Certificados, hashes y cuándo dejan de servir

Cifrar es reversible con la clave: guardas algo para recuperarlo. Un hash es de un solo sentido: conviertes una contraseña en una huella que no se puede deshacer, y al iniciar sesión comparas huellas. Confundirlos es el error de fondo de casi todos los fallos de contraseñas. En Salitre, la base de datos guarda las contraseñas con hash —correcto en principio—, pero el tipo de hash decide si eso protege de verdad o no. Guardar contraseñas cifradas (reversibles) en vez de con hash sería el error grave: quien robe la clave las lee todas.

Las contraseñas se guardan con hash, no cifradas. Nadie debería poder recuperar la contraseña original, ni siquiera la propia empresa.

No todos los hashes son iguales. Uno rápido y sin sal —como MD5— se puede romper probando millones de candidatos por segundo o consultando tablas ya calculadas: para una contraseña común, cae en segundos. Uno lento y con sal por usuario —como bcrypt o argon2— está hecho a propósito para ser caro de probar, y resiste. En Salitre, las contraseñas están en MD5 sin sal: para el que ataca, media explotación hecha; para el que defiende, el hallazgo a corregir. La diferencia no es la contraseña, es el hash que la guarda.

La sal es un valor único por usuario que impide reusar cálculos entre cuentas. Sin ella, dos personas con la misma contraseña tienen la misma huella, y eso lo aprovecha el que ataca.

Cuando ves el candado del navegador, un certificado está diciendo «esta web es quien dice ser y el tráfico va cifrado». Un certificado tiene fecha de caducidad y una cadena que lo respalda; cuando caduca, o cuando lo firma alguien en quien nadie confía, el candado se rompe y el navegador avisa. En Salitre, el certificado del portal interno está a punto de caducar: administrar bien es renovarlo antes, porque un certificado caducado o mal emitido abre la puerta a que alguien se haga pasar por el servidor.

Un certificado no es un adorno del candado: es la prueba de identidad del servidor. Caducado, esa prueba deja de valer y el suplantador entra.

Hay un error que confunde a todo el mundo al empezar: ver un texto en Base64 —letras y números sin sentido aparente— y creer que está cifrado. No lo está. Codificar (como Base64) solo cambia la forma de representar un dato para transportarlo; cualquiera lo revierte sin clave. Si una aplicación de Salitre «esconde» una contraseña codificándola en Base64, no la está protegiendo: la está escribiendo con otra letra. Reconocer codificación frente a cifrado evita tanto un falso alivio en la defensa como un falso muro en el ataque.

Cifrar necesita una clave y protege; codificar no necesita nada y no protege. Parecerse en la pantalla no los hace lo mismo.

La diferencia entre un hash que cae y uno que resiste se ve en el resultado del crackeo, no en la teoría. Abre el laboratorio, mira la salida del crackeo fuera de línea y localiza la clave que cayó para la cuenta soporte.