Descifrando contraseñas
18 September 06Leo en Thecrypt.co.uk un curioso artículo sobre el tiempo necesario para romper la encriptación de una contraseña en función de la máquina utilizada para esta tarea y el número de combinaciones entre caracteres posibles. El artículo se refiere a códigos comunes como los implementados por Microsoft Office, o los ficheros ZIP, entre otros.
Resulta muy curioso comprobar lo sencillo que es mediante la fuerza bruta romper algunas contraseñas sencillas (suponiendo acceso al fichero de passwords).
Lo más destacable para mí, el siguiente ejemplo: La contraseña darren con más de 308 millones de combinaciones posibles, se podría descifrar usando para ello un PC con procesador Pentium a 100Mhz en poco más de 8 horas. En cambio si la contraseña fuera Land3rz el número de combinaciones posible ascendería a 3,5 Trillones (soy incapaz de imaginar este número, que alguien me corriga porque no lo tengo muy claro, pero debe ser algo así como 3,5 * 10^18), y necesitaría de 11 años de procesamiento con el mismo PC.
No obstante, si en vez de usar un Pentium 100, usamos un supercomputador empleando procesamiento distribuido, bastarían 58 minutos. Afortunadamente creo que los usuarios de estas máquinas no se dedican a hacer hacking.
La recomendación subyacente no es nueva: se deben elegir siempre las contraseñas combinando letras (en mayúsculas y minúsculas) y números. De esta manera no sólo proteges la contraseña frente a ataques de diccionario, sino que además el número de combinaciones posibles aumenta considerablemente, lo que hace má¡s difícil su descifrado.
Artículos relacionados
Yo leÃ, acorde con el tema, que los encargados de la seguridad en los Estados Unidos advirtieron que la investigación en los famosos ordenadores cuánticos presentaba un verdadero problema para la seguridad nacional al poder descifrar claves, que hoy en dÃa se tardarÃan decenas de años, en pocas horas.
¡Qué ha quedado de la pobre ENIGMA…!
Pues lo último en hacking que yo leà no iba por esa lÃnea. Antes que la fuerza bruta se emplean algunos métodos más rápidos y rentables.
Aparte del obvio de localizar a un empleado descontento y sobornable (atención empresas, estoy atento a ofertas) me gustó el que usaron para reventar una auditorÃa de seguridad: dejar pen drives como “perdidos” delante de las puertas de la empresa con software malicioso, que al ser encontrado por los empleados (“coño, qué suerte he tenido! un usb!”) se instalaba en los ordenadores de los puestos de trabajo que lo enchufaban. Un verdadero caballo de troya moderno!