Métodos para identificar usuarios

¿Sabes qué son los métodos para identificar usuarios y por qué se utilizan en ciberseguridad? ¿Qué utilidad tienen estas técnicas y cómo se pueden prevenir en una aplicación web?

La enumeración de usuarios es un proceso bastante útil para el hacking web. El motivo es que, al encontrar estas credenciales, se facilitan los ataques de fuerza bruta para hallar contraseñas. Por eso, es necesario que las aplicaciones web no les permitan a los atacantes averiguar los nombres de usuario de sus clientes. Sin embargo, existen vulnerabilidades que exponen a la aplicación de este modo.

Los ataques de fuerza bruta son una técnica que se utiliza para adivinar nombres de usuarios y contraseñas de páginas webs o aplicaciones. La fuerza bruta consiste en probar automáticamente diferentes valores en una entrada de datos hasta encontrar las credenciales correctas de una cuenta.

Si el nivel de dificultad de la contraseña es bueno, un ataque de fuerza bruta jamás funcionará. No obstante, si las credenciales son débiles, podrían encontrarse en cuestión de segundos.

En este post, veremos cuáles son las principales técnicas que utilizan los atacantes para enumerar la lista de clientes registrados de una aplicación web. A continuación, te explicaremos cuáles son los métodos para identificar usuarios más utilizados en ataques y tests de penetración.

Métodos para identificar usuarios

Ahora veremos los principales métodos para identificar usuarios en una aplicación web, lo cual hace significativamente más fácil y rápido realizar un ciberataque de fuerza bruta para adivinar contraseñas.

Por mensaje

En muchas ocasiones, las aplicaciones web devuelven un mensaje cuando las credenciales de un usuario son incorrectas. Algunas veces, estos mensajes dan pistas sobre la existencia o no del nombre de usuario. Por ejemplo, si la aplicación arroja un mensaje que dice «Contraseña incorrecta» cada vez que se acierta en el nombre de usuario, esta respuesta del servidor puede usarse para encontrar credenciales de forma automática.

Entonces, el tipo de mensaje correcto que debería aparecer en pantalla sería: «Contraseña y/o nombre de usuario inválido«. De este modo, se convierte en algo imposible determinar si un usuario existe o no haciendo esta prueba.

Por tiempo de ejecución

El tiempo de ejecución de una petición es un vector de ataque de canal lateral que siempre es necesario tener en cuenta. En ocasiones, los servidores tardan más en resolver una petición con un nombre de usuario existente que con uno no existente. De este modo, un atacante también puede analizar este factor para encontrar listas de nombres de usuarios registrados.

Un ataque de canal lateral es una forma de descifrar credenciales que se basa en aspectos externos al algoritmo de cifrado o la medida de seguridad utilizada para proteger la información. El mejor ejemplo es el tiempo de ejecución de una operación, que puede revelar datos sobre la misma. No obstante, otros ataques de canal lateral podrían incluir el sonido de las máquinas, el tamaño de los archivos, etc.

Por comportamiento de la web

Monitorear el comportamiento de la aplicación web también puede revelar información sobre el contenido de las peticiones y respuestas. Es posible que, si se envía un nombre de usuario existente al servidor, este haga un set-cookies o redireccione a una página determinada. Esto puede ser visto por medio de un programa como Burp Suite, que permite interceptar, analizar y modificar el tráfico con una página web.

Burp Suite puede utilizarse en una máquina virtual o directamente en el host y es ideal para monitorizar lo que haría una aplicación web al recibir cualquier tipo de petición. En este programa, el módulo Repeater permite experimentar con cambios en la petición y descubrir cuál sería la respuesta del servidor al enviarla.

Por eso, el análisis del comportamiento de la aplicación web también es uno de los métodos para identificar usuarios más comunes y efectivos.

Ya hemos visto cuáles son los principales métodos para identificar usuarios de una aplicación web. Si quieres aprender más sobre técnicas y herramientas de hacking ético, en KeepCoding tenemos el curso ideal para ti. Únete a nuestro Ciberseguridad Bootcamp y descubre cómo convertirte en un especialista en tan solo 7 meses.

Tendrás clases en vivo con profesores expertos sobre temas como recopilación de información, tecnologías OSINT, análisis de malware, criptografía, red team/blue team y mucho más. ¡No sigas esperando para solicitar información y dale un verdadero impulso a tu vida profesional!