¿Qué es el descifrado de contraseñas?

Actualizado el 14 de noviembre de 2022.

El descifrado de contraseñas consiste en utilizar programas y herramientas para recuperar contraseñas almacenadas en un sistema informático o enviadas a través de una red. Descifrar una contraseña puede parecer una tarea casi imposible, pero le sorprendería lo fácil que puede ser. Siga leyendo para ver cómo funciona el descifrado de contraseñas, las técnicas utilizadas y cómo protegerse.

Cómo funciona el descifrado de contraseñas

Existen muchos programas de descifrado de contraseñas en el mercado, cada uno con su propia fórmula, pero todos básicamente hacen una de las dos acciones que se indican a continuación: crear variaciones de un diccionario de contraseñas comúnmente conocidas o probar con todas las combinaciones posibles recurriendo al método denominado ataque de fuerza bruta.

Es importante que seamos conscientes desde el principio de que los descifradores de contraseñas profesionales no pretenden iniciar sesión en su cuenta de PayPal. Para empezar, el proceso es largo y la mayoría de los servicios bloquearán los intentos de inicio de sesión reiterados. Por eso, los profesionales trabajan con archivos de contraseñas que descargan de los servidores vulnerados. En esos archivos de contraseñas se almacena la información esencial que usted necesita durante el inicio de sesión; por ejemplo, la información de su cuenta. Hay que señalar que es relativamente fácil acceder a estos archivos desde la raíz de la mayoría de los sistemas operativos de servidores o cuando dichos archivos se guardan en aplicaciones individuales. Los archivos podrían estar protegidos con algoritmos de cifrado poco seguros, que no constituyen un gran obstáculo para un cibercriminal con suficiente determinación.

Una vez que los criminales obtienen una lista de contraseñas, pueden realizar tantos intentos como deseen para descifrarlas. Por lo general, el objetivo que tienen no es descifrar una contraseña concreta, sino que consiste en ejecutar pruebas con todo el archivo, alcanzando sus objetivos uno a uno. El hardware de gráficos moderno permite que el proceso sea tremendamente rápido. Por ejemplo, algunos productos comerciales pueden hacer pruebas con miles de millones de contraseñas por segundo en un ordenador de sobremesa estándar que tenga un procesador gráfico potente.

Técnicas de descifrado de contraseñas

A continuación analizaremos dos de las técnicas más comunes de descifrado de contraseñas.

Descifrado con diccionario

El descifrado con diccionario es una técnica que utiliza listas de contraseñas conocidas, sustitución de palabras de la lista y comprobación de patrones para encontrar contraseñas que se usan habitualmente. No es nada difícil encontrar listas de contraseñas vulneradas. Algunos sitios web las publican. Además, esas listas están disponibles en la dark web a un precio más que asequible.

Tras descifrar el archivo de contraseñas, un ataque de diccionario utiliza cadenas y variaciones de texto para ejecutar pruebas con distintas combinaciones. Por ejemplo, muchas personas añaden números a sus nombres o nombres de usuario, que pueden almacenarse como texto sin formato. Si un usuario llamado Roberto tiene la contraseña «Roberto123», un ataque de diccionario lo averiguará en cuestión de segundos. Lo que hace el software es repetir por ciclos todas las combinaciones posibles para detectar las que funcionan.

Si existe algún tipo de información sobre las personas que figuran en la base de datos, la tarea será aún más fácil. Por ejemplo, las personas suelen utilizar como contraseñas los nombres de sus hijos, las direcciones, los números de teléfono, los equipos deportivos y fechas de nacimiento, ya sea de forma independiente o en combinación con otros caracteres. Dado que la mayoría de las personas añaden caracteres al final de la contraseña, los descifradores que utilizan diccionarios lo tienen fácil para repetir en ciclos todas las posibilidades con mayor probabilidad.

