1. MDULO 3: COMUNICACIONES CRTICAS E IDENTIFICACIN EN ENTORNOS DE ALTA SEGURIDAD. MECANISMOS DE AUTENTICACIN- IDENTIFICACIN. VULNERACIN Y CRACKING DE CONTRASEAS ALEJANDRO RAMOS SEPTIEMBRE 2013 WWW.SECURITYBYDEFAULT.COM

2. CONCURSOS 3. MORRIS WORM 3 Mtodos de ataque: Contrasea = usuario, contrasea= usuariousuario y contrasea = emanresu Diccionario de palabras Usar diccionario del propio sistema cracksome.c /* Check for 'username', 'usernameusername' and 'emanresu' as passwds. */ char *wds[] = { "academia", "aerobics", "airplane", "albany", "albatross", "albert", "alex", "alexander", "algebra", "aliases", "alphabet", x27f30 = fopen(XS("/usr/dict/words"), XS("r")); 4. PROBLEMAS DE USUARIOS EN 2013? Estudio de polticas de contraseas Nuevas tcnicas: Usos distribuidos GPGPU La nube, servidores en Internet Una contrasea suele ser vlida para varios sitios un anillo para gobernarlos a todos Para qu ASLR, DEP, IPS, Antivirus, proxies si la contrasea es el nombre de la compaa Because There Is No Patch To Human Stupidity 5. CONCURSOS ACTUALES http://contest-2013.korelogic.com/ 6. CONFERENCIAS ESPECFICAS http://passwordscon.org/ 7. INCIDENTES ROCKYOU Contrasea Num 123456 290729 12345 79076 123456789 76786 password 59462 iloveyou 49952 princess 33291 1234567 21725 rockyou 20901 12345678 20553 abc123 16648 Diciembre 2009 Obtenidas mediante SQL Injection 32.603.387 usuarios 14.344.391 contraseas Contraseas en texto plano Diccionario de gran utilidad 8. INCIDENTES SINGLES.ORG Contrasea Num 123456 221 jesus 63 password 58 12345679 46 christ 36 love 29 princess 27 jesus1 25 sushine 24 1234567 23 Red social de citas para religiosos (?) Acceso al perfil del usuario con su ID de 6 dgitos En el perfil se muestra la contrasea. 16.250 usuarios 12.234 contraseas 9. INCIDENTES ROOTKIT Contrasea Num 123456 1023 password 384 rootkit 329 111111 190 12345678 181 qwerty 174 123456789 170 123123 99 qwertyui 91 12345 89 Portal de RCE Ingeniera social con el incidente HBGary 81.450 usuarios 58,675 contraseas distintas 54,372 encontradas (93%) 4,303 Pendientes 10. INCIDENTES GAWKER Contrasea Num 123456 4162 password 3332 12345678 1444 lifehack 861 qwerty 765 abc123 529 12345 503 monkey 471 111111 439 12345 410 Sin detalles del ataque Lifehacker / Gizmodo 748.557 usuarios / hashes DES, salt (8 caracteres max) Muchas pass son HEX (spam) 674,690 encontrados (91%) 11. GAWKER NO-LATIN http://seclists.org/bugtraq/2010/Feb/5 12. LINKEDIN 13. FUNCIONES DE HASH O RESUMEN Resumen un conjunto de elementos en una cadena de bytes. No son reversibles. Dado el resultado no se debe poder obtener el conjunto de elementos. Es comn su aplicacin para comprobar la integridad ficheros o el almacenamiento de contraseas. Gato Perro Cocodrilo Funcin hash Funcin hash Funcin hash D4F6AA C2E6B1 DDA90E 14. CONTRASEAS EN APPS WEB Las contraseas se suelen almacenar de forma segura en las aplicaciones web El mtodo ms comn es utilizar funciones de hash Ejemplos