Deberías tener a Cain & Abel en tu caja de herramientas de seguridad

Hay una especie de cruel ironía en las contraseñas. Las contraseñas legítimas que las personas necesitan para acceder a aplicaciones o datos cruciales a menudo se olvidan, y sin embargo, los tipos malos parecen ser capaces de descifrar las contraseñas sin perder el tiempo. Afortunadamente, hay una herramienta gratuita disponible que puede ayudarlo en cualquiera de estos casos: Cain y Abel.

¿Qué es Cain & Abel? Se describe como una herramienta de recuperación de contraseñas basada en Windows, pero hace mucho, mucho más que la recuperación de contraseña. El software puede capturar y controlar el tráfico de la red en busca de contraseñas, descifrar contraseñas encriptadas usando varios métodos, grabar conversaciones de voz sobre IP (VoIP), recuperar claves de redes inalámbricas y más.

Las contraseñas son la clave de casi todo.

Olvidó una contraseña crucial y no tiene habilitada ninguna función de restablecimiento de contraseña, puede usar Cain & Abel para intentar descifrar la contraseña. Cain & Abel puede realizar un ataque de diccionario, esencialmente probando cada palabra en el diccionario, para adivinar la contraseña. También puede hacer un ataque de fuerza bruta, que intenta todas las combinaciones posibles de letras mayúsculas y minúsculas, números y símbolos hasta encontrar el correcto, o ataques de criptoanálisis que intentan eludir las técnicas de encriptación de contraseñas. Podría llevar horas, o posiblemente días, pero con el tiempo suficiente Cain & Abel debería poder recuperar la contraseña para usted.

[Más información: Cómo eliminar el malware de su PC con Windows]

Hay otra manera de ponerlo una herramienta como Cain & Abel para usar para la seguridad de contraseñas. Puede ejecutar Cain & Abel contra su base de datos de contraseñas para probar la solidez de sus políticas de contraseñas. Es posible que tenga una política de contraseñas implementada, pero le sorprendería cuán fácilmente se pueden descifrar algunas contraseñas que cumplen con los requisitos de la política de contraseñas.

En una evaluación de seguridad en la que participé, el cliente nos dio acceso a la red que nos permitió para acceder a la base de datos SAM (Security Account Manager), que almacena todas las contraseñas hash de los usuarios. El cliente tenía una política de contraseñas razonablemente estricta que cumplía o excedía las pautas de mejores prácticas en ese momento. Pero, ejecutamos Cain & Abel contra el archivo SAM, y en un par de horas logramos descifrar la mayoría de las contraseñas, incluidas las contraseñas de los gerentes ejecutivos.

Cain & Abel no explota las vulnerabilidades para descifrar las contraseñas. Simplemente aprovecha las debilidades en la seguridad general del sistema operativo, los protocolos de red, los métodos de autenticación y los mecanismos de almacenamiento en caché.

Use Cain & Abel para ver exactamente cómo

es segura su política de contraseñas.

La última versión es capaz de analizar el tráfico de red cifrado, como SSH-1 o HTTPS, y tiene una nueva característica llamada APR. APR significa ARP (Address Resolution Protocol) Poison Routing, y permite a Cain & Abel husmear el tráfico en LAN conmutadas, o simular ataques MitM (Man-in-the-Middle).

Cain & Abel es una valiosa y útil seguridad herramienta, y no se puede superar el precio, es gratis. Los desarrolladores advierten que existe la posibilidad de que el software pueda causar daños o pérdida de datos, y no asumen ninguna responsabilidad. Básicamente, obtienes lo que pagas, pero las herramientas maduras como Cain & Abel se han probado y mejorado con el tiempo, y el riesgo probablemente no sea mayor que con cualquier producto de software comercial.

Cain & Abel podría ser utilizado potencialmente por atacantes, pero fue desarrollado como una herramienta de seguridad. Las actividades ilegales que usan Cain & Abel no son apoyadas ni aprobadas por sus desarrolladores.