Acabo de recibir un informe de una prueba de penetración y una de las recomendaciones fue fortalecer las contraseñas. Sin embargo, me di cuenta de que no se proporcionaron contraseñas para los evaluadores, y quería saber si era posible determinar la fortaleza de una contraseña sin saber realmente esa contraseña.
En realidad no.
Lo que un probador puede saber:
Me imagino que hay dos maneras en que se ha encontrado la información de la que sacaron esa conclusión.
net accounts /domain en una computadora de usuarios que eliminó los requisitos de complejidad de contraseña para su organización (asume Windows / Active Directory) Sin más información, es difícil decir cómo llegaron a esa conclusión (no tenemos idea de lo que hizo el equipo rojo o de lo que estaba dentro del alcance), pero esas dos formas son cómo asumiría que lo hicieron.
Sí, es posible.
Las redes de Windows pueden ser vulnerables a Null Ataques de sesión que permiten al atacante enumerar los detalles del sistema :
... obtener acceso anónimo a $ IPC. Por defecto, los hosts de la familia Windows NT. Permitir el acceso anónimo a la información del sistema y la red a través de NetBIOS, por lo que se puede ver lo siguiente:
- Lista de usuarios
- lista de máquinas
- lista de nombres NetBIOS
- lista de acciones
- Información de la política de contraseña
- Grupo y lista de miembros
- Información de la política de la Autoridad de seguridad local
- Confíe en la información entre dominios y hosts
Un informe de prueba de pluma apropiado, completo y profesional debe incluir todos los hallazgos en detalle. Debe enumerar no solo cómo llegaron a sus conclusiones, sino también qué métodos han utilizado y, potencialmente, capturas de pantalla de sus pruebas. De lo contrario, puede solicitar más detalles y están obligados a explicar o proporcionar los detalles.
Dicho esto, sin más detalles, creo que lo que podrían hacer es encontrar la política de contraseñas en general y, basándose en ello, aconsejarle que la cambie o la mejore, si creen que es débil o está incompleta. Incluso entonces, no pueden y no deben asumir que una contraseña de usuario dada es débil solo debido a esa política. Es posible que aún se creen contraseñas complejas o seguras (en algunos casos) incluso con una política de contraseñas no tan fuerte.
La mayoría de las debilidades ocurren cuando el usuario elige una contraseña débil, independientemente de la política de contraseña establecida.
Repita después de mí: ¡No es posible determinar la fortaleza de la contraseña ni siquiera sabiendo la contraseña!
Nuevamente: ¡No es posible determinar la fortaleza de la contraseña ni siquiera sabiendo la contraseña!
Por otra parte, puede conocer los puntos fuertes de la contraseña al consultar los documentos de la política de contraseñas. Si su documento de política de contraseñas no especifica cómo se deben generar las contraseñas, entonces es correcto que tenga una política de contraseñas débil y, por lo tanto, una fuerza de contraseña débil.
Una buena política de contraseñas especifica al menos el requisito de entropía mínimo para las distintas secciones seguras y el método de generación de contraseñas, en lugar de cómo deben ser las contraseñas superficialmente.
Puede haber alguna información sobre cómo se almacenan las contraseñas. por ejemplo, Guía de Sharity Light , en la sección 3, se recomienda configurar "LmCompatibilityLevel" = dword: 1 "para una mayor compatibilidad. Esto hace que las contraseñas se almacenen de una manera menos segura.
En este caso, lo que el usuario escribe no es el problema detectado. Sin embargo, se hace referencia a cómo se almacena la información de credenciales. Al cambiar dichos detalles de almacenamiento, el resultado podría describirse razonablemente como un cambio que "fortaleció las contraseñas".
Fuerza = longitud + mayúsculas / no mayúsculas + números + caracteres especiales
Lea otras preguntas en las etiquetas passwords password-cracking