MD5, MD5, SHA1, SHA256 En ocasiones se guardan en texto claro :-( En ocasiones se almacenan usando semillas. Registro en web Contrasea hola 4d186321c1a7f0f354b297e8914a b240 Acceso: Contrasea: hola 4d186321c1a7f0f354b 297e8914ab240 md5(hola) md5(hola) 15. FUNCIONES DE HASH CON SEMILLA Al conjunto de elementos se le aade un texto al azar El texto al azar es escogido en el momento de la creacin y almacenado junto al resultado de la funcin Evita que dos conjuntos de elementos tengan el mismo resultado Gato Gato Gato Funcin hash Funcin hash Funcin hash Df,BA6D3E G3,98H7E1 Z7,A8D48C Df$gGato G3$Gato Z7$Gato 16. CONTRASEAS EN SSOO Los algoritmos ms comunes son: NTLM, 3DES, SHA1, SHA256, SHA512 con semilla. La semilla es una cadena de caracteres generada aleatoriamente. Tambin en aplicaciones web Crear nueva contrasea Contrasea adios DzdFz,0edfd414c0ea0c7e8ff934 33673 Acceso: Contrasea: adios 0edfd414c0ea0c7e8f f93433673 sha512(DzdFz,a dios) sha512(DzdFz,a dios) 17. TIPOS DE ATAQUE Si el algoritmo no es reversible existen varios tipos de ataque: por diccionario, por fuerza bruta o tablas precomputadas. 1. Fuerza bruta: se generan todas las posibles palabras de un determinado juego de caracteres. Ejemplo: [a-z]{1,8} [aA-zZ]{1,10} 2. Por diccionario: se utiliza una lista de palabras 3. Tablas precomputadas: dado un juego de caracteres, se crea un conjunto de ficheros en los que consultar un hash. 18. DICCIONARIOS Fichero con una lista de palabras que son contraseas comunes: 123456 password . Uso de diccionarios creados a medida: Navegacin y creacin de listas en base a la web Palabras del mismo entorno, sector, etc http://www.digininja.org/projects/cewl.php Sitios hackeados anteriormente Uso de diccionarios de nombres de usuario (como facebook) 19. CREAR UN DICCIONARIO. EJEMPLO: IMDB Ttulos de pelculas: $ wget ftp://ftp.fu- berlin.de/pub/misc/movies/database/movies.list.gz $ zcat movies.list.gz | sed -e 's|(.*||g' > movies.dict $ sort R movies.dict |head -1 movies.dict Magic in the Sky $ zcat movies.list.gz | sed -e 's|(.*||g' -e 's/.*|1|g done for pass in password 123456; do for i in `cat USUARIOSOBAMA`; do echo -n $i:$pass curl -c digg.txt -s -L -D - -d "username=$i&password=123456&persistent=on" 'http://digg.com/login/prepare/digg'| grep -Ei "D.meta.user.loggedIn|incorrect"; done done |tee -a passwd2.digg 44. DIGG.COM http://www.enriquedans.com/2009/04/digg-0wned.html 45. PASSWORD CRACKING 46. INTRODUCCIN Dado una cadena de texto cifrada o una funcin de resumen, se trata de obtener el texto que la produce: la contrasea. Ataque offline: no se ejecuta contra un servicio Se lleva a cabo en: Ficheros de contraseas de sistemas operativos y aplicaciones (NTLM, SHA, Oracle, SQL Server, LDAP, Cisco, etc) Ficheros ofimticos (zip, office, pdf, etc) Funciones de resumen: aplicaciones web, WPA, EFS 47. FICHEROS DE CONTRASEAS COMUNES Unix: Linux, Solaris:/etc/passwd, /etc/shadow AIX /etc/security/passwd HPUX: /tcb/files/auth/* Funciones de resumen: 3Des MD5 - $1$ BSDi - DES extendido - _ SHA256, SHA512 - $5$ $6$ Windows C:windowssystem32configSAM LANMAN (no en 2008, vista y win7) NT Hash 48. VOLCADO DE CONTRASEAS Unix/Linux Volcado de fichero (se requiere root) Ficheros core Windows Herramientas tipo pwdump/hashdump (requieren administrador) Aplicaciones web vulnerables SQL Injections Command Execution, LFI, etc Protocolos: Capturas de red Ficheros de configuracin 49. VOLCADO DE FICHERO SAM :::::: Administrator:500:cb5f77772e5178b77b9fbd79429286db:b78fe104983b5c754a27c1784544fda7::: Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: rAWjAW:1003:aad3b435b51404eeaad3b435b51404ee:117a2f6059824c686e7a16a137768a20::: rAWjAW2:1004:e52cac67419a9a224a3b108f3fa6cb6d:8846f7eaee8fb117ad06bdd830b7586c::: Administrator:500:NO PASSWORD*********************:C2DDC6E8F19AD9212F9DE3CDD7CED452::: Adminss:1019:NO PASSWORD*********************:5CEC01E98616554A67B388B44B33B4FF::: ASPNET:1018:NO PASSWORD*********************:B3972D81B72D1CE5ED836D40C5FDE207::: berlhw:1021:NO PASSWORD*********************:40925983E156C0386D8D6323B3793F60::: LM Deshabilitado: 50. LM Y NTLM LM est habilitado hasta Vista/2008 por compatibilidad. Contraseas mximas de 14 caracteres. El hash est compuesto por dos mitades de 7 bytes cada una, y se rellena con bytes null hasta llegar a ese tamao. Si el hash acaba en AAD3B435B51404EE, es que la contrasea ocupa menos de 8 caracteres. Se convierte a mayscula. Se usa una constante KGS!@#$% para cifrar Junto a WEP, es un buen ejemplo de como no hacer las cosas. NTLMv1 y NTLMv2 se considera igualmente inseguro Ataques de tipo replay 51. L0PHTCRACK http://www.l0phtcrack.com/ Inicialmente hecha por grupo de hackers l0pht Herramienta comercial para romper hashes, en especial LM/NTLM De las primeras que se crearon para este propsito. 52. /ETC/PASSWD Y /ETC/SHADOW /etc/passwd: root:x:0:0:root:/root:/bin/bash Usuario, contrasea, UID, GUID, Desc, home, Shell /etc/shadow root:$1$f6DDDbz$pdfzVKQGN/:14828:0:99999:7::: Usuario Contrasea cifrada Fecha modificacin contrasea, Mnimos das antes de que se le cambiar la contrasea Mximos das para cambiar la contrasea, da siguiente, se le solicitar cambio Das previos al mximo que ser avisado el usuario Das mximos que una contrasea expirada ser vlida Fecha de expiracin 53. FUNCIONES DE RESUMEN EN APLICACIONES WEB Histricamente se ha usado MD5 o incluso texto plano Tambin dobles hashes del estilo md5(md5($password)). Prcticamente igual de inseguros. En la actualidad los principales productos opensource (Wordpress, Drupal, Joomla) soportan hashes fuertes: phpass, bcrypt, scrypt. Nunca se debe tratar de disear una nueva funcin de hash. 54. VELOCIDAD DE PASSWORD CRACKING Oclhashcat-plus PC3: Ubuntu 12.04.1, 64 bit, Catalyst 13.1 1x AMD hd6990 NTLM 9.096.000.000 MD5 6.956.000.000 SHA1 3.081.000.000 SHA256 1.101.000.000 SHA512 152.000.000 LM 992.000.000 phpass $P$ 308.700.000 descrypt 7.894.100.000 