Ese tipo de volcado de datos ocurre cuando un atacante obtiene acceso al servidor que almacena las contraseñas de usuario. Investigadores de la empresa de seguridad informática RSA han creado un sistema que divide las contraseñas en dos y almacena cada mitad en diferentes lugares. Las dos mitades nunca se unen, incluso cuando una persona inicia una sesión y su contraseña es verificada. Eso debería dificultar su robo, porque un ladrón tendría que entrar en esos dos servidores, que pueden estar protegidos de diferentes maneras.
"El almacenamiento de contraseñas es cada vez más problemático debido a la creciente frecuencia de los ataques, pero también debido a que las consecuencias derivadas de ellos han aumentado", asegura Ari Juels, director de los laboratorios de investigación de RSA en Cambridge, Massachusetts (EE.UU.). Juels señala que perder el control de una cuenta en línea puede dar a los atacantes información para ayudar a entrar en otras, y muchas personas simplemente reutilizan las contraseñas en múltiples cuentas.
Aunque LinkedIn y muchas otras empresas encriptan las contraseñas para que sus servidores no contengan la secuencia exacta que un usuario escribe, los atacantes tienen a su disposición una gama de herramientas que puede revertir dicha encriptación, afirma Juels. Ni siquiera las mejores prácticas, que LinkedIn no utilizó, son infalibles. "Creemos que es mejor que las contraseñas y otras credenciales no se almacenen en un solo lugar", afirma Juels, lo que dificulta a un atacante apoderarse de todo lo que necesita para volver a crear la contraseña de una persona.
El nuevo esquema de RSA funciona rompiendo una contraseña en muchos pedazos pequeños y almacenando la mitad de las piezas (seleccionadas al azar) en un lugar y el resto en otro. RSA lo denomina 'protección distribuida de credenciales'. "Si un lugar es atacado, las contraseñas están a salvo", asegura Juels. "La magia consiste en la capacidad del sistema para comprobar contraseñas sin ensamblarlas".
Cuando una persona se registra en un sistema con protección distribuida de credenciales, la contraseña se divide en dos cadenas cifradas de datos. Cada cadena se envía a uno de los dos servidores de contraseñas, donde se combina con la mitad de la contraseña almacenada en dicho servidor para crear una nueva cadena. Más tarde, los dos servidores comparan estas dos nuevas cadenas para determinar si la contraseña es correcta o no. El proceso matemático utilizado hace imposible determinar la contraseña a partir de cualquiera de estas secuencias, o ambas combinadas, por lo que la contraseña seguiría siendo desconocida incluso si un atacante pudiera capturar las secuencias.
Los dos servidores implicados se pueden configurar con diferentes sistemas operativos y en diferentes lugares, indica Juels, por lo que el robo de contraseñas requiere dos ataques individuales y con éxito. Estos tendrían que ocurrir en un corto plazo de tiempo, porque el sistema se actualiza periódicamente con una mitad aleatoria de los fragmentos de contraseña almacenados en cada servidor.
Este software se pondrá a la venta a finales de este año, afirma Juels.
El nuevo enfoque de RSA es una versión de una técnica conocida como criptografía con umbral que ha sido explorada desde hace tiempo por los investigadores. "El concepto no es nuevo, pero esta sería la primera vez que se implementa para el público general", afirma Dan Boneh, profesor de la Universidad de Stanford (EE.UU.) dedicado a investigar tales diseños. La criptografía con umbral es utilizada en un segundo plano por unas empresas -conocidas como entidades de certificación- que emiten los certificados digitales de seguridad con los que los ordenadores y navegadores web saben en qué servidores confiar, por ejemplo, al iniciar sesión en un sitio web bancario.
Una forma de aumentar la eficacia del enfoque sería separar las contraseñas o secretos en más de dos servidores, asegura Boneh. Juels señala que RSA planea hacer que esto sea posible en el futuro, y poner a disposición un software que permita utilizar el enfoque de división de secretos para proteger datos cifrados, por ejemplo, en archivos almacenados en un servicio en nube.
Sin embargo, Bonech afirma que hay otras formas de robar los secretos de una persona. "Con la gestión de contraseñas a menudo la principal preocupación es el usuario final. Si el ordenador del usuario está infectado con malware podemos hacer poco por asegurarlo sin tener que recurrir a un elemento físico", indica Boneh en referencia a aquellos sistemas que requieren que las personas lleven consigo un dispositivo tipo llavero, o que utilicen una aplicación de teléfono para suministrar una contraseña temporal cada vez que inician sesión.
Este enfoque, conocido como autenticación fuerte (o de dos factores), generalmente se requiere solo para cuentas corporativas o financieras, pero Google y Facebook lo ofrecen actualmente para sus cuentas en línea, debido a la rapidez con que dichas cuentas están viéndose atacadas.