Algunas Recomendaciones Sobre Cómo Proteger Su PC y Cómo Crear Contraseñas Seguras.

Enviado por H4RD el Dom, 18/02/2018 - 19:11

 

Para proteger un PC se recomienda usar como mínimo dos cuentas de usuario, una con privilegios de administrador y otra con privilegios restringidos para el uso diario; de esta forma cuando se desee instalar algo, se le pedirá que se autentique como un administrador del equipo. Con esta medida se consigue que si un tercero tuviera acceso a su equipo y quisiera instalar algo, este se vea frenado hasta que se ingrese con una cuenta y clave de administrador.
 

Asimismo, para proteger la información que se tiene en el equipo, se podría emplear alguna herramienta para cifrar la unidad de almacenamiento (HDD, SSD o memoria USB, entre otras), es decir, que si alguien desea leer en texto claro lo que se tiene, debe conocer la llave de cifrado. Por supuesto que existen varios métodos para vulnerar esto, pero le hará un poco espinoso el camino a un intruso en su equipo.


En este punto hay un inconveniente con los recursos hardware y es que al usar una herramienta de cifrado, el rendimiento del equipo disminuye porque deberá estar haciendo constantemente cálculos para cifrar y descifrar los archivos que usted desea leer o escribir (guardar) en la unidad de almacenamiento, así que lo aconsejable es crear una carpeta o un contenedor de archivos  que siempre se va a mantener cifrado y en este, se agregaran los archivos que se consideren importantes y que se desean proteger de un posible intruso, por ejemplo: documentos de trabajo, presupuestos, fotos, vídeos y diferentes documentos que son parte de la evidencia en algún caso legal, si es usted un abogado,  periodista, perito en informática forense, activista u otro. 


Entre las herramientas más completas y de mayor popularidad para cifrar unidades de almacenamiento, particiones o un contenedor de archivos (disco o volumen virtual), encontramos VeraCrypt, que es un fork de TrueCrypt (software descontinuado) y el cual es multiplataforma: Windows, Linux, macOS, entre otros; incluso tiene soporte para ARM (procesadores de bajo consumo de energía) en Raspbian, es open source y está bajo la Apache License 2.0, además cuenta con una gran variedad de algoritmos de cifrado, entre ellos el Advanced Encryption Standard (AES) o también conocido como Rijndael, que es un estándar del National Institute of Standards and Technology (NIST) y cuenta con algoritmos de resumen como SHA-256 y SHA-512, entre otros.


Respecto a la protección de las cuentas, haré referencia a las cuentas de usuario del equipo y a las que se puedan tener en diversas plataformas o servicios en internet como las cuentas de correo y las de redes sociales. 


Para las cuentas con servicios asociados en internet, lo mínimo sería usar el factor de doble autenticación, que es aquel que, sumado al ingreso de la contraseña, nos envía un código de acceso a nuestro celular u otro equipo asociado (como es el caso de Apple con la cuenta de iCloud).


En todos los casos se recomienda usar contraseñas de más de 14 caracteres, donde estos no se repitan y, dentro de lo posible, que sean diferentes para cada cuenta. El objetivo será tomar la mayor cantidad de caracteres de la tabla ASCII o de Unicode, pero ¿cómo recordar todas las contraseñas? Es simple, veamos:


Tomaremos una frase de algún libro o un fragmento de una canción o de un poema que nos guste, la idea es que sea algo que permanece en nuestros recuerdos porque nos agradó cuando lo leímos en su momento y en caso de no recordar exactamente la frase, por lo menos sabemos en qué libro o audio encontrarla.


En este caso tomaremos una frase de El Principito:

“Sólo con el corazón se puede ver bien; lo esencial es invisible a los ojos” (74 caracteres con espacios), pero que recortaremos a lo esencial es(14 caracteres con espacios) por comodidad en este ejemplo.

Quedando la “contraseña base” así:
 

Equivalencia entre caracteres de la frase y caracteres del código ASCII o Unicode

 

La idea es cambiar cada letra por un símbolo, es decir, podríamos crear una tabla de caracteres con sus equivalencias, puesto que es notable la similitud entre algunas letras, números y símbolos, como las “s” con el “5”, la “a” con la “@” y la “c” con el símbolo de paréntesis “(”, entre otras. Dicha tabla, la guardaríamos en físico, en un lugar que consideremos seguro. Así tal vez muchas personas no lo crean, guardarlas en físico se puede contemplar como un método seguro.


