Inicie sesión en su correo electrónico. Inicie sesión en su banco. Inicia sesión en Facebook. Inicie sesión en Amazon. Inicie sesión en su nube de fotos. ¿Puedes contar cuántas aplicaciones requieren una contraseña de forma regular? Piense también en la cuenta de su computadora local. Luego agregue sus recursos compartidos de red de trabajo o registros personales en la escuela. La lista crece rápidamente.
¿Cómo haces un seguimiento de todo?
La mayoría de la gente prueba algunos trucos. Algo de trabajo. Algunos son peligrosos. Esto es lo que podrías haber probado y por qué probablemente deberías dejar de hacerlo.
Deja de usar estos métodos
Memoriza todo. Esto funciona si inicias sesión diariamente. Falla si sólo visitas un sitio una vez al mes. ¿Olvidaste la contraseña? Estás bloqueado. Además, las cookies del navegador suelen recordar su sesión durante días. Es posible que no escriba la contraseña manualmente todos los días, pero aún así necesitará saberla si la cookie caduca.
Reutiliza la misma contraseña. Es simple. Es terrible para la seguridad. Si un pirata informático descifra su nombre de usuario y contraseña de una cuenta, ingresa a su banco, su correo electrónico y sus redes sociales. Todo ello. Una llave abre todas las puertas. No hagas esto.
Escríbelo en papel. Ideal solo si escondes el papel donde nadie pueda encontrarlo. Si alguien encuentra la lista, estás expuesto. Si pierdes los trozos de papel, estás perdido. ¿Y actualizar la lista cada vez que cambias una contraseña? Esa es una tarea que probablemente te saltarás.
Guárdelo en un archivo simple en su dispositivo. Mejor que el papel. Es menos probable que se pierda en un cajón. Pero si su disco duro falla, el archivo desaparecerá. Más importante aún, si su computadora es pirateada, el archivo es vulnerable. A los piratas informáticos les encantan los archivos de texto sin formato. Puede cifrar el archivo para mayor seguridad. Eso hace que este método sea similar a la siguiente opción.
Utilice software de administración de contraseñas. Esta es la utilidad que guarda y recupera todas sus contraseñas. Puede ser una aplicación independiente en su computadora o una función integrada en otra herramienta. Limita las rutas de los piratas informáticos hacia sus datos. Agrega funciones para organizar y recuperar información. Es el estándar por una razón.
En este artículo, desglosamos los tipos de software de gestión de contraseñas. Analizamos los beneficios y los riesgos. Examinamos aplicaciones específicas en el mercado y seleccionamos cuáles son confiables y cuáles son impredecibles. Pero primero, veamos cómo evolucionó este problema.
Historia del problema de administración de contraseñas
Las primeras computadoras domésticas eran simples. Una computadora. Un usuario. Sin internet. Una sola contraseña fue suficiente. Algunas personas pegaron la contraseña en una nota adhesiva en el monitor. Nadie lo encontró a menos que irrumpieran en la casa.
Luego vinieron las redes. De repente, necesitabas contraseñas para todos los sistemas de la red. Las notas adhesivas ya no cabían en el monitor. Escribirlos se volvió arriesgado. Necesitabas una mejor solución.
Los diseñadores de software crearon las primeras herramientas de administración de contraseñas. El objetivo era sencillo. Administre una lista de cuentas con nombres de usuario y contraseñas. Proteja esa lista de los piratas informáticos. Protección necesaria para trabajar en la computadora local y a través de conexiones de red. A medida que las funciones evolucionaron, estas herramientas abordaron necesidades de seguridad más complejas.
El problema explotó con la World Wide Web en los años 1990. Cada sitio web tenía su propio sistema de usuario. Algunos sitios agregaron umbrales para detener el software de adivinación de contraseñas. Otros sitios impusieron reglas estrictas. La longitud importa. El contenido importa. Las reglas varían según el sitio.
Un sitio exige caracteres especiales como signos de exclamación o asteriscos. Otro sitio los rechaza por completo. No puedes usar la misma contraseña en todas partes si las reglas chocan. Necesita contraseñas únicas para cada plataforma.
La informática móvil empeoró las cosas. Las computadoras portátiles te permiten navegar por la web desde cualquier lugar. Pero también aumentan el riesgo de pérdida de datos por daños o robo. Agregue teléfonos inteligentes y tabletas a la mezcla. Ahora estás administrando contraseñas en múltiples dispositivos. No sólo uno o dos.
