Comparativa de tiempos de averiguación de claves mediante ataque de fuerza bruta

Interesante artículo en Barapunto. Habla sobre el tiempo de recuperación de una clave, en función de la potencia de cálculo y de la complejidad de la misma.

Barrapunto enlaza a la fuente original, un artículo que se llama Datos de seguridad en contraseñas. En este texto hay diversas tablas que muestran los tiempos aproximados de averiguación de una clave empleando un ataque de fuerza bruta, en función, tal y como hemos comentado, de la capacidad de cálculo que tengamos y sobre todo, de la complejidad de la clave que queremos romper. Ni que decir tiene que son datos APROXIMADOS, y no exactos.

Las claves son más complejas según aumente su longitud y la variación de caracteres empleados. Una clave poco compleja es hola, y un ejemplo de clave muy compleja sería es 4Ref34!”)”$(%CFdsvcsdCsdcsadsdfew$·%4fewf4%$&ew.

El artículo distingue entre estos tipos de potencia de cálculo:

A. 10,000 Passwords/seg
Ejemplo: Recuperación de contraseña de MS Office en un Pentium 100

B. 100,000 Passwords/seg
Ejemplo: Recuperación de contraseña Microsoft (Archivos .PWL)en un Pentium 100

C. 1,000,000 Passwords/seg
Ejemplo: Recuperación de contraseña de un archivo comprimido en ZIP o ARJ Pentium 100

D. 10,000,000 Passwords/seg
Ejemplo: Recuperación de cualquiera de las contraseñas anteriores con un PC de Gama Alta (+2Gh)

E. 100,000,000 Passwords/seg
Ejemplo: Recuperación de una contraseña con un cluster de microprocesadores o con multiples Pcs trabajando de manera simultánea.

F. 1,000,000,000 Passwords/seg
Ejemplo: Recuperación de una contraseña utilizando una supercomputadora o una red de ordenadores interconectados a gran escala, por ejemplo sitrubed.net: fundado en 1997 y con un poder de computo equivalente a más de 160000 computadoras PII 266MHz trabajando 24 horas al día, 7 días a la semana, 365 días al año!

Veamos un ejemplo. Imaginaos que la clave que queremos romper es sergio:

• Número de combinaciones posibles: 308.9 millones
• Tiempo de averiguación si empleamos un ataque clase A: 8 horas y media
• Tiempo de averiguación si empleamos un ataque clase B: 51 minutos y medio
• Tiempo de averiguación si empleamos un ataque clase C: 5 minutos
• Tiempo de averiguación si empleamos un ataque clase D: 30 segundos
• Tiempo de averiguación si empleamos un ataque clase E: 3 segundos
• Tiempo de averiguación si empleamos un ataque clase F: Inmediato

Como se puede observar, averiguar esa clave es cuestión de tiempo. Veamos que pasa, si en vez de sergio, empleo la clave S33r&Gio:

• Número de combinaciones posibles: 72.000 billones
• Tiempo de averiguación si empleamos un ataque clase A: 22.875 años
• Tiempo de averiguación si empleamos un ataque clase B: 2.287 años
• Tiempo de averiguación si empleamos un ataque clase C: 229 años
• Tiempo de averiguación si empleamos un ataque clase D: 23 años
• Tiempo de averiguación si empleamos un ataque clase E: 2 años y 3 meses
• Tiempo de averiguación si empleamos un ataque clase F: 83 días y medio

Consejo de amigo: ponedle a los atacantes las cosas difíciles. Emplear claves robustas es siempre la primera línea de nuestra defensa.

Fuente:

http://www.sahw.com/wp/archivos/2006/11/01/comparativa-de-tiempos-de-averiguacion-de-claves-mediante-ataque-de-fuerza-bruta/

http://barrapunto.com/articles/06/10/30/1913201.shtml

http://www.tufuncion.com/ataques-passwords-hacker-msn

http://www.bradanovic.cl/pcasual/ataque_password.htm

http://thecrypt.co.uk/
___

Suscríbete a nuestro Boletín