En ese sentido, ahora se debe crear una clave para cada cuenta, pero lo importante es que ya tenemos una contraseña base, así que para las demás cuentas se podría emplear el siguiente método: agregar al inicio y/o al final de la contraseña base, algo que me recuerde a qué servicio deseo acceder, y por supuesto, incluir esto en nuestra tabla física de contraseñas. En resumen, las contraseñas podrían quedar así (por supuesto dependerá mucho de la distribución de teclado que se esté usando):
 

Tabla de contraseñas

 

Esta forma de escoger nuestras contraseñas parece un poco complicada, pero nada puede estar más alejado de la realidad, al poco tiempo cuando ya estemos familiarizados con la regla mnemotécnica, no se necesitará recurrir a la tabla de contraseñas en físico. Claramente la longitud y fortaleza de la contraseña dependerá del tipo de información que se desea proteger. 


Tal vez en este punto se pregunten ¿por qué puedo considerar seguras este tipo de contraseñas? Existen varias razones, una de ellas es que los hash o algoritmos de resumen de cada una de estas contraseñas serán muy diferentes entre sí, en otras palabras, sólo con el hecho de cambiar una letra en mayúscula por su minúscula, me modifica completamente el resultado que me arroja la función hash de dicha clave.


Es difícil que un hash presente una colisión, esto es, que dos frases, archivos o documentos diferentes, nos arrojen el mismo hash. El que sea difícil no quiere decir que sea imposible, sino recordemos la colisión de SHA-1 que consiguió hace poco Google y el Centrum Wiskunde & Informatica (CWI) o instituto nacional de investigación en matemáticas e informática de los Países Bajos, luego de aproximadamente dos años de investigación, pero esto es cuento aparte; porque involucró diferentes técnicas, computacionales y matemáticas, para conseguir que dos PDF diferentes arrojaran el mismo hash.


En la actualidad hay algoritmos resumen que no se consideran seguros, porque se han conseguido colisiones, como md4, md5, y ahora sha-1, entre otros; sin embargo, aún se utilizan muchos de estos a pesar de los inconvenientes que podría causar a la hora de garantizar la autenticidad e integridad de la información.


Otra razón para considerar seguras este tipo de contraseñas, es la longitud y cantidad de caracteres diferentes en ellas, puesto que aumentaría la complejidad para llevar a cabo un ataque por fuerza bruta.


Ahora, ¿por qué hablamos de funciones hash? Porque ese método se usa para el acceso a una cuenta, servicio, plataforma o equipo de computo. Cuando ingresamos nuestra contraseña para acceder a un servicio, lo que hace nuestro equipo o servicio es comparar el hash de la contraseña (previamente elegida) y lo que acabamos de ingresar como contraseña, si estas coinciden entonces tendremos acceso, así que en este punto podemos darnos cuenta que nuestro equipo normalmente  no almacena contraseñas (existen excepciones), sino funciones hash de estas, las cuales cifra en algunos casos, para dar una mayor robustez o seguridad.


Por ejemplo: en Windows antes se usaba un cifrado de 40 bits (autenticación LM), ahora, desde Windows NT en adelante se usa un cifrado de 128 bits (autenticación NTLM v1 y v2) para estos hash, vale decir que en teoría, cualquiera que desee atacar por fuerza bruta esos archivos donde se alojan estos (SAM - Security Account Manager  y SYSKEY), deberá emplear 2 elevado a la 128 (2^128) combinaciones para intentar dar con la contraseña (siendo estrictos, solo 2^127, que sería la mitad) y por supuesto, si esta es de gran longitud y tiene un alto grado de aleatoriedad o en otros términos, no repite caracteres… hará muy difícil un ataque de este tipo o uno por diccionario, en donde este último implicaría tener la frase exacta y la tabla de equivalencias en un archivo para ir calculando y comparando los diferentes hash y así poder dar con la clave. Ojo, podría ser difícil, pero no imposible; hay unas cuantas técnicas que permitirían romper esa seguridad, unas de mayor complejidad que otras y que se reducirían a: tiempo, poder de procesamiento y costo computacional.


¿Y qué es un hash? Es una función resumen o algoritmo matemático (no hay solo uno, existen varios) de una sola vía ¿esto qué quiere decir? Pues que si deseo devolverme, esto es, que partiendo del hash pueda obtener la frase a la cual le calculé esa función, será casi imposible, dependiendo de la complejidad y longitud de la frase… ojo, dije casi, desde el punto de vista matemático, porque se ha demostrado que combinando técnicas computacionales, matemáticas y físicas - no tan sencillas y controlando ciertas variables - puede ser posible obtener la frase inicial.


Por último, es válido recalcar que ningún sistema es 100% seguro y que la primera brecha de seguridad es el usuario, en este caso, al momento de escoger sus contraseñas. 

 

 

Facebook Comments