cripta (C)

La implementación original de la función de biblioteca crypt() ^{[ 11 ]} en la Tercera Edición de Unix ^{[ 12 ]} imitaba la máquina de cifrado M-209 . En lugar de cifrar la contraseña con una clave, lo que habría permitido recuperarla a partir del valor cifrado y la clave, utilizaba la propia contraseña como clave, y la base de datos de contraseñas contenía el resultado de cifrar la contraseña con esta clave.

Se descubrió que el esquema original de cifrado de contraseñas era demasiado rápido y, por lo tanto, vulnerable a la enumeración por fuerza bruta de las contraseñas más probables. ^{[ 11 ]} En la séptima edición de Unix , ^{[ 13 ]} el esquema se modificó a una forma modificada del algoritmo DES . Uno de los objetivos de este cambio era ralentizar el cifrado. Además, el algoritmo incorporó un valor aleatorio (salt) de 12 bits para garantizar que un atacante se viera obligado a descifrar cada contraseña de forma independiente, en lugar de poder atacar toda la base de datos de contraseñas simultáneamente.

En detalle, la contraseña del usuario se trunca a ocho caracteres, y estos se reducen a solo 7 bits cada uno; esto forma la clave DES de 56 bits. Luego, esa clave se usa para cifrar un bloque con todos los bits a cero, y después el texto cifrado se vuelve a cifrar con la misma clave, y así sucesivamente hasta completar 25 cifrados DES. Se usa un valor aleatorio (salt) de 12 bits para perturbar el algoritmo de cifrado, por lo que las implementaciones DES estándar no se pueden usar para implementar crypt(). El valor aleatorio y el texto cifrado final se codifican en una cadena imprimible en formato base64 .

Técnicamente, esto no es cifrado, ya que los datos (todos los bits a cero) no se mantienen en secreto; son de conocimiento público. Sin embargo, una de las características de DES es su diseño para resistir la recuperación de claves, incluso en situaciones con texto plano conocido . Teóricamente, es posible que dos contraseñas diferentes produzcan exactamente el mismo hash. Por lo tanto, la contraseña nunca se "descifra": simplemente se utiliza para calcular un resultado, y se presume que la coincidencia de resultados demuestra que las contraseñas eran "iguales".

Las ventajas de este método radican en que el hash se puede almacenar y copiar entre sistemas Unix sin exponer la contraseña en texto plano a los administradores del sistema ni a otros usuarios. Esta portabilidad ha funcionado durante más de 30 años, abarcando diversas generaciones de arquitecturas informáticas y numerosas versiones de Unix de distintos proveedores.

BSDi utilizó una ligera modificación del esquema clásico basado en DES. BSDi extendió el valor de la clave aleatoria (salt) a 24 bits e hizo que el número de rondas fuera variable (hasta 2²⁴ ^- 1). El número de rondas elegido se codifica en el hash de la contraseña almacenada, evitando la incompatibilidad que se producía cuando los sitios modificaban el número de rondas utilizado por el esquema original. Estos hashes se identifican comenzando con un guion bajo ( __), seguido de 4 caracteres que representan el número de rondas y luego 4 caracteres para la clave aleatoria.

El algoritmo BSDi también admite contraseñas más largas, utilizando DES para reducir la contraseña larga inicial a los ocho bytes de 7 bits que admite el algoritmo original.

Poul-Henning Kamp diseñó un algoritmo barroco y (en aquel entonces) computacionalmente costoso basado en el algoritmo de resumen de mensajes MD5 . MD5 en sí mismo proporcionaría una buena seguridad criptográfica para el hash de contraseña, pero está diseñado para ser bastante rápido de calcular en relación con la seguridad que proporciona. El esquema crypt() está diseñado para ser costoso de calcular, para ralentizar los ataques de diccionario. La forma imprimible de los hashes de contraseña MD5 comienza con $1$.

