Laboratorio de Cracking de Contraseñas

FaceLook es un laboratorio educativo local diseñado para entender cómo cambia la dificultad de crackear una contraseña dependiendo de:

• su longitud;
• su estructura;
• el algoritmo de hashing;
• el uso de salt;
• y el costo computacional del algoritmo.

El proyecto utiliza Flask, SQLite, SHA-256 y Argon2id, funciona localmente y no necesita conexión a Internet una vez instaladas sus dependencias.

---

¿Qué vas a probar?

El laboratorio está dividido en cinco niveles:

Nivel	Hash	Objetivo
V1	SHA-256 sin salt	Ataque de diccionario
V2	SHA-256 sin salt	Wordlist + reglas
V3	SHA-256 sin salt	Ataque por máscara
V4	Argon2id + salt	Comparar costo de cracking
V5	Argon2id + salt	Contraseña aleatoria de 20 caracteres

V1–V3 utilizan SHA-256 directo, mientras que V4 y V5 utilizan Argon2id con salt único.

---

Instalación rápida

Windows

git clone https://github.com/pedrogbzx/password-impossible-lab
cd password-impossible-lab
py -3 -m venv .venv
.\.venv\Scripts\python.exe -m pip install -r requirements-dev.txt
.\.venv\Scripts\python.exe scripts\init_db.py
.\.venv\Scripts\python.exe app.py

Linux

git clone https://github.com/pedrogbzx/password-impossible-lab
cd password-impossible-lab
python3 -m venv .venv
.venv/bin/python -m pip install -r requirements-dev.txt
.venv/bin/python scripts/init_db.py
.venv/bin/python app.py

La instalación oficial del repositorio utiliza Python 3, un entorno virtual y los scripts incluidos para inicializar la base de datos.

---

Abrir el laboratorio

Una vez iniciado:

http://127.0.0.1:5000/lab

Desde ahí puedes recorrer los cinco niveles y comparar cómo cambia el almacenamiento y la resistencia de las contraseñas.

---

Exportar hashes

Para obtener hashes del laboratorio y utilizarlos en tus pruebas:

python scripts/export_hashes.py --version v1 --hash-only

Puedes cambiar v1 por:

v2
v3
v4
v5

El repositorio incluye scripts para exportar hashes, inspeccionar la base de datos y reiniciar el laboratorio.

---

¿Qué demuestra este laboratorio?

La idea principal es comprobar que:

Contraseña débil + hash rápido
        ↓
Cracking mucho más sencillo

mientras que:

Contraseña larga y aleatoria
+
Argon2id
+
Salt
        ↓
Cracking significativamente más costoso

El laboratorio está pensado para comparar directamente SHA-256 sin salt frente a Argon2id con salt y distintos tipos de contraseñas.

---

Descargar

Código fuente: https://github.com/pedrogbzx/password-impossible-lab

El proyecto utiliza únicamente credenciales y cuentas ficticias y está diseñado como laboratorio educativo local.