Windows 11 planta cara a los ataques de fuerza bruta

Aunque al hablar de ataques a Windows el foco se suele poner en phishing, ransomware, etcétera, los ataques basados en fuerza bruta siguen siendo una técnica muy común, y que en las circunstancias adecuadas puede resultar tremendamente efectiva, para desgracia de los usuarios que son víctimas de los ataques en los que se emplea.

Aunque no conozcas la naturaleza de esta técnica, seguro solo con su nombre ya te puedes hacer una idea bastante acertada de en qué consiste, y no te equivocarás. La fuerza bruta consiste en ir probando, de manera secuencial, contraseñas y más contraseñas hasta, si el atacante tiene suerte, dar con la adecuada. Se puede llevar a cabo sin más o apoyándose en los llamados diccionarios, que no son otra cosa que enormes bases de datos con claves, o patrones para las mismas, que se suelen emplear a la hora de crear contraseñas.

Los ataques de fuerza bruta son, claro, automatizados, el software que intenta averiguar la clave de acceso concatena cada prueba con la siguiente a toda la velocidad que permite el sistema atacado. Es decir, no hablamos de una persona tecleando manualmente cada posible contraseña, sino de desarrollos capaces de probar miles de potenciales claves por minuto.

En ocasiones, además, los diccionarios se pueden combinar con el conocimiento que se pueda tener de la víctima, todo el conocimiento que se tenga de la misma (desde la fecha de nacimiento hasta el nombre de su mascota) puede ser tenido en cuenta a la hora de crear un listado de las posibles contraseñas para, a continuación, iniciar el ataque.

Windows, en todos sus sabores, es una de las víctimas habituales de los ataques de fuerza bruta, pero parece que Microsoft se ha cansado de esta circunstancia y, como podemos ver en este tweet de David Weston, vicepresidente de seguridad de sistemas operativos y empresas de la compañía, Microsoft ha empezado a añadir una política de cuenta predeterminada en Windows 11 para, de este modo, mitigar sustancialmente los riesgos de los ataques de fuerza bruta.

Esta nueva política, que también llegará a Windows 10 (aunque en este caso no se activará de manera predeterminada), permitirá establecer un máximo de intentos fallidos por contraseña errónea y, al alcanzarse, se bloqueará la posibilidad de volver a probar por el plazo que determinemos. Por defecto serán 10 intentos y, tras los mismos, 10 minutos de bloqueo. De este modo, con ese ajuste por defecto, reduciremos la cantidad máxima de pruebas que se pueden llevar a cabo en un ataque a tan solo 60 por hora, cuando en otras circunstancias el número es infinitamente mayor.

@windowsinsider Win11 builds now have a DEFAULT account lockout policy to mitigate RDP and other brute force password vectors. This technique is very commonly used in Human Operated Ransomware and other attacks – this control will make brute forcing much harder which is awesome! pic.twitter.com/ZluT1cQQh0

— David Weston (DWIZZZLE) (@dwizzzleMSFT) July 20, 2022