¿Cómo funcionan realmente las tablas de arcoiris y el hash?

Un hash es básicamente una función de cifrado unidireccional. El contenido se cambia criptográficamente de manera sistemática para que el resultado sea siempre el mismo para el mismo contenido, pero en teoría es imposible revertir ese hash para recuperar el contenido.

Los desarrolladores inteligentes no almacenan contraseñas reales. En su lugar, escriben la contraseña y la almacenan en la base de datos para que, si la base de datos es pirateada, los piratas informáticos no tengan contraseñas reales sino una lista de hashes. Cuando una persona intenta iniciar sesión, el sistema agrega esa contraseña y la compara con la contraseña de la base de datos. Si coinciden, entonces la contraseña es buena. Los hashes comunes son SHA1, MD5, SHA256, etc.

Si un pirata informático tiene acceso a las contraseñas hash y sabe qué algoritmo se utilizó para hacer hash las contraseñas, puede crear su propia lista de contraseñas hash y comparar esa lista con la lista de hashes robados para ver qué coincidencia. Hacer esto sobre la marcha usaría mucha potencia de procesamiento de la computadora y tomaría mucho tiempo, que es donde entra una mesa arcoiris.

Una tabla de arcoiris es una lista de hashes pre-creados de un diccionario de posibles contraseñas. Para ser útiles, estas listas deben ser enormes. Tenga en cuenta que una contraseña de “lápiz” tendrá un hash muy diferente que “Lápiz”, por lo que la tabla del arco iris debería contener ambos. Para hacer este tipo de ataque aún más difícil, los desarrolladores inteligentes “salan” las contraseñas con caracteres aleatorios. Esto aumenta exponencialmente el número de posibilidades para cada contraseña que la tabla del arco iris necesitaría tener.

Comprender cómo funciona esto debería hacerte más consciente de lo importante que es tener contraseñas complejas y más largas (y no usar servicios que no usen sus contraseñas). En realidad, es mejor tener una contraseña más larga que una realmente compleja simplemente porque cada carácter adicional en la contraseña aumenta exponencialmente la dificultad y la potencia de la computadora necesaria para adivinarla. En términos simples: si el costo de adivinar la contraseña es mayor que el valor de lo que protege la contraseña, es poco probable que alguien se moleste.

NOTA: Si utiliza un sitio web que le envía por correo electrónico su contraseña de texto sin formato cuando la ha olvidado, el sitio no está descifrando sus contraseñas y al menos debe asegurarse de no usar esa misma contraseña en ningún otro lugar.