Gestor de contraseñas

Un gestor de contraseñas guarda, genera y protege las credenciales que una persona usa en muchas cuentas, para que cada una pueda ser distinta y ninguna tenga que ser memorizable.

Ese es todo el argumento a su favor. El número de servicios que piden una contraseña ha crecido por encima de lo que nadie puede retener en la cabeza, y las dos cosas que la gente hace en su lugar, reutilizar una contraseña en todas partes o construir pequeñas variaciones de ella, son precisamente los dos comportamientos con los que cuentan los atacantes.

Qué hace uno

Genera credenciales que nadie elegiría. Largas, aleatorias, distintas para cada sitio y sin necesidad de teclearlas nunca a mano.

Las guarda cifradas. El baúl está protegido por un único secreto maestro. Todo lo demás se deriva de él, que es por lo que ese único secreto es toda la seguridad del montaje.

Las rellena. El autorrelleno es una función de seguridad tanto como de comodidad: un gestor rellena una credencial solo en el sitio al que pertenece, así que un dominio que se le parece no se lleva nada.

Sincroniza entre dispositivos. Que es lo que lo hace usable, y es también la parte que hay que examinar, porque el baúl pasa a estar en un sitio distinto de la máquina.

Guarda el segundo factor, o no. Algunos gestores almacenan también códigos de un solo uso. Conviene decidir a conciencia si los dos factores deben vivir detrás del mismo secreto maestro.

De qué te protege

Sobre todo, del problema de la reutilización. Cuando las credenciales se filtran de un servicio, se prueban automáticamente contra todos los demás, que es en lo que consiste el credential stuffing. Una contraseña única por cuenta convierte eso en una molestia en vez de en una brecha.

También derrota la técnica contraria, el password spraying, en la que se prueba una contraseña previsible contra muchas cuentas, porque las credenciales generadas no son adivinables de esa manera.

Lo que no hace por sí solo es impedir que alguien que ya tiene una credencial válida la use. De eso se encarga la autenticación multifactor, y las dos son complementarias más que alternativas.

Los límites honestos

El secreto maestro es un punto único de fallo. Tiene que ser fuerte, tiene que estar protegido por un segundo factor y es la única credencial que de verdad tiene que ser memorizable.

El baúl es un objetivo. Merece la pena atacar un almacén con las credenciales de todo el mundo, y los fabricantes de estos productos han sido atacados. Lo que importa al revisar uno es dónde se descifra el baúl, qué puede leer y qué no el proveedor, y qué pasa con los datos si se pierde la cuenta.

El rumbo es dejar de tener contraseña. Una passkey elimina del todo el secreto compartido en lugar de gestionarlo mejor, y donde un servicio la admita es la opción más fuerte.

Dónde aparece esto en una auditoría

El hallazgo que no deja de salir no es que la plantilla tenga contraseñas flojas. Es que no hay un sitio autorizado donde poner una credencial compartida, así que las credenciales compartidas acaban en hojas de cálculo, en el historial del chat y en el código. Poner un baúl gestionado es un control, y que no lo haya es lo que empuja a la gente hacia las alternativas.