Este sistema permite a los usuarios tener contraseñas de cualquier longitud y utilizar cualquier carácter compatible con su plataforma (no solo ASCII de 7 bits). (En la práctica, muchas implementaciones limitan la longitud de la contraseña, pero generalmente admiten contraseñas mucho más largas de las que cualquier persona estaría dispuesta a escribir). El valor aleatorio (salt) también es una cadena arbitraria, limitada únicamente por las características del conjunto de caracteres.

Primero, la contraseña y la clave de cifrado se combinan mediante una función hash, generando un resumen MD5 del mensaje. A continuación, se construye un nuevo resumen, combinando la contraseña, la clave de cifrado y el primer resumen, todo ello en un formato bastante complejo. Posteriormente, este resumen se procesa mil veces mediante una función que lo vuelve a combinar con la contraseña y la clave de cifrado, variando el resultado entre cada iteración. El resultado de la última iteración es el hash de la contraseña.

El número fijo de iteraciones ha provocado que este esquema pierda la eficiencia computacional que tenía anteriormente, y ahora se prefieren los números variables de rondas. En junio de 2012, Poul-Henning Kamp declaró que el algoritmo era inseguro y animó a los usuarios a migrar a cifradores de contraseñas más robustos. ^{[ 14 ]}

Niels Provos y David Mazières diseñaron un esquema crypt() llamado bcrypt basado en Blowfish y lo presentaron en USENIX en 1999. ^{[ 15 ]} La forma imprimible de estos hashes comienza con $2$, $2a$, $2b$, $2x$o $2y$dependiendo de la variante del algoritmo que se utilice:

• $2$ - Obsoleto.
• $2a$ – La clave actual se utiliza para identificar este esquema. Dado que en 2011 se descubrió una importante vulnerabilidad de seguridad en una implementación del algoritmo crypt_blowfish que no era de OpenBSD, ^{[ 16 ]} los hashes indicados por esta cadena son ahora ambiguos y podrían haber sido generados por la implementación defectuosa o por una implementación corregida posterior. La vulnerabilidad puede activarse mediante algunas cadenas de contraseñas que contienen caracteres no ASCII (con el octavo bit activado).
• $2b$ – Utilizado por implementaciones recientes de OpenBSD para incluir una mitigación a un problema de desbordamiento. ^{[ 17 ]} Las versiones anteriores del algoritmo tienen un problema con contraseñas largas. Por diseño, las contraseñas largas se truncan a 72 caracteres, pero existe un problema de desbordamiento de enteros de bytes con ciertas longitudes de contraseña que resulta en hashes débiles. ^{[ 18 ]}
• $2x$ – Se agregó una bandera tras el descubrimiento del error crypt_blowfish . Los hashes antiguos se pueden renombrar para indicar que se generaron con el algoritmo defectuoso. Estos hashes siguen siendo débiles, pero al menos queda claro qué algoritmo se utilizó para generarlos.$2x$
• $2y$ – Una bandera en crypt_blowfish para usar inequívocamente el nuevo algoritmo corregido. En una implementación antigua que sufre el error, simplemente no funcionará. En una implementación más reciente y corregida, producirá el mismo resultado que usar .$2y$$2b$

Blowfish destaca entre los cifradores de bloques por su costosa fase de configuración de claves. Comienza con subclaves en un estado estándar, luego utiliza este estado para realizar un cifrado de bloques con parte de la clave y usa el resultado de dicho cifrado (en realidad, una función hash) para reemplazar algunas de las subclaves. A continuación, utiliza este estado modificado para cifrar otra parte de la clave y usa el resultado para reemplazar más subclaves. Procede de esta manera, utilizando un estado progresivamente modificado para aplicar la función hash a la clave y reemplazar bits del estado, hasta que todas las subclaves estén configuradas.

El número de rondas de clave es una potencia de dos, que es una entrada para el algoritmo. El número está codificado en el hash textual, por ejemplo$2y$10...

