4. Introducción
¿Qué
son las contraseñas?
Son una forma de autentificación, información secreta
para controlar el acceso de un usuario.
Son cadenas de caracteres que deben permanecer
en secreto frente a aquellos que no se les debe
permitir el acceso.
5. Introducción
Historia
En la antigüedad, los centinelas solicitaban el
santo y seña (contraseña) para permitir el paso.
En cuentos e historias…
Actualmente, se usa para identificarse en SO,
redes sociales, webs, correos electrónicos…
7. Introducción
Cifrado de contraseñas:
Hash:
Cuando se teclea la contraseña se
genera a partir de la contraseña y mediante
un algoritmo el código hash equivalente para
esa contraseña, y si coincide con el valor
almacenado, se permite el acceso al usuario.
8. Introducción
MD5:
convierte los caracteres a una longitud total de
128 bits.
Convierte la clave en un bloque múltiple de 512 bits.
Se inicializan 4 vectores de forma aleatoria.
Los bloques de 512 bits se combinan con estos vectores con
operaciones lógicas uno a uno.
SHA-1: Similar a MD5, pero con la diferencia de que el
resultado final es 160 bits en lugar de 128.
Generar 2 mensajes aleatorios distintos y que tengan el
mismo hash es nula, por lo que se convierte en algo más
seguro que MD5.
10. Introducción
Longevidad de una contraseña
Diseño de software protegido:
No repetir la contraseña en la pantalla de visualización
cuando se está accediendo.
Permitir contraseñas de una longitud adecuada.
Obligar a que la contraseña tenga algún carácter especial y
algún número.
Requerir a los usuarios volver a ingresar su contraseña
después de un período de inactividad.
11. Introducción
Cumplir una política de contraseñas para asegurar
contraseñas importantes.
Requerir periódicamente cambios de contraseña.
Asignar contraseñas al azar.
Usar contraseñas de usar y tirar
16. Password Cracking
¿Qué es lo primero que hay que
hacer?
Investigar sobre el sistema a atacar.
Dónde están guardadas las
contraseñas…
Tipo de encriptación…
18. Password Cracking
Ataque
a fuerza bruta:
Recuperar una clave probando todas las
combinaciones posibles hasta encontrar
aquella que permite el acceso.
Utilizan el método de prueba y error, por tanto,
son muy costosos en tiempo computacional
19. Password Cracking
Ataques por diccionario:
Consiste en intentar averiguar una contraseña
probando todas las palabras del diccionario.
Es más eficiente que un ataque de fuerza
bruta, ya que muchos usuarios suelen utilizar
una palabra existente en su lengua como
contraseña para que la clave sea fácil de
recordar.
20. Password Cracking
Un diccionario de una letra, puede llegar a
tener más de 400.000 posibles palabras, y en el
trabajo escrito, adjuntaré un diccionario.
En su grandísima cantidad de palabras en
diccionarios, calculan posibles valores hash
criptográficamente, y los cotejan frente a
una base de datos de contraseñas con otro
algoritmo hash para determinar cuál es la
contraseña sin cifrar original.
22. Password Cracking
Rainbow
tables:
Conjunto de tablas hash, que combinan caracteres
con caracteres especiales para producir mayor número
de palabras que en un ataque a diccionario normal.
Su tamaño es enorme, siendo su mayor inconveniente.
24. Password Cracking
Troyano:
Software capaz de entrar en nuestros equipos para
obtener información.
Se camuflan dentro de aplicaciones útiles (imágenes,
archivo de música…)
30. Password Cracking
1. Introducimos en CD y arrancamos con él con la opción por
defecto.
2. Ejecutamos winpass con la opción -l para que muestre los
usuarios de Windows.
3. Una vez seleccionado el usuario objetivo, ejecutamos winpass
con la opción -u.
34. Password Cracking
Equipos conectados a mi línea de internet…
Caín y Abel, utiliza sniffing (capturar tramas de internet) para “espiar” y
poder recuperar contraseñas de los dispositivos conectados en tu red.
Crakeo WEP
Descifrado de contraseñas seguras
Calculadora de hashes
Traceroute
Descubrimiento de cached passwords
ARP Spoofing
Resolución de IP a MAC Address
Sniffer de contraseñas de red
Capacidad para crackear hashes varios.
39. Password Cracking
WifiWay:
distribución GNU/Linux pensada y
diseñada para la auditoría de seguridad de las
redes WiFi, Bluetooth y RFID.
Se publican imágenes iso con funcionalidades
de LiveCD y LiveUSB.
46. Password Recovery
MESSENPASS
(Sólo 32 bits)
Windows
Live Messenger
Yahoo Messenger
Google Talk
Trillian
Lo
vamos a probar con google talk.
52. Password recovery
En
clientes de correo electrónico, como
Outlook Express, Windows Mail, Mozilla
Thunderbird, IncrediMail, Eudora, Hotmail,
Gmail, Google Desktop, o Google Talk…
Mail
Pass View :
Aplicación que muestra las contraseñas guardadas
y otros detalles
