Los gestores de contraseñas casi siempre crean polémica, porque están directamente relacionados con nuestra seguridad online, un tema importante que nunca hay que tomar a la ligera. Hay quien los defiende porque ayudan a crear y usar contraseñas más seguras, mientras que quienes están en contra de ellos suelen argumentar que tener todas las contraseñas en un solo lugar (y más aún, si están online) es peligroso, además de un cebo casi irresistible para cibercriminales.
Así pues, gestores de contraseñas, ¿sí o no? En este artículo Gabriela y yo nos ponemos una frente a la otra (ella en contra, yo a favor) para explicar nuestra postura ante ellos. Gabriela, por un lado, explicará por qué no lo usa, y qué trucos puedes poner en práctica para tener contraseñas seguras aunque no uses un gestor de contraseñas; yo, por mi parte, enumeraré las razones por las que uso un gestor, y qué alternativas interesantes hay para probar.
Por qué uso un gestor de contraseñas
Durante mis primeros años como usuaria de Internet era un poco inocente con el tema de las contraseñas. Claro que, también eran otros tiempos: no tenía dos docenas de perfiles en otros tantos servicios online diferentes, ni tampoco existían la cantidad de amenazas que nos encontramos ahora.
Luego, a medida que la red creció en tamaño y complejidad, y a la vez yo me fui creando más cuentas de usuario en servicios de correo electrónico, redes sociales, streaming de música y demás, fui consciente de la necesidad de crear contraseñas en condiciones para todas ellas.
Sin embargo, ese no fue el momento en que decidí probar un gestor de contraseñas. Primero probé con los trucos mnemotécnicos que usamos muchos para generar contraseñas: utilizar algunas letras relacionadas con el servicio en cuestión, algún número que signifique algo, vocales, algún que otro símbolo tipográfico... y mezclarlo todo con la esperanza de que, llegado el momento, podría recordar la contraseña.
El truco funcionó hasta que, sinceramente, fueron demasiadas. Y cada vez eran más difíciles de recordar, a menos que las hiciera más sencillas y más cortas - con el consiguiente peligro- para la seguridad online. En ese momento, alguien me recomendó SplashID (el primer gestor de contraseñas que usé) y decidí darle una oportunidad.
Desde entonces no he vuelto atrás. Todas mis contraseñas están almacenadas en una base de datos, accesible en cualquier momento desde cualquier dispositivo mediante una app, y no tengo que preocuparme de memorizarlas; sólo la que me da acceso a esa base de datos.
El hecho de que las contraseñas estén en la nube es uno de los puntos que más echa para atrás a quienes no usan todavía un gestor. Eso, y el peligro de un ataque por parte de cibercriminales, como sufrió en 2015 el propio LastPass. Con todo, creo que usar un gestor de contraseñas es bastante más seguro que tenerlas apuntadas en una libretita (que también conozco a quien hace eso).
Es más seguro, porque las empresas que se dedican a esto ya se preocupan de cifrar las contraseñas con potentes algoritmos que hacen que sea muy difícil acceder a ellas - es decir, un hacker puede entrar en el servicio, pero lo tendrá bastante más complicado para “leer” lo que se guarda en la base de datos.
De hecho, en julio de este mismo año un analista de seguridad descubrió y reportó un fallo de seguridad también en LastPass, y aun así, sigue defendiendo su uso: “No deberíamos dejar de usar gestores de contraseñas. Siguen siendo una opción mucho mejor que usar la misma contraseña en varios servicios diferentes”.
Lo que está claro es que no podemos confiar únicamente en los algoritmos de cifrado de nuestro gestor de contraseñas, y debemos poner también algunas medidas de nuestra parte para aumentar aún más la seguridad de los servicios que usamos online. La primera y más lógica, de nada sirve usar un gestor de contraseñas si la clave maestra para acceder a él es algo así como “12345”. Esa clave debe ser segura, y no debe compartirse jamás con nadie.
Por otro lado, cada día más servicios ofrecen la verificación en dos pasos como medida de seguridad extra, y es algo que no deberíamos dudar en activar siempre y cuando tengamos la posibilidad de hacerlo.
