![<\/a><\/div>\nSi bien las contrase\u00f1as siguen siendo la primera l\u00ednea de defensa para proteger las cuentas de los usuarios contra el acceso no autorizado, los m\u00e9todos para crear contrase\u00f1as seguras y protegerlas est\u00e1n evolucionando continuamente. Por ejemplo, Recomendaciones de contrase\u00f1a de NIST<\/a> ahora est\u00e1n priorizando la longitud de la contrase\u00f1a sobre la complejidad. El hashing, sin embargo, sigue siendo un no negociable. Incluso las frases de contrase\u00f1a largas y seguras deben estar hash para evitar que est\u00e9n completamente expuestos en caso de que una violaci\u00f3n de datos, y nunca se almacenen en texto sin formato.<\/p>\nEste art\u00edculo examina c\u00f3mo los atacantes cibern\u00e9ticos de hoy intentan descifrar las contrase\u00f1as de hash, explora los algoritmos de hash comunes y sus limitaciones, y analiza las medidas que puede tomar para proteger sus contrase\u00f1as hash, independientemente de qu\u00e9 algoritmo est\u00e9 utilizando.<\/p>\nT\u00e9cnicas de agrietamiento de contrase\u00f1a moderna<\/h2>\nLos actores maliciosos tienen una variedad de herramientas y m\u00e9todos a su disposici\u00f3n para descifrar las contrase\u00f1as de hash. Algunos de los m\u00e9todos m\u00e1s utilizados incluyen ataques de fuerza bruta, ataques de diccionario de contrase\u00f1a, ataques h\u00edbridos y ataques de m\u00e1scaras.<\/p>\nAtaques de fuerza bruta<\/h3>\nA ataque de fuerza bruta<\/a> implica intentos excesivos y de error contundentes para obtener acceso a la cuenta. Los actores maliciosos emplean herramientas especializadas para probar sistem\u00e1ticamente las variaciones de contrase\u00f1a hasta que se descubra una combinaci\u00f3n de trabajo. Aunque poco sofisticados, los ataques de fuerza bruta son altamente efectivos utilizando un software de agrietamiento de contrase\u00f1a y hardware inform\u00e1tico de alta potencia, como unidades de procesamiento de gr\u00e1ficos (GPU). <\/p>\nAtaque de diccionario de contrase\u00f1a<\/h3>\nComo su nombre lo indica, un ataque de diccionario de contrase\u00f1a dibuja sistem\u00e1ticamente las palabras de un diccionario a las variaciones de contrase\u00f1a de fuerza bruta hasta encontrar una combinaci\u00f3n de trabajo. El contenido del diccionario puede contener todas las palabras comunes, listas de palabras espec\u00edficas y combinaciones de palabras, as\u00ed como derivados de palabras y permutaciones con caracteres alfanum\u00e9ricos y no alfanum\u00e9ricos (por ejemplo, sustituir un “A” con “@”). Los ataques de diccionario de contrase\u00f1a tambi\u00e9n pueden contener contrase\u00f1as previamente filtradas o frases clave expuestas en violaciones de datos.<\/p>\nAtaques h\u00edbridos<\/h3>\nA Ataque de contrase\u00f1a h\u00edbrida<\/a> Combina la fuerza bruta con m\u00e9todos basados \u200b\u200ben diccionario para lograr una mejor agilidad y eficacia de ataque. Por ejemplo, un actor malicioso puede usar una lista de palabras de diccionario de credenciales de uso com\u00fan con t\u00e9cnicas que integran combinaciones de caracteres num\u00e9ricos y no alfanum\u00e9ricos.<\/p>\nAtaques de m\u00e1scaras<\/h3>\nEn algunos casos, los actores maliciosos pueden conocer patrones de contrase\u00f1a espec\u00edficos o par\u00e1metros\/requisitos. Este conocimiento les permite usar ataques de m\u00e1scara para reducir el n\u00famero de iteraciones e intentos en sus esfuerzos de agrietamiento. Los ataques de m\u00e1scaras usan la fuerza bruta para verificar los intentos de contrase\u00f1a que coinciden con un patr\u00f3n espec\u00edfico (por ejemplo, ocho caracteres, comienzan con una letra may\u00fascula y terminan con un n\u00famero o car\u00e1cter especial).