🔐 Hashing Criptográfico: Integridad y Autenticación en Seguridad Digital

El hashing criptográfico es un mecanismo fundamental en ciberseguridad para garantizar la integridad de los datos. A diferencia del cifrado, el hashing es un proceso unidireccional: no se puede revertir para obtener el texto original a partir del hash.

📚 1. ¿Qué es el Hashing?

Un algoritmo de hashing toma una entrada de cualquier longitud y produce una salida de longitud fija conocida como hash o digest.

📌 Características clave del hashing:

1. Unidireccional: Es imposible (en la práctica) derivar el texto original a partir del hash.
2. Determinista: El mismo texto siempre generará el mismo hash.
3. Resistente a colisiones: Es extremadamente improbable que dos entradas diferentes generen el mismo hash.
4. Eficiencia: Puede procesar grandes volúmenes de datos rápidamente.

📌 Analogía práctica:

Imagina que el hashing es como una huella digital para los datos. Cada archivo o contraseña tiene su propia huella única. Si algo cambia, la huella digital también cambia.

🛡️ 2. Usos Comunes del Hashing

2.1 Almacenamiento Seguro de Contraseñas

• Escenario: Un sistema no almacena contraseñas directamente, sino su hash.
• Proceso:
  • El usuario crea una contraseña.
  • El sistema aplica un algoritmo de hashing (por ejemplo, SHA-256).
  • El hash resultante se almacena en la base de datos.
• Validación: Al iniciar sesión, se genera un nuevo hash con la contraseña ingresada y se compara con el hash almacenado.

⚠️ Riesgo común: Si un atacante roba la base de datos, no obtiene contraseñas legibles, sino hashes.

2.2 Verificación de Integridad de Archivos

• Escenario: Al descargar un archivo, el proveedor ofrece un hash de referencia (SHA-256).
• Proceso:
  • El usuario descarga el archivo y calcula su hash localmente.
  • Compara el hash calculado con el hash proporcionado por el proveedor.
• Resultado: Si los hashes coinciden, el archivo no ha sido modificado.

⚠️ Riesgo común: Si un atacante modifica el archivo, el hash resultante será diferente.

2.3 Firmas Digitales

• Escenario: Se utiliza un hash junto con criptografía asimétrica para firmar documentos.
• Proceso:
  • Se calcula el hash del documento.
  • El hash se firma digitalmente con la clave privada del firmante.
  • El receptor verifica la firma y el hash con la clave pública.

⚠️ Riesgo común: Si el hash cambia, la firma digital no será válida.

2.4 Creación de Huellas Digitales (Fingerprints)

• Escenario: Identificar archivos únicos en bases de datos.
• Proceso: Cada archivo tiene un hash único que lo representa.

Ejemplo: Sistemas antivirus usan hashes para identificar archivos maliciosos conocidos.

⚙️ 3. Algoritmos de Hashing más Comunes

3.1 SHA (Secure Hash Algorithm)

• Desarrollador: NSA (Agencia de Seguridad Nacional de EE.UU.).
• Longitudes de hash comunes: SHA-1 (160 bits), SHA-256 (256 bits), SHA-512 (512 bits).
• SHA-256: El más utilizado actualmente debido a su equilibrio entre seguridad y eficiencia.

Usos comunes:

• Verificación de integridad en descargas de software.
• Almacenamiento de contraseñas.
• Firmas digitales.

3.2 MD5 (Message Digest 5)

• Desarrollador: Ronald Rivest.
• Longitud de hash: 128 bits.
• Problema: Vulnerable a colisiones y ataques de fuerza bruta.
• Usos limitados: Compatibilidad con sistemas heredados.

⚠️ Riesgo: No se recomienda para seguridad crítica debido a su vulnerabilidad a colisiones.

3.3 HMAC (Hash-based Message Authentication Code)

• Descripción: Combina un algoritmo de hashing (como SHA-256) con una clave secreta.
• Usos comunes: Autenticación de mensajes en redes (por ejemplo, autenticación de API).

3.4 Bcrypt y Argon2

• Descripción: Diseñados específicamente para proteger contraseñas.
• Ventaja: Más resistentes a ataques de fuerza bruta gracias a la "lentitud intencional".
• Usos comunes: Almacenamiento de contraseñas en bases de datos modernas.

