Ataques a Contraseñas

Hydra, Hashcat y credenciales filtradas en acción

RIESGO CRÍTICOINTERMEDIO 25 min

HydraHashcatBrute ForceHash CrackingrockyouNTLM

Ningún ataque a credenciales sobrevive a una defensa en capas bien montada. El atacante apuesta a que te falta alguna pieza. Tu trabajo es no dejar ningún hueco.

¿Por qué importa?

Hydra genera miles de intentos por minuto. Sin rate limiting un login SSH cae en segundos. Con los hashes robados Hashcat trabaja offline a velocidad de GPU — sin que tu servidor sepa nada.

Controles de defensa

01Rate limiting con fail2ban en SSH

Limita los intentos de login por IP. Tras N fallos bloquea temporalmente.

implementación

# /etc/fail2ban/jail.local
[sshd]
enabled  = true
port     = ssh
maxretry = 5
findtime = 300
bantime  = 3600

systemctl restart fail2ban
fail2ban-client status sshd

02Deshabilita autenticación por password en SSH

Si solo permites claves SSH, la fuerza bruta de contraseñas es imposible por definición.

implementación

# /etc/ssh/sshd_config
PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes

systemctl restart sshd

Antes de deshabilitar el password, asegúrate de tener tu clave SSH configurada. Si te quedas afuera no podrás entrar.

03Usa hashing robusto — bcrypt o Argon2

MD5 se crackea en millisegundos. bcrypt y Argon2 están diseñados para ser lentos — hacen el cracking offline inviable.

implementación

# Python — hashear con bcrypt:
pip install bcrypt

import bcrypt
password = b"contrasena_del_usuario"
salt = bcrypt.gensalt(rounds=12)
hashed = bcrypt.hashpw(password, salt)

# Verificar:
bcrypt.checkpw(password, hashed)  # True

Supabase Auth ya usa bcrypt internamente. Esto aplica si manejas tu propia tabla de usuarios.

04Activa MFA en todos los accesos críticos

Con MFA, aunque el atacante tenga la contraseña correcta, no puede entrar sin el segundo factor.

implementación

# SSH con Google Authenticator:
sudo apt install libpam-google-authenticator
google-authenticator

# /etc/pam.d/sshd — añade:
auth required pam_google_authenticator.so

# /etc/ssh/sshd_config:
ChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

Para apps web usa TOTP. SMS como segundo factor es mejor que nada pero vulnerable a SIM swapping.

Señales de detección

// Indicadores que deberías monitorear para detectar esta técnica en acción.

Múltiples intentos de login fallidos desde una misma IP en menos de 60 segundos

Un mismo password probado contra muchos usuarios distintos — password spraying

Intentos de login con usuarios que no existen — enumeración de usuarios

Picos de tráfico hacia /login o puerto 22 desde fuentes externas

MITRE D3FEND®

MFA RAL PA SCA

Ver Plano de Ataque

Desencriptando expediente

Descifrando datos operativos