contraseñas, passwords y otros demonios

En el post anterior quizá por tener demasiadas cosas en la cabeza cometí el error de confundir las definiciones de ataque de diccionario y ataque de fuerza bruta.

Ataque de diccionario: se pretende acceder a un contenido empleando una por una las palabras de un archivo a modo de contraseña, si la contraseña no existe o no está compuesta por varias palabras de este archivo (también llamado diccionario) el ataque resultará inútil.

Ataque de fuerza bruta: se prueban todas las contraseñas posibles generadas con un rango de caracteres, de tal forma que si solo se emplearan números podría ser algo así: 0000, 0001, 0002, 0003, etc

Existen diferentes maneras de defensa ante estos ataques, algunas de estas defensas pueden aplicarlas administradores web y otras han de emplearlas el usuario final.

limitar el numero de intentos en un plazo de tiempo, esto lograría retrasar el éxito del ataque en meses o años, lo que hará que el atacante pierda interés.

ejemplo de captcha

Utilizar captchas a partir de X intentos dificultará el ataque puesto que para un programa no es fácil el reconocimiento del texto

Emplear contraseñas complejas con letras y números, que no contengan palabras y que superen los 8 caracteres como mínimo

Usar sistemas de encriptación seguros, porque normalmente con el tiempo se encuentran vulnerabilidades, por lo que los sistemas mas actualizados suelen ser mas seguros.

no usar siempre la misma contraseña, si el atacante consigue acceso a nuestro facebook, que al menos no tenga nuestro correo o nuestra clave de paypal.