Hola amigos, bienvenidos a esta clase, donde lo que vamos a ver efectivamente es cómo podemos protegernos
del factor de la fuerza bruta entiéndase por ataque fuerza bruta al ataque que se realiza a través de
un diccionario.
Un diccionario es un archivo por lo general requeté, con un conjunto de combinación de palabras donde
por lo general están conformadas por amplias base de datos.
A raíz de de explotar vulnerabilidades de la recolección de información a través de internet en donde
las combinaciones en ese diccionario en este archivo te quité son las posibles contraseñas de las personas.
Justamente por eso es clave la gestión de claves de contraseñas.
Más que con gestión, me refiero a justamente cosas que ya hemos visto inclusive en frases anteriores
cómo conformar una contraseña de forma correcta para evitar ser víctimas de este tipo de ataque para
evitar que nuestra contraseña sea predecible?
Bien con nosotros vamos.
Esta clase ya les adelanto, va con un plus.
Les voy a mostrar una práctica, por así decirlo, una página de ejemplo.
Y cuál es el razonamiento deductivo que uno lleva adelante al momento de querer atacar ese tipo de páginas?
Pero antes de eso vamos a cómo aprender a protegernos de esto.
Bien.
Primero en principal nos vamos a descargar un plugin que lo que va a hacer es limitar nuestro intento
de inicio de sesión.
Qué significa esto?
Volviendo al principio, un ataque de fuerza bruta a través de un diccionario significa que el diccionario
muchas veces este archivo tiene millones de combinaciones de clave.
Por eso, limitar el intento de inicio sesión a 3 5 veces es suficiente para evitar este tipo de ataque,
ya que si nosotros limitamos el la cantidad de intentos, el intervalo de tiempo para poder hacer esos
intentos realmente se amortiza, se mitiga bastante.
Este tipo de ataque, porque básicamente va a estar mucho tiempo para adivinar la contraseña.
Ahora la pregunta clave es bueno, cómo logramos este tipo de cosas?
Bueno, efectivamente lo que hay que hacer es lo siguiente primero van a buscar un plugin que se llama
que están viendo en pantalla.
En este momento estoy pintado, se llama Logging Lock Down, lock down, logging y fíjense por favor
la imagen, el nombre que está acá.
Bueno, en este caso a reseña más de 100000 instalaciones activas.
Este que está en pantalla que están viendo acá es el que deben instalar.
Evidentemente yo ya lo tengo instalado.
Y cómo lo encuentran una vez que lo instalan?
Porque no lo van a encontrar en la barra con su nombre, lo encuentran de la siguiente manera Tienen
que ir a Ajustes.
Ustedes seguramente van a haber menos plugin del todo lo que yo tengo instalado.
Van a ir a Ajustes en ajustes, efectivamente, acá está la opción Logging e Lockdown.
Vamos a ingresar y vamos a analizar lo interesante de las opciones.
Primero en principal.
Esto siempre lo aclaro porque este es un curso en español, esto es tan inglés, tan fácil como hacer
botón derecho trocea en español.
De todas maneras, el otro duco yo, pero si ustedes quieren ya tenerlo traducido, pueden ser de esa
manera.
Bien, acá lo que nos dice lo siguiente primero, máximo de intentos de iniciar sesión.
En este caso yo lo tengo como cinco veces el período en minutos entre el cual pueden llegar a intentar
el Google entre un intento y otro.
En este caso es cinco veces y el tiempo de bloqueo este es cinco minutos.
Me refiero a cuando intentaron ya las cinco veces y la bueno, tienen que esperar cinco minutos para
volverlo a intentar cinco veces.
Acá lo que nos dicen nos da la opción de definir un tiempo en minutos para bloquear una IP en concreto.
Efectivamente, hoy son 60 minutos.
El bloqueo paripe.
Luego fíjense que efectivamente acá dice que si deseamos que se bloqueen los usuarios incorrectos,
en este caso yo tengo que no porque justamente les daremos una ventaja.
Lo vamos a ver en la práctica, le daremos una ventaja, estaríamos bloqueando a los usuarios en yo
prefiero no darles ninguna información inclusive.
Fíjense, se los traduzco, fíjense qué tan fácil es esto y fíjense que bien lo traduce que como les
decía bloquear nombre de usuario no válidos de forma predeterminada Login Lockdown no se activará si
se intenta iniciar.
Sesión con un nombre de usuario que no existe puede anular este comportamiento aquíno en este caso lo
dejamos al comportamiento y acariciaban errores.
Inicie sesión de máscara.
En este caso acá lo que se refiere es el mensaje que nos devuelve al momento de intentar que esto también
lo hagamos en la práctica.
En este caso, una pregunta si deseamos que dejar los créditos.
En este caso yo puse que no guardan sitting en este caso.
Esto significa si deseamos actualizar los cambios que hayamos hecho ya en este caso no tiene sentido
y de esa manera nosotros estaríamos mitigando este tipo de ataque.
Vamos a utilizar una página de ejemplo pública, en este caso, inclusive el gobierno de Argentina en
donde uno la ve y la verdad que yo ya con el tiempo de experiencia que tengo, me da toda la sensación
que esto tiene un WordPress.
