada sitio, para que no tengas que recordar todo eso.<\/p>\n
Adem\u00e1s, siempre revisa la configuraci\u00f3n de seguridad de tu sitio. Usa la autenticaci\u00f3n de dos factores cuando est\u00e9 disponible y considera usar algoritmos de hash para contrase\u00f1as, como bcrypt o Argon2, en lugar de los anticuados MD5 o SHA-1. Claro que Windows a veces tiene que complicarlo m\u00e1s de lo necesario, pero, por tu parte, usar contrase\u00f1as inteligentes y buenas pr\u00e1cticas puede marcar la diferencia.<\/p>\n
Con suerte, esto aclarar\u00e1 por qu\u00e9 descifrar contrase\u00f1as no es tan sencillo como parece y por qu\u00e9 son importantes los buenos h\u00e1bitos. Al final, se trata de complicar las cosas lo suficiente como para que los atacantes se aburran o se marchen. Son solo algunas cosas que han funcionado en algunas configuraciones; crucemos los dedos para que sirvan y quiz\u00e1s le eviten un dolor de cabeza a alguien en el futuro.<\/p>\n","protected":false},"excerpt":{"rendered":"
Hablar de autenticaci\u00f3n de contrase\u00f1as es un poco aburrido, pero es fundamental, sobre todo con la frecuencia con la que ocurren las filtraciones de datos.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1394","post","type-post","status-publish","format-standard","hentry","category-ayuda"],"_links":{"self":[{"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/posts\/1394","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/comments?post=1394"}],"version-history":[{"count":0,"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/posts\/1394\/revisions"}],"wp:attachment":[{"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/media?parent=1394"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/categories?post=1394"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/es\/wp-json\/wp\/v2\/tags?post=1394"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}