¿Las reglas de contraseña facilitan la fuerza bruta al reducir el número posible de combinaciones de contraseña?

Especie de. Técnicamente, las reglas de contraseña reducen las combinaciones de contraseña posibles. Entonces, por ejemplo, requerir al menos una letra, un número, un signo de puntuación y un $ en una contraseña reduce significativamente el número de contraseñas de 8 caracteres.

Sin embargo, los humanos son perezosos, tienen malos recuerdos y son una pésima fuente de entropía. Por lo tanto, un atacante podría utilizar las reglas anteriores para buscar más fácilmente todas las contraseñas válidas de 8 caracteres, lo que facilitaría atacar a los usuarios más seguros.

Pero simultáneamente hará que las peores contraseñas sean MUCHO más difíciles de adivinar. Entonces, en lugar de que alguien use el lunes como contraseña, necesitarían algo como M2nday $. que es mucho más resistente a un ataque tradicional basado en diccionario.

En general, las reglas de contraseña mejoran las peores contraseñas y las peores contraseñas.

El problema con las reglas de complejidad es la naturaleza humana. Si fuerza números y signos de puntuación, la mayoría de los usuarios ……

  • Realice sustituciones obvias, como 0 para oo 1 para i: Contraseña / Passw0rd / p455w0rd
  • ¡Ponga la puntuación al final y comience con!: P455w0rd!
  • Poner una letra mayúscula obligatoria al comienzo

Una gran cantidad de software para descifrar contraseñas incluirá estas variaciones en un ataque basado en un diccionario antes de recurrir a la fuerza bruta. Por lo tanto, estas medidas aumentan la complejidad de los ataques de diccionario más a menudo que simplifican la fuerza bruta.

Por lo tanto, es importante imponer bloqueos y límites (incluso cortos) en el número de intentos no válidos, además de las reglas de complejidad, si desea un sistema más seguro.



Si establece un límite para el número de caracteres, entonces, en teoría, sí. Pero si el límite de caracteres es lo suficientemente grande, es intrascendente.

Lo que hacen las reglas de contraseña es forzar a las personas a alejarse de las contraseñas “demasiado fáciles de descifrar”.

El efecto más significativo de las reglas de contraseña es que en una organización o en una gran colección de inicios de sesión, si no forzara la entropía creada por las reglas de contraseña, sería demasiado fácil mirar un conjunto de hash de contraseña y poder encontrar uno donde reconoce la contraseña que habría creado ese hash. Y por lo tanto, podría encontrar fácilmente su camino en muchas más organizaciones después de encontrar o diseñar socialmente un inicio de sesión.

Eso y trae el problema de la contraseña a primer plano. Permite que TI obligue a las personas a comprender que las contraseñas deben ser seguras. Y la educación vale la pena.

Normalmente, las reglas de contraseña requieren más caracteres, letras mayúsculas y minúsculas, caracteres alfanuméricos y no alfanuméricos. Entonces, las reglas de contraseña en realidad aumentan el número de combinaciones posibles.

More Interesting

Si una computadora se infecta con un ransomware, ¿puede ser atacada por otro ransomware?

¿Qué conocimiento comparten Trump, Jared Kushner y Netanyahu sobre la interferencia de Rusia en nuestras elecciones presidenciales?

¿Hay alguna manera de poner un virus automático en una unidad flash, para que mate la computadora cuando está conectada?

¿Qué tan seguros son los documentos DRM de la piratería?

¿Por qué la gente hace virus informáticos / malware / spyware? ¿Cuál es el motivo? Estoy buscando una respuesta técnica?

¿Cuál es la probabilidad de que alguien piratee computadoras NORAD e indique que los rusos están atacando a los Estados Unidos?

¿Cómo protege su computadora portátil y las cuentas de redes sociales de ser pirateadas?

¿Qué lo hace más propenso a haber sido pirateado o prácticamente monitoreado?

¿De qué manera la guerra cibernética es similar a la guerra tradicional?

¿Mi navegador web comparte credenciales o cookies con todos los diferentes sitios que tengo abiertos en mis pestañas?

¿Cómo afecta el malware a la velocidad de una PC y cómo puede eliminarlos?

¿Cuál es la diferencia entre virus informático y gusano informático?

¿Cómo se vieron comprometidos los hashes de contraseña de LinkedIn? Eso debe significar algún tipo de violación de datos. ¿Cómo sucedió eso en primer lugar? ¿Qué otros datos se vieron comprometidos?

¿Puedo conseguir un trabajo en Google con una maestría en seguridad cibernética?

¿Son estos signos de que he sido pirateado a través de wifi protegido por contraseña (módem)?