Algunas alternativas interesantes
Decía antes que mi primer gestor de contraseñas fue SplashID, pero ahora uso 1Password. Los dos son de pago, y ofrecen características similares, aunque lo que finalmente me atrajo de 1Password es su app de móvil, con mejor diseño (para mi gusto) y, sobre todo, compatible con el sensor de huellas de mi móvil.
1Password es en realidad un gestor de contraseñas offline, que las guarda en tu PC o Mac (para tranquilidad de los enemigos de la nube). Pero si quieres también tenerlas disponibles en la app de móvil para poder consultarlas en cualquier momento, puedes sincronizarlas de varias formas: a través de USB o wifi conectando tu móvil con el ordenador, o usando un servicio como iCloud o Dropbox, por ejemplo.
Otra cosa que me gusta de 1Password es su función Families, con la que los cinco miembros de una sola familia disfrutan de una licencia de uso completa del programa por unos 4,5 euros al mes. Y además siempre puedes probarlo gratis durante 30 días antes de decidir pagar o no.
LastPass ha tenido cierta mala prensa en los últimos meses, razón por la que quizás hayan decidido ofrecer gratis la sincronización con múltiples dispositivos, que hasta ahora era una característica de la versión Premium. Sigue siendo un buen servicio, pero puedo entender las reticencias de alguien a la hora de hacerse una cuenta en él.
Otra buena alternativa que he probado es Dashlane. Lo que más llama la atención de este gestor de contraseñas es su cuidado diseño, y una función especialmente cómoda cuando navegas por Internet: el inicio automático de sesión en todas aquellas webs que te pidan una contraseña, y tengas ésta guardada en Dashlane. Tiene una versión gratis, pero la Premium es la que te permite sincronizar datos entre dispositivos (lo que considero una característica esencial).
Por último, la mejor opción para quienes deseen usar un gestor de contraseñas sin los potenciales peligros de la nube (y que además es de código abierto) es KeePass. Este gestor ligero, fácil de usar y totalmente offline guarda tus contraseñas en una base de datos cifrada a la que sólo se puede acceder con una clave maestra. Si no necesitas llevar tus contraseñas siempre encima, puede ser una excelente alternativa.
Por qué no uso un gestor de contraseñas
Los gestores de contraseñas se han hecho muy populares en los últimos años, y con buena razón. Representan una forma sencilla de tener contraseñas complejas y seguras en todos tus servicios sin tener que recordarlas todas. Sin embargo, yo estoy del lado de los que prefiere seguir usando su menos infalible cerebro para llevar el control.
Es cierto que recordar demasiadas contraseñas puede ser pesado, pero cuando llegas al punto en el que crear contraseñas nuevas o ingresarlas, ya es casi automático para ti gracias a la formula que usas, el gestor se ve menos y menos de ayuda y más como una molestia.
En mi caso particular está el problema de que no utilizo una única plataforma en todos mis dispositivos. Así como uso Windows uso Linux, así como uso Android uso iOS, y así como uso un navegador uso otros tres. Encontrar un gestor de contraseñas que funcione igual de bien en todos lados y no represente el problema de que una plataforma se me quede por fuera, es complicado a veces.
También está el asunto de que el servicio de gestor de contraseñas no es infalible, y se me preocupa que alguno de los servicios que utilizo pueda verse comprometido en un fallo de seguridad, más me asusta que sea mi gestor de contraseñas que lo almacenaría todo bajo un solo password maestro.
Son razones bastante personales, y sigo pensando que el gestor es una excelente alternativa para el usuario que lo encuentre cómodo. Pero, tampoco lo considero el método definitivo y existen alternativas para gestionar tus contraseñas de forma segura y mantener tus cuentas a salvo sin depender de otro servicio, que además suele ser de pago.
Qué usar en lugar del gestor
Se que suena molesto, pero usar tu propia mente no es algo tan descabellado. Ni siquiera debes depender completamente de tu propia memoria, pero si de la nemotecnia. Un truco que me gusta usar para crear una contraseña compleja y larga (es muy importante que sea larga), es usar una canción, un número, y algo con lo que asociar el servicio.
Por ejemplo, digamos que quiero crear una contraseña para Facebook:
- Elijo una canción que me sepa de memoria (puede ser la misma canción para todas tus contraseñas, siempre que introduzcas otra variable para que las contraseñas cambien).