Las soluciones actuales dan cuenta de los desafíos web y móviles. Se vinculan con los navegadores web. Completan automáticamente formularios de inicio de sesión cuando visita sitios específicos. El problema no se reduce. La computación en la nube reemplaza a los servicios públicos locales. Las aplicaciones web están aumentando. Incluso puedes encontrar la gestión de contraseñas como una aplicación web.
Tipos y beneficios del software de gestión de contraseñas
Hemos analizado los desafíos. Ahora veamos las características básicas. Los diferentes tipos de software ofrecen diferentes beneficios. Algunos se centran en la seguridad. Otros por conveniencia. Comprender los tipos le ayudará a elegir la herramienta adecuada.
El software de administración de contraseñas no se trata solo de ahorrar tiempo. Se trata de crear una barrera entre sus datos confidenciales y los posibles atacantes.
A continuación examinaremos aplicaciones específicas. Determinaremos cuáles ofrecen funciones y seguridad. ¿Cuáles merecen tu confianza? ¿Cuáles son sólo exageraciones de marketing? La respuesta depende de tus necesidades. Y tu tolerancia al riesgo.
Los desarrolladores no se han puesto de acuerdo sobre un plan único para los administradores de contraseñas. El debate se centra en dónde residen los datos, qué tan estrechamente están bloqueados y qué herramientas adicionales se incluyen para guardar o recuperar credenciales. En 2011, habían surgido cuatro arquetipos distintos. Cada uno conlleva compensaciones específicas entre conveniencia y exposición.
La herramienta adecuada depende de su modelo de amenaza. Si nunca sales de casa, una extensión de navegador es suficiente. Si viaja con su computadora portátil, el cifrado de hardware puede valer la pena.
Administradores integrados en el navegador
Los sistemas operativos, navegadores y suites de seguridad suelen venir con bóvedas integradas. Chrome, Firefox e Internet Explorer tenían sus propias implementaciones. Norton 360 incluyó funciones de administración de identidades en su paquete de seguridad más amplio. Estas herramientas son convenientes. Funcionan desde el primer momento. No requieren software adicional.
Pero también son la opción menos segura para entornos de alto riesgo. Confías en la postura de seguridad del navegador para proteger tus secretos más profundos. Si ese navegador se ve comprometido, sus contraseñas lo acompañarán. Utilice esto sólo si confía lo suficiente en el ecosistema como para no necesitar una capa secundaria de defensa.
Aplicaciones de escritorio independientes
Este era el modelo original. Ninguna nube. Sin integración del navegador. Sólo una aplicación en tu máquina. KeePass y Aurora son los mejores ejemplos de esa época. Aurora ofrecía un cifrado sólido, capacidades para completar formularios, un generador de contraseñas y la capacidad de exportar datos a archivos legibles.
Estas aplicaciones brillan si permaneces en un dispositivo. No comparten sus datos con otros usuarios en la misma máquina más de lo necesario. Mantienen todo local. ¿La desventaja? Sin sincronización. Si cambia de computadora, estará solo. Tienes que mover manualmente el archivo de la base de datos. Es rígido. Es seguro. Está aislado.
Seguridad integrada en hardware
Algunos administradores aprovechan los componentes físicos integrados en el dispositivo. Los ThinkPads de la serie T de Lenovo, por ejemplo, incluían un chipset de subsistema de seguridad integrado en la placa base. Esto no es sólo almacenamiento de software. Es hardware dedicado.
Cuando se combina con las herramientas de administración de contraseñas de Lenovo, los datos se cifran y se almacenan en ese chipset. La recuperación requiere una clave de acceso, una huella digital de un lector integrado o ambas. Debido a que las credenciales no están en el disco duro, puede configurar el BIOS para exigir esa clave de acceso o datos biométricos solo para iniciar la máquina.
Este enfoque apunta a una amenaza específica: robo físico o piratería informática. Si trabaja en espacios compartidos, viaja con frecuencia o le preocupa que alguien robe su computadora portátil y extraiga el disco, el cifrado respaldado por hardware agrega una barrera formidable. Es menos común que las soluciones en la nube, pero mucho más difícil de evitar de forma remota.