<\/p>\nC\u00f3mo los algoritmos de hash protegen contra los m\u00e9todos de agrietamiento<\/h2>\nLos algoritmos de hash son un pilar en una gran cantidad de aplicaciones de seguridad, desde monitoreo de integridad de archivos hasta firmas digitales y almacenamiento de contrase\u00f1as. Y aunque no es un m\u00e9todo de seguridad infalible, el hashing es mucho mejor que almacenar contrase\u00f1as en texto sin formato. Con las contrase\u00f1as de hash, puede asegurarse de que incluso si los atacantes cibern\u00e9ticos obtienen acceso a las bases de datos de contrase\u00f1a, no pueden leerlas o explotarlas f\u00e1cilmente.<\/p>\nPor dise\u00f1o, el hash obstaculiza significativamente la capacidad de un atacante para descifrar las contrase\u00f1as, actuando como un elemento disuasorio cr\u00edtico haciendo que el tiempo de contrase\u00f1a sea el tiempo y los recursos que es probable que los atacantes cambien su enfoque a objetivos m\u00e1s f\u00e1ciles.<\/p>\n\u00bfPueden los hackers descifrar los algoritmos de hash? <\/h2>\nDebido a que los algoritmos de hash son funciones unidireccionales, el \u00fanico m\u00e9todo para comprometer las contrase\u00f1as de hash es a trav\u00e9s de t\u00e9cnicas de fuerza bruta. Los atacantes cibern\u00e9ticos emplean hardware especial como GPU y software de agrietamiento (por ejemplo, hashcat, l0phtcrack, John the Ripper) para ejecutar ataques de fuerza bruta a escala, t\u00edpicamente millones o miles de millones o combinaciones a la vez.<\/p>\nIncluso con estas sofisticadas herramientas de craqueo especialmente dise\u00f1adas, los tiempos de descifrado de contrase\u00f1a pueden variar dram\u00e1ticamente dependiendo del algoritmo de hash de hash utilizado y la longitud de la contrase\u00f1a\/combinaci\u00f3n de caracteres. Por ejemplo, las contrase\u00f1as largas y complejas pueden tardar miles de a\u00f1os en romper, mientras que las contrase\u00f1as cortas y simples se pueden descifrar de inmediato.<\/p>\nLos siguientes puntos de referencia de agrietamiento fueron encontrados por Especificaciones<\/a> en investigadores sobre una GPU NVIDIA RTX 4090 y utilizaron software hashcat.<\/p>\nMD5<\/h3>\nUna vez considerado un algoritmo de hash de fuerza industrial, MD5 ahora se considera criptogr\u00e1ficamente deficiente debido a sus diversas vulnerabilidades de seguridad; Dicho esto, sigue siendo uno de los algoritmos de hash m\u00e1s utilizados. Por ejemplo, el popular CMS WordPress todav\u00eda usa MD5 por defecto; Esto representa aproximadamente 43.7%<\/a> de sitios web con CMS.<\/p>\nCon GPU y software de agrietamiento f\u00e1cilmente disponibles, los atacantes pueden descifrar instant\u00e1neamente contrase\u00f1as num\u00e9ricas de 13 caracteres o menos aseguradas por el hash de 128 bits de MD5; Por otro lado, una contrase\u00f1a de 11 caracteres que consiste en n\u00fameros, caracteres may\u00fasculas\/min\u00fasculas y s\u00edmbolos tomar\u00edan 26.5 mil a\u00f1os. <\/p>\nSHA256<\/h3>\nEl Algoritmo de hash de SHA256<\/a> Pertenece al grupo de funciones de hash del algoritmo hash seguro 2 (SHA-2) dise\u00f1ados por la Agencia de Seguridad Nacional (NSA) y publicado por el Instituto Nacional de Normas y Tecnolog\u00eda (NIST). Como actualizaci\u00f3n del algoritmo SHA-1 defectuoso, SHA256 se considera un algoritmo robusto y altamente