Glossary
Número de iteraciones
El número de iteraciones es cuántas veces una función de derivación de clave repite su ronda interna por intento — el equivalente en PBKDF2 del factor de coste de bcrypt.
El número de iteraciones es la cantidad de veces que una función de derivación de clave como PBKDF2 repite su ronda HMAC interna antes de producir la clave final. Cumple el mismo papel para los formatos basados en PBKDF2 que el factor de coste para bcrypt: un ajuste directo y lineal sobre cuánto tarda en verificarse un intento, tanto para un atacante como para un usuario legítimo.
Las recomendaciones actuales elevan mucho esta cifra respecto a antes. OWASP recomienda hoy al menos 600.000 iteraciones para PBKDF2-HMAC-SHA256, cuando hace una década 10.000 se consideraba razonable — el hardware se volvió más rápido, así que la cifra tiene que subir para mantener el ritmo. Bitwarden incrusta directamente su número de iteraciones elegido en el hash exportado, por lo que se puede leer el coste exacto de descifrado de una bóveda antes incluso de ejecutar hashcat.
Un número de iteraciones bajo es un problema más grave que una sal débil: es el parámetro que decide más directamente si un hash robado cae en horas o resiste durante años. Consulta descifrar bóvedas de gestores de contraseñas para ver cómo se traduce esto en KeePass, 1Password, Bitwarden y LastPass.