Las redes sociales son un verdadero paraíso para los atacantes. Las personas publican sin más información personal en sus perfiles o escriben varios tuits de forma reiterada sobre los equipos deportivos o los famosos a los que siguen. Son formas naturales que los descifradores de contraseñas con diccionarios no desaprovecharán.

Descifrado con fuerza bruta

El descifrado con fuerza bruta es exactamente lo que dice: una técnica para exponer esas contraseñas que resisten a ser descubiertas con la ayuda de un diccionario. Los actuales procesadores multinúcleo y las unidades de procesamiento gráfico han convertido las tácticas de fuerza bruta en algo más práctico de lo que solían ser.

Equipos que podrían costar menos de 1000 euros permiten ejecutar pruebas con miles de millones de contraseñas por segundo. Las contraseñas cortas son más fáciles de adivinar, por lo que los atacantes hacen uso de tácticas de fuerza bruta para descifrar las contraseñas de cinco y seis caracteres que no sucumbieron al método del diccionario; un proceso que podría llevar unas horas.

En el caso de contraseñas más largas, se podrían combinar las técnicas de fuerza bruta con las de diccionario para limitar la dimensión de las posibles combinaciones. Algunos programas de descifrado con fuerza bruta también utilizan tablas arcoíris que consisten en unas listas de códigos conocidos y que a veces podrían resultar útiles a la hora de aplicar ingeniería inversa a textos cifrados.

¿El descifrado de contraseñas es ilegal?

El uso del descifrado para sus propias contraseñas no es ilegal si trabaja con datos locales que obran en su poder, tiene el permiso del propietario legítimo, actúa como agente de autoridad y acata la normativa legal aplicable. Por otro lado, descifrar contraseñas de otras personas podría ser ilegal, aunque podríamos decir que está en tierra de nadie.

Los programas de descifrado de contraseñas tampoco son ilegales porque existen razones perfectamente válidas y legales para utilizarlos. Los profesionales de la seguridad hacen uso de dichas herramientas para comprobar la eficacia de sus propias contraseñas y las fuerzas y cuerpos de seguridad utilizan ampliamente los programas para descifrar contraseñas para combatir la delincuencia. Al igual que con cualquier otra tecnología, estas herramientas podrían utilizarse tanto para delinquir como para fines legítimos.

Obtenga protección contra el descifrado de contraseñas

El mayor problema con la protección de contraseñas es que muchas personas no utilizan contraseñas seguras. Cuando se trata de crear contraseñas, las contraseñas más largas son más difíciles de descifrar que las cortas y las contraseñas que contienen combinaciones aleatorias de caracteres son más seguras que las que siguen patrones conocidos. Se considera que una contraseña de 13 dígitos que combine caracteres alfanuméricos y signos de puntuación es prácticamente indescifrable con la tecnología actual.

Lamentablemente, pocas personas pueden recordar una cadena de caracteres aleatoria de 13 dígitos, y mucho menos varias cadenas para diferentes inicios de sesión. Pero es igualmente desafortunado (desde punto de vista de la seguridad) que los ordenadores sean cada vez más rápidos y que descifren contraseñas con una mayor facilidad. Hace cinco años, una contraseña de 8 dígitos se consideraba segura. Pasarán cinco años y 18 dígitos podrán ser insuficientes.

Y es aquí donde una solución de gestión de contraseñas nos puede ayudar. Los programas de gestión de contraseñas como Keeper permiten almacenar contraseñas, archivos y mucho más. Keeper también puede generar nuevas contraseñas únicas y seguras, y las puede almacenar en su cofre. Una vez almacenadas en su cofre, sus contraseñas estarán protegidas y la única forma de acceder a ellas será con su contraseña maestra. Los programas de gestión de contraseñas también pueden protegerse mediante la autenticación de dos factores (2FA) (método que es considerado casi impenetrable en cualquier contexto), por lo que se recomienda encarecidamente implementarla.

Protéjase contra el descifrado de contraseñas: inicie su prueba gratuita de Keeper hoy mismo.