🛠️ 4. Herramientas Comunes para Hashing

1. Hashcat: Para recuperar contraseñas cifradas mediante fuerza bruta.
2. OpenSSL: Permite calcular hashes en archivos o cadenas de texto.
3. CertUtil (Windows): Generador y verificador de hashes integrado en sistemas Windows.
4. shasum (Linux): Comando para verificar hashes SHA.

Ejemplo de uso:

bashCopiar códigoshasum -a 256 archivo.txt

⚠️ 5. Ataques Comunes contra el Hashing

1. Ataque de Colisión: Encontrar dos entradas diferentes que generen el mismo hash.
2. Ataque de Fuerza Bruta: Probar todas las combinaciones posibles para generar un hash igual.
3. Ataque de Diccionario: Usar listas predefinidas de contraseñas comunes para encontrar coincidencias.
4. Ataque de Tabla Arcoíris (Rainbow Table): Uso de tablas precomputadas para buscar hashes conocidos.

🛡️ Mitigación:

• Usar algoritmos seguros como SHA-256.
• Implementar "salting" (añadir una cadena aleatoria a cada contraseña antes de hashearla).
• Usar Bcrypt o Argon2 para proteger contraseñas.

🧠 6. Diferencias entre Hashing, Cifrado y Firmas Digitales

Característica Hashing Cifrado Firma Digital
Propósito Integridad Confidencialidad Autenticidad e Integridad
Unidireccional Sí No No
Clave requerida No Sí Sí
Ejemplo común SHA-256 AES RSA + SHA-256 

📝 Respuestas Detalladas y Profundas a Preguntas de Hashing para Red, Blue y Purple Team

🔵 Blue Team (Defensores)

1. ¿Cómo protegerías las contraseñas almacenadas en una base de datos?

• Usar algoritmos robustos como Argon2, bcrypt o scrypt.
• Aplicar salting único por usuario.
• Usar key stretching para aumentar el tiempo necesario para calcular un hash.
• Monitorear accesos a la base de datos con herramientas SIEM.

2. ¿Cómo verificarías la integridad de los archivos críticos en un servidor?

• Usar herramientas como Tripwire para monitorizar cambios.
• Generar hashes SHA-256 de archivos críticos y almacenarlos en un sistema aislado.
• Comparar regularmente los hashes.

3. ¿Por qué es importante añadir salting a los hashes de contraseñas?

El salting añade una cadena aleatoria a cada contraseña antes de aplicar hashing, lo que:

• Hace que las tablas Rainbow sean inútiles.
• Evita que dos contraseñas idénticas tengan el mismo hash.
• Aumenta significativamente el costo de los ataques.

4. ¿Qué políticas establecerías para el uso de algoritmos de hashing?

• Prohibir el uso de algoritmos obsoletos (MD5, SHA-1).
• Usar solo SHA-256 o superior para verificación de integridad.
• Para contraseñas, usar algoritmos con salting y key stretching.

5. ¿Cómo responderías a una brecha donde hashes de contraseñas han sido comprometidos?

• Iniciar el protocolo de respuesta a incidentes.
• Forzar el restablecimiento de todas las contraseñas.
• Investigar el alcance de la brecha.
• Implementar autenticación multifactor (MFA).

🟣 Purple Team (Coordinación)

1. ¿Cómo evaluarías la efectividad de los algoritmos de hashing en tu organización?

• Realizar auditorías regulares con herramientas como OpenVAS.
• Simular ataques controlados (Red Team).

2. ¿Qué herramientas utilizarías para detectar contraseñas débiles en bases de datos?

• Hashcat
• John the Ripper

3. ¿Cómo probarías la integridad de datos críticos durante una auditoría?

• Usar herramientas como Tripwire o AIDE para comparación de hashes.

4. ¿Qué recomendaciones harías para mejorar el manejo de hashes en un sistema heredado?

• Migrar a algoritmos robustos como Argon2.

5. ¿Cómo entrenarías a los equipos en la correcta implementación de hashing?

• Realizar talleres prácticos.
• Simular ataques de diccionario y tablas Rainbow.

📚 8. Recursos para Profundizar

1. OWASP Password Storage Cheat Sheet: 🔗 OWASP
2. Hashcat Tutorial: 🔗 Hashcat
3. TryHackMe - Hashing Walkthrough: 🔗 TryHackMe