¿Qué es un hash criptográfico?

Los conceptos básicos de los algoritmos de cifrado son bastante fáciles de entender. Se toma una entrada o texto sin formato junto con una clave y el algoritmo la procesa. La salida está encriptada y se conoce como texto cifrado. Sin embargo, una parte crítica de un algoritmo de encriptación es que puede revertir el proceso. Si tiene un texto cifrado y la clave de descifrado, puede ejecutar el algoritmo nuevamente y recuperar el texto sin formato. Algunos tipos de algoritmos de cifrado requieren que se use la misma clave para cifrar y descifrar datos. Otros requieren un par de claves, una para cifrar y otra para descifrar.

El concepto de un algoritmo hash está relacionado pero tiene algunas diferencias críticas. La diferencia más importante es el hecho de que un algoritmo hash es una función unidireccional. Pones texto sin formato en una función hash y obtienes un resumen hash, pero no hay forma de convertir ese resumen hash en el texto sin formato original.

Nota: La salida de una función hash se conoce como resumen hash, no como texto cifrado. El término resumen de hash también se suele abreviar como "hash", aunque a veces su uso puede carecer de claridad. Por ejemplo, en un proceso de autenticación, genera un hash y lo compara con el hash almacenado en la base de datos.

Otra característica clave de una función hash es que el resumen hash siempre es el mismo si proporciona la misma entrada de texto sin formato. Además, si realiza incluso un pequeño cambio en el texto sin formato, la salida del resumen de hash es completamente diferente. La combinación de estas dos características hace que los algoritmos hash sean útiles en criptografía. Un uso común es con contraseñas.

Algoritmos de hashing de contraseñas

Cuando inicia sesión en un sitio web, le proporciona su nombre de usuario y contraseña. A nivel superficial, el sitio web luego verifica que los detalles que ingresó coincidan con los detalles que tiene en el archivo. Sin embargo, el proceso no es tan simple.

Las violaciones de datos son relativamente comunes, es muy probable que ya te hayas visto afectado por una. Los datos de los clientes son uno de los grandes objetivos en una violación de datos. Las listas de nombres de usuario y contraseñas se pueden intercambiar y vender. Para hacer que todo el proceso sea más difícil para los piratas informáticos, los sitios web generalmente ejecutan cada contraseña a través de un algoritmo hash y solo almacenan el hash de la contraseña en lugar de la contraseña real.

Esto funciona porque cuando un usuario intenta autenticarse, el sitio web también puede codificar la contraseña enviada y compararla con el hash almacenado. Si coinciden, entonces sabe que se envió la misma contraseña incluso si no sabe cuál era la contraseña real. Además, si los piratas informáticos violan la base de datos con los hashes de contraseña almacenados, no pueden ver de inmediato cuáles son las contraseñas reales.

Hachis fuertes

Si un hacker tiene acceso a hash de contraseñas, no hay mucho que pueda hacer con ellos de inmediato. No hay una función inversa para descifrar los hashes y ver las contraseñas originales. En su lugar, deben tratar de descifrar el hash. Básicamente, esto implica un proceso de fuerza bruta para adivinar muchas contraseñas y ver si alguno de los hashes coincide con los almacenados en la base de datos.

Hay dos problemas cuando se trata de la fuerza de un hash. La fuerza de la propia función hash y la fuerza de la contraseña que se ha hash. Suponiendo que se utilice una contraseña segura y un algoritmo hash, un hacker debería probar suficientes contraseñas para calcular el 50 % del espacio total de salida del hash para tener una probabilidad del 50/50 de descifrar cualquier hash.

La cantidad de procesamiento se puede reducir drásticamente si el algoritmo hash tiene debilidades que filtran datos o tienen una mayor probabilidad de tener accidentalmente el mismo hash, lo que se conoce como colisión.

Los ataques de fuerza bruta pueden ser lentos ya que hay una gran cantidad de contraseñas posibles para probar. Desafortunadamente, las personas tienden a ser bastante predecibles cuando crean contraseñas. Esto significa que se pueden hacer conjeturas basadas en listas de contraseñas de uso común. Si elige una contraseña débil, se puede adivinar significativamente antes de lo que sugiere el 50% del camino a través de la cifra de espacio de salida de hash.

Por eso es importante utilizar contraseñas seguras. Si el hash de su contraseña está involucrado en una violación de datos, no importa si el sitio web usó el mejor algoritmo de hash posible y más seguro disponible, si su contraseña es "contraseña1", aún se adivinará casi al instante.

Conclusión

Un algoritmo hash es una función unidireccional. Siempre produce la misma salida si se le proporciona la misma entrada. Incluso las diferencias menores en la entrada cambian significativamente la salida, lo que significa que no puede saber si estaba cerca de la entrada correcta. Las funciones hash no se pueden revertir. No hay forma de saber qué entrada se usó para generar una salida dada sin solo adivinar. Una función hash criptográfica es criptográficamente segura y adecuada para usos que necesitan ese tipo de seguridad. Un caso de uso común es el hash de contraseñas. Otros casos de uso incluyen archivos hash como verificación de integridad.