¿Qué tan importante son las contraseñas en la actualidad?

Uno de los recursos más importantes en materia de seguridad informática y que nunca cambiará su razón de existencia, son las contraseñas. Se puede discutir su nivel de fortaleza, lo cual a mi criterio en la actualidad esta fortaleza es relativa y para nada garantiza seguridad - esto es motivo para otra "charla" a través de otro post ;D, pero no se puede negar que son necesarias. Las utilizamos cuando entramos a nuestra cuenta de correo, a nuestro perfil de la red social que más nos gusta y cuando entramos a la página web de nuestro banco favorito para mirar nuestro estado de cuenta.

Hace un tiempo escribí un artículo para una de las ediciones del newsletter de InfoSecurity; que intenta expresar qué tan importante son, precisamente, las contraseñas:

Contraseñas siglo XXI ¿Qué tan importante son en la actualidad?

Uno de los esquemas de seguridad más antiguos y convencionales para proteger cualquier tipo de información lo constituyen las contraseñas.

Contexto

La natural evolución de las tecnologías informáticas y en pleno siglo XXI, es lógico preguntarse qué tan importante son en la actualidad como mecanismo de seguridad tendiente a proteger recursos y servicios dentro de cualquier entorno de información. Lo cierto es que, a priori, las contraseñas son de suma importancia para evitar que personas no autorizadas accedan a esos recursos y/o servicios que se intentan proteger mediante la confección de ese conjunto de caracteres que, en definitiva, su longitud y tipos de caracteres empleados, establecerán su grado de robustez.

En este sentido y a pesar de existir la posibilidad de crear una combinación lo suficientemente robusta, los ciber-delincuentes siguen alimentando su economía clandestina a través de acciones fraudulentas que buscan robar datos sensibles de los usuarios, generalmente asociada a procesos de autenticación contra: Webmail, redes sociales, servicios de Cloud Computing, Home-Banking, entre muchos otros.

Por otro lado, no es novedad alguna leer o escuchar que los usuarios juegan un rol importante al momento de pensar de qué manera, cómo y bajo qué parámetros generar las contraseñas. Siendo habitual descuidar los aspectos de seguridad y utilizar contraseñas triviales y, además, emplear la misma para acceder a varios servicios.

En consecuencia, el impacto que tienen las contraseñas contra nuestra información es alto. Pero la seguridad de esa información que intentamos proteger mediante la contraseña, no pasa solamente en torno a la robustez de esta, sino que también a aspectos subyacentes como por ejemplo: los delincuentes informáticos.

El factor contraseña

Los ciber-delincuentes disponen de toda una importante batería de recursos delictivos y maniobras basadas en ingeniería social que atentan contra nuestra seguridad y que permiten romper los esquemas de seguridad accediendo al sistema víctima de una manera no convencional, es decir, saltando ese esquema de autenticación donde el factor “contraseña” es de suma importancia, como es el caso, por ejemplo, de los códigos maliciosos del tipo backdoor.

En la imagen se muestra un ejemplo del archivo de registro (log) de una botnet llamada Carberp, con la información de autenticación para diferentes sitios:

Otra maniobra popular en la comunidad delictiva son las clonaciones de páginas web, una metodología empleada para ataques de Phishing, mediante la cual los atacantes logran que, de forma voluntaria, los usuarios pongan a su disposición los datos de autenticación a determinados servicios que se ofrecen a través de internet y de amplia utilización por los usuarios de todo el mundo.

La siguiente imagen muestra un ataque trivial de este estilo mediante el cual los atacantes roban los datos de autenticación, en este caso, de acceso a Facebook:

Otro ataque “silencioso” que deja en evidencia lo anteriormente mencionado, son los ataques de pharming local. Este ataque consiste básicamente en la modificación maliciosa, por parte de códigos maliciosos, de un archivo llamado Hosts, que se encuentra en absolutamente todos los sistemas operativos, permitiendo al atacante redireccionar el tráfico web de forma arbitraria hacía, por ejemplo, una clonación de la página web de acceso al Home-Banking, con el consecuente riesgo de seguridad que esto implica para la potencial víctima.

En la imagen se muestra un archivo Host modificado para atacar a los usuarios de determinadas entidades bancarias.

A pesar de la trivialidad de este tipo de ataque, cabe señalar que en Latinoamérica, poseen un preocupante nivel de éxito; sobre todo, si se considera que al no constituir un archivo malicioso, los programas antivirus no buscan su detección y por ende, el ataque puede pasar completamente desapercibido por mucho tiempo, aún, cambiando periódicamente la contraseña, ya que cada vez que el usuario acceda al dominio especificado y asociado con una dirección IP que aloja el contenido malicioso, sea cual sea la contraseña y su nivel de fortaleza, será obtenida por el atacante.

Algunos tips

Entonces, no está demás prestar atención a los siguientes cuatro “tips” de seguridad “extras”. Puntos relevantes relacionados directamente con la generación de contraseñas:

• Evitar conformarlas en base a un solo tipo de caracteres. Por ejemplo, únicamente caracteres numéricos. Siempre es conveniente combinar diferentes caracteres (números, letras y símbolos).
• Evitar definirlas con palabras predecibles y/o relacionadas a uno mismo (nombres, fechas particulares, etc.).
• Respecto a los factores a considerar que guardan relación indirectamente, pero no por ello menos importantes:
• Verificar periódicamente la información grabada en el archivo Host, para evitar ataques de pharming local.
• Verificar el dominio antes de escribir datos sensibles en páginas web que lo requiera. Siempre es conveniente verificar la existencia de los protocolos de cifrado SSL/TLS (https).

En definitiva, atender a ciertas reglas básicas de prevención permitirá conservar no solo la salud de las contraseñas, sino que también la confidencialidad de la información; ya que una parte fundamental en torno a prevención depende, en gran medida, en la implementación de buenas contraseñas, pero además, no descansar la seguridad sólo en ello también forma parte del mismo proceso.

Abrazo!

Ver más