Después de otra larga temporada de ausencia continuamos con los laboratorios de hacking – Técnicas y contramedidas, espero no bajar el ritmo esta vez.
Tabla de Contenido
Este laboratorio forma parte de la serie Laboratorios de Hacking: Técnicas y contramedidas. Si aún no tienes el entorno montado, empieza por la primera parte, la instalación de máquinas virtuales: todo lo de este laboratorio se practica en tu propio laboratorio, nunca contra sistemas ajenos sin autorización.
Qué es un ataque por fuerza bruta
La fuerza bruta es el ataque más simple de entender y el más difícil de defender mal configurado: probar combinaciones hasta acertar. Contra una contraseña, eso significa probar, una tras otra, las entradas de un diccionario o todas las combinaciones posibles de caracteres, hasta que el sistema acepta una. No explota un error del programa; explota que la contraseña es predecible o corta.
Hay dos variantes que conviene no confundir. En el ataque en línea, cada intento se envía al servicio (un login web, un SSH, un FTP) y el atacante depende de la velocidad y de los límites que el servicio imponga. En el ataque fuera de línea, el atacante ya tiene el hash de la contraseña —por ejemplo, capturado en una auditoría autorizada— y prueba contra él en su propio equipo, sin tocar más al objetivo y a una velocidad limitada solo por su hardware. La defensa cambia por completo según la variante, y por eso distinguirlas es el primer paso.
Diccionario, híbrido y exhaustivo
- Diccionario: prueba las palabras de una lista (como las del artículo de diccionarios para fuerza bruta). Es rápido y sorprendentemente efectivo, porque la mayoría de las personas elige contraseñas que ya están en alguna lista.
- Híbrido: combina diccionario con reglas: añadir números al final, cambiar letras por símbolos, capitalizar la primera letra. Cubre las variaciones típicas que la gente cree que hacen única su contraseña.
- Exhaustivo (o de fuerza bruta pura): prueba todas las combinaciones posibles de un alfabeto y una longitud. Es el único que garantiza encontrar la contraseña, y también el más lento: cada carácter adicional multiplica el espacio de búsqueda. Con contraseñas largas, deja de ser práctico, y eso es exactamente lo que la defensa busca.
Práctica en el laboratorio
Para practicar, monta en tu laboratorio un servicio con una cuenta de prueba cuya contraseña conozcas —por ejemplo, una palabra del diccionario— y otra con una contraseña larga y aleatoria. Lanza el ataque en línea con una herramienta como Hydra contra tu propio servicio y observa dos cosas: cuánto tarda en caer la primera cuenta, y que la segunda no cae en un tiempo razonable. Ese contraste es toda la lección: la fuerza bruta no rompe contraseñas, rompe contraseñas débiles.
Después, reproduce la variante fuera de línea: genera el hash de ambas contraseñas y atácalas con un diccionario en tu equipo. Verás el mismo patrón, pero a una velocidad mucho mayor, porque ya no hay red ni límites del servicio en medio. De ahí sale la conclusión práctica para el informe: el hash robado es casi tan grave como la contraseña, porque el ataque fuera de línea no se puede bloquear con un límite de intentos.
Contramedidas: qué recomendar en el informe
- Contraseñas largas y únicas: la longitud pesa más que la complejidad aparente. Una frase larga y única por servicio resiste diccionario e híbrido, y hace inviable el exhaustivo.
- Bloqueo y retardo progresivo: limitar intentos y añadir esperas crecientes frena el ataque en línea sin molestar al usuario legítimo que se equivoca una vez.
- Segundo factor (MFA): aunque la contraseña caiga, el segundo factor detiene el acceso. Es la contramedida individual más efectiva contra la fuerza bruta en línea.
- Hashing lento y con sal: del lado del servidor, algoritmos como bcrypt o Argon2 con sal única hacen que cada intento fuera de línea cueste tiempo real, y que un hash robado no se rompa en masa.
- Monitorización: muchos intentos fallidos desde una misma origen son una señal de alerta que debe llegar a alguien, no solo a un log que nadie lee.
La serie continúa con esta idea en cada laboratorio: entender la técnica atacando en tu entorno, y cerrar con la contramedida que recomendarías a un cliente real. La fuerza bruta es el ejemplo más claro de por qué esa estructura funciona: la técnica tiene cien años de historia conceptual, y la defensa sigue siendo la misma, contraseñas que no estén en ningún diccionario y sistemas que no dejen probar sin límite.