seguro adecuado para las aplicaciones de seguridad de hoy. <\/p>\nCuando se usa con contrase\u00f1as largas y complejas, SHA256 es casi impenetrable utilizando m\u00e9todos de fuerza bruta: una contrase\u00f1a hash de 11 caracteres SHA256 utilizando n\u00fameros, caracteres superiores\/min\u00fasculas y s\u00edmbolos tardan 2052 a\u00f1os en agrietarse usando GPU y software de agrietamiento. Sin embargo, los atacantes pueden descifrar instant\u00e1neamente nueve contrase\u00f1as con moldes de SHA256 que consisten en solo caracteres num\u00e9ricos o min\u00fasculas.<\/p>\nBcrypt<\/h3>\nLos expertos en seguridad consideran que tanto SHA256 como BCrypt como algoritmos de hashing suficientemente fuertes para aplicaciones de seguridad modernas. Sin embargo, a diferencia de SHA256, BCrypt refuerza su mecanismo de hashing al emplear saling, agregando un dato aleatorio a cada hash de contrase\u00f1a para garantizar la singularidad, Bcrypt hace que las contrase\u00f1as sean altamente resistentes contra el diccionario o los intentos de la fuerza bruta. Adem\u00e1s, BCRYPT emplea un factor de costo que determina el n\u00famero de iteraciones para ejecutar el algoritmo. <\/p>\nEsta combinaci\u00f3n de sal y factorizaci\u00f3n de costos hace que Bcrypt sea extremadamente resistente al diccionario y los ataques de fuerza bruta. Un atacante cibern\u00e9tico que usa GPU y software de agrietamiento tomar\u00eda 27,154 a\u00f1os para romperse<\/a> Una contrase\u00f1a de ocho caracteres que consta de n\u00fameros, letras may\u00fasculas\/min\u00fasculas y s\u00edmbolos hash por BCRYPT. Sin embargo, las contrase\u00f1as BCrypt num\u00e9ricas o solo en min\u00fasculas son triviales para romper, tomando entre una cuesti\u00f3n de horas y unos segundos para comprometerse.<\/p>\n\u00bfC\u00f3mo se ven los hackers algoritmos de hash? <\/h2>\nIndependientemente del algoritmo de hash, la vulnerabilidad com\u00fan son las contrase\u00f1as cortas y simples. Las contrase\u00f1as largas y complejas que incorporan n\u00fameros, letras may\u00fasculas y min\u00fasculas, y s\u00edmbolos son la f\u00f3rmula ideal para la fuerza y \u200b\u200bla resistencia de la contrase\u00f1a. Sin embargo, la reutilizaci\u00f3n de contrase\u00f1a sigue siendo un problema importante; Solo una contrase\u00f1a compartida, sin importar cu\u00e1n fuerte, almacenada en texto sin formato en un sitio web o servicio mal asegurado, puede dar a los ciber atacantes acceso a cuentas sensibles. <\/p>\nEn consecuencia, es m\u00e1s probable que los atacantes cibern\u00e9ticos obtengan credenciales violadas y listas de contrase\u00f1as expuestas de la web oscura en lugar de intentar descifrar contrase\u00f1as largas y complejas aseguradas con algoritmos de hashing modernos. Romper una contrase\u00f1a larga con BCRYPT es pr\u00e1cticamente imposible, incluso con hardware y software especialmente dise\u00f1ados. Pero usar una contrase\u00f1a comprometida conocida es instant\u00e1nea y efectiva. <\/p>\nPara proteger a su organizaci\u00f3n contra contrase\u00f1as violadas, Pol\u00edtica de contrase\u00f1a de especificaciones<\/a> Escanea continuamente su activo directorio contra una base de datos creciente de m\u00e1s de 4 mil millones de contrase\u00f1as comprometidas \u00fanicas. P\u00f3ngase en contacto para una prueba gratuita<\/a>. <\/p>\n<\/p>\n\u00bfEncontr\u00f3 este art\u00edculo interesante? Este art\u00edculo es una pieza contribuida de uno de nuestros valiosos socios.<\/span> S\u00e9guenos Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> Para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/\u00bfCuanto-tiempo-lleva-a-los-piratas-informaticos-a-descifrar-los.jpg\"){kind=link}
