Almacenamiento seguro de contraseñas

Gestor de contraseñas

 

Un gestor de contraseñas es un programa que se utiliza para almacenar una gran cantidad de parejas  de usuario/contraseña. La base de datos donde se guarda esta información está cifrada mediante una única clave (contraseña maestra o en inglés master password), de forma que el usuario sólo tenga que memorizar una clave para acceder a todas las demás. Esto facilita la administración de contraseñas y fomenta que los usuarios escojan claves complejas sin miedo a no ser capaces de recordarlas posteriormente.

 

Implementación

La mayoría de los navegadores de Internet actuales, como Firefox o Internet Explorer, llevan incorporado un gestor de contraseñas en forma de plugin que opcionalmente se puede proteger mediante una contraseña maestra. De esta manera cuando visitamos una página web que requiere autenticación, el navegador escribe automáticamente el usuario y la clave en los campos correspondientes sin necesidad de que el usuario intervenga.

También existen aplicaciones independientes de navegador, como por ejemplo KeePass Password Safe (open source) o plugins de navegadores como LastPass Password Manager (con versión gratuita), que tienen el mismo cometido y a menudo son más seguras. Una opción especialmente conveniente es instalar el programa en una memoria USB para llevarlo con nosotros. Esto sólo es posible si el gestor de contraseñas elegido dispone de una versión portátil.

Una manera alternativa de gestionar las contraseñas, es almacenarlas en páginas web que ofrezcan este tipo de servicio. De esta manera podemos acceder a ellas desde cualquier lugar con conexión a Internet. En este caso la seguridad de nuestras claves dependerá fundamentalmente del nivel de confianza que otorguemos a quien nos ofrece el servicio.

 

Generación de contraseñas

A menudo los gestores de contraseñas ofrecen la opción de generar una contraseña automáticamente, lo cual contribuye a evitar que se utilice la misma clave para acceder a distintos recursos, una práctica muy poco recomendable pero muy extendida, especialmente para acceder a páginas web que requieren que el usuario se registre. Asimismo, si el usuario opta por elegir su propia contraseña, estos programas suelen indicar el nivel de robustez de la palabra elegida. Evidentemente es imprescindible que la contraseña maestra sea lo suficientemente compleja para que sea difícil de romper. Si alguien consiguiera adivinar la contraseña maestra y acceder a la BBDD del programa, por ejemplo mediante un ataque de diccionario, automáticamente ganaría acceso a todas nuestras claves.

 

Seguridad

La seguridad del gestor de contraseñas depende de varios parámetros:
•La robustez de la clave maestra elegida.
•La seguridad del algoritmo de cifrado utilizado.
•La calidad del código fuente de la aplicación.
•La forma de almacenar la clave cuando el usuario la solicita.
•La existencia de virus u otro tipo de malware en nuestro ordenador. La solidez de la clave maestra y del gestor de contraseñas sirven de poco si tenemos un keylogger instalado.

Se debe tener en cuenta que algunos gestores de contraseñas almacenan la contraseña en texto claro en la memoria del ordenador de manera que existe la posibilidad de que ésta sea robada por un programa parásito, como por ejemplo un troyano.

 

Lista de gestores de contraseñas

•KeePassX (open source)
•KeePass (open source)
•Keeper (software propietario)
•Pitbull Keyholder (software propietario)
•LastPass (open source)
•Password Safe (open source)
•PasswordSafeSWT (clon de Password Safe escrito en Java con licencia open source)
•Roboform RoboForm2Go (software propietario)

 

¿Qué es KeePass?

 Hoy en día necesitas recordar muchas contraseñas. Necesitas una contraseña para el inicio de sesión de red de Windows, tu cuenta de correo electrónico, contraseña de FTP de tu sitio web, las contraseñas en línea (como cuenta de usuario del sitio web), etc. etc. etc.. La lista es interminable. También, deben utilizar diferentes contraseñas para cada cuenta. Porque si utilizas sólo una contraseña por todas partes y alguien consigue la contraseña tienes un problema... Un problema grave. El ladrón tendría acceso a su cuenta de correo electrónico, Página Web, etc.. Inimaginable.

 

KeePass es un gestor de contraseñas gratuito de código abierto, que te ayuda a administrar tus contraseñas de forma segura. Puedes poner todas tus contraseñas en una base de datos, que está bloqueado con una clave principal o un archivo de clave. Tan sólo tienes que recordar una única contraseña maestra o seleccionar el archivo de clave para desbloquear la base de datos entera. Las bases de datos son encriptados usando los algoritmos de cifrado mejor y más seguro actualmente conocidos (AES y Twofish).

 

¿Es realmente libre?
 Sí, KeePass es realmente libre y más que eso: es open source (OSI certificada).