Ataque de Fuerza Bruta

Por Qué Importa

Los ataques de fuerza bruta representan el enfoque más fundamental para vulnerar la autenticación: probar todas las posibilidades hasta que una funcione. Aunque conceptualmente simples, estos ataques siguen siendo efectivos contra contraseñas débiles, sistemas sin limitación de intentos y plataformas sin mecanismos de protección adecuados.

Las matemáticas de la fuerza bruta crean una carrera entre el poder computacional del atacante y la complejidad de la contraseña del defensor. Un PIN de 4 dígitos tiene solo 10,000 combinaciones—trivial para computadoras modernas. Una contraseña de 8 caracteres en minúsculas tiene aproximadamente 200 mil millones de combinaciones—aún descifrable con hardware dedicado. Las contraseñas fuertes con caracteres mixtos y longitud suficiente llevan la fuerza bruta al terreno de lo impráctico.

La reutilización de contraseñas amplifica los riesgos de fuerza bruta. Las credenciales expuestas en una brecha se convierten en insumos para ataques de credential stuffing contra otros servicios. La prevalencia de contraseñas débiles y reutilizadas asegura que la fuerza bruta siga siendo un vector de ataque viable.

Para los profesionales de seguridad, entender la mecánica de fuerza bruta informa las decisiones de políticas de contraseñas, el diseño de sistemas de autenticación y las estrategias de detección de incidentes. La tensión entre seguridad y usabilidad se manifiesta claramente en los requisitos de contraseñas.

Cómo Funcionan los Ataques de Fuerza Bruta

Enfoque Básico

Probar sistemáticamente todas las combinaciones posibles:

Objetivo: Contraseña de 4 caracteres en minúsculas
Intentos:
aaaa → incorrecto
aaab → incorrecto
aaac → incorrecto
...
(continúa a través de las 456,976 combinaciones)
...
pass → ¡correcto!

Tiempo y Complejidad

Cálculos del Espacio de Contraseñas:

PIN de 4 dígitos:
10^4 = 10,000 combinaciones
A 1000 intentos/segundo: 10 segundos máximo

8 caracteres minúsculas:
26^8 = 208 mil millones de combinaciones
A 1000 intentos/segundo: 6,600 años
A 1 mil millones de intentos/segundo: 3.5 minutos (ataque offline)

8 caracteres mixtos (mayúsculas, minúsculas, números, símbolos):
95^8 = 6.6 cuatrillones de combinaciones
A 1 mil millones de intentos/segundo: 209 años

12 caracteres mixtos:
95^12 = 540 sextillones de combinaciones
A 1 mil millones de intentos/segundo: 17 millones de años

Tipos de Ataques de Fuerza Bruta

Fuerza Bruta Pura

Prueba todas las combinaciones posibles sistemáticamente. Garantiza éxito eventual pero a menudo es impráctico para contraseñas fuertes.

Ataque de Diccionario

Usa listas de contraseñas comunes, palabras y frases en lugar de combinaciones aleatorias. Mucho más eficiente contra contraseñas elegidas por humanos.

Top 10 Contraseñas Más Comunes:
1. 123456
2. password
3. 12345678
4. qwerty
5. 123456789
6. 12345
7. 1234
8. 111111
9. 1234567
10. dragon

Ataque Híbrido

Combina palabras de diccionario con modificaciones comunes:

• Agregar números: password1, password123
• Sustitución leetspeak: p@ssw0rd
• Agregar caracteres especiales: password!
• Patrones de mayúsculas: Password, PASSWORD

Ataque de Tabla Arcoíris

Tablas precalculadas que mapean hashes de vuelta a contraseñas. Intercambian almacenamiento por tiempo de cómputo. Son derrotadas agregando salt a las contraseñas.

Credential Stuffing

Usa credenciales filtradas de otras brechas para probar contra nuevos objetivos. Explota la reutilización de contraseñas entre servicios.