Administradores de contraseñas basados en web
El modelo de nube cambió las reglas del juego. Las aplicaciones web como RoboForm y PasswordSafe permitieron el acceso desde cualquier dispositivo conectado a Internet. Iniciaste sesión con una contraseña maestra y recuperaste todo lo demás.
RoboForm y PasswordSafe reflejaron muchas características de aplicaciones independientes como Aurora, pero agregaron accesibilidad multiplataforma. Los navegadores de escritorio y móviles podrían acceder a la misma bóveda. Esta es la opción ideal si hace malabarismos con varios sistemas operativos. Quieres tus contraseñas en todas partes, al instante. ¿La compensación? Estás confiando tus datos a un servidor de terceros. Si ese servidor es vulnerado, toda su vida digital queda expuesta.
Riesgos de utilizar software de gestión de contraseñas
El único punto de fracaso
No llevarías tus extractos bancarios, las llaves de tu casa y tus tarjetas de crédito en una mochila sin seguridad. Entonces, ¿por qué poner todas las credenciales digitales en una aplicación sin hacer preguntas? Los administradores de contraseñas son convenientes, claro. Pero concentran el riesgo. Si un hacker obtiene esa clave maestra, será dueño de todo.
Piense en su administrador de contraseñas como su hogar físico. Contiene todos tus objetos de valor. Una llave abre la puerta principal. Si le roban esa llave, el intruso no sólo se lleva su televisor. Te quitan tu identidad, tu dinero, tus secretos. El software en sí no importa tanto como cómo cierras la puerta.
Endureciendo tus defensas
No se puede eliminar el riesgo. Sólo puedes gestionarlo. Trate su contraseña maestra como códigos de lanzamiento nuclear.
- La seguridad física es importante. No dejes tu computadora portátil en la mesa de una cafetería mientras tomas un café. Utilice un candado Kensington si se encuentra en un espacio público. El robo es la forma más común en que las credenciales salen de su posesión.
- Bloquea tus cuentas de usuario. Una contraseña de dispositivo débil es una puerta trasera. Forzar un inicio de sesión al arrancar. Forzar un inicio de sesión al despertar. Cambie esa contraseña periódicamente.
- Los bloqueos de pantalla no son negociables. ¿Apartarse? Bloquea la pantalla. Siempre.
- No compartir. Nunca proporciones tu contraseña maestra al soporte de TI, familiares o amigos. Alguna vez.
- Los cortafuegos son tu primera línea de defensa. Mantenlos activos. Bloquee el acceso no deseado a la red.
- La complejidad gana. Elija una contraseña maestra que tarde meses en forzarse por fuerza bruta. No es tu cumpleaños. No “contraseña123”.
- Gire la clave. Cambie su contraseña maestra cada dos o tres meses. Y hágalo diferente del inicio de sesión de su sistema operativo. Si son iguales, habrá creado un único punto de falla dos veces.
- Ayuda biométrica. Si olvidas las contraseñas, utiliza una huella digital o un escaneo facial. Elimina la carga de memoria. Pero recuerde: la biometría todavía está ligada a esa clave de cifrado subyacente.
Cierra las puertas. ¿Perdiste la llave? Estás fuera. ¿Hacer que la cerradura sea demasiado difícil de forzar? Los ladrones siguen adelante. Pero ¿y si traen un mazo? ¿O una palanca? La cerradura no es la única vulnerabilidad. La casa en sí podría estar mal construida.
Amenazas específicas por tipo de administrador
El asesoramiento genérico cubre lo básico. Pero las herramientas específicas tienen debilidades específicas. Ignórelos bajo su propio riesgo.
Almacenamiento local y malware
El software que almacena contraseñas en el disco duro se enfrenta a un enemigo principal: el malware. No es magia. Es código. El malware escanea su sistema de archivos en busca de ubicaciones conocidas de almacenamiento de contraseñas. Los encuentra. Los exfiltra.
Esto se puede detener con un software antivirus confiable y actualizado. Período. Ese es tu escudo contra el código que busca tus secretos.
Administradores basados en navegador
Los administradores de contraseñas del navegador son riesgosos. Son convenientes. También suelen estar mal asegurados.