- Cojo la primera o la última letra de cada palabra del coro, pueden ir algunas en minúscula y otras en mayúsculas.
- Añado un número que siempre recuerde (puede ser una constante en las demás contraseñas).
- Añado algo relacionado con el servicio para diferenciar la contraseña: una "F" de Facebook, solo las vocales o consonantes de la palabra, el color "azul", la palabra "social", etc.
- Agrego al menos un símbolo al principio o al final.
Me quedaría algo así: HftosImhcaTT4378Fbook%. Intenten adivinar la canción.
Si usas la misma formula siempre (algo que solo tú sepas), las contraseñas serán complejas, difíciles de adivinar por humano o máquina y además no tienes que recordarlas literalmente, solo la formula.
Lo segundo es tratar siempre de usar la verificación en dos pasos para darle ese toque de seguridad extra a nuestras cuentas, eso sí, no uses el método de SMS. Y, siempre, siempre que tu cuenta se vea comprometida en algún fallo de seguridad, cambia la contraseña de nuevo.
En Genbeta | ¿Cuánto tiempo lleva siendo 123456 la peor contraseña posible y por qué nunca lograremos eliminarla?
Ver 18 comentarios
18 comentarios
surcamares
Las contraseñas generadas por humanos siempre tienen una baja entropía. Son malas. Aún menos aleatorias si podemos recordarlas. Los humanos hacemos muchas cosas bien, como reconocer caras, pero somos muy malos en otras, como las importantes al generar una contraseña: que tenga una alta entropía ("""que sea totalmente aleatoria"""), que esa entropía se pueda representar de la mejor forma posible (más caracteres posibles y más longitud = mejor representación).... y que no se utilice en más de un sitio.
Sin usar un gestor de contraseñas, lo mejor que se puede hacer es recurrir a un sistema de reglas mnemotécnicas, pero son muy inferiores a un generador aleatorio de un ordenador y fáciles de romper.
Por ejemplo, la mayor parte de las veces que alguien recomienda reglas mnemotécnicas para las contraseñas, recomienda coger la primera frase de un libro o capítulo y hacer lo que Gabriela hace con una canción. Pues bien, sabiendo ésto, no es difícil preparar unas rainbow tables a partir de una base de datos de libros (hola, epubs) y, ya puestos, canciones.
Sí, es muchísimo mejor que las típicas contraseñas-de-mierda que se suelen usar, pero muy inferior a un generador aleatorio.
Por otro lado, y para terminar... Los gestores en la nube son lo peor. La mejor opción es utilizar gestores que deriven las contraseñas a partir de funciones hash a partir de una contraseña maestra, un salt y la web/servicio concretos. En estos casos, de hecho, sí se puede considerar segura una sincronización en la nube, ya que las contraseñas se vuelven a derivar con las funciones HASH cada vez que hacen falta, por lo que realmente no están guardadas en ningún sitio.
Así es mi gestor. Es algo menos cómodo que un gestor normal, como 1pass o lastpass, pero mucho más seguro.
Usuario desactivado
Tras tanta nota de brechas de seguridad por doquier, finalmente hace varios meses decidí buscar un gestor de contraseñas. Encontré muchas alternativas en la nube pero si funcionaba en un dispositivo no valía para el siguiente, ¿y si además la obsolescencia programada?, ¿y si luego no me deja exportar mis datos?.
Un gestor de contraseñas en la nube, ¡nunca!
Poner mi privacidad en manos de alguien más es cuando menos irónico. Peor cuando los valores que rigen el modelo de negocio no son siquiera acordes. Me refiero por supuesto a que una empresa pone primero los intereses de sus inversionistas y luego los de sus clientes, invariablemente.
Si el servicio fuese proporcionado por una organización cooperativa o sin ánimo de lucro, me daría más confianza porque los valores de los individuos que la manejan son bien distintos. Aún así, cuando de seguridad se trata, la buena fe no basta.
