Weak Cryptographic Hash: Insecure PBE Iteration Count

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el número de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas arcoíris" para la aplicación y revertir más fácilmente los valores de contraseña con hash.

Ejemplo 1: el código siguiente utiliza un recuento de iteraciones de 50:

  ...
  Rfc2898DeriveBytes rdb8 = new Rfc2898DeriveBytes(password, salt,50);
  ...
  

Las aplicaciones que usan un recuento de iteraciones bajo para el cifrado basado en contraseñas se exponen a ataques por diccionario triviales, exactamente el tipo de ataques contra los que se diseñaron los esquemas de cifrado basado en contraseñas.

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el recuento de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas de arcoíris" para la aplicación y determinar más fácilmente los valores de contraseña con hash.

Ejemplo 1: el código siguiente utiliza un recuento de iteraciones de 50:

  ...
  #define ITERATION 50
  ...
  PKCS5_PBKDF2_HMAC(pass, sizeof(pass), salt, sizeof(salt), ITERATION, EVP_sha512(), outputBytes, digest);
  ...

Las aplicaciones que usan un recuento de iteraciones bajo para el cifrado basado en contraseña son vulnerables a los ataques por diccionario, que son precisamente los ataques ante los cuales deberían proteger los esquemas de cifrado basados en contraseña.

El número de iteraciones utilizado por una función de derivación de claves basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el recuento de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas de arcoíris" para la aplicación y determinar más fácilmente los valores de contraseña con hash.

Ejemplo 1: El siguiente código utiliza un recuento de iteraciones de 50:

...
const iterations = 50;
crypto.pbkdf2(
    password,
    salt,
    iterations,
    keyLength,
    "sha256",
    function (err, derivedKey) { ... }
);

Las aplicaciones que utilizan un número bajo de iteraciones para el cifrado basado en contraseñas están expuestas a ataques triviales basados en diccionarios, exactamente el tipo de ataque contra el cual se diseñaron los esquemas de cifrado basados en contraseñas.

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el recuento de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas de arcoíris" para la aplicación y determinar más fácilmente los valores de contraseña con hash.

Ejemplo 1: el código siguiente utiliza un recuento de iteraciones de 50:

...
#define ITERATION 50
...
CCKeyDerivationPBKDF(kCCPBKDF2,
                     password,
                     passwordLen,
                     salt,
                     saltLen
                     kCCPRFHmacAlgSHA256,
                     ITERATION,
                     derivedKey,
                     derivedKeyLen);
...

Las aplicaciones que usan un recuento de iteraciones bajo para el cifrado basado en contraseña son vulnerables a los ataques por diccionario, que son precisamente los ataques ante los cuales deberían proteger los esquemas de cifrado basados en contraseña.

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el número de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas arcoíris" para la aplicación y revertir más fácilmente los valores de contraseña con hash.

Ejemplo 1: El código siguiente utiliza un recuento de iteraciones de 50:

...
$hash = hash_pbkdf2('sha256', $password, $salt, 50);
...

Las aplicaciones que usan un recuento de iteraciones bajo para el cifrado basado en contraseñas se exponen a ataques por diccionario triviales, exactamente el tipo de ataques contra los que se diseñaron los esquemas de cifrado basado en contraseñas.

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el número de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas arcoíris" para la aplicación y revertir más fácilmente los valores de contraseña con hash.

Ejemplo 1: el código siguiente utiliza un recuento de iteraciones de 50:

...
from hashlib import pbkdf2_hmac
dk = pbkdf2_hmac('sha256', password, salt, 50)
...

Las aplicaciones que utilizan un número bajo de iteraciones para el cifrado basado en contraseñas están expuestas a ataques triviales basados en diccionarios, que es exactamente el tipo de ataque contra el que se diseñaron los esquemas de cifrado basados en contraseñas.

Ejemplo 2: El siguiente código establece el parámetro de costo en 11:

bcrypt_hash = bcrypt(b64pwd, 11)

Al utilizar la API bcrypt en Pycryptodome, es crucial tener en cuenta que el parámetro de costo juega un papel importante en la determinación de la complejidad computacional del proceso de hash subyacente. Se recomienda encarecidamente establecer el parámetro de costo en un valor de al menos 12 para garantizar un nivel de seguridad suficiente. Este valor influye directamente en el tiempo necesario para calcular el hash, lo que hace que sea más costoso computacionalmente para los atacantes potenciales llevar a cabo ataques de fuerza bruta o de diccionario.

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el recuento de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas de arcoíris" para la aplicación y determinar más fácilmente los valores de contraseña con hash.

Ejemplo 1: el código siguiente utiliza un recuento de iteraciones de 50:

require 'openssl'
...
key = OpenSSL::PKCS5::pbkdf2_hmac(pass, salt, 50, 256, 'SHA256')

Las aplicaciones que usan un recuento de iteraciones bajo para el cifrado basado en contraseñas se exponen a ataques por diccionario triviales, exactamente el tipo de ataques contra los que se diseñaron los esquemas de cifrado basado en contraseñas.

El recuento de iteraciones que usa una función de derivación de clave basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el recuento de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas de arcoíris" para la aplicación y determinar más fácilmente los valores de contraseña con hash.

Ejemplo 1: el código siguiente utiliza un recuento de iteraciones de 50:

...
let ITERATION = UInt32(50)
...
CCKeyDerivationPBKDF(CCPBKDFAlgorithm(kCCPBKDF2),
password,
passwordLength,
saltBytes,
saltLength,
CCPseudoRandomAlgorithm(kCCPRFHmacAlgSHA256),
ITERATION,
derivedKey,
derivedKeyLength)
...

Las aplicaciones que usan un recuento de iteraciones bajo para el cifrado basado en contraseña son vulnerables a los ataques por diccionario, que son precisamente los ataques ante los cuales deberían proteger los esquemas de cifrado basados en contraseña.

El número de iteraciones utilizado por una función de derivación de claves basada en contraseña es demasiado bajo.

Una función de derivación de claves se utiliza para derivar una clave a partir de una clave base y otros parámetros. En una función de derivación de claves basada en contraseña, la clave base es una contraseña y los otros parámetros son un valor de sal y un número de iteraciones. El número de iteraciones ha servido tradicionalmente para aumentar el coste de generar claves a partir de una contraseña. Si el número de iteraciones es demasiado bajo, la viabilidad de un ataque aumenta a medida que un atacante puede calcular "tablas arcoíris" para la aplicación y revertir más fácilmente los valores de contraseña con hash.

Ejemplo 1: El siguiente XML configura un número de iteraciones de 50:

...
    <param name="keyObtentionIterations" value="50"/>
...

Las aplicaciones que utilizan un número bajo de iteraciones para el cifrado basado en contraseñas están expuestas a ataques triviales basados en diccionarios, exactamente el tipo de ataque contra el cual se diseñaron los esquemas de cifrado basados en contraseñas.