Contraseñas

Un hash es el resultado de pasar una contraseña por una función de un solo sentido: del hash no se «saca» la contraseña, solo se puede probar candidatos hasta que uno produzca el mismo hash. Por eso crackear no es descifrar: es adivinar y comprobar. Y por eso importa el algoritmo: uno rápido y sin sal permite probar miles de millones de candidatos por segundo; uno lento y con sal, diseñado para contraseñas, hace que esa misma búsqueda tarde una eternidad.

En Arrecife recuperaste una tabla de hashes de la sala de aplicaciones web. Antes de lanzar nada, la tarea es identificar el algoritmo: es lo que decide si crackear es viable o es perder el tiempo.

Dos hashes pueden proteger la misma contraseña y tener destinos opuestos. Uno calculado con un algoritmo rápido y genérico cae ante un diccionario en segundos; otro calculado con una función lenta pensada para contraseñas, con sal única por usuario, resiste aunque tengas la misma potencia. La sal, además, impide precalcular y reutilizar trabajo entre usuarios. Entender esto es lo que evita que malgastes horas contra algo que no va a caer —y lo que te dice qué recomendar al cliente para que sus hashes tampoco caigan—.

En Arrecife, parte de la tabla usa un algoritmo rápido sin sal y parte usa una función lenta con sal. El criterio manda dedicar el esfuerzo a los que pueden caer y documentar el resto como bien protegidos.

Hay dos escenarios y confundirlos cuesta caro. Si tienes el hash, se crackea fuera de línea: a tu ritmo, sin tocar el objetivo, sin límite de intentos. Si no tienes el hash pero hay un servicio con login, se prueban credenciales contra el servicio —y ahí cada intento hace ruido, puede bloquear cuentas y puede violar las reglas de enfrentamiento si no está acotado—. El criterio es preferir el crackeo fuera de línea cuando tienes el material, y medir mucho el ataque en línea cuando no.

En Arrecife ya tienes los hashes, así que crackear fuera de línea es la vía sana. Machacar el login del servicio con miles de intentos, teniendo los hashes, es ruido innecesario y riesgo de bloqueos.

El hallazgo que más lejos lleva no suele ser un exploit, sino una contraseña que sirve en más de un sitio. Una credencial crackeada de la web de Arrecife que resulta ser la misma de un administrador de sistema abre un objetivo que ningún exploit te daba. Por eso, cada credencial recuperada se prueba —dentro del alcance— contra los otros servicios enumerados: la reutilización es un patrón real y un hallazgo grave por sí mismo.

En Arrecife, una contraseña que cae de la tabla web coincide con la de una cuenta de acceso remoto de otra máquina. Ese salto se documenta como hallazgo de reutilización y conecta con la escalada y el movimiento lateral.

El crackeo fuera de línea separa lo que cae de lo que no. Abre el laboratorio y lee el resultado de Hashcat: un hash rápido sin sal cayó y los hashes lentos con sal no. Aísla la credencial que cayó, en el formato de usuario y clave tal como la tabla la usa.