Tomemos como ejemplo Firefox. Cifra contraseñas. Luego escribe la cadena codificada en un archivo de texto simple al lado de la URL. Cualquiera que tenga acceso a ese archivo puede leerlo. La seguridad física, las contraseñas de usuario y los bloqueos de pantalla protegen ese archivo. Pero si se ejecuta malware en su máquina, lee ese archivo de texto. Fácil.
Seguridad del sistema integrado
Algunos navegadores se esfuerzan más. Internet Explorer en Windows utiliza el registro de Windows. Aprovecha el cifrado Triple DES. Para ver las contraseñas, necesita acceso de administrador al registro.
Si bloqueó su cuenta de Windows y bloqueó el malware, las contraseñas de IE son relativamente seguras. Pero confíe en ese bloqueo. Si su cuenta de administrador está comprometida, el cifrado no significa nada.
Unidades cifradas por hardware
Los chips de seguridad integrados y el cifrado de hardware parecen la solución definitiva. No lo son. Amplifican un riesgo específico: olvidar su contraseña.
Estos sistemas suelen requerir una contraseña de inicio. Configúrelo. Olvídalo. No puedes iniciar tu computadora. Las máquinas actuales funcionan durante semanas sin reiniciarse. Es posible que olvide esa contraseña incluso antes de reiniciar.
Peor aún, si mueve el disco duro a otra máquina, es posible que la contraseña de inicio no lo detenga. ¿Pero los datos cifrados por hardware? Queda bloqueado. A menos que el fabricante proporcione una clave de recuperación, ha bloqueado sus datos. Verifique los pasos de recuperación antes de habilitar el cifrado de hardware. No asuma que lo recordará. Suponga que no lo hará.
Estamos en la meta y la categoría final exige otra precaución. Aplicaciones web. Estos administradores de contraseñas nativos de la nube trasladan la carga de la seguridad de su máquina local a un servidor de terceros. Es la misma dinámica que vemos en la computación en la nube en general: estás confiando tu vida digital a una corporación.
La preocupación aquí no es sólo la pérdida de una computadora portátil. Se trata de escala.
Cuando almacenas credenciales en una aplicación web, estás creando un honeypot. Los piratas informáticos no siempre quieren apuntar a usuarios individuales. Es ineficiente. Quieren la base de datos maestra. Quieren la única bóveda que contenga miles de llaves. Si la empresa detrás del software fracasa, o si su infraestructura sufre una vulneración, las consecuencias son enormes. Este es el mismo entorno de alto riesgo en el que operan los bancos y las agencias gubernamentales. La pregunta no es si serán atacados, sino cuándo.
Entonces, ¿cómo puede protegerse cuando el riesgo está integrado en el modelo de negocio?
Elegir el proveedor de aplicaciones web adecuado
No se puede eliminar el riesgo por completo. Sólo puedes gestionarlo. La única forma de minimizar la exposición es ser despiadado durante el proceso de selección.
No haga clic en el primer anuncio publicitario que vea. Profundiza más.
- Investigue la empresa. ¿Quién es el propietario del software? ¿Tienen un historial de violaciones de datos? ¿Qué tan transparentes son sobre sus prácticas de seguridad?
- Lea evaluaciones de expertos. Las auditorías de seguridad independientes son más importantes que el texto de marketing. Busque empresas que realmente hayan probado los protocolos de cifrado y autenticación, no solo hayan escrito una reseña basada en el diseño de la interfaz de usuario.
El factor conveniencia es real. Las aplicaciones web se sincronizan entre dispositivos al instante. Puede acceder a sus contraseñas desde cualquier navegador y en cualquier lugar. Pero hay que sopesar esa facilidad con la posibilidad de una filtración de datos catastrófica. A veces la compensación vale la pena. A veces no lo es.
Preguntas comunes
¿Cuál es un ejemplo confiable de software de administración de contraseñas?
LastPass es un ejemplo bien conocido. Ha existido el tiempo suficiente para tener un historial público, para bien o para mal. Al evaluar opciones, busque nombres establecidos similares que prioricen la seguridad sobre las funciones llamativas.
Mirando hacia el futuro
Esto concluye la inmersión profunda en la gestión de contraseñas. El panorama cambia rápidamente. Surgen nuevas amenazas. Aparecen nuevas soluciones. Mantente alerta. Mantenga sus herramientas actualizadas. Y recuerde, ningún software es realmente “configúrelo y olvídese”. Sigues siendo la primera línea de defensa.
