Cómo demuestra un sistema que eres tú
La autenticación es la forma en que un sistema comprueba que quien entra es quien dice ser. Si falla, todo lo demás falla con ella: de poco sirve un permiso bien puesto para la cuenta equivocada.
Piensa en el correo de tu universidad. Una contraseña débil basta para que otra persona lea tus mensajes como si fuera tú.
Al final de esta lección
Nota
Puedo comparar las formas de demostrar quién eres y decir cuál protege mejor una cuenta.
Palabras clave
| Palabra | Qué significa |
|---|---|
| Autenticación | comprobar que alguien es quien dice ser |
| Factor | un tipo de prueba de identidad |
| Verificación en dos pasos | usar dos factores distintos a la vez |
| Fuerza bruta | probar todas las combinaciones posibles |
| Huella | número calculado a partir de un dato |
| Sal | texto añadido a la contraseña antes de la huella |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Hay tres tipos de prueba de identidad
Un factor es un tipo de prueba. Algo que sabes, como una contraseña. Algo que tienes, como el móvil o una llave. Algo que eres, como la huella dactilar.
La verificación en dos pasos pide dos factores de tipos distintos. Dos contraseñas seguidas son un solo factor repetido.
Ejemplo: los tres factores y su punto débil
| Factor | Ejemplo | Cómo falla |
|---|---|---|
| Lo que sabes | Una contraseña | Se adivina, se repite o se roba |
| Lo que tienes | Un código en el móvil | Se pierde o se roba el móvil |
| Lo que eres | La huella dactilar | No se puede cambiar si se copia |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Una contraseña larga resiste mejor la fuerza bruta
Un atacante puede probar todas las contraseñas posibles. Eso es la fuerza bruta. El número de combinaciones es el tamaño del alfabeto elevado a la longitud.
Con 26 letras y 8 posiciones, son 26 elevado a 8. Cada posición que añades multiplica el trabajo del atacante por el tamaño del alfabeto.
Ejemplo: cuántas contraseñas hay que probar
| Caracteres usados | Longitud | Combinaciones |
|---|---|---|
| Solo cifras (10) | 6 | 1000000 |
| Minúsculas (26) | 8 | 208827064576 |
| Todos los símbolos (95) | 8 | 6634204312890625 |
| Minúsculas (26) | 12 | 95428956661682176 |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Calcula las contraseñas de 8 minúsculas
echo $((26 ** 8))Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Calcula las de 8 símbolos cualesquiera
echo $((95 ** 8))Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
El sistema guarda una huella, no la clave
Los dos números salen de la tabla: 208827064576 y 6634204312890625. La tercera fila de la tabla muestra que ocho símbolos mezclados cuestan más que ocho minúsculas, y la cuarta que doce minúsculas cuestan más aún.
Un sistema bien hecho no guarda tu contraseña. Guarda su huella. En Linux, el segundo campo de cada línea de /etc/passwd ya no tiene la clave. Mira el de root.
Mira el campo de la contraseña de root
getent passwd root | cut -d: -f2Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
La sal cambia la huella de una clave
La orden imprime una x, que significa que la huella está en /etc/shadow, un archivo que solo root y el grupo shadow leen.
Si dos personas eligen la misma clave, tendrían la misma huella. Una sal es un texto distinto para cada cuenta, que se añade antes de calcular. Aquí la sal es sal1 en un caso y sal2 en el otro, y la clave es clave123 en los dos.
Huella con la sal sal1
printf 'sal1clave123\n' | sha256sumSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Huella con la sal sal2
printf 'sal2clave123\n' | sha256sumSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Un error frecuente
Advertencia
Mucha gente cree que una contraseña corta con símbolos raros es mejor que una frase larga. Casi siempre ocurre lo contrario. La longitud multiplica el trabajo del atacante en cada posición. Una frase de cuatro palabras y fácil de recordar suele ganar.