Afortunadamente encontré KeePass, un gestor de contraseñas con base de datos y cifrado local (con posibilidad de sincronización mediante servidor propio o algún servicio como Dropbox) que además es de código abierto y posee clientes para todas las plataformas mayores. No solo de nombre, me consta que funciona en Ubuntu, OSX, Win2, iOS y web, así como las extensiones para Firefox y Opera. También vi pero no uso los clientes para Chrome, Android y otras plataformas no tan mayores.
Eso si, no mentiré. Su configuración inicial en Ubuntu me dio más trabajo que en Yosemite, y en Windows 10 es descargar y cantar. El software cliente los hay de todos, libres, gratuitos y de pago, bonitos, feos, usables y geniales. Al final uno se lleva su rato buscando y configurando el cliente perfecto. Pero como todos sabemos, lo bueno, cuesta.
Hoy no me cambiaría, KeePass me ha resultado muy fácil de usar y me da una gran sensación de seguridad. Aunque de haber sabido de la mnemotécnica en aquel momento probablemente no hubiera considerado un gestor.
Ojalá puedas escribir un artículo extendido sobre mnemotécnia Elena, se antoja bastante interesante y además útil.
Usuario desactivado
Lamento decirles que las reglas mnemotecnicas como las descritas, aunque mejores, son vulnerables a ataques de diccionario con programas como john the ripper. Existen diccionarios para cada idioma con combinaciones de iniciales y otros caracteres, no hay tantas canciones, frases, proverbios, titulos en un idioma como parece, no tantos para un rippeador. Eso combinado con otros caracteres en multitud de combinaciones, ya esta compilado en diccionarios que se pasan en cuestion de minutos o pocas horas. Aqui la debilidad pasa a ser el esquema de creacion, que la gente usa unos cuantos y los mismos.
Con lo descrito en el articulo es trivial crear un diccionario para castellano+ingles que encuentre la mayoria de las otras contraseña de esa persona. Ves cambiado de esquema :-)
Solo una prueba de concepto: http://repository.cmu.edu/cgi/viewcontent.cgi?article=1043&context=isr
"...the majority of users select phrases from music lyrics, movies, literature, or television shows. The text of these sources is often available on the Internet. This opens the possibility that a dictionary could be built for mnemonic passwords. If a comprehensive dictionary is built, it could be extremely effective.
Mnemonic phrase-based passwords are not as strong as people may believe, but that does not mean that we should refrain from using them.
System designers and administrators should specifically recommend to users that they avoid generating mnemonic passwords from common phrases.
While mnemonic-phrase based passwords may not be a panacea for the password selection problem, they do offer a user-friendly alternative for encouraging users to create good passwords."
Snok
Pues yo uso KeePass junto con el plug-in http para los formularios web, esto junto con Dropbox me permite llevar mis contraseñas en cualquier dispositivo.
Además es compatible con Linux, plug-in incluido.
Uglich
Getor de contraseñas, si, por supuesto, pero no para todas.
Las realmente importantes las guardo en la memoria
-email principal (serio)
-bancos
-etc
El resto (foros principalmente) en en LastPass, y tan contento.
rodrigo.
yo solia guardar mis contraseñas en un papel, luego use servicios en la nube, pero desde que encontre una formula que (obvio que no es infalible, pero es lo suficiente para mi) hace que al menos aparentemente sea dificil descifrar la contraseña, y resuelve el problema de tener muchos servicios.
Funciona asi:
1.- Genero un contraseña fuerte de 6 u 8 caracteres (incluyendo numeros, letras, signos, minusculas, mayusculas, etc). Esta será la que hay que memorizar (yo creo que cualquiera puede memorizar 6 u 8 letras si las usa todos los dias)
2.- Añado un o varios delimitadores, entre _ / - = # (por ejemplo 3 guines bajos).
3.- Añado el nombre del sitio, aplicacion, etc, Por ejemplo: facebook
4.- Añado de nuevo delimitadores (igual que en el paso 2)
Al final mi contraseña por ejemplo por decir para outlook podria ser generada como:
Jn&3F%==outlook___
como dije lo unico que hay que recordar es
contraseña inicial fuerte (en este caso Jn&3F%) + delimitador + nombre servicio o aplicacion + delimitador
Usuario desactivado
Suscribo lo que se dice por aquí : gestores sí, pero en el propio dispositivo (teléfono / PC...) como mucho con opciones de sincronización/backup a través de sistemas externos a elección (Dropbox, Google Drive,...), lo cual además significa que estás usando un producto, no un servicio (nada de cuotas y menos peligro de hackeo).