Ahora usted dirá Bueno, Álvaro, pero cómo verificas que efectivamente esta página web sea un WordPress?
Bueno, no lo podemos hacer de la siguiente manera.
Yo ya les he mencionado una carpeta con anterioridad.
Es tan sencillo como hacer doblete yo en medio logging punto php.
Si ustedes tienen la duda, si realmente tienen un gran analfabetismo tecnológico, la gente Haití o
de seguridad que no creo que tengan área de seguridad porque realmente esto sería gravísimo directamente.
Si uno ve que esto lo tiene activado, ya está directamente.
Es un WordPress muy vulnerable, pero aún así hay pruebas más que podemos continuar haciendo.
Por ejemplo, yo voy a tirar como ser una contraseña cualquiera, le van a dar enter y fíjense el mensaje
que nos devuelve el nombre de usuario desconocido.
O sea que ya nos dice que solamente o por el momento el usuario es el erróneo.
Bueno, entonces empiezo a intentar con la misma contraseña de distintos usuarios, pero esto no es
todo.
Fíjense qué interesante, más el mensaje siguiente.
Compruébalo otra vez o inténtalo con tu dirección de correo electrónico.
En este caso nos está avisando que el correo electrónico que ponemos que los usuarios están habilitados
con correo electrónico, así como efectivamente, incluso si lo desea.
Acá en el Laing, claramente esto no es un secreto de la NASA, pero claramente esto nos puede ser de
mucha utilidad.
A qué me.
Les voy a dar el ejemplo opuesto.
Fíjense como yo tengo mil Howling, en este caso temporalmente o quizás se los deje directamente.
No me afecta que tengan el nombre del cómo de a acceder a la pantalla de inicio de sesión.
Y fíjense que si yo acá hubiese hecho otro LPG hombre o login punto PHP en clases próximas vamos a ver
como cambiar esto.
Quédense tranquilos.
Fain ven que no entra directamente.
Entonces uno dice bueno, Álvaro no tiene, no tiene WordPress ni efectivamente es porque lo tengo cambiado,
pero fuera de acá puedes decir correo electrónico, contraseña, vamos a hacer lalalala y fíjense la
diferencia, ven?
Además de estar en inglés de Yousef meum host password yo internet es incorrecto.
Tú estás diciendo que tu usuario o tu contraseña están incorrectos?
No me devuelve más información, no me está dando pistas de lo que yo puedo intentar o no, eso es lo
correcto acá.
Efectivamente uno podría F.P.
Por ejemplo Lolo, Lolo estepaís no vallé cosa no?
Fíjense que yo pude intentar todas las cantidad de veces.
Acaso podré automatizar un ataque a través de un bot donde con un diccionario puedo empezar a intentar
usuarios de contraseñas?
En donde encima yo sé que acá puede tener un correo electrónico?
Cuál es el paso deductivo siguiente?
Digo bueno, ok, acá me está confirmando que los usuarios se utilizan con un correo electrónico formas
de obtener un correo electrónico.
Yo de esta página web de los usuarios tengo muchísimas a través de aplicar footprint habla a través
de utilizar ingeniería social a través de aplicar o synth.
Claramente esto implicaría una mayor demanda de tiempo, pero nadie ha dicho que la seguridad informática
Joaquín sea algo que se pueda resolver a corto tiempo, sino al contrario, muchas veces implica mucho
esfuerzo, pero tenemos herramientas como dejar d'esta por ejemplo, a través del cual nosotros podemos
ver los correos creados.
En este dominio podemos investigar cuál es el personal que está trabajando en esta empresa del instituto,
que encima ser un ente público es información pública.
Podemos ir acá contacto y fíjense la cantidad de correos electrónicos que acá tengo para intentar.
Es más, fíjense un razonamiento deductivo que ya también se lo he compartido con anterioridad.
Acá tenemos buenos consejeros gremiales, ese no está el nombre de apellido en un correo electrónico
que.
Qué patrón ven ustedes que se repite?
Daniel Videla de Videla, Ángel Palacios, Palacios.
En gente caso.
Fíjense Ángel Salazar, an Salazar.
Esto debe significar que hay alguien que tiene apellido Salazar en la empresa y su nombre empezaron
a entonces tuvieron que agregarle la N porque no pueden existir los correos iguales.
Pero lleva este patrón que yo ya les he mencionado con anterioridad de formato de dominio como oleoso,
donde vemos que efectivamente en el correo electrónico.
Se aplica?
Qué interesante, no?
Osea que acá nosotros ya empezamos a tener correos electrónicos en donde con los cuales podemos intentar
un una sesión con un diccionario con diferentes combinaciones de contraseña que sabiendo la procedencia,
la cultura tecnológica de seguridad informática de este instituto está al ente público.
Es muy probable que el personal no esté capacitado en materia de seguridad y utilice más de uno una
contraseña muy vulnerable.
Un grave problema y un gran factor a tener en cuenta al momento de efectivamente seguro usar una página.
Y por eso es importante lo que les mencionaba la clase anterior al momento de crear el usuario y el
limitar el intento de iniciar sesión de las contraseñas para evitar este tipo de ataques.
Espero que le haya gustado la clase.
Nos vemos en la próxima.
Les dejo un abrazo digital.