Programadores que conquistan la seguridad: Serie de aprendizaje y difusión - Autenticación

En este blog trataremos uno de los problemas más comunes a los que se enfrentan las organizaciones que gestionan sitios web o que permiten a sus empleados acceder a recursos informáticos de forma remota, es decir, prácticamente todo el mundo. Y sí, probablemente haya adivinado que vamos a hablar de la autenticación.

Si un hacker puede iniciar sesión en un sistema como administrador simplemente con un nombre de usuario y una contraseña válidos, no necesita desplegar técnicas avanzadas para superar las defensas de la red. El sistema simplemente abre la puerta y deja entrar al atacante. Peor aún, si el atacante no hace nada demasiado extraño, su presencia es casi imposible de detectar, ya que la mayoría de las defensas lo verán simplemente como un usuario o administrador legítimo haciendo su trabajo.

La categoría de vulnerabilidades de autenticación es bastante amplia, pero repasaremos los problemas más comunes que suelen integrarse accidentalmente en los procesos de inicio de sesión de los usuarios. Al cerrar estas brechas, puede eliminar la gran mayoría de los problemas de autenticación de su organización.

En este episodio, aprenderemos:

• Cómo se explotan algunas vulnerabilidades de autenticación comunes
• Por qué son tan peligrosas
• Qué políticas y técnicas se pueden utilizar para eliminar las vulnerabilidades de autenticación.

¿Cómo explotan los atacantes las vulnerabilidades de autenticación?

Existen bastantes vulnerabilidades que pueden colarse en un sistema de autenticación, por lo que los hackers explotan cada una de forma ligeramente distinta. Primero, repasemos las vulnerabilidades más comunes y luego veamos ejemplos que demuestren cómo se podrían explotar algunas de ellas.

Las vulnerabilidades de autenticación más comunes incluyen:

• Tener políticas de contraseñas débiles o inadecuadas,
• Permitir intentos de inicio de sesión ilimitados,
• Proporcionar información al atacante tras inicios de sesión fallidos,
• Enviar credenciales a través de canales inseguros,
• Hashear contraseñas de forma débil,
• Y tener un proceso de recuperación de contraseñas inseguro.

Tener una política de contraseñas débil es probablemente la vulnerabilidad más común. Si se permite a los usuarios crear contraseñas sin restricciones, demasiados utilizarán opciones fáciles de adivinar. Cada año, varias organizaciones de noticias informáticas publican una lista de las contraseñas más utilizadas, y "123456" y "password" siempre están entre las cinco primeras. Hay otras. A los administradores les gusta mucho usar "God". Es cierto que todas son graciosas o fáciles de recordar, pero también muy fáciles de adivinar. Los hackers saben cuáles son las contraseñas más comunes y las prueban primero al intentar vulnerar un sistema. Si se permiten ese tipo de contraseñas en su organización, tarde o temprano sufrirá una brecha.

Una vulnerabilidad menos obvia, pero igual de peligrosa, es proporcionar información al usuario sobre un inicio de sesión fallido. Esto es perjudicial porque, si devuelve un mensaje cuando el nombre de usuario no existe y otro distinto cuando el nombre de usuario existe pero la contraseña es incorrecta, permite a los atacantes identificar usuarios válidos en el sistema y concentrarse en adivinar las contraseñas solo para esos nombres de usuario. Si esto se combina con la vulnerabilidad de autenticación que permite intentos ilimitados de adivinación de contraseñas, los atacantes podrían ejecutar ataques de diccionario contra los usuarios válidos que hayan encontrado, lo que podría permitirles entrar en el sistema con bastante rapidez si la contraseña es fácil de adivinar.

¿Por qué son tan peligrosas las vulnerabilidades de autenticación?

Existe una historia clásica del Lejano Oeste americano sobre un colono paranoico que instaló tres cerraduras en su puerta principal, tapió sus ventanas y dormía con muchas armas a su alcance. Por la mañana, lo encontraron muerto. Sus atacantes llegaron hasta él porque olvidó cerrar la puerta trasera. Las vulnerabilidades de autenticación son muy parecidas. Realmente no importa qué tipo de herramientas de monitoreo o controles proactivos tenga implementados, ni cuántos analistas expertos emplee, si un atacante puede usar un nombre de usuario y una contraseña válidos para entrar en su red.

Una vez dentro, hay muy pocas restricciones sobre lo que puede hacer el atacante. Mientras actúe dentro de sus permisos de usuario, que pueden ser bastante extensos si ha comprometido una cuenta de administrador, hay muy pocas posibilidades de que sea detectado a tiempo para evitar problemas graves. Esto convierte a la clase de vulnerabilidades de autenticación en una de las más peligrosas para cualquier sistema.

Eliminación de vulnerabilidades de autenticación

Una de las mejores formas de eliminar las vulnerabilidades de autenticación de una red es contar con políticas de contraseñas sólidas y aplicadas globalmente. No solo se debe restringir a los usuarios, incluso a los administradores, el uso de contraseñas como "password", sino que se les debe obligar a añadir un nivel de complejidad que haga inviable que un atacante aplique un ataque de diccionario o de frases comunes. Puede crear sus propias reglas para la creación de contraseñas en función de la importancia del sistema que se protege. Hacerlo hará que sea mucho más difícil para los atacantes adivinar o forzar las contraseñas.

También debe restringir el número de intentos de inicio de sesión fallidos para que, si se introduce una contraseña incorrecta más de, por ejemplo, tres veces, el usuario sea bloqueado. El bloqueo puede ser temporal, ya que incluso unos pocos minutos de retraso evitarán que continúen los ataques de diccionario automatizados. O puede ser permanente hasta que un administrador desbloquee la cuenta. En cualquier caso, el personal de seguridad debe recibir una alerta siempre que se produzca dicho bloqueo para que puedan monitorear la situación.

Otra buena forma de evitar que los atacantes recopilen información es crear un mensaje genérico siempre que se introduzca un nombre de usuario o una contraseña incorrectos. Debe ser el mismo para ambos casos, de modo que los hackers no sepan si han sido rechazados porque el usuario no existe o debido a que la contraseña es incorrecta.

Las vulnerabilidades de autenticación se encuentran entre las más comunes y peligrosas en la mayoría de los sistemas. Sin embargo, también son bastante fáciles de detectar y eliminar.

Más información sobre las vulnerabilidades de autenticación

Para profundizar en el tema, puedes consultar la hoja de referencia de autenticación de OWASP. También puedes poner a prueba tus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para aprender más sobre cómo derrotar esta vulnerabilidad y una amplia lista de otras amenazas, visita el blog de Secure Code Warrior.

Da un paso al frente y enfréntate directamente a una vulnerabilidad de autenticación en la plataforma Secure Code Warrior: [Comenzar aquí]