# Ataque de fuerza bruta

> Entrar a una cuenta probando contraseñas, una detrás de otra, hasta que alguna funcione.

- Nivel: Básico
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/brute-force-attack/
- En inglés: [Brute-force attack](https://tidbit.legios.com.ar/brute-force-attack/)

Un **ataque de fuerza bruta** es la forma menos ingeniosa de entrar a una cuenta, y aun así una de las más comunes: un programa prueba contraseñas una y otra vez hasta que una es aceptada. No aprovecha ninguna falla del software. Cuenta con que la contraseña sea corta, común o ya conocida.

Casi nunca se prueban todas las combinaciones posibles, porque tardaría demasiado. Un **ataque de diccionario** arranca por las contraseñas que la gente usa de verdad, como `123456`, nombres, equipos de fútbol y patrones del teclado, más variantes típicas como agregar un año. El **credential stuffing** (relleno de credenciales) va un paso más allá: toma pares de correo y contraseña filtrados de un sitio y los prueba en otros, apostando a que la gente repite contraseñas. Y cuando le roban a una empresa su base de contraseñas, se puede adivinar a toda velocidad en máquinas propias, offline, sin ninguna página de login que frene.

La matemática juega a favor de las contraseñas largas. Cada carácter extra multiplica la cantidad de posibilidades, así que una frase de cuatro palabras al azar es muchísimo más difícil de adivinar que una contraseña corta llena de símbolos. Por eso un gestor de contraseñas, que crea una contraseña larga y distinta para cada sitio, frena la mayoría de estos ataques, y por eso la autenticación de dos factores ayuda incluso si adivinan la contraseña.

Los servicios también se defienden: limitan cuántos intentos puede hacer cada cuenta o dirección, agregan demoras o un CAPTCHA después de varios fallos, te avisan de inicios de sesión raros y guardan las contraseñas con un hashing lento a propósito, para que una base robada cueste mucho de romper.

## Una analogía

Un ladrón parado frente a un candado de combinación, con paciencia y una lista de los códigos más populares. El candado de bici de cuatro dígitos cae rápido; una combinación larga, o un candado que se traba después de cinco intentos fallidos, deja la estrategia sin sentido.

## Para quedarse

- Adivina contraseñas en vez de aprovechar un bug, así que el blanco son las débiles y repetidas.
- El credential stuffing reutiliza contraseñas filtradas de otros sitios.
- El largo le gana a la complejidad: cada carácter extra multiplica el trabajo.
- Contraseñas únicas de un gestor de contraseñas más 2FA frenan casi todo.

## Para seguir leyendo

- [Ataque de fuerza bruta en Wikipedia](https://es.wikipedia.org/wiki/Ataque_de_fuerza_bruta)
- [Brute force attack, OWASP (en inglés)](https://owasp.org/www-community/attacks/Brute_force_attack)

## Términos relacionados

- [Gestor de contraseñas](https://tidbit.legios.com.ar/es/password-manager/): Una bóveda cifrada que recuerda una contraseña distinta y fuerte para cada sitio.
- [Autenticación de dos factores](https://tidbit.legios.com.ar/es/two-factor-authentication/): Una segunda prueba de que sos vos, para que una contraseña robada no alcance.
- [CAPTCHA](https://tidbit.legios.com.ar/es/captcha/): Una pruebita que usa un sitio web para distinguir a una persona de un programa.
- [Hashing](https://tidbit.legios.com.ar/es/hashing/): Una huella digital de los datos en un solo sentido: fácil de calcular, imposible de revertir.
- [Bug](https://tidbit.legios.com.ar/es/bug/): Un error en un software que hace que se comporte distinto de lo que se buscaba.