Esto permite establecer contraseñas puramente aleatorias y por lo tanto más seguras. Yo personalmente uso enpass.
@renearturus
Gestores de contraseñas: SÍ, imprescindible!
De no ser por ellos nunca habría podido asignarle una contraseña diferente a cada servicio, son demasiadas para recordar sin volverme un caos, además, tengo una formula lo suficientemente pensada pero fácil de recordar para generarlas. Uso Lastpass que me parece increíble y muy seguro si lo configuras de manera correcta, hay demasiada paranoia respecto a almacenar contraseñas en la nube pero están cifradas, de hecho ya perdí una vez el acceso a una cuenta de Lastpass cuando aún no la usaba a diario simplemente porque no hubo manera de que recordara la contraseña y había formateado mi computadora.
También he usado Keepass que puede ser tan versátil como necesites invirtiendo un poco de tiempo en configurarlo de la manera que deseas con o sin plugins que extiendan sus funcionalidades. He estado pensando pasarme a este gestor pero por el momento me basta con Lastpass.
danielpc
+1 al gestor de contraseñas y en especial a keepassx (keepassx.org), no al keepas que han enlazado aquí. Es multiplataforma, Windows, Linux, Mac, y hay alguna version para Android también, con lo cual el principal argumento de Gabriela queda rebatido. Además, querer recordar una contraseña para cada sitio es completamente inviable a no ser que empieces a caer en el error de poner la misma contraseña en todas partes. Y tampoco me gusta la verificación en dos pasos mediante el movil porque acabas dandole tu movil a un monton de desconocidos y servicios espia como Google o Facebook que mejor que no tengan tu movil
eflames
Muchísimas veces me pregunté si era necesario algún gestor, en efecto, luego de tener taaaantos servicios y tantas cuentas (ademas del creciente debate sobre almacenar contraseñas en el navegador) decidí buscar una alternativa que me brindara lo siguiente:
- Sincronización entre plataformas
- Facilidad para ingresar los datos en las apps (plugin) solo seleccionando el usuario
- Importador de contraseñas desde el navegador
- Buenos reviews en cuanto a su seguridad
- Gratuito (no tengo dinero para estar pagando un gestor de contraseñas, soy de Venezuela)
Y finalmente descubrí LastPass como resultado de mi búsqueda, que maravilla!, ademas la verificación en 2 pasos con el token de Google me pareció excelente.
Importé todo, configure a mi gusta y finalmente cambie tooooodas mis contraseñas por strings mas difíciles y que yo no tuviera que memorizar. Y fui feliz dos semanas, a la segunda semana el LastPass se volvió loco, cambios cosas que no tenia que cambiar, algo falló, no pude tener acceso y tuve que reiniciar todo. Que terminé haciendo?, cambiar la contraseña una por una de todas mis plataformas nuevamente y dejar perder muchas otras que aun no he podido recuperar.
¿El problema?
Delegarle mas de 100 contraseñas a un tercero del cual no tenemos el control 100%
¿Moraleja?
Vamos!, no somos Donald Trump para ser blanco de hackeo intenso y constante, y dudo que alguno de los que lea Genbeta lo sea tampoco. Creen su contraseña (diferente para cada plataforma) siguiendo estos mismos trucos y nadie podrá descifrarlos. De hecho, creé mi propio método de contraseñas en las cual no tengo que aprendérmela de memoria, solo saber a cual plataforma estoy accediendo y ya con eso sabré cual es la cadena de caracteres, algo muy parecido al detallado en el articulo.
Conclusión
Dejen la paranoia y sean mas felices, implementar varios servidores ultra entrciptados, desarrollos propios con archivos pgp para proteger caracteres, cientos de dolares en aplicaciones hiper super seguras, verificaciones en 7 pasos con lectores de retina y huella dactilar y mensaje de correo aprobado por la OEA en 10 idiomas diferentes.... para proteger el password de twitter?? hahahahahaha...
Bueno es mi opinión, saludos.