Si bien las contrase\u00f1as siguen siendo la primera l\u00ednea de defensa para proteger las cuentas de los usuarios contra el acceso no autorizado, los m\u00e9todos para crear contrase\u00f1as seguras y protegerlas est\u00e1n evolucionando continuamente. Por ejemplo, Recomendaciones de contrase\u00f1a de NIST<\/a> ahora est\u00e1n priorizando la longitud de la contrase\u00f1a sobre la complejidad. El hashing, sin embargo, sigue siendo un no negociable. Incluso las frases de contrase\u00f1a largas y seguras deben estar hash para evitar que est\u00e9n completamente expuestos en caso de que una violaci\u00f3n de datos, y nunca se almacenen en texto sin formato.<\/p>\n Este art\u00edculo examina c\u00f3mo los atacantes cibern\u00e9ticos de hoy intentan descifrar las contrase\u00f1as de hash, explora los algoritmos de hash comunes y sus limitaciones, y analiza las medidas que puede tomar para proteger sus contrase\u00f1as hash, independientemente de qu\u00e9 algoritmo est\u00e9 utilizando.<\/p>\n Los actores maliciosos tienen una variedad de herramientas y m\u00e9todos a su disposici\u00f3n para descifrar las contrase\u00f1as de hash. Algunos de los m\u00e9todos m\u00e1s utilizados incluyen ataques de fuerza bruta, ataques de diccionario de contrase\u00f1a, ataques h\u00edbridos y ataques de m\u00e1scaras.<\/p>\n A ataque de fuerza bruta<\/a> implica intentos excesivos y de error contundentes para obtener acceso a la cuenta. Los actores maliciosos emplean herramientas especializadas para probar sistem\u00e1ticamente las variaciones de contrase\u00f1a hasta que se descubra una combinaci\u00f3n de trabajo. Aunque poco sofisticados, los ataques de fuerza bruta son altamente efectivos utilizando un software de agrietamiento de contrase\u00f1a y hardware inform\u00e1tico de alta potencia, como unidades de procesamiento de gr\u00e1ficos (GPU). <\/p>\n Como su nombre lo indica, un ataque de diccionario de contrase\u00f1a dibuja sistem\u00e1ticamente las palabras de un diccionario a las variaciones de contrase\u00f1a de fuerza bruta hasta encontrar una combinaci\u00f3n de trabajo. El contenido del diccionario puede contener todas las palabras comunes, listas de palabras espec\u00edficas y combinaciones de palabras, as\u00ed como derivados de palabras y permutaciones con caracteres alfanum\u00e9ricos y no alfanum\u00e9ricos (por ejemplo, sustituir un “A” con “@”). Los ataques de diccionario de contrase\u00f1a tambi\u00e9n pueden contener contrase\u00f1as previamente filtradas o frases clave expuestas en violaciones de datos.<\/p>\n A Ataque de contrase\u00f1a h\u00edbrida<\/a> Combina la fuerza bruta con m\u00e9todos basados \u200b\u200ben diccionario para lograr una mejor agilidad y eficacia de ataque. Por ejemplo, un actor malicioso puede usar una lista de palabras de diccionario de credenciales de uso com\u00fan con t\u00e9cnicas que integran combinaciones de caracteres num\u00e9ricos y no alfanum\u00e9ricos.<\/p>\n En algunos casos, los actores maliciosos pueden conocer patrones de contrase\u00f1a espec\u00edficos o par\u00e1metros\/requisitos. Este conocimiento les permite usar ataques de m\u00e1scara para reducir el n\u00famero de iteraciones e intentos en sus esfuerzos de agrietamiento. Los ataques de m\u00e1scaras usan la fuerza bruta para verificar los intentos de contrase\u00f1a que coinciden con un patr\u00f3n espec\u00edfico (por ejemplo, ocho caracteres, comienzan con una letra may\u00fascula y terminan con un n\u00famero o car\u00e1cter especial).