Ataque de diccionario
Un ataque de diccionario es un método para descifrar credenciales que se utiliza con frecuencia para vulnerar sistemas de autenticación mediante la prueba sistemática de listas precompiladas de posibles contraseñas. Esta técnica, también denominada ataque basado en diccionario, aprovecha la tendencia de los usuarios a elegir contraseñas basadas en palabras comunes, frases de uso frecuente, nombres propios o combinaciones de caracteres predecibles. Además, los atacantes suelen emplear métodos basados en diccionarios para identificar automáticamente direcciones de correo electrónico válidas destinadas a campañas de spam.
A diferencia de los ataques de fuerza bruta, que prueban exhaustivamente todas las combinaciones posibles de caracteres (lo que consume una cantidad considerable de recursos informáticos y tiempo), los ataques de diccionario utilizan listas predefinidas de palabras que contienen contraseñas de uso habitual o filtradas, lo que permite realizar intentos de vulneración más rápidos y eficientes en cuanto al uso de recursos.
Los diccionarios y las herramientas de software especializadas para llevar a cabo ataques de diccionario están ampliamente disponibles, tanto en el mercado como de forma gratuita a través de los recursos de la comunidad de seguridad. Los diccionarios pueden contener desde miles hasta millones de entradas. Los administradores de TI y los especialistas en seguridad suelen utilizar estas herramientas y diccionarios de forma proactiva —mediante pruebas de seguridad, pruebas de penetración y auditorías de contraseñas— para evaluar la vulnerabilidad de sus sistemas frente a este vector de ataque.
Una técnica de mitigación habitual consiste en aplicar políticas de creación de contraseñas que rechacen automáticamente las credenciales derivadas exclusivamente de entradas de diccionario o de listas de contraseñas predecibles. Sin embargo, unas políticas de filtrado de diccionario demasiado restrictivas pueden afectar negativamente a la experiencia del usuario y dificultar la elección de contraseñas que cumplan los requisitos. Por tanto, los profesionales de la seguridad deben encontrar un equilibrio entre los requisitos de complejidad de las contraseñas y las consideraciones prácticas de usabilidad.
Otra política fundamental consiste en eliminar las «cuentas Joe» —cuentas de usuario en las que el nombre de usuario y la contraseña son idénticos—, ya que suelen ser los principales objetivos de las herramientas automatizadas de ataque por diccionario. Como mínimo, los administradores de seguridad deben implantar controles que impidan crear cuentas Joe y aplicar directrices de complejidad de contraseñas para reducir al mínimo los intentos exitosos de adivinación de credenciales.
