Administradores de Contraseñas
Última actualización
¿Te fue útil?
Última actualización
¿Te fue útil?
Parece que hoy en día todo requiere una contraseña. Usamos contraseñas para el Wi-Fi de nuestro hogar, redes sociales, cuentas bancarias, correos electrónicos comerciales e incluso nuestras aplicaciones y sitios web favoritos. Según este , la persona promedio tiene 100 contraseñas, que es una de las razones por las que la mayoría de la gente reutiliza contraseñas o crea contraseñas simples.
Teniendo todo esto en cuenta, necesitamos contraseñas diferentes y seguras, pero no todo el mundo puede memorizar cientos de contraseñas que cumplan con la complejidad necesaria para que una contraseña sea segura. Necesitamos algo que pueda ayudarnos a organizar nuestras contraseñas de forma segura. Un es una aplicación que permite a los usuarios almacenar sus contraseñas y secretos en una base de datos cifrada. Además de mantener seguras nuestras contraseñas y datos sensibles, también cuentan con funciones para generar y administrar contraseñas robustas y únicas, 2FA, completar formularios web, integración del navegador, sincronización entre múltiples dispositivos, alertas de seguridad, entre otras características.
La implementación de los administradores de contraseñas varía según el fabricante, pero la mayoría funciona con una contraseña maestra para cifrar la base de datos.
El cifrado y la autenticación funcionan utilizando diferentes y , para evitar el acceso no autorizado a nuestra base de datos de contraseñas cifradas y su contenido. La forma en que funciona depende del fabricante y de si el administrador de contraseñas está en línea o sin conexión.
Analicemos los administradores de contraseñas comunes y cómo funcionan.
Uno de los elementos clave a la hora de decidirse por un administrador de contraseñas es la comodidad. Una persona típica tiene 3 o 4 dispositivos y los usa para iniciar sesión en diferentes sitios web, aplicaciones, etc. Un administrador de contraseñas en línea permite al usuario sincronizar su base de datos de contraseñas cifradas entre múltiples dispositivos, la mayoría de ellos proporcionan:
Una aplicación móvil.
Un complemento del navegador.
Algunas otras características que discutiremos más adelante en esta sección.
Todos los proveedores de administradores de contraseñas tienen su propia forma de gestionar su implementación de seguridad y, por lo general, proporcionan un documento técnico que describe cómo funciona. Puedes consultar la documentación , y como referencia, pero hay muchas otras. Hablemos de cómo funciona esto en general.
Una implementación común para los administradores de contraseñas en línea es derivar claves basadas en la contraseña maestra. Su propósito es proporcionar un , lo que significa que nadie, excepto usted (ni siquiera el proveedor de servicios), puede acceder a sus datos protegidos. Para lograr esto, comúnmente derivan la contraseña maestra. Usemos la implementación técnica de Bitwarden para derivar contraseñas para explicar cómo funciona:
Clave maestra: creada por alguna función para convertir la contraseña maestra en un hash.
Hash de contraseña maestra: creado mediante alguna función para convertir la contraseña maestra con una combinación de la clave maestra en un hash para autenticarse en la nube.
Clave de descifrado: creada mediante alguna función que utiliza la clave maestra para formar una clave simétrica para descifrar elementos de la bóveda.
Los administradores de contraseñas en línea más populares son:
Algunas empresas y particulares prefieren gestionar su seguridad por diferentes motivos y no depender de servicios proporcionados por terceros. Los administradores de contraseñas locales ofrecen esta opción al almacenar la base de datos localmente y responsabilizar al usuario de proteger su contenido y la ubicación donde se almacena.
Los administradores de contraseñas locales cifran el archivo de la base de datos utilizando una clave maestra. La clave maestra puede constar de uno o varios componentes: una contraseña maestra, un archivo de clave, un nombre de usuario, contraseña, etc. Por lo general, todas las partes de la clave maestra son necesarias para acceder a la base de datos.
