- Implementación de directivas de complejidad y longitud mínima basadas en estándares de seguridad actuales.
- Uso de Directivas de Contraseñas Pormenorizadas (FGPP) para aplicar restricciones estrictas a usuarios privilegiados.
- Diferenciación entre el almacenamiento de hashes LM y NT para optimizar la resistencia ante ataques.
- Adopción de frases de contraseña y MFA para mitigar riesgos de fuerza bruta y robo de credenciales.
Cuando hablamos de gestionar la seguridad en una red corporativa, el talón de Aquiles suele ser, sin duda, el manejo de las credenciales. Es una realidad que los ciberdelincuentes no siempre usan técnicas sofisticadas; a veces, basta con un ataque de fuerza bruta o el simple hecho de adivinar patrones comunes para colarse en un sistema y empezar a moverse lateralmente por la infraestructura hasta dar con el premio gordo.
Para evitar que nuestra red sea un colador, es fundamental configurar Active Directory de manera que las contraseñas no sean un juego. No se trata solo de poner una longitud mínima, sino de implementar una estrategia integral que combine directivas estrictas, un almacenamiento seguro de los hashes y, sobre todo, una educación constante para que los empleados no acaben pegando un post-it con la clave en el monitor.
Cómo se guardan las claves en el ecosistema Windows
Windows no guarda las contraseñas en texto plano (sería un suicidio digital), sino que utiliza funciones unidireccionales, mejor conocidas como hashes criptográficos. Básicamente, es una operación matemática que transforma la clave en una cadena de caracteres que no se puede revertir. En los dominios de Active Directory, se utilizan principalmente dos tipos: la OWF de LM (LAN Manager) y la OWF de NT.
El sistema de LM es ya una reliquia que se mantiene por compatibilidad, ya que divide la clave en dos bloques de 7 bytes y es bastante vulnerable. Por otro lado, el hash de NT utiliza el algoritmo MD4 y es el estándar para la autenticación en dominios modernos. Es importante saber que estas claves residen en el archivo NTDS.DIT de la base de datos de AD, protegidas por capas de cifrado como AES-256 en las versiones más recientes de Windows Server.
Además de la base de datos central, existe la SAM local en los equipos y las credenciales almacenadas en caché. Estas últimas permiten que un usuario inicie sesión aunque el equipo haya perdido la conexión con el controlador de dominio, basándose en un hash derivado del nombre de usuario y la OWF de NT.
Configuración de directivas de contraseñas: Paso a paso
Para poner orden en el caos, podemos gestionar las claves desde la Consola de Administración de Directivas de Grupo (GPMC). Navegando por Configuración del Equipo > Configuración de Seguridad > Directivas de Cuenta, podemos definir las reglas del juego para todo el dominio.
- Longitud y complejidad: Ya no basta con 8 caracteres. Organismos como el INCIBE sugieren un mínimo de 12 caracteres. La complejidad debe estar habilitada para obligar al uso de mayúsculas, minúsculas, números y símbolos.
- Historial y vigencia: Para evitar que el usuario alterne entre dos claves similares, es recomendable un historial de 24 contraseñas. En cuanto a la caducidad, se puede establecer una vigencia máxima de unos 45 días para forzar la renovación.
- Bloqueo de cuentas: Para frenar el password spraying, es vital configurar el umbral de bloqueo (por ejemplo, 8 intentos fallidos) y definir un tiempo de espera, como 30 minutos, antes de que la cuenta se desbloquee sola o requiera la intervención de un administrador.
Directivas de granularidad fina (FGPP)
No todos los usuarios tienen el mismo nivel de riesgo. Un recepcionista no necesita la misma política que un administrador de sistemas con privilegios elevados. Para esto existen las Directivas de Contraseñas Pormenorizadas (FGPP), disponibles desde Windows Server 2008.
Estas se gestionan a través del Centro de Administración de Active Directory (ADAC), específicamente en el contenedor de Configuración de Contraseñas. Aquí podemos crear un Objeto de Configuración de Contraseñas (PSO) y asignarlo a un grupo de seguridad específico, como por ejemplo un grupo llamado gs_trabajadores. De esta forma, podemos exigir que los administradores usen claves mucho más largas y complejas que el resto de la plantilla.
Diferencia entre contraseñas y frases de contraseña
A veces nos obsesionamos con poner símbolos raros que nadie recuerda, cuando la verdadera fuerza reside en la longitud. Aquí es donde entran las frases de contraseña (passphrases). A diferencia de una clave tradicional, una frase es una cadena de palabras largas que suelen incluir espacios.
Son mucho más difíciles de descifrar mediante computación porque el espacio de búsqueda es inmenso. Además, son más fáciles de recordar para el humano, lo que reduce la probabilidad de que el usuario anote la clave en un lugar inseguro. Para evitar que se generen hashes de LM (los más débiles), una técnica efectiva es crear contraseñas seguras obligando a que las claves superen los 14 caracteres.
Mantenimiento, auditoría y resolución de problemas
Una vez implementadas las reglas, hay que vigilar que se cumplan. Podemos usar comandos como net accounts en el símbolo del sistema para ver la política actual, o el comando Get-ADDefaultDomainPasswordPolicy a través de PowerShell para obtener los detalles del dominio.
Si un usuario se queja de que no se le aplica la nueva política, podemos ejecutar gpupdate /force para refrescar las directivas o usar gpresult /r para analizar qué GPOs están llegando realmente al equipo. También es crucial monitorizar la replicación entre controladores de dominio con repadmin /replsummary, ya que una desincronización puede causar que un usuario sea bloqueado en un servidor pero no en otro.
Para no volver locos a los empleados con restricciones extremas, se recomienda el uso de herramientas de terceros. Los gestores de contraseñas de código abierto permiten manejar claves únicas y fuertes sin tener que memorizarlas todas, mientras que los sistemas de autorestablecimiento de contraseña (SSPR) evitan que el servicio de soporte técnico se colapse con llamadas cada vez que alguien olvida su clave.
La seguridad de las identidades en Active Directory depende de un equilibrio entre la robustez técnica, el uso de hashes modernos como NT y AES-256, la aplicación de directivas granulares según el riesgo del usuario y la implementación de medidas adicionales como la autenticación multifactor (MFA), que actúa como la barrera definitiva cuando la contraseña falla.
