La elección de una contraseña es un proceso que realizamos a menudo y de cuyo diseño depende en gran parte la seguridad y robustez de nuestros sistemas. En estas entregas vamos a conocer las características que debe tener una buena contraseña y cuales, sin embargo, debemos evitar.
La contraseña, o password, es una pieza fundamental en la seguridad de los sistemas. Con ella podemos identificarnos ante un control de acceso, como puede ser al introducirla junto con nuestro nombre de usuario para acceder a Internet, recoger el correo electrónico o para autentificarnos en una red local. Si un tercero consigue descubrir nuestra contraseña podrá hacerse pasar por nosotros, obtener información sensible y utilizar nuestros recursos.
Contraseñas nulas
Como primer ataque, y tipo de password que debemos de evitar, nos encontramos con las contraseñas nulas. En muchas ocasiones, para agilizar los procesos y evitar teclear la contraseña una y otra vez, no se introduce password alguna junto con el nombre de usuario, lo que se conoce como contraseña nula. Esto permite a un tercero autentificarse en el sistema con tan sólo conocer el nombre de un usuario legítimo. Para evitar estas prácticas negativas por parte de los usuarios, son muchas las aplicaciones que no permiten dejar vacío el campo de contraseña, forzando a que se deba elegir una.
Otra irregularidad que suele cometerse es dejar las contraseñas por defecto. Estas passwords vienen establecidas por el fabricante y son de conocimiento público. Muchos ataques comienzan probando estas contraseñas por defecto, con la esperanza de que algún usuario no la haya modificado.
Otras contraseñas fáciles de averiguar son aquellas que están formadas por nombres propios, fechas de nacimiento, marcas de empresa, matrículas de automóviles, etc. Un ataque dirigido a un usuario en particular puede recabar este tipo de información y probar diferentes combinaciones, con bastante posibilidades de éxito en el caso de que el usuario utilice contraseñas relacionadas con él.
Número y la diversidad de los tipos de caracteres que conforman una contraseña
Los sistemas de control de acceso o autenticación necesitan poder contrastar la password que proporcionamos para validar si se trata de una pareja nombre de usuario - contraseña válida. Una de las posibilidades consiste en comparar la contraseña solicitada con la password original almacenada en una base de datos. Este esquema tiene el inconveniente de que si un atacante consigue llegar a la base de datos, todas las contraseñas de los usuarios del sistema quedarían al descubierto.
Para evitar estos problemas, lo más común es encontrarse con una base de datos donde se registren nombres de usuarios junto con sus contraseñas cifradas, de forma que no exista forma de realizar el algoritmo inverso de cifrado para obtener la contraseña original. Para validar una contraseña, el sistema realiza el cifrado de la password solicitada, y compara el resultado con la contraseña cifrada que mantiene en el registro. Si ambas coinciden, el usuario es legítimo. Esta forma de trabajar evita que por el sistema circulen y se almacenen las contraseñas, para evitar así que un tercero pueda hacerse con ellas.
Un ejemplo típico lo encontramos en los sistemas Unix, que almacenan las contraseñas en el archivo etc/passwd de la siguiente forma: agomez:Xt4gmzs6RJU9b:14:8:Alfonso Gómez:/home/agomez:/bin/csh
Cada línea del fichero contiene este formato, donde el primer campo corresponde al nombre de usuario y el segundo es la contraseña cifrada con el algoritmo DES. A continuación nos encontramos con dos campos numéricos, donde se recogen el identificador de usuario (UID) y el identificador de grupos (GID). A continuación nos encontramos con el campo GECOS, con información adicional sobre el usuario, y los campos del directorio por defecto del usuario y su shell.
Cuando un usuario se autentifica en Unix, el sistema solicita nombre de usuario y contraseña, cifra la password suministrada y compara los datos con el registro almacenado en etc/passwd.
La utilización del cifrado DES, que no permite el algoritmo inverso, garantiza que aunque un atacante pueda acceder al fichero etc/passwd, éste no podrá conocer la contraseña del usuario.
Para vulnerar estos sistemas los crackers utilizan unas utilidades que comparan, a gran velocidad, posibles contraseñas cifradas con las existentes en el registro, buscando coincidencias. Para elegir las posibles contraseñas utilizan principalmente dos métodos: el diccionario y la fuerza bruta.
El primer ataque consiste en ir recorriendo un diccionario y cifrar todas sus palabras para compararlas con las contraseñas ya cifradas, buscando que coincidan. Este método aprovecha que muchos usuarios escogen como contraseña términos que existen en el lenguaje. Por lo tanto una buena contraseña deberá ser un conjunto de caracteres sin significado alguno, para que no pueda encontrarse en un diccionario.
El ataque por fuerza bruta consiste en un ejercicio de combinación, donde se van cifrando todas las posibles contraseñas y comparándolas con las existentes en el registro, buscando también coincidencias. Este método, por definición, siempre consigue su meta, si bien el problema que tienen es de recursos y tiempo. Si una contraseña es suficientemente larga, el número de combinaciones posibles se dispara exponencialmente, por lo que es prácticamente imposible, a efectos prácticos, probar todas las posibilidades. De este ataque aprendemos que debemos utilizar una buena longitud de contraseña y evitar las cortas.
Fuente: http://www.sitiosespana.com/notas/2010/junio/contrasena.htm
