Cómo se comprometen y se descifran las contraseñas
Diferencias entre el uso de credenciales filtradas, los intentos de acceso y el análisis sin conexión.
Respuesta breve
Un atacante puede probar credenciales reutilizadas de filtraciones, adivinar patrones humanos frecuentes o comparar contraseñas candidatas con verificadores robados. El método depende de si ataca un servicio activo o si ya obtuvo esos verificadores.
Relleno de credenciales
El relleno de credenciales prueba en otros servicios parejas de usuario y contraseña expuestas en una filtración. Una contraseña distinta para cada cuenta evita que una contraseña filtrada permita entrar en cuentas no relacionadas. (OWASP: guía de autenticación)
Intentos en línea y análisis sin conexión
Los intentos en línea pasan por el servicio, que puede limitarlos o detectarlos. El análisis sin conexión usa verificadores de contraseña robados y permite probar candidatos sin contactar con el servicio. Un esquema de almacenamiento con sal y deliberadamente costoso aumenta el coste de cada intento. (NIST: publicación especial 800-63B-4) (OWASP: guía de almacenamiento de contraseñas)
¿Qué ayuda a proteger las cuentas?
Usa contraseñas únicas, activa la autenticación multifactor, instala actualizaciones y cambia la contraseña cuando un servicio informe de una filtración. No reutilices una contraseña solo porque parezca compleja. (NIST: publicación especial 800-63B-4)