Los primeros X caracteres de su contraseña no pueden ser idénticos a los anteriores

6

La política de seguridad de mi empleador tiene una política de rotación de contraseña para mi estación de trabajo. Tras un cambio reciente de contraseña, recibí inmediatamente un correo electrónico que me informaba de un problema:

  

Según nuestros registros, recientemente cambió la contraseña de su estación de trabajo,   que se sincroniza automáticamente con XYZ . Sin embargo, este correo es   enviado para informarle que su contraseña no se pudo establecer en el sistema.   La razón más común para el fracaso es que los primeros tres caracteres   de una contraseña no puede ser idéntica ...

     

Por favor, vuelva a cambiar su contraseña a través del Centro de contraseñas o Windows.

Qué molesto que necesito cambiar mi contraseña una vez más. Pero, lo que es más curioso, tenía la impresión de que políticas como esta serían imposibles si el hashing de la contraseña estuviera en la práctica. ¿Deben los administradores del sistema XYZ saber cuáles son los primeros tres caracteres de mi contraseña anterior o son indicativos de una mala práctica?

Editar

  

los primeros tres caracteres de una contraseña no pueden ser idénticos

Lo interpreté como "... los primeros tres caracteres de una contraseña no pueden ser idénticos a los anteriores ". El correo electrónico estaba plagado de errores ortográficos y gramaticales (incluso contenía un rastro de pila), así que mentalmente entré en el modo de interpretación y ahora creo que interpreté esta línea incorrectamente. Al leer de nuevo es probable que solo esté haciendo una sugerencia. ¡No iré a saltar por las gargantas del departamento de soporte técnico de TI todavía! Sin embargo, creo que esto se puede responder hipotéticamente como si se refiriera a la contraseña anterior, por lo que dejaré la pregunta tal como está. (A propósito, me interesaría saber por qué uno podría tener una política que prohíba que los tres primeros personajes sean idénticos).

La contraseña se cambia a través de CTRL + ALT + SUPR en Windows. Debe ocurrir alguna sincronización con otros sistemas internos (sistemas de escritura de tiempo, por ejemplo) cuando esto sucede.

    
pregunta chrisjleu 06.07.2016 - 09:21
fuente

1 respuesta

5

Si está destinado a decir, "las primeras X letras de la contraseña son las mismas que la primera X de la contraseña anterior", esto es indicativo de una mala práctica. Por exactamente las razones que has mencionado.

Las primeras X letras pueden almacenarse en algún lugar en texto sin formato, lo que es malo: si un atacante las controla, se simplifica un ataque de fuerza bruta.

Incluso si, como @Quentin señala en los comentarios, solo almacenan un hash de los primeros X caracteres, esto hace que sea más fácil para un atacante. Si los atacantes tienen acceso a este hash, pueden forzar el hash de los primeros X caracteres más fácilmente que el hash de la contraseña completa. Después de eso, tienen los primeros X caracteres de la contraseña, lo que hace que un ataque de fuerza bruta en la contraseña completa sea mucho más sencillo.

Sin embargo, como lo señala @ hamena314 en los comentarios, quizás esté interpretando mal el mensaje:

  

El motivo más común de error es que los tres primeros caracteres de una contraseña no pueden ser idénticos ...

Puede significar simplemente que los tres primeros caracteres no pueden ser idénticos entre sí .

    
respondido por el S.L. Barth 06.07.2016 - 09:28
fuente

Lea otras preguntas en las etiquetas