Materias · 🏛️ Universidad y trabajo
Ciberseguridad
Ejercicios resueltos de Ciberseguridad paso a paso, con el error que más se comete en cada uno: Contraseñas y ataques de fuerza bruta, Ingeniería social y phishing y más. Gratis y en español.
Preguntarle al tutor de CiberseguridadSin instalar nada. Puedes probar antes de crear cuenta.
Ejercicios resueltos de Ciberseguridad
Resueltos paso a paso, como te los explicaría el tutor, y con el error que más se comete.
Contraseñas y ataques de fuerza bruta
¿Cuál aguanta más un ataque de fuerza bruta: «C0l0mb!a» (8 caracteres con mayúsculas, minúsculas, números y símbolos) o «caballo tienda naranja lunes sopa» (cinco palabras tomadas al azar de un diccionario de 10.000)? Supón un atacante que prueba 100.000 millones de claves por segundo contra un hash rápido.
Cómo se resuelve
- 1La fuerza bruta consiste en probar todas las combinaciones posibles. Lo que decide cuánto aguanta una clave no es qué tan enredada se ve, sino cuántas combinaciones hay que recorrer: el tamaño del alfabeto elevado a la longitud.
- 2Primera clave. El alfabeto imprimible del teclado son unos 95 caracteres y la longitud es 8: 95⁸ ≈ 6,6 × 10¹⁵ combinaciones.
- 3El atacante prueba 100.000 millones por segundo, o sea 10¹¹. Tiempo: 6,6 × 10¹⁵ ÷ 10¹¹ = 66.000 segundos, unas 18 horas.
- 4Segunda clave. Aquí la unidad no es el carácter sino la palabra: cada posición se escoge entre 10.000 palabras y hay 5 posiciones. Combinaciones: 10.000⁵ = 10²⁰.
- 5Tiempo: 10²⁰ ÷ 10¹¹ = 10⁹ segundos. Dividiendo entre los 31.536.000 segundos que tiene un año, son unos 32 años.
- 6La frase aguanta cerca de 15.000 veces más que la clave «complicada», y encima se recuerda sin apuntarla en un papel debajo del teclado.
- 7Lo que produjo esa diferencia no fue la rareza de los caracteres sino la longitud. Cada carácter adicional multiplica el espacio de búsqueda por 95; cada palabra adicional lo multiplica por 10.000.
Respuesta: La frase de cinco palabras: unos 32 años contra unas 18 horas de la clave de 8 caracteres. Unas 15.000 veces más resistente.
El error de siempre: Creer que cambiar letras por símbolos parecidos (a por @, o por 0, e por 3) agrega seguridad. Los programas de ataque traen esas sustituciones incorporadas como reglas: «C0l0mb!a» no se prueba como una clave de 8 caracteres al azar sino como la palabra «Colombia» con dos reglas encima, y cae en segundos, muchísimo antes de las 18 horas del cálculo. Lo que de verdad suma es la longitud. Y hay un supuesto que cambia todas las cifras: el cálculo asume un hash rápido. Si el sistema guarda las claves con bcrypt o Argon2, que están diseñados para ser lentos a propósito, el atacante baja de 100.000 millones por segundo a unos pocos miles, y hasta la clave mala aguanta. Por eso, del lado de quien administra el sistema, el algoritmo con que se guardan las claves pesa tanto como la política de contraseñas.
Ingeniería social y phishing
Al correo del trabajo llega un mensaje con estos datos: remitente «notificaciones@dian-colombia.co», asunto «Requerimiento especial: embargo de cuentas en 24 horas», saludo «Estimado contribuyente», un enlace cuyo texto visible dice www.dian.gov.co pero que al pasar el mouse muestra dian-gov.co/pago, y un archivo adjunto llamado «requerimiento.pdf.exe». ¿Es phishing? Señala en qué se nota y qué se hace.