<\/p>\n Los algoritmos de hash son un pilar en una gran cantidad de aplicaciones de seguridad, desde monitoreo de integridad de archivos hasta firmas digitales y almacenamiento de contrase\u00f1as. Y aunque no es un m\u00e9todo de seguridad infalible, el hashing es mucho mejor que almacenar contrase\u00f1as en texto sin formato. Con las contrase\u00f1as de hash, puede asegurarse de que incluso si los atacantes cibern\u00e9ticos obtienen acceso a las bases de datos de contrase\u00f1a, no pueden leerlas o explotarlas f\u00e1cilmente.<\/p>\n Por dise\u00f1o, el hash obstaculiza significativamente la capacidad de un atacante para descifrar las contrase\u00f1as, actuando como un elemento disuasorio cr\u00edtico haciendo que el tiempo de contrase\u00f1a sea el tiempo y los recursos que es probable que los atacantes cambien su enfoque a objetivos m\u00e1s f\u00e1ciles.<\/p>\n Debido a que los algoritmos de hash son funciones unidireccionales, el \u00fanico m\u00e9todo para comprometer las contrase\u00f1as de hash es a trav\u00e9s de t\u00e9cnicas de fuerza bruta. Los atacantes cibern\u00e9ticos emplean hardware especial como GPU y software de agrietamiento (por ejemplo, hashcat, l0phtcrack, John the Ripper) para ejecutar ataques de fuerza bruta a escala, t\u00edpicamente millones o miles de millones o combinaciones a la vez.<\/p>\n Incluso con estas sofisticadas herramientas de craqueo especialmente dise\u00f1adas, los tiempos de descifrado de contrase\u00f1a pueden variar dram\u00e1ticamente dependiendo del algoritmo de hash de hash utilizado y la longitud de la contrase\u00f1a\/combinaci\u00f3n de caracteres. Por ejemplo, las contrase\u00f1as largas y complejas pueden tardar miles de a\u00f1os en romper, mientras que las contrase\u00f1as cortas y simples se pueden descifrar de inmediato.<\/p>\n Los siguientes puntos de referencia de agrietamiento fueron encontrados por Especificaciones<\/a> en investigadores sobre una GPU NVIDIA RTX 4090 y utilizaron software hashcat.<\/p>\n Una vez considerado un algoritmo de hash de fuerza industrial, MD5 ahora se considera criptogr\u00e1ficamente deficiente debido a sus diversas vulnerabilidades de seguridad; Dicho esto, sigue siendo uno de los algoritmos de hash m\u00e1s utilizados. Por ejemplo, el popular CMS WordPress todav\u00eda usa MD5 por defecto; Esto representa aproximadamente 43.7%<\/a> de sitios web con CMS.<\/p>\n Con GPU y software de agrietamiento f\u00e1cilmente disponibles, los atacantes pueden descifrar instant\u00e1neamente contrase\u00f1as num\u00e9ricas de 13 caracteres o menos aseguradas por el hash de 128 bits de MD5; Por otro lado, una contrase\u00f1a de 11 caracteres que consiste en n\u00fameros, caracteres may\u00fasculas\/min\u00fasculas y s\u00edmbolos tomar\u00edan 26.5 mil a\u00f1os. <\/p>\n El Algoritmo de hash de SHA256<\/a> Pertenece al grupo de funciones de hash del algoritmo hash seguro 2 (SHA-2) dise\u00f1ados por la Agencia de Seguridad Nacional (NSA) y publicado por el Instituto Nacional de Normas y Tecnolog\u00eda (NIST). Como actualizaci\u00f3n del algoritmo SHA-1 defectuoso, SHA256 se considera un algoritmo robusto y altamente seguro adecuado para las aplicaciones de seguridad de hoy. <\/p>\n Cuando se usa con contrase\u00f1as largas y complejas, SHA256 es casi impenetrable utilizando m\u00e9todos de fuerza bruta: una contrase\u00f1a hash de 11 caracteres SHA256 utilizando n\u00fameros, caracteres superiores\/min\u00fasculas y s\u00edmbolos tardan 2052 a\u00f1os en agrietarse usando GPU y software de agrietamiento. Sin embargo, los atacantes pueden descifrar instant\u00e1neamente nueve contrase\u00f1as con moldes de SHA256 que consisten en solo caracteres num\u00e9ricos o min\u00fasculas.