alemanes
Vas a pensarlo dos veces antes de usar el iPhone por un punto de conexión Wi-Fi. Un grupo de investigadores del Departamento de Informática de la Universidad Friedrich-Alexander-Erlangen-Nürnberg en Alemania desarrolló un software que les permite forzar las contraseñas del hotspot de Apple en menos de un minuto.
Resulta que el iOS de Apple genera contraseñas débiles, que tienen entre 4 y 6 caracteres, basadas en palabras, de modo que sean fáciles de recordar para los usuarios. No son complejas. Pero esta es un arma de doble filo, ya que los hackers pueden fácilmente forzar tu teléfono (y lo harán), como probaron los investigadores Andreas Kurtz, Felix Freiling, y Daniel Metz cuando se las arreglaron para secuestrar el iOS (versión 6 y menos) en violentos ataques en menos de un minuto.
Un ataque fuerte, en este contexto, se produce cuando el hacker (o investigador) utiliza una herramienta para adivinar una contraseña dada introduciendo cada palabra que encuentra en el diccionario dentro del campo de validación de contraseña.
Si bien no parece, los ataques de contraseñas basados en la adivinanza a través del diccionario son muy efectivos, pero consumen tiempo y recursos. Este tipo de atacantes intentará no sólo poner a prueba tu contraseña con cada palabra en español que encuentre, sino que intentará, por ejemplo, sustituir los números por letras, sumar grupos de palabras y escribir aquellas contraseñas ya utilizadas que encuentre en bases de datos de contraseñas “rotas” de los últimos años (hubo una serie de fisuras de bases de datos donde los atacantes publicaron en foros públicos una gran lista de contraseñas guardadas en servidores vulnerables).
No hace falta sólo una buena contraseña para ser inmune a estos fuertes ataques. La primera debilidad que tiene esta generación de contraseñas del punto de conexión de Apple es que no sólo se basan en palabras (para que las contraseñas sean fáciles de recordar), sino que son palabras de entre 4 y 6 caracteres, con una combinación de un número limitado de 4 dígitos, lo cual no hace a la complejidad de la contraseña.
Los investigadores captaron una fuente abierta, cuatro, cinco o seis palabras del diccionario online Scrabble dentro de 52,500 palabras y lo usaron para hacer su ataque. Hay muchas palabras de cuatro, cinco, seis letras allí afuera. A pesar de esta facilidad, la primera vez que intentaron, los investigadores pudieron quebrar las contraseñas en 49 minutos.
Como no quedaron satisfechos con este período de tiempo, dieron con un archivo de un diccionario de español dentro de iOS responsable de desarrollar este tipo de contraseñas. Curiosamente, este es el mismo diccionario que iOS usa para adivinar las palabras que estás escribiendo antes de finalizar de escribirlas. Por ejemplo, cuando estás escribiendo una palabra y antes de que termines ya aparece la palabra entera (u otra equivocada en una especie de burbuja al lado del texto), es éste diccionario el que hace posible esta función. Gracias a esto, los investigadores pudieron reducir la lista de 52,500 palabras posibles a 1,842 palabras. De esta forma, una contraseña del punto de conexión iOS de Apple puede ser cualquiera de las 1,842 palabras más 4 dígitos, sufijo o numeral.
Hay más aún: los investigadores también determinaron que el algoritmo de iOS para elegir una de estas palabras está sesgado y que algunas son elegidas más seguido que otras. Las diez más elegidas son: suave, sustituido, cabeza, encabezar, encabezado, carbón, al-servicio-su-majestad (OHMS en inglés), entrenador, alcanzar y guacamayo. Esto permitió a los investigadores acelerar el ataque. Todo este conocimiento junto con un poder informático sustancial les dio la capacidad de forzar el hotspot de iOS en 50 segundos.
Usualmente cierro estos artículos con algún consejo de cómo protegerte. Esta vez es simple: debes manualmente colocar una contraseña fuerte para tu iPhone basado en un punto de conexión Wi-Fi. De hecho, esta es una amenaza multifacética, por eso evita usar una contraseña estándar con otro teléfono o tablet también, ya que los investigadores creen que este método de ataque probablemente funcione con diferentes plataformas móviles.
Consejos