El cifrado de los administradores de contraseñas locales es similar a las implementaciones en la nube. La diferencia más notable es la transmisión de datos y la autenticación. Para cifrar la base de datos, los administradores de contraseñas locales se centran en proteger la base de datos local utilizando diferentes funciones hash criptográficas (según el fabricante). También utilizan la función de derivación de claves (salt aleatorio) para evitar el cálculo previo de claves y obstaculizar los ataques de diccionario y adivinanzas. Algunos ofrecen protección de la memoria y protección del registrador de pulsaciones mediante un escritorio seguro, similar al Control de cuentas de usuario (UAC) de Windows.
Los administradores de contraseñas locales más populares son:
Imaginemos que usamos Linux, Android y Chrome OS. Accedemos a todas nuestras aplicaciones y sitios web desde cualquier dispositivo. Queremos sincronizar todas las contraseñas y notas seguras en todos los dispositivos. Necesitamos protección adicional con 2FA y nuestro presupuesto es de 1 USD mensual. Esa información puede ayudarnos a identificar el administrador de contraseñas correcto para nosotros.
Multiplataforma (Android, iOS, Windows, Linux, Mac, etc.).
Extensión del navegador.
Iniciar sesión Autocompletar.
Capacidades de importación y exportación.
Generación de contraseña.
Las contraseñas son la forma más común de autenticación, pero no la única. Como aprendemos de este módulo, hay múltiples formas de comprometer una contraseña, descifrarla, adivinarla, navegar por el hombro, etc., pero ¿qué pasa si no necesitamos una contraseña para iniciar sesión? ¿Es posible tal cosa?
De forma predeterminada, la mayoría de los sistemas operativos y aplicaciones no admiten ninguna alternativa a una contraseña. Aún así, los administradores pueden utilizar aplicaciones o proveedores de identidad de terceros para configurar o mejorar la protección de identidad en sus organizaciones. Algunas de las formas más comunes de proteger identidades más allá de las contraseñas son:
A medida que evolucionan nuevas tecnologías y estándares, debemos investigar y comprender los detalles de su implementación para comprender si esas alternativas brindarán o no la seguridad que necesitamos para el proceso de autenticación. Puede leer más sobre la autenticación sin contraseña y las estrategias de diferentes proveedores:
Existen muchas opciones a la hora de proteger contraseñas. Elegir el adecuado dependerá de los requisitos del individuo o de la empresa. Es común que las personas y las empresas utilicen diferentes métodos de protección con contraseña para diversos fines.
Esta es una forma sencilla de ilustrar cómo funcionan los administradores de contraseñas, pero la implementación común es más compleja. Puede consultar los documentos técnicos anteriores o ver el vídeo
Al decidirnos por un administrador de contraseñas local o en la nube, debemos comprender sus características. tiene una lista de administradores de contraseñas (en línea y locales), así como algunas de sus características. Aquí hay una lista de las funciones más comunes para los administradores de contraseñas:
.
.
, que permite a los usuarios aprovechar dispositivos comunes como para autenticarse fácilmente. Para obtener una lista de dispositivos más amplia, puede consultar .
.
.
.
Cumplimiento del dispositivo. Ejemplos: o
Varias empresas como , , , , etc., están intentando promover la estrategia , para eliminar la contraseña como forma de autenticación.
se logra cuando se utiliza un factor de autenticación distinto de una contraseña. Una contraseña es un factor de conocimiento, lo que significa que es algo que el usuario sabe. El problema de depender únicamente de un factor de conocimiento es que es vulnerable al robo, el intercambio, el uso repetido, el mal uso y otros riesgos. La autenticación sin contraseña significa, en última instancia, no más contraseñas. En cambio, se basa en un factor de posesión, algo que tiene un usuario, o un factor inherente, que es un usuario, para verificar la identidad del usuario con mayor seguridad.