md5crypt $1$ 503.300.000 bcrypt $2a$ 3.877 sha512crypt $6$ 18.536 Password Safe (SHA-256) 60.800.000 IKE-PSK (MD5) 324.000.000 Oracle (DES) 167.000.000 DCC (MD4) 5.194.000.000 Joomla (MD5) 6.188.000.000 MSSQL (SHA1) 2.730.000.000 WPA/WPA2 (PBKDF2) 18.400.000 http://hashcat.net/oclhashcat-plus/ 55. JOHN THE RIPPER Multiplataforma: Windows, Linux, etc Soporte de cifrados: Lanman, NT Hash, NTLMv1, Kerberos, MySQL, MD5, 3Des, Netscape LDAP, etc Configuracin: john.ini / john.conf Mucho de su potencial en el jumbo patch Modos de uso: Single Diccionario Incremental Externo 56. JOHN THE RIPPER, EJEMPLO 57. HASHCAT Herramienta gratuita pero no opensource Multiplataforma: Windows, Linux Soporta ms de 85 cifrados distintos. Varios ataques: Straight, Combination, Toggle-Case, Brute-Force, Permutation, Table-Lookup MD5 md5($salt.md5($pass.$salt)) OS X v10.8 HMAC-SHA256(key = $pass) md5($pass.$salt) md5($username.0.$pass) GRUB 2 HMAC-SHA256(key = $salt) md5($salt.$pass) md5(strtoupper(md5($pass))) IPMI2 RAKP HMAC-SHA1 md5apr1, MD5(APR), Apache MD5 md5(unicode($pass).$salt) md5(sha1($pass)) Plaintext SHA512 md5($salt.unicode($pass)) sha1(sha1($pass)) Joomla sha512($pass.$salt) HMAC-MD5(key = $pass) sha1(sha1(sha1($pass))) osCommerce, xt:Commerce sha512($salt.$pass) HMAC-MD5(key = $salt) sha1(md5($pass)) nsldap, SHA-1(Base64), Netscape LDAP SHA HMAC-SHA512(key = $pass) SHA1 MD5(Chap) nsldaps, SSHA-1(Base64), Netscape LDAP SSHA HMAC-SHA512(key = $salt) sha1($pass.$salt) SHA-3(Keccak) Oracle 11g SHA-512(Unix) sha1($salt.$pass) Half MD5 SMF > v1.1 Cisco-PIX MD5 sha1(unicode($pass).$salt) Password Safe SHA-256 OS X v10.4, v10.5, v10.6 WPA/WPA2 sha1($salt.unicode($pass)) IKE-PSK MD5 MSSQL(2000) Double MD5 HMAC-SHA1 (key = $pass) IKE-PSK SHA1 MSSQL(2005) bcrypt, Blowfish(OpenBSD) HMAC-SHA1 (key = $salt) NetNTLMv1-VANILLA / NetNTLMv1+ESS EPiServer 6.x MD5(Sun) MySQL NetNTLMv2 OS X v10.7 md5(md5(md5($pass))) MySQL4.1/MySQL5 Cisco-IOS SHA256 MSSQL 2012 md5(md5($salt).$pass) phpass, MD5(Wordpress), MD5(phpBB3) AIX {smd5} vBulletin < v3.8.5 md5($salt.md5($pass)) md5crypt, MD5(Unix), FreeBSD MD5, Cisco-IOS MD5 AIX {ssha256} vBulletin > v3.8.5 md5($pass.md5($salt)) SHA-1(Django) AIX {ssha512} IPB2+, MyBB1.2+ md5($salt.$pass.$salt) MD4 AIX {ssha1} WebEdition CMS md5(md5($pass).md5($salt)) NTLM Samsung Android Password/PIN sha256($pass.$salt) md5($salt.md5($salt.$pass)) Domain Cached Credentials, mscash GOST, GOST R 34.11-94 sha256($pass.$salt) sha256($salt.$pass) SHA256 Fortigate (FortiOS) 58. ATAQUES HASHCAT Brute-Force: prueba todo el conjunto de posibilidades. Dictionary: usa una lista de palabras Combination: mezcla palabras de un mismo diccionario crendolas compuestas. Fingerprint: descompone un diccionario creando nuevas palabras. Mask: usa mscaras del tipo ?l?l?l?d?s ([a-z][a-z][a-z][0-9][special] Hybrid: diccionario + mascras Permutation: combina letras de cada palabra de un diccionario Rule-based: basado en reglas, modifica