Uno de los métodos más conocidos (y menos efectivo) para recuperar una contraseña es la denominada fuerza bruta. Este método, realiza una comprobación una a una de todas las claves posibles, lo que por norma general (dependiendo de lo bien elegida que esté la contraseña) hace que el proceso tarde demasiado.

Es por esto que siempre se insiste en utilizar letras mayúsculas y minúsculas, cifras y letras, y una longitud de más de 11 carácteres, como mínimo. Por ejemplo, una contraseña con sólo letras minúsculas se tardaría aproximadamente 2.42 días en averiguarse.

Funciones hash

Antes de continuar debemos saber que una función hash no es más que un sistema para obtener una «secuencia» (una cadena de carácteres, un conjunto de números...) que representará de manera única una entidad (un archivo, un documento...).

Así pues, se suele utilizar algoritmos de hash como MD5 o SHA para comprobar la integridad de un fichero.

Salt

Este tipo de algoritmos hash es frecuentemente utilizado en la generación de contraseñas, con un grave error cometido en muchas ocasiones: no añadir «sal» (salt) al hash.

En criptoanálisis se denomina «salt» a un fragmento aleatorio (carácteres, números...) que se le añade al hash obtenido, para conseguir que si dos usuarios generan una misma contraseña, su hash no sea idéntico (lo que podría suponer un problema de seguridad).

Tablas Rainbow

Las tablas rainbow son una estructura de datos (mapas o arrays asociativos, veáse en forma de tabla) que proveen información acerca de la recuperación de contraseñas en texto plano generadas con ciertas funciones hash conocidas.

En esta estrategia de recuperación se sacrifica el espacio en disco duro y memoria a cambio del coste de velocidad (tiempo de ejecución).

Así pues, existen varias tablas rainbow para cada algoritmos (generalmente gigantes, pueden ocupar hasta 40 gigas o más) previamente computadas, y que se utilizan de apoyo para realizar la fuerza bruta de una manera más eficiente y mucho más rápida, reduciendo el tiempo de ejecución considerablemente.

Prevención

Se comenta que una buena táctica para evitar este tipo de ataques es utilizar carácteres de espacio (ASCII 32) en las contraseñas, y evidentemente, utilizar sistemas que añadan «salt» a los hashes. Además, hay muchas otras recomendaciones para elegir tu contraseña.

Enlaces

Algunos enlaces interesantes sobre el tema:

• RainbowCrack: Proyecto de implementación de tablas rainbow para algoritmos como LM, MD5, SHA1 y otros. Contiene un parche para añadir soporte para los algoritmos NTLM, MD2, MD4 y RIPEMD160. Desarrollado por Philippe Oechslin.
• OphCrack: Implementación multiplataforma (Windows, Linux y Mac) para el uso de tablas rainbow. Incluye también un LiveCD (basado en Slax) con herramientas útiles.
• Rainbow Tables SHMoo: Más información y datos acerca de las tablas rainbow, incluyendo algunos torrents para descargar alguna de estas tablas.
• How rainbow tables work: ¿Cómo funcionan las tablas rainbow? Documentación en inglés, acerca de esta estrategia.
• Free Rainbow Tables: Más tablas rainbow para determinados algoritmos.

Mod Security es un módulo para Apache que se encarga de proporcionarle un nivel de seguridad adicional a nuestro servidor web muy potente y personalizable.

Funciona como una barrera entre la red (y/o Internet) y nuestro servidor web, donde mediante un conjunto de reglas podemos establecer una serie de acciones (bloquear, informar en un registro, ignorar, etc...) para eventos de todo tipo.

Es especialmente potente, por tres razones:

Preparación y compilación de mod_security

Antes de comenzar, tenemos que asegurarnos de estar utilizando Apache en su versión 2.x o superior, ya que mod_security2 funciona bajo estas versiones.

Instalación y configuración de modsecurity

Listo. Ya tenemos el ModSecurity eficientemente compilado para nuestra máquina. Sólo nos queda instalarlo.

Es bastante importante seguir las instrucciones anteriores para evitar mensajes de errores como "Invalid command 'SecRuleEngine', perhaps mis-spelled or defined by a module not included in the server configuration" o similares.

Arrancamos de nuevo el servidor Apache con un /etc/init.d/httpd start. Notar que en el paquete de conjunto de reglas de mod_security vienen varios: (configuración base, violaciones de protocolo, políticas HTTP, inyecciones SQL, inyecciones XSS, robots scrappers, etc...), incluir los que el administrador considere necesario, ya que hemos incluído todos los ficheros .conf que tengamos en la carpeta.

