Seguridad en contraseñas
•Descargar como PPTX, PDF•
2 recomendaciones•2,709 vistas
SPSI
Recomendados
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Destacado
Destacado (11)
Similar a Seguridad en contraseñas
Similar a Seguridad en contraseñas (20)
Último
Último (20)
Seguridad en contraseñas
- 3. Introducción
- 4. Introducción ¿Qué son las contraseñas? Son una forma de autentificación, información secreta para controlar el acceso de un usuario. Son cadenas de caracteres que deben permanecer en secreto frente a aquellos que no se les debe permitir el acceso.
- 5. Introducción Historia En la antigüedad, los centinelas solicitaban el santo y seña (contraseña) para permitir el paso. En cuentos e historias… Actualmente, se usa para identificarse en SO, redes sociales, webs, correos electrónicos…
- 6. Introducción Seguridad: Confidencialidad Integridad Disponibilidad Y si algún atacante pueda adivinar o inventar la contraseña…. Formas de almacenaje: En archivos de texto
- 7. Introducción Cifrado de contraseñas: Hash: Cuando se teclea la contraseña se genera a partir de la contraseña y mediante un algoritmo el código hash equivalente para esa contraseña, y si coincide con el valor almacenado, se permite el acceso al usuario.
- 8. Introducción MD5: convierte los caracteres a una longitud total de 128 bits. Convierte la clave en un bloque múltiple de 512 bits. Se inicializan 4 vectores de forma aleatoria. Los bloques de 512 bits se combinan con estos vectores con operaciones lógicas uno a uno. SHA-1: Similar a MD5, pero con la diferencia de que el resultado final es 160 bits en lugar de 128. Generar 2 mensajes aleatorios distintos y que tengan el mismo hash es nula, por lo que se convierte en algo más seguro que MD5.
- 9. Introducción Triple DES: Realiza 3 cifrados DES consecutivos (cifrado por bloques) Requiere mucho tiempo de cálculo.
- 10. Introducción Longevidad de una contraseña Diseño de software protegido: No repetir la contraseña en la pantalla de visualización cuando se está accediendo. Permitir contraseñas de una longitud adecuada. Obligar a que la contraseña tenga algún carácter especial y algún número. Requerir a los usuarios volver a ingresar su contraseña después de un período de inactividad.
- 11. Introducción Cumplir una política de contraseñas para asegurar contraseñas importantes. Requerir periódicamente cambios de contraseña. Asignar contraseñas al azar. Usar contraseñas de usar y tirar
- 12. Introducción
- 13. Introducción A continuación vamos a… Password cracking Password recovery
- 15. Password Cracking ¿Qué es? Proceso que consiste en descifrar la contraseña de determinadas aplicaciones elegidas por el usuario.
- 16. Password Cracking ¿Qué es lo primero que hay que hacer? Investigar sobre el sistema a atacar. Dónde están guardadas las contraseñas… Tipo de encriptación…
- 17. Password Cracking ¿Cómo atacar? Ataque a fuerza bruta Ataque por diccionarios Rainbow Troyanos tables
- 18. Password Cracking Ataque a fuerza bruta: Recuperar una clave probando todas las combinaciones posibles hasta encontrar aquella que permite el acceso. Utilizan el método de prueba y error, por tanto, son muy costosos en tiempo computacional
- 19. Password Cracking Ataques por diccionario: Consiste en intentar averiguar una contraseña probando todas las palabras del diccionario. Es más eficiente que un ataque de fuerza bruta, ya que muchos usuarios suelen utilizar una palabra existente en su lengua como contraseña para que la clave sea fácil de recordar.
- 20. Password Cracking Un diccionario de una letra, puede llegar a tener más de 400.000 posibles palabras, y en el trabajo escrito, adjuntaré un diccionario. En su grandísima cantidad de palabras en diccionarios, calculan posibles valores hash criptográficamente, y los cotejan frente a una base de datos de contraseñas con otro algoritmo hash para determinar cuál es la contraseña sin cifrar original.
- 22. Password Cracking Rainbow tables: Conjunto de tablas hash, que combinan caracteres con caracteres especiales para producir mayor número de palabras que en un ataque a diccionario normal. Su tamaño es enorme, siendo su mayor inconveniente.
- 23. Password Cracking Prevención Contraseñas más comunes…
- 24. Password Cracking Troyano: Software capaz de entrar en nuestros equipos para obtener información. Se camuflan dentro de aplicaciones útiles (imágenes, archivo de música…)
- 26. Password Cracking Contraseñas en Unix suelen ser almacenadas y encriptadas en /etc/shadow
- 28. Password Cracking Para realizar ataques con diccionario, tenemos: john --wordlist=diccionario.lst --rules mispasswords Para desencriptar redes wifi, con seguridad WPA / WPA2: John –stdout –incremental:all | aircrack-ng –b BBSID –w – fichero.cap
- 29. Password Cracking Windows encripta las contraseñas en un archivo SAM, en algún lugar de system… ¿Cómo podemos atacarlas?
- 30. Password Cracking 1. Introducimos en CD y arrancamos con él con la opción por defecto. 2. Ejecutamos winpass con la opción -l para que muestre los usuarios de Windows. 3. Una vez seleccionado el usuario objetivo, ejecutamos winpass con la opción -u.
- 32. Password Cracking Archivos RAR Saca la contraseña de archivos .rar Tiene dos tipos de ataque distintos, fuerza bruta y de diccionario.
- 34. Password Cracking Equipos conectados a mi línea de internet… Caín y Abel, utiliza sniffing (capturar tramas de internet) para “espiar” y poder recuperar contraseñas de los dispositivos conectados en tu red. Crakeo WEP Descifrado de contraseñas seguras Calculadora de hashes Traceroute Descubrimiento de cached passwords ARP Spoofing Resolución de IP a MAC Address Sniffer de contraseñas de red Capacidad para crackear hashes varios.
- 39. Password Cracking WifiWay: distribución GNU/Linux pensada y diseñada para la auditoría de seguridad de las redes WiFi, Bluetooth y RFID. Se publican imágenes iso con funcionalidades de LiveCD y LiveUSB.
- 45. Password Recovery Diferencia entre Password cracking y Password recovery…
- 46. Password Recovery MESSENPASS (Sólo 32 bits) Windows Live Messenger Yahoo Messenger Google Talk Trillian Lo vamos a probar con google talk.
- 48. Password Recovery Guarda las contraseñas en Login data Configuración->avanzada->administrar contraseñas
- 50. Password Recovery La BD signons.sqlite guarda encriptadas las contraseñas. Opciones -> seguridad -> Contraseñas guardadas
- 52. Password recovery En clientes de correo electrónico, como Outlook Express, Windows Mail, Mozilla Thunderbird, IncrediMail, Eudora, Hotmail, Gmail, Google Desktop, o Google Talk… Mail Pass View : Aplicación que muestra las contraseñas guardadas y otros detalles
- 54. Password Recovery Las redes inalámbricas de nuestro pc… WirelessKeyView
- 55. Password Recovery Para evitar guardar las contraseñas en los navegadores sin que se nos olviden…
- 57. Password Recovery Comprobamos que no se puede sacar la contraseña así porque sí:
- 58. Password Recovery Sistemas de recuperación segura de contraseñas en importantes servicios web:
- 61. Conclusiones Importancia de contraseñas seguras Probabilidad de ataques Modos de ataque Modos de recuperación
- 63. ¿Preguntas?
- 64. FIN