palabras. Table-Lookup: modifica diccionarios basados en una tabla Toggle-Case: sustituye de un diccionario creando letras mayusculas 59. CAIN & ABEL Conjunto de herramientas para Windows con seccin de contraseas Muchos algoritmos soportados Lento Cisco-IOS Type-5 enable passwords MS-Kerberos5 Pre-Auth WPA-PSK-AUTH Cisco PIX enable passwords RADIUS Shared Secrets CHAP-MD5 APOP-MD5 IKE Pre-Shared Keys MS-CHAPv1 CRAM-MD5 Microsoft SQL Server 2000 MS-CHAPv2. LM Microsoft SQL Server 2005 OSPF-MD5 LM + Challenge Oracle VRRP-HMAC-96 NTLM Oracle-TNS-DES VNC-3DES NTLM + Challenge Oracle-TNS-3DES MySQLSHA1 NTLM Session Security Oracle-TNS-AES128 SIP-MD5 NTLMv2 Oracle-TNS-AES192 WPA-PSK RIPv2-MD5 MySQL323 60. CAIN & ABEL 61. FICHEROS CON CONTRASEAS Contraseas en ficheros ofimticos: Comprimidos: ZIP, RAR OFFICE: XLS, DOC, PPT, XLSX, DOCX, PPTX, etc PDF Ficheros de correo: PST, Lotus Otros ficheros o hashes como EFS, WPA/PSK Gran soporte en herramientas comerciales GPU Distribuido. Pocas y no avanzadas herramientas gratuitas/opensource. 62. MODELOS DISTRIBUIDOS Algunas herramientas disponen la capacidad para distribuir la carga entre varios sistemas haciendo uso de sus recursos: John the ripper Elcomsoft hashcat 63. RAINBOW TABLES Ataque denominado Time-Memory Trade-Off Se almacenan TODAS las posibles contraseas con una tcnica de resumen en disco duro para luego consultarlas. El tiempo de generarlas es largo pero el rendimiento y efectividad posterior muy alto 64. TAMAO EN DISCO Rainbow table "lm_ascii-32-65-123-4#1-7 Size: 32 GB Success rate: 99.9% Password charset: space and !"#$%&'()*+,- ./0123456789:;?@ABCDEFGHIJKLMNOPQRSTUVWXYZ[]^_`abcdefghij klmnopqrstuvwxyz{|}~ Rainbow table "ntlm_numeric#1-12 Size: 8.75 GB Password charset: 0123456789 Rainbow table "ntlm_mixalpha-numeric#1-8" Password charset: abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456 789 Size: 80 GB 65. HERRAMIENTAS Existen distintos formatos y herramientas de tablas Rainbow RainbowCrack original RT y con compresin RTC Ophcrack: bin/index/start FreeRainbow Tables: RTI2 Cryptohaze (gpu) Algunas herramientas permiten la bsqueda usando GPU (no la generacin) Generalmente el cuello de botella est en la lectura a disco 66. OBTENCIN DE TABLAS RAINBOW Generarlas: rtgen: http://project-rainbowcrack.com/ Cain&Abel (winrtgen): http://www.oxid.it Precomp (Ophcrack): http://ophcrack.sourceforge.net/ Descargarlas Free Rainbow Tables: http://www.freerainbowtables.com/ Shmoo group: http://rainbowtables.shmoo.com/ Ophcrack: http://ophcrack.sourceforge.net/ Online http://passcracking.com/ http://md5pass.info/add.php 67. EJEMPLO OPHCRACK Descargar desde: http://secby.me/hX5sDg 68. INTRODUCCIN GPU/GPGPU Se usa la potencia de la GPU (graphics processing unit) o GPGPU (general purpose graphics processing unit) para hacer clculos ms rpidamente. Una GPU/GPGPU tiene centenares de procesadores que multiplican el rendimiento 69. HERRAMIENTAS GRATUITAS (GPU) OclHashcat, oclhashcat+, oclhashcat-lite http://www.hashcat.net IGHASHGPU http://www.golubev.com/hashgpu.htm BarsWF http://3.14.by/en/md5 Whitepixel http://whitepixel.zorinaq.com/ Hashkill http://www.gat3way.eu/hashkill/index.php 70. OCLHASHCAT+ Y OCLHASHCAT-LITE Oclhashcat-lite Centrado en ser el ms rpido analizando un nico hash Menos algoritmos No soporta distintos ataques, solo mscaras. Optimizado y el ms rpido para: NTLM, MD5, SHA1, SHA256 y descrypt Oclhashcat-plus Soporta ms algoritmos (+30) Distintos ataques: Straight, Combination, Brute-force, Hybrid dict + mask y Hybrid mask + dict El ms rpido para: md5crypt, phpass, mscash2 and WPA / WPA2 cracker 71. HERRAMIENTAS COMERCIALES ElcomSoft: http://www.elcomsoft.es/products.html InsidePro: http://www.insidepro.com/eng/passwordspro.shtml AccentSoft: http://www.accentsoft.com/ Passware: http://www.lostpassword.com/hardware- acceleration.htm Passcovery Suite: http://gpupasswordrecovery.net/ Password Recovery Tools: http://passwordrecoverytools.com/ OctoPass: http://lastbit.com/octopass.asp HashSuite: http://hashsuite.openwall.net/performance 72. AMD O NVIDIA ? Nvidia: CUDA histricamente estaba mejor soportado Ms popular para videojuegos AMD: Drivers histricamente problemticos Mucho ms rpido Ms econmicas 73. 0 2000 4000 6000 8000 10000 12000 Radeon HD 6990 Radeon HD 5970 Radeon HD 7970 Radeon HD 6970 Radeon HD 7870 GeForce GTX690 Radeon HD 6930 Radeon HD 5850 Radeon HD 7850 GeForce GTX590 Radeon HD 5830 Radeon HD 5770 GeForce GTX680 GeForce GTX570 GeForce GTX480 Radeon HD 4890 Radeon HD 7750 GeForce GTX560 GeForce GTX660 Radeon HD 4770 Radeon HD 6570 Radeon HD 5670 GeForce GTX285 Radeon HD 4670 GeForce GTX260 GeForce GT640 GeForce GT430 Millones de contraseas por segundo SHA1 MD5 PRUEBA GPU Comparativa de tarjetas grficas con funciones de hash SHA1 y MD5 74. PRUEBAS DE GPU Comparativa entre las distintas tarjetas grficas para documentos Office y hashes WPA 0 20000 40000 60000 80000 100000120000140000160000180000 Radeon HD 6990 Radeon HD 5970 Radeon HD 7970 Radeon HD 6970 Radeon HD 7870 GeForce GTX690 Radeon HD 6930 Radeon HD 5850 Radeon HD 7850 GeForce GTX590 Radeon HD 5830 Radeon HD 5770 GeForce GTX680 GeForce GTX570 GeForce GTX480 Radeon HD 4890 Radeon HD 7750 GeForce GTX560 GeForce GTX660 Radeon HD 4770 Radeon HD 6570 Radeon HD 5670 GeForce GTX285 Radeon HD 4670 GeForce GTX260 GeForce GT640 GeForce GT430 Contraseas por segundo WPA MS Office 2007 75. CLUSTERS Fabricantes: Cubix 16 slots pci express 28.500$ (ups!) http://www.cubixgpu.com/ca talog/buy-xpander-desktop 76. HARDWARE 77. HARDWARE 78. VIRTUALCL Montar cluster virtual para aplicaciones OpenCL (solo AMD) http://www.mosix.org /txt_vcl.html http://hashcat.net/wi ki/doku.php?id=vcl_cl uster_howto http://www.bindshell.nl/pub/Password_Cracking_HPC.pdf 79. AMAZON Ofrece Instancia con 2 Nvidia TESLA a 2$ la hora = 410M/s Velocidad similar a 1 Geforce GT 240 (70$) 8 instancias durante una semana = 4 ATI 5790 4 ATI =36.000M/s 8 Instancias = 1.640M/s 80. FPGAS field-programmable gate array No ejecutan cdigo como una CPU/GPU, los chips ejecutan tareas especficas. 