Cómo funcionan los ataques de fuerza bruta

Un ataque de fuerza bruta contra un cifrado prueba todas las claves posibles hasta encontrar la correcta. Para una clave de n bits, existen 2^n claves posibles. Con una clave de 3 bits solo hay 8 posibilidades; con una clave de 56 bits hay más de 72 mil billones. La defensa fundamental contra la fuerza bruta consiste en elegir claves lo bastante grandes como para que la búsqueda exhaustiva resulte computacionalmente inviable en un plazo significativo.

DES (Data Encryption Standard) utiliza una clave de 56 bits, lo que proporciona un espacio de claves de aproximadamente 7.2 * 10^16. En 1977, esto parecía enorme. En 1998, la máquina Deep Crack de EFF rompió DES en 56 horas por 250.000 dólares. En 2006, un clúster especializado podía romper DES en menos de 9 días por menos de 10.000 dólares. La lección era clara: 56 bits ya no ofrecían seguridad suficiente frente a un adversario motivado.

AES-128 utiliza claves de 128 bits, lo que proporciona 2^128 claves posibles, aproximadamente 3.4 * 10^38. Aunque cada átomo del universo observable fuera un ordenador que realizara mil millones de pruebas de claves por segundo desde el Big Bang, la búsqueda ni siquiera se acercaría a completarse. Incluso con hardware futuro exponencialmente más rápido, se espera que las claves de 128 bits sigan siendo seguras frente a la fuerza bruta clásica durante el futuro previsible.

Los ataques de fuerza bruta en línea se dirigen a sistemas activos mediante el envío repetido de solicitudes de autenticación. Están limitados por la latencia de red, el tiempo de respuesta del servidor y la limitación de tasa, por lo que son lentos. Los ataques de fuerza bruta sin conexión actúan contra datos robados, como una base de datos de hashes de contraseñas. Con los hashes en su poder, un atacante puede probar miles de millones de candidatos por segundo utilizando hardware local, sin las restricciones de la red.

Las GPU modernas contienen miles de núcleos de procesamiento paralelo optimizados para la aritmética de coma flotante. Hashcat, la principal herramienta para descifrar hashes con GPU, puede probar más de 100 mil millones de hashes MD5 por segundo en una sola GPU de gama alta. Un equipo con ocho GPU puede probar más de 800 mil millones de candidatos por segundo. Esto hace que las contraseñas mal elegidas y las funciones hash débiles sean vulnerables a un descifrado rápido sin conexión.

Los circuitos integrados de aplicación específica son chips diseñados exclusivamente para realizar un cálculo. Los mineros de Bitcoin utilizan ASIC que calculan hashes SHA-256 a decenas de terahashes por segundo, mucho más rápido que cualquier GPU. Aunque los ASIC de Bitcoin calculan una operación diferente de la del descifrado de contraseñas, el principio se aplica igualmente: el hardware diseñado específicamente proporciona aumentos de velocidad de varios órdenes de magnitud frente al hardware de propósito general para cálculos criptográficos concretos.

La ley de Moore establece que la densidad de transistores se duplica aproximadamente cada dos años, lo que históricamente ha producido un aumento equivalente de la capacidad de cómputo. Una longitud de clave que se considere segura hoy debe seguir siéndolo durante décadas de futuras mejoras del hardware. Por ello, las recomendaciones de seguridad incluyen márgenes considerables. AES-128 necesitaría un aumento de 2^64 en la capacidad de cómputo para volverse vulnerable a la fuerza bruta clásica, algo que queda muy lejos de cualquier extrapolación plausible de la ley de Moore.

NIST SP 800-57 especifica los niveles de seguridad de los algoritmos criptográficos. Actualmente, 112 bits de seguridad es el mínimo para los sistemas nuevos. Se recomiendan 128 bits de seguridad para la protección a largo plazo. Las claves simétricas de 256 bits proporcionan un margen de seguridad superior a las amenazas de la computación clásica previsibles actualmente. NIST desaconseja los niveles de seguridad de 80 bits o menos, que se consideran inadecuados para cualquier aplicación nueva.

El algoritmo de búsqueda cuántica de Grover proporciona una aceleración cuadrática para las búsquedas no estructuradas: puede buscar un espacio de claves de N elementos en aproximadamente sqrt(N) pasos, en lugar de N. Para AES-128, esto reduce efectivamente la seguridad a 64 bits frente a un adversario cuántico. Para AES-256, la seguridad efectiva frente al algoritmo de Grover es de 128 bits, por lo que se recomiendan claves simétricas de 256 bits para la seguridad poscuántica.

Para mantener una seguridad de 128 bits frente a un ordenador cuántico que ejecute el algoritmo de Grover, las claves simétricas deben tener al menos 256 bits. AES-256 ya tiene este tamaño y se considera resistente a la computación cuántica para el cifrado simétrico. Como referencia, duplicar la longitud de la clave de 128 a 256 bits no duplica el coste computacional para el usuario legítimo (solo añade unas pocas rondas más de AES), pero obliga a cuadruplicar los recursos cuánticos del atacante.

Los equipos de seguridad utilizan herramientas de fuerza bruta en auditorías autorizadas de contraseñas para identificar credenciales débiles antes que los atacantes. Hashcat y John the Ripper se ejecutan contra bases de datos exportadas de hashes de contraseñas para determinar qué proporción de las contraseñas podría descifrarse. Los resultados de la auditoría impulsan mejoras en las políticas de contraseñas: requisitos de longitud mínima, reglas de complejidad y adopción de algoritmos modernos de hash de contraseñas, como bcrypt o Argon2.

¿Cómo afecta el algoritmo cuántico de Grover a la seguridad efectiva de AES-128?

La fuerza bruta prueba todas las claves posibles; la seguridad requiere espacios de claves demasiado grandes para enumerarlos en la práctica. DES, con 56 bits, se rompió en 1998. AES-128, con 2^128 claves, es inviable para los ordenadores clásicos. Los clústeres de GPU descifran hashes a cientos de miles de millones por segundo sin conexión. El algoritmo cuántico de Grover reduce a la mitad la seguridad en bits, por lo que se necesitan claves de 256 bits para obtener una seguridad poscuántica de 128 bits. NIST recomienda una seguridad mínima de 128 bits para los sistemas nuevos.