# Concepto de credential stuffing (solo pruebas autorizadas)
# Prueba credenciales filtradas contra servicio objetivo

credenciales_filtradas = cargar_de_base_datos_brechas()

for usuario, contraseña in credenciales_filtradas:
  if intentar_login(servicio_objetivo, usuario, contraseña):
      print(f"Válido: {usuario}")

Fuerza Bruta Inversa

En lugar de probar muchas contraseñas contra una cuenta, prueba una contraseña común contra muchas cuentas. Evade los bloqueos por cuenta.

Herramientas y Técnicas

Herramientas de Ataque Online

# Hydra - Cracking de contraseñas online (solo pruebas autorizadas)

# Fuerza bruta SSH
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://objetivo

# Fuerza bruta formulario web
hydra -l admin -P passwords.txt objetivo http-post-form \
"/login:user=^USER^&pass=^PASS^:Credenciales inválidas"

Herramientas de Ataque Offline

# Hashcat - Cracking de hashes acelerado por GPU

# Ataque de diccionario en hashes MD5
hashcat -m 0 hashes.txt /usr/share/wordlists/rockyou.txt

# Fuerza bruta con máscara (8 chars, minúsculas + dígitos)
hashcat -m 0 hashes.txt -a 3 ?l?l?l?l?l?d?d?d

# Ataque basado en reglas (diccionario + modificaciones)
hashcat -m 0 hashes.txt wordlist.txt -r rules/best64.rule

Hardware de Ataque

El cracking moderno de contraseñas aprovecha:

• GPUs de alta gama (miles de dólares)
• Arrays de FPGA (hardware especializado)
• Computación en la nube (clusters de GPU por uso)
• ASICs (circuitos integrados de aplicación específica)

Estrategias de Defensa

Políticas de Contraseñas Fuertes

Recomendaciones NIST 800-63B:

SÍ HACER:
- Mínimo 8 caracteres (más largo es mejor)
- Permitir hasta 64+ caracteres
- Aceptar todos los caracteres imprimibles
- Verificar contra bases de datos de brechas
- Permitir pegar en campos de contraseña

NO HACER:
- Requerir reglas de complejidad (mayúsculas, minúsculas, símbolo)
- Forzar cambios periódicos de contraseña
- Usar pistas de contraseña
- Imponer reglas de composición arbitrarias

Limitación de Intentos y Bloqueos

• Implementar retrasos progresivos después de intentos fallidos
• Bloqueo de cuenta después de umbral (con reinicio automático)
• CAPTCHA después de actividad sospechosa
• Throttling basado en IP

Autenticación Multifactor

MFA hace que las contraseñas robadas sean insuficientes:

• Algo que sabes (contraseña)
• Algo que tienes (teléfono, llave de seguridad)
• Algo que eres (biométrico)

Almacenamiento Seguro de Contraseñas

import bcrypt

# SEGURO - Usando bcrypt con salt
password = b"contraseña_usuario"

# Hash con generación automática de salt
hashed = bcrypt.hashpw(password, bcrypt.gensalt(rounds=12))

# Verificación
if bcrypt.checkpw(password, hashed):
  print("La contraseña coincide")

• Usar algoritmos de hash lentos (bcrypt, Argon2, scrypt)
• Generar salt único por contraseña
• Nunca usar MD5 o SHA1 para contraseñas
• Almacenar hashes, nunca texto plano

Detección y Monitoreo

• Registrar fallos de autenticación
• Alertar sobre patrones inusuales
• Monitorear indicadores de credential stuffing
• Bloquear rangos de IP maliciosas conocidas

Conexión Profesional

La seguridad de contraseñas intersecta los sistemas de autenticación, la gestión de identidades y las operaciones de seguridad. Los profesionales que entienden tanto las técnicas de ataque como los controles defensivos son valiosos para diseñar sistemas seguros y probar los existentes.