81. SERVICIOS ONLINE http://www.cmd5.org/ https://www.cloudcracker.com/ http://www.hash-database.net/ http://www.onlinehashcrack.com/ https://crackstation.net/ http://leakdb.abusix.com/ http://www.md5decrypter.co.uk/ 82. HTTP://WWW.MD5DECRYPTER.CO.UK/ 83. SERVICIOS ONLINE COMERCIALES https://www.cloudcracker.com/ http://www.onlinehashcrack.com/ http://www.password-online.com/index.php http://www.password-find.com/ 84. HERRAMIENTAS ONLINE FindmyHash: Busca mediante consultas HTTP en varios sitios online un hash Diferentes algoritmos soportados: MD4, MD5, SHA1, SHA224, SHA256, SHA384, SHA512, RMD160, GOST, Whirlpool, LM, NTLM, MySQL, Cisco7, Juniper, LDAP_MD5, L DAP_SHA1 https://code.google.com/p/findmyhash/ BozoCrack: busca en Google un hash MD5 https://github.com/juuso/BozoCrack 85. CONCLUSIONES 86. APLICACIONES QUE COMPRUEBAN CONTRASEAS https://www.microsoft.com/security/pc-security/password-checker.aspx http://www.passwordmeter.com/ Alejandro2011 Alejandro2011 87. POLTICAS DE CONTRASEAS Long. Min Dgitos Carct.Esp. Ej vlidos 8 No No 1234567ab 6 No No qwerty 6 No No qwerty 6 No No asdfgh 8 No No qwertyui 6 No No qwerty 6 No No qwerty1234 88. CONSEJOS DE SEGURIDAD 89. CONCLUSIONES El mero uso de usuario y contrasea para el acceso a informacin sensible se debera considerar un riesgo. Para este propsito se debe usar otro factor de autenticacin: token, OTP, biometra, etc. Su uso extendido y la falta de adopcin de otras medidas hace que sea muy difcil su eliminacin. Incluso una correcta poltica de contraseas no soluciona el problema. 90. CUESTIONARIO 1. Una funcin de resumen o hash es reversible? A. Si B. No C. Depende del algoritmo empleado. 2. En un ataque por fuerza bruta: A. Se usa una lista de palabras y se prueban como contraseas. B. Se crean contraseas modificando una lista de palabras C. Se generan todas las posibles combinaciones dado un juego de carcteres. 3. Las tablas rainbow consisten en: A. Atacar con la aplicacin Rainbow un servicio vulnerable B. Pre-computar todas las posibles combinaciones de un algoritmo para un juego de caracteres almacenan en ficheros el resultado. C. Usar un diccionario que ocupa mucho en el disco duro. 91. CUESTIONARIO 4. El password guessing consiste en: A. Atacar un servicio probando usuarios y contraseas en busca de un par vlido. B. Adivinar una funcin de resumen en base a la informacin que se ha obtenido previamente. C. Usar la aplicacin John The Ripper para obtener las contraseas de un sistema Unix. 5. Para prevenir ataques de contraseas Cul es la mejor opcin? A. Se deben establecer polticas de contraseas, por ejemplo: 8 caracteres, una mayscula, una minscula y un nmero. B. Las cuentas deben bloquearse si se detectan errores fallidos. C. Usar frases como contraseas: mi perro tiene una pata azul