FreeBSD implementó soporte para el algoritmo hash NT LAN Manager para facilitar la compatibilidad con cuentas NT a través de MS-CHAP . ^{[ 19 ]} Se sabe que el algoritmo NT-Hash es débil, ya que utiliza el algoritmo hash md4 obsoleto sin ningún salting. ^{[ 20 ]} FreeBSD usó el $3$prefijo para esto. No se recomienda su uso, ya que es fácil de romper. ^{[ 1 ]}

El esquema MD5, de uso común, se ha vuelto más fácil de atacar a medida que ha aumentado la potencia informática. Aunque el sistema Blowfish tiene la opción de añadir rondas y, por lo tanto, seguir siendo un algoritmo de contraseña desafiante, no utiliza un algoritmo aprobado por el NIST . En vista de estos hechos, Ulrich Drepper de Red Hat lideró un esfuerzo para crear un esquema basado en las funciones hash SHA-2 (SHA-256 y SHA-512). ^{[ 21 ]} La forma imprimible de estos hashes comienza con $5$(para SHA-256) o $6$(para SHA-512) dependiendo de la variante SHA que se utilice. Su diseño es similar al criptograma basado en MD5, con algunas diferencias notables: ^{[ 21 ]}

• Evita agregar datos constantes en pocos pasos.
• El algoritmo MD5 añadía repetidamente la primera letra de la contraseña; este paso se modificó significativamente.
• Inspirado en la implementación crypt() de Sun , se agregó la funcionalidad para especificar el número de iteraciones (rondas) que realiza el bucle principal en el algoritmo ^{[ 22 ] [ 23 ].}
• El número de iteraciones es 5000 por defecto, con un mínimo de 1000 y un máximo de 999.999.999. ^{[ 24 ]}

La especificación y el código de ejemplo se han publicado en el dominio público; a menudo se le conoce como "SHAcrypt". ^{[ 24 ]}

$y$

yescrypt es una extensión de scrypt ( $7$) y finalista de PHC. Se utiliza en varias distribuciones de Linux como alternativa a los esquemas existentes. ^{[ 25 ]} Para usar este hash, el libcryptde glibc se reemplaza por uno compatible con versiones anteriores del proyecto "libxcrypt". ^{[ 26 ]}

$argon2d$, $argon2i$,$argon2ds$

Estos son los nombres que PHC ha asignado al algoritmo Argon2 , pero no parecen ser de uso generalizado.

Los formatos adicionales, si los hay, se describen en las páginas de manual de las implementaciones. ^{[ 27 ]}

La biblioteca GNU C (glibc), utilizada por casi todas las distribuciones de Linux, proporciona una implementación de la función crypt que admite los algoritmos de hash DES, MD5 y (desde la versión 2.7) SHA-2 mencionados anteriormente. Ulrich Drepper, el mantenedor de glibc, rechazó la compatibilidad con bcrypt (esquema 2) ya que no está aprobado por NIST . ^{[ 32 ]} Existe una biblioteca de dominio público , crypt_blowfish, disponible para sistemas sin bcrypt. Se ha integrado en glibc en SUSE Linux . ^{[ 33 ]}

En agosto de 2017, glibc anunció planes para eliminar por completo su implementación de crypt. En respuesta, varias distribuciones de Linux (incluidas, entre otras, Fedora y Debian) han cambiado a libxcrypt , una implementación compatible con ABI que además admite nuevos algoritmos, incluidos bcrypt y yescrypt. ^{[ 34 ]}

La biblioteca C musl admite los esquemas 1, 2, 5 y 6, además del esquema DES tradicional. El código DES tradicional se basa en BSD FreeSec , con modificaciones para que sea compatible con glibc UFC-Crypt . ^{[ 35 ]}

Darwin crypt()proporciona funcionalidades limitadas, admitiendo solo DES y BSDi. OS X utiliza varios sistemas para sus propios hashes de contraseñas, desde el antiguo NeXTStep netinfo hasta el sistema más reciente de servicios de directorio (ds). ^{[ 36 ] [ 37 ]}