Generador de contraseñas

[[seoane]]

Empezado por Lepe

¿la cuestión no era marear al cracker? ... no sé yo no he mirado mucho el código.

Un "cracker" no creo que se moleste tanto, simplemente parcheara el código para que se salte toda la función.

Yo pensaba que las contraseñas se generaban para utilizarlas como clave del correo, por ejemplo, no como protección en un programa. Pero si se trata de marear a un posible atacante, entonces podemos darnos una vuelta por el hilo de "código inútil",y en ultimo caso generamos la contraseña utilizando brainfucker. Eso si que tiene que marear

[Neftali [Germán.Estévez]]

A mi personalmente nunca me ha gustado utilizar contraseñas de este tipo...
Me gusta más utilizar alguna que tenga sentido para mí, pero no para otros y que no sea fácil de descifrar usando fuerza bruta.

Por ejemplo:
2711MeganeScenic4528
Para mi es fácil de recordar -porque tiene cierto sentido- (más fácil que esta: 2h4Kw3CN95Lsr4DG2CAF2A) y entiendo que no es fácil de sacar usando fuerza bruta; Algun entendido me dirá si mucho menos fácil o no que la otra, personalmente no entiendo mucho (normalmente letras y números y alguna palabra que no entre en diccionario).

El problema que le veo a las anteriores es que debes guardarlas en algun sitio:
* En el explorador, en el correo,... o en algun programa que las almacene.

En los primeros casos creo que ese es el punto débil; ¿De qué sirve tener una "supercontraseña" si luego te la roban utilizando un bug del Browser (sea el que sea)?
En este caso está el agravante de que cuando se borra la caché o las contraseñas del navegador, tienes muchos problemas para entrar en todos los sitios donde antes entrabas directamente.

El el segundo caso, si es un programa que almacena todas las contraseñas, debes ponerle contraseña... ¿Y esa dónde la almacenas? ¿en otro programa? ¿Con contraseña? -esto me suena, es como si ya hubiera pasado por aquí...-

Bueno, es sólo un comentario; Ya se que se deben utilizar contraseñas seguras, pero es que "me da mucha mandra hacerlo" y además pienso que los problemas/agujeros de seguridad están en otros lugares que no en las contraseñas de entrada (en muchos casos).

Un saludo desvariado.

[d-hugo]

La idea de usar hashes es justamente no guardar las propias contraseñas. Uno puede usar una contraseña fácil de recordar, pero lo que se guarda es el hash de esta, no la contraseña misma. Y obviamente, como los hashes son unidireccionales, es extraordinariamente difícil generar una contraseña válida conociendo el hash.

Como hash, MD5 ha sido roto varias veces, probablemente sería mejor utilizar alguna de las variantes altas del Secure Hashing Algoritm, SHA-256, SHA-384 o SHA-512 (SHA-1 ha sido roto alguna que otra vez).

Por otra parte, es cierto que un hacker puede simplemente saltarse las funciones de verificación, a menos que dentro de ellas se encuentre código esencial sin el cual el programa no funcione, esto complica un poco más las cosas.

Al final, la realidad es que si un hacker está determinado a romper un algoritmo de protección, y tiene los conocimientos necesarios y la cantidad de tiempo y recursos disponibles, lo conseguirá.

De modo que la tarea consiste precisamente en hacer que el costo en tiempo y recursos sea lo mayor posible, de manera que cuando se pueda acceder a la información, esta ya sea inútil.

Ah y otro detalle a tener en cuenta es la posibilidad de que en la máquina en que tecleemos la contraseña tengan instalado un keylogger. Hay controles que impiden obtener el texto enmascarado en un edit, pero aun no he encontrado uno que impida que se pueda generar un registro de las teclas pulsadas. A primera vista esto lleva intercepciones de las APIs y otras cosas que no deben ser sencillas.

En fin, que en esto de la seguridad hay para nunca acabar.

[Wellnic]

Ante todo, gracias por los halagos, no pensé que provocara tanto interés (bueno, sí, en mis sueños ).

He usado el md5 como podría haber usado cualquier otra función similar. No entiendo lo de la fortaleza de cifrado a la que se refería Seoane. He utilizado el md5 para un propósito muy distinto de su función propia (un poco a lo McGiver ). Mi intención era "retorcer" una y otra vez una palabra de entrada, sin más historias, que la capacidad de servidor no da para más.

Os adjunto las fuentes como me pedís, y así os hacéis una idea de adonde quería llegar. No está muy acabado, porque estuve trabajando en una versión más simple y lo dejé abandonado. Si realmente lo encontráis útil lo subo también .