Cómo se resuelve
- 1Se revisa el dominio del remitente, que es el dato más duro. La DIAN usa dian.gov.co; el dominio .gov.co está reservado y controlado. «dian-colombia.co» es otro dominio, que cualquiera pudo comprar por poca plata. Lo que manda es el dominio, no las palabras conocidas que lo acompañan.
- 2Se revisa la palanca emocional: amenaza grave con plazo corto. Es la técnica central de la ingeniería social, porque el afán apaga la verificación. Una entidad pública notifica por sus canales formales y con términos legales; no da 24 horas por correo para embargar cuentas.
- 3Se revisa el saludo. «Estimado contribuyente» es genérico: la DIAN conoce el NIT y la razón social de quien le escribe. Un mensaje legítimo identifica al destinatario.
- 4Se revisa el enlace. El texto visible de un enlace lo escribe quien manda el correo y puede decir cualquier cosa; el destino real es el que aparece abajo al pasar el mouse. Aquí no coinciden, y eso por sí solo ya descalifica el mensaje.
- 5Se revisa el adjunto. «requerimiento.pdf.exe» tiene doble extensión, y Windows oculta por defecto las extensiones conocidas, así que en pantalla se ve como «requerimiento.pdf» con cara de documento. Es un programa ejecutable.
- 6Qué se hace: no responder, no hacer clic y no abrir el adjunto. Si hay duda real sobre una obligación tributaria, se verifica entrando uno mismo a dian.gov.co escribiendo la dirección en el navegador, o llamando a la línea oficial buscada aparte, nunca al teléfono que trae el correo.
- 7Y se reporta al área de TI dejando el correo tal cual, sin borrarlo, para que puedan analizar los encabezados y bloquear el dominio. Si alguien ya hizo clic o escribió sus datos, se avisa de inmediato y se cambia la contraseña: la diferencia entre un susto y un incidente es cuánto se demoró en contarlo.
Respuesta: Sí es phishing. Lo delatan el dominio que no es dian.gov.co, el destino real del enlace que no coincide con el texto visible, el saludo genérico, la amenaza con plazo de 24 horas y el adjunto con doble extensión .pdf.exe.
El error de siempre: Confiar porque el correo «se ve bien hecho»: logo, colores institucionales y firma con cargo. Todo eso se copia de la página real con clic derecho y no prueba absolutamente nada; los mensajes con faltas de ortografía quedaron en el pasado. También creer que basta con mirar el nombre del remitente, que es un texto que el atacante escribe a mano: hay que abrir el dominio completo, y aun así se puede suplantar si el correo del destinatario no valida SPF, DKIM y DMARC. Y el error más caro de todos es silencioso: borrar el correo sin avisarle a nadie. Si ese mensaje llegó a una persona, llegó a media empresa, y sin el reporte nadie bloquea el dominio ni avisa a los demás.
¿Y si tu ejercicio no es ninguno de estos?
No hace falta buscar el ejercicio exacto en internet. Trae el tuyo, o pide los que te falten.
Todo esto es gratis y sin instalar nada. Puedes probar antes de crear cuenta.
Lo que cubre
- Contraseñas y ataques de fuerza bruta
- Ingeniería social y phishing
Preguntas que le puedes hacer
- Contraseñas y ataques…Explícame «Contraseñas y ataques de fuerza bruta» con un ejemplo práctico y dime en qué suele equivocarse la gente.
- Ingeniería social y p…Explícame «Ingeniería social y phishing» con un ejemplo práctico y dime en qué suele equivocarse la gente.
Cómo enseña este tutor
Es riguroso y completo: justifica cada paso y nombra el teorema, la norma o la buena práctica que está aplicando, para que puedas citarla en tu trabajo o en el parcial.
- · Te muestra el camino completo, no solo el resultado.
- · Si algo no te cuadra, te lo explica otra vez de otra manera.
- · Con una foto de tu cuaderno te dice dónde está el error.
- · Te arma quizzes de lo que acabas de ver para saber si de verdad quedó.
Otras materias de Universidad y trabajo
