Diccionarios: listas de usuarios y contraseñas

Cómo se arma un ataque de diccionario

Un ataque de fuerza bruta prueba contraseñas hasta dar con la correcta. En su forma pura probaría todas las combinaciones de caracteres posibles, lo que tarda una eternidad. Por eso casi nadie lo hace así. En la práctica se usa el ataque de diccionario: en lugar de probarlo todo, se prueban solo credenciales probables, tomadas de listas preparadas de antemano.

Hydra no inventa esas listas. Usted se las entrega en dos archivos de texto, un valor por línea: uno con nombres de usuario y otro con contraseñas. Hydra combina cada usuario con cada contraseña y lanza el intento contra el servicio.

La lista de usuarios

Los nombres de usuario suelen ser cortos y predecibles: admin, root, soporte, el nombre de pila de un empleado o su correo. Una lista de usuarios de laboratorio puede verse así, con nombres ficticios que usted mismo escribe:

admin
root
laura
soporte
jdiaz

La lista de contraseñas

Aquí está el corazón del ataque. Las contraseñas débiles se repiten tanto que existen listas públicas con las más usadas. En un ejercicio propio basta con un archivo pequeño que incluya, a propósito, la contraseña débil que usted le puso a su usuario de prueba:

123456
password
qwerty
verano2024
Costa.Rica1

Si el usuario de su laboratorio tiene la contraseña verano2024, Hydra la encontrará apenas llegue a esa línea. Esa es toda la "magia": la contraseña estaba en la lista.

Por qué esto debería preocupar al defensor

El tamaño de la lista lo decide el atacante. Una lista de las diez mil contraseñas más comunes se recorre en minutos contra un servicio sin protección. Si la contraseña de una cuenta está en esa lista, la cuenta ya está comprometida; es solo cuestión de tiempo. La lección para el defensor es directa: toda defensa empieza por sacar las contraseñas de las listas, con claves largas, únicas e impredecibles. A eso le sumaremos más capas en la última lección.