Reglas para ModSecurity

Las reglas de este programa son muy potentes y haría falta otro artículo para explicar como construirlas, pero un ejemplo muy básico sería el siguiente:

La directiva SecRule crea una regla que examina las cabeceras, más concretamente la ID del navegador (el User Agent) para comprobar si casa con larbin_2.6.3 (¡Ojo! Esto es una expresión regular). Si es así, avisamos al módulo para que informe en el registro (log) y descarte el acceso (drop).

Por último, si estás interesado en crear tu propio conjunto de reglas, añado algunos enlaces de referencia, ya que si estabas manejando la posibilidad de basarte en los conjutos de reglas por defecto, aviso que las expresiones regulares que utilizan tienen un nivel un poco sofisticado:

Enlaces de interés:

Con asuntos como Website Partnership Enquiry, Advertising Enquiry o Partnership Enquiry se presenta un email que no es más que un nuevo intento de Scam (fraude, estafa) ahora orientado a los bloggers y/o autores de páginas web.

El email puede variar bastante, así como cambiar su remitente, variar a frases como «I am contacting you to discuss the option of purchasing a text link or banner on your website» o similares y mostrar distintas combinaciones de las opciones numeradas, aproximandose a algo como esto:

Hello,

My name is Richard Thompson and I am interested in having a link on your website (emezeta.com).
I will be very thankful to you if you give me some prices for the following ads:

1) text link on your homepage/all pages
2) text box ad 120x60, 125x125 on homepage/all pages
3) banner ad 120x60, 125x125 on homepage
4) banner ad 120x60, 125x125 on all pages

Thank you in advance!
Richard Thompson

Siempre firmado por supuestas personas como Richard Thompson, Aaliyah Fye, Lagina Bennett, Edward Johnson, Pearle Sandford, Daniel Lee, Jason Miller, Anne Elless, George Nelson u otras.

En el caso de responder, el estafador se encarga de efectuar un pago aparentemente real de, por ejemplo, 1000€ cuando la cantidad real que consideraban era menor (por ejemplo 600€). Entonces, realiza un aviso de que su empresa se ha equivocado con el pago, y hace que la víctima efectue una devolución de los 400€ restantes para continuar con la oferta original.

Como siempre, se trata de un sistema de ingenieria social (se aprovecha de la ingenuidad y buena voluntad de las personas) y que para los que no publicitan con empresas extranjeras no surge duda alguna, sin embargo, teniendo en cuenta como profileran estas técnicas, pronto aparecerán sus análogos en nuestro idioma.

¿Que puedo hacer si he perdido el número de serie de mi Windows? ¿O si quiero recuperar la contraseña de mi cuenta de hotmail para Windows Live Messenger? ¿O el password de mi cuenta de correo?

Recuperar la contraseña de Windows y/o Office

Si te encuentras en el caso de que vas a reinstalar Windows, pero no encuentras el serial que utilizaste en la actual versión del sistema operativo, existe una aplicación llamada ProduKey que te ayudará a encontrarla de nuevo.

También podrás ver la información (no sólo del sistema operativo) sino de otros productos de Microsoft como Office, Internet Explorer, Exchange Server, SQL Server... Además de la llave, el programa también te indicará la ID del producto, la carpeta donde está instalado y el Service Pack. En la página se puede elegir entre la versión de 32bits (x86) o de 64bits (x64).

Recuperar la clave del Windows Live Messenger

Muy a menudo también nos olvidamos de la contraseña que teníamos en nuestra cuenta de MSN Messenger, o más bien dicho, Windows Live Messenger. Sólo tenemos que ejecutar la aplicación MessenPass, para ver un listado de las contraseñas utilizadas en ese ordenador o sistema.

Como se puede ver, no sólo muestra cuentas del programa de mensajería de Microsoft, sino además de Yahoo Messenger, Google Talk, ICQ lite, AOL, AIM, Trillian, Miranda y Pidgin (antiguo Gaim).

Recuperar clave de cuenta de correo

¿Que utilizas una clave en tu cuenta de correo y no la recuerdas? No hay problema. Con Mail PassView podrás recuperarla si utilizas programas como Outlook, Thunderbird, IncrediMail, Eudora, Gmail Notifier o similar.

Desgraciadamente, no funciona con cuentas de correo vía web como Hotmail, Yahoo o Gmail. Puedes probar con Protected Storage PassView, en algunos casos con Internet Explorer puede servirte de ayuda. Si utilizas Firefox, en el menú Herramientas / Opciones / Seguridad / Mostrar contraseñas puedes echar un vistazo.

Recuperar otras contraseñas

Si lo que buscas es recuperar otro tipo de passwords no listados anteriormente, puede intentarlo con las siguientes aplicaciones:

• Asterisk Logger: Busca en programas que guardan contraseñas a través de asteriscos (*****) como CuteFTP, VNC... para recuperarlos.
• Dial-up Pass: Recupera contraseñas de conexión telefónica («dial-up» o modems).