<\/p>\n Los expertos en seguridad consideran que tanto SHA256 como BCrypt como algoritmos de hashing suficientemente fuertes para aplicaciones de seguridad modernas. Sin embargo, a diferencia de SHA256, BCrypt refuerza su mecanismo de hashing al emplear saling, agregando un dato aleatorio a cada hash de contrase\u00f1a para garantizar la singularidad, Bcrypt hace que las contrase\u00f1as sean altamente resistentes contra el diccionario o los intentos de la fuerza bruta. Adem\u00e1s, BCRYPT emplea un factor de costo que determina el n\u00famero de iteraciones para ejecutar el algoritmo. <\/p>\n Esta combinaci\u00f3n de sal y factorizaci\u00f3n de costos hace que Bcrypt sea extremadamente resistente al diccionario y los ataques de fuerza bruta. Un atacante cibern\u00e9tico que usa GPU y software de agrietamiento tomar\u00eda 27,154 a\u00f1os para romperse<\/a> Una contrase\u00f1a de ocho caracteres que consta de n\u00fameros, letras may\u00fasculas\/min\u00fasculas y s\u00edmbolos hash por BCRYPT. Sin embargo, las contrase\u00f1as BCrypt num\u00e9ricas o solo en min\u00fasculas son triviales para romper, tomando entre una cuesti\u00f3n de horas y unos segundos para comprometerse.<\/p>\n Independientemente del algoritmo de hash, la vulnerabilidad com\u00fan son las contrase\u00f1as cortas y simples. Las contrase\u00f1as largas y complejas que incorporan n\u00fameros, letras may\u00fasculas y min\u00fasculas, y s\u00edmbolos son la f\u00f3rmula ideal para la fuerza y \u200b\u200bla resistencia de la contrase\u00f1a. Sin embargo, la reutilizaci\u00f3n de contrase\u00f1a sigue siendo un problema importante; Solo una contrase\u00f1a compartida, sin importar cu\u00e1n fuerte, almacenada en texto sin formato en un sitio web o servicio mal asegurado, puede dar a los ciber atacantes acceso a cuentas sensibles. <\/p>\n En consecuencia, es m\u00e1s probable que los atacantes cibern\u00e9ticos obtengan credenciales violadas y listas de contrase\u00f1as expuestas de la web oscura en lugar de intentar descifrar contrase\u00f1as largas y complejas aseguradas con algoritmos de hashing modernos. Romper una contrase\u00f1a larga con BCRYPT es pr\u00e1cticamente imposible, incluso con hardware y software especialmente dise\u00f1ados. Pero usar una contrase\u00f1a comprometida conocida es instant\u00e1nea y efectiva. <\/p>\n Para proteger a su organizaci\u00f3n contra contrase\u00f1as violadas, Pol\u00edtica de contrase\u00f1a de especificaciones<\/a> Escanea continuamente su activo directorio contra una base de datos creciente de m\u00e1s de 4 mil millones de contrase\u00f1as comprometidas \u00fanicas. P\u00f3ngase en contacto para una prueba gratuita<\/a>. <\/p>\n <\/p>\nT\u00e9cnicas de agrietamiento de contrase\u00f1a moderna<\/h2>\n
Ataques de fuerza bruta<\/h3>\n
Ataque de diccionario de contrase\u00f1a<\/h3>\n
Ataques h\u00edbridos<\/h3>\n
Ataques de m\u00e1scaras<\/h3>\n
C\u00f3mo los algoritmos de hash protegen contra los m\u00e9todos de agrietamiento<\/h2>\n
\u00bfPueden los hackers descifrar los algoritmos de hash? <\/h2>\n
MD5<\/h3>\n
SHA256<\/h3>\n
Bcrypt<\/h3>\n
\u00bfC\u00f3mo se ven los hackers algoritmos de hash? <\/h2>\n