¿Es importante usar un hash lento en htpasswd?

Hay dos razones principales por las que las contraseñas en un archivo .htpasswd necesitan hashing de contraseña segura :

1. Aunque un atacante que puede leer el archivo .htpasswd probablemente pueda leer los otros archivos en el directorio, la contraseña también puede permitir el acceso de escritura . Hay una serie de situaciones en las que un atacante puede leer archivos privados pero no escribir en ellos; por ejemplo, cuando el atacante acaba de encontrar un disco duro desechado o una cinta de respaldo en un contenedor de basura. De manera similar, las contraseñas pueden tener una vida útil más larga que los datos que protegen: un antiguo .htpasswd podría contener una contraseña que todavía es válida ahora, para acceder a los archivos de datos que no existían en absoluto.

2. El hash de contraseña no protege en última instancia los datos, sino la propia contraseña . Las contraseñas son datos confidenciales por derecho propio, porque:

   • Los usuarios reutilizan contraseñas. Una contraseña para un usuario en un servidor determinado también puede ser válida en otros sistemas donde el usuario tiene una cuenta. Personalmente soy lo suficientemente maníaco como para generar diferentes contraseñas aleatorias para todos los servidores en los que tengo cuentas, pero sé que la mayoría de las personas no hacen las cosas de esa manera.

   • Los usuarios no hacen contraseñas aleatorias . En particular, cuando se ven obligados a cambiar sus contraseñas (como desafortunadamente, las políticas mal pensadas lo obligan), los usuarios confían en secuencias : si su contraseña actual es Lilongwe37 , entonces es probable que su próxima contraseña será Lilongwe38 . Una vez más, una contraseña antigua, incluso después de lo que parece un "restablecimiento de contraseña" , será valiosa para un atacante.

Por estas razones, el hashing correcto de la contraseña en los archivos .htpasswd es importante.

El descifrado de contraseñas, el uso de ataques de fuerza bruta, diccionario o tabla arco iris (o cualquier combinación de estos), son todas las técnicas que adivina la contraseña.

En un sistema de computación, adivinar contraseñas lleva tiempo, y aquí radica la ventaja de una función hash lenta (es decir, computacionalmente más compleja). Cuanto más tiempo tarde en calcularse una función hash, más tiempo tomará adivinar (descifrar) una contraseña con éxito.

Es por esto que las funciones de hash lentas son superiores a las rápidas, en lo que respecta al nivel de seguridad que ofrecen.

De hecho, si un pirata informático puede obtener acceso (raíz) al servidor web, él o ella puede robar el archivo .htpasswd (o mejor: contenido) e intentar descifrar las contraseñas fuera de línea. La razón por la que las contraseñas se almacenan en un formato hash (lento de calcular), es para proporcionar una capa adicional de seguridad: las credenciales almacenadas en el archivo se pueden usar en otros sistemas o servicios informáticos.