Ataques y Seguridad de Contraseñas

Ataques de contraseñas

• Un atacante puede comparar una contraseña hash capturada con una que está en la tabla para descubrir la contraseña en texto plano.
• Este tipo de ataque es más rápido que un ataque de diccionario o de fuerza bruta.
• Las herramientas de prueba de contraseñas pueden realizar ataques de diccionario o de fuerza bruta para detectar contraseñas débiles.
• Las mismas herramientas que los atacantes utilizan para romper una contraseña, pueden utilizarse por un administrador de red para verificar su fortaleza.
• La mayoría de las herramientas de seguridad tienen esta naturaleza dual; pueden ser utilizadas tanto por profesionales de seguridad como por personal de TI.
• Nunca se debe intentar probar (romper) las contraseñas de los empleados sin la aprobación de la gerencia.

Hashing y encriptación de contraseñas

• La mayoría de los sistemas utilizan algoritmos de hash (como MD5 o SHA) para asegurar que las contraseñas no se envíen en texto plano.
• Los sistemas biométricos utilizan atributos físicos (como el iris, la retina o la huella digital) para la autenticación.
• Los sistemas biométricos se dividen en dos categorías: fisiológicos y conductuales.

Sistemas biométricos

• Fisiológico: se basa en atributos físicos únicos de cada persona.
• Conductual: se basa en la manera única en que una persona realiza una acción.
• Los sistemas biométricos escanean un atributo fisiológico o conductual y lo comparan con un registro creado previamente.
• Un error de Tipo I (tasa de rechazo falso) es cuando el sistema rechaza a un individuo autorizado.
• Un error de Tipo II (tasa de aceptación falsa) es cuando el sistema acepta a un impostor.
• La tasa de error de cruce (CER) es un indicador importante para comparar diferentes sistemas biométricos. Es el punto en el que la FRR es igual a la FAR.
• Algunos sistemas biométricos verifican la pulsación o el calor de una parte del cuerpo para asegurarse de que está viva.

Autenticación basada en la posesión

• La autenticación se basa en algo que el sujeto tiene (físico o lógico).
• Puede ser un dispositivo como un teléfono, una tarjeta de identificación o incluso un dispositivo implantado.
• También puede ser una clave criptográfica, como una clave privada en una infraestructura de clave pública (PKI).
• El acceso al token a veces está protegido por otro proceso de autenticación (por ejemplo, desbloquear el teléfono para acceder a un generador de tokens basado en software).

Contraseña de un solo uso (OTP)

• Una OTP es una contraseña dinámica válida solo una vez.
• La contraseña es generada por un dispositivo token, que es algo que la persona posee.
• Las OTP se implementan comúnmente en tres formatos: dispositivos físicos dedicados, aplicaciones de teléfonos inteligentes y servicios que envían SMS.
• La clave privada es mantenida en secreto y nunca se debe compartir.
• El servidor de autenticación utiliza la clave pública del usuario para encriptar un desafío y enviarlo al usuario.
• Solo la persona que posee la clave privada correspondiente podrá descifrarlo y responder.

Tarjetas de memoria

• Las tarjetas de memoria no pueden procesar información, solo almacenarla.
• Las tarjetas inteligentes pueden procesar información almacenada.
• Las tarjetas de memoria pueden contener información de autenticación del usuario para que solo tenga que introducir un ID de usuario o PIN.
• Un ejemplo de tarjeta de memoria es una tarjeta de acceso que se usa para ingresar a un edificio.
• Las tarjetas de memoria también pueden contener información de identificación que es extraída por un lector.

Administración de usuarios

• Es la creación, mantenimiento y desactivación de objetos y atributos de usuario en uno o más sistemas, directorios o aplicaciones.
• El software de administración de usuarios puede incluir cambio de propagación, flujo de trabajo de autoservicio, administración de usuarios consolidada, administración de usuarios delegada y control de cambios federados.
• El sistema de registro autoritario (ASOR) es el lugar donde se origina y se mantiene la información de identidad.
• El ASOR debe contener el nombre del sujeto, las cuentas asociadas, el historial de autorización por cuenta y los detalles de provisión.

Provisionamiento de usuarios

• Las organizaciones necesitan una forma automatizada y confiable de detectar y gestionar los cambios inusuales o sospechosos en las cuentas de usuario.
• El ASOR debe contener el nombre del sujeto, las cuentas asociadas, el historial de autorización por cuenta y los detalles de provisión.
• Los objetos de usuario pueden representar empleados, contratistas, proveedores, socios, clientes u otros receptores de un servicio.