El problema fundamental de la autenticación mediante contraseñas

En la autenticación tradicional mediante contraseña, el cliente envía la contraseña (o un hash de esta) al servidor, que la compara con un valor almacenado. Este modelo es sencillo, pero concentra un riesgo enorme en el servidor: una filtración de la base de datos expone simultáneamente las credenciales de todos los usuarios.

Cuando un atacante vulnera un servidor y roba la base de datos de contraseñas, puede realizar un ataque de diccionario sin conexión a la velocidad máxima de una GPU y sin limitación de intentos. Las GPU modernas pueden probar miles de millones de contraseñas por segundo contra hashes bcrypt o SHA-256, lo que permite recuperar de forma trivial las contraseñas débiles o comunes.

Los estudios muestran sistemáticamente que la mayoría de los usuarios reutiliza sus contraseñas en varios sitios. Por tanto, un único compromiso del servidor filtra credenciales que funcionan en otros servicios. Los ataques de credential stuffing automatizan la comprobación de pares de nombres de usuario y contraseñas filtrados contra sitios web populares, convirtiendo una filtración en muchas.

El fortalecimiento de contraseñas del lado del servidor (hashing robusto, uso de sal y limitación de la tasa de solicitudes) no ofrece ninguna protección contra el phishing. Cuando un usuario introduce su contraseña en un sitio falso, el atacante obtiene directamente la contraseña en texto sin formato, independientemente de lo bien que la almacene el servidor legítimo. Actualmente, el phishing es el principal vector de robo de credenciales.

En la dark web están disponibles públicamente bases de datos con miles de millones de pares de nombres de usuario y contraseñas filtrados en brechas históricas. Los atacantes utilizan herramientas automatizadas para probar estas credenciales contra instituciones financieras, sitios de comercio electrónico y proveedores de correo electrónico a escala industrial, y tienen éxito cuando los usuarios han reutilizado una contraseña comprometida anteriormente.

En la autenticación tradicional mediante contraseña, el servidor necesariamente conoce la contraseña del usuario en texto sin formato durante el proceso de inicio de sesión (aunque solo sea brevemente, antes de aplicar el hashing). Esto significa que se debe confiar plenamente en que cada operador del servidor no hará un uso indebido de las credenciales, no las registrará ni las expondrá accidentalmente, algo que rara vez se puede garantizar en la práctica.

Un protocolo de autenticación ideal permitiría a un usuario demostrar que conoce su contraseña sin revelársela jamás al servidor. El servidor también demostraría que es el servidor legítimo (autenticación mutua), lo que evitaría el phishing. Una base de datos de servidor comprometida no revelaría nada útil a un atacante.

Las pruebas de conocimiento cero proporcionan un marco teórico para esto: un probador puede convencer a un verificador de que un secreto es válido sin revelar el secreto en sí. Los protocolos de autenticación mediante contraseña, como SRP y OPAQUE, aplican estos principios para lograr la autenticación sin transmitir directamente la contraseña ni almacenarla en el servidor.

Los protocolos sólidos de autenticación mediante contraseña deberían resistir los ataques de diccionario sin conexión incluso si los datos almacenados en el servidor se ven comprometidos por completo. Esto significa que el verificador almacenado no debe poder utilizarse directamente para suplantar al usuario ni permitir adivinar contraseñas sin conexión de forma eficiente y sin la cooperación del servidor.

Con cientos de servicios que requieren autenticación, el modelo tradicional exige confiar a cada operador de servicio un secreto que podría reutilizarse en otros lugares. La solución consiste en eliminar por completo la transmisión de contraseñas, almacenar únicamente verificadores no reutilizables y vincular la autenticación a la identidad del servidor específico para evitar el phishing.

Entre las soluciones modernas se incluyen SRP (Secure Remote Password), OPAQUE y FIDO2/passkeys. Cada una aborda distintos aspectos del problema fundamental. SRP y OPAQUE eliminan el conocimiento de la contraseña por parte del servidor. FIDO2/passkeys eliminan por completo las contraseñas mediante criptografía de clave pública vinculada al origen específico.

¿Qué ataque NO evita un hashing robusto de contraseñas del lado del servidor (por ejemplo, bcrypt)?

La autenticación tradicional mediante contraseña obliga a los servidores a verificar secretos que conocen, permite descifrarlos sin conexión después de una brecha y es vulnerable al phishing. La reutilización de contraseñas convierte las brechas individuales en fallos sistémicos. El sistema ideal proporciona autenticación mutua sin transmitir secretos, almacena únicamente verificadores que no se puedan descifrar y vincula la autenticación a la identidad del servidor.