Trasladar las contraseñas a un gestor de contraseñas
Módulo 7: Colaborar, aplicaciones y seguridad · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección podrá trasladar de forma segura las contraseñas de su navegador, papeles y hojas de cálculo a un gestor de contraseñas adaptado a su nueva configuración, incluidas las cajas fuertes compartidas para el equipo.
Conceptos clave: gestor de contraseñas, caja fuerte, contraseña maestra, clave de recuperación, contraseñas en el navegador (Google, Edge, Apple), exportación como csv, caja fuerte o colección compartida, autoalojamiento, código abierto, cifrado en su propio dispositivo (zero knowledge), conservación de passkeys
El elemento olvidado
En casi todos los inventarios faltan las contraseñas. No están en un servicio en la nube que vaya a cancelar, así que nadie piensa en ellas. Sin embargo, muchas veces están justo en el centro del proceso. En Bakkerij De Korrel, tras una ronda de revisión, resulta que:
- la mayoría de las contraseñas están en Chrome, guardadas en la cuenta de Google de la persona;
- las contraseñas del banco, el mayorista y la tienda online están en una hoja de cálculo
wachtwoorden.xlsxen Google Drive; - la contraseña del wifi y el código de la alarma están anotados en un papel;
- dos compañeros usan la misma contraseña en todas partes.
Si la cuenta de Google desaparece, las contraseñas de Chrome desaparecen con ella. Y una hoja de cálculo con contraseñas en la nube es una de las primeras cosas que busca un intruso. Por tanto, un cambio de proveedor es el momento adecuado para solucionar esto.
Qué hace un gestor de contraseñas
Un gestor de contraseñas es una caja fuerte cifrada para contraseñas, con una aplicación para el teléfono y el ordenador y una extensión en el navegador. Usted recuerda una sola contraseña maestra fuerte; el gestor crea para cada sitio una contraseña larga y única y la rellena por usted.
Lo importante es dónde se produce el cifrado. En los gestores conocidos, la caja fuerte se cifra en su propio dispositivo con una clave derivada de su contraseña maestra. El proveedor solo guarda la caja fuerte cifrada y no puede leer sus contraseñas. Esto se denomina a menudo «zero knowledge». La consecuencia: si olvida su contraseña maestra y no dispone de una clave de recuperación, ni siquiera el proveedor puede ayudarle.
Un buen gestor solo rellena los datos en la dirección auténtica. Por tanto, un sitio falso de su banco no recibirá nada, aunque tenga exactamente el mismo aspecto. Esto es una protección adicional contra el phishing.
¿Qué tipos existen?
| Tipo | Ejemplos | Detrás del software | Tenga en cuenta |
|---|---|---|---|
| Archivo local, no un servicio | KeePassXC (y otros programas KeePass) | Proyecto comunitario de código abierto | Usted mismo guarda y sincroniza el archivo de la caja fuerte, por ejemplo en su nueva nube. Compartir en equipo es más complicado |
| Servicio, código abierto, también autoalojable | Bitwarden | Bitwarden Inc., una empresa estadounidense. Ofrece también una ubicación de datos en la UE; el servidor también puede alojarlo usted mismo | En el servicio en la nube, el proveedor sigue siendo estadounidense, incluso con almacenamiento en la UE (lección 2.1). El autoalojamiento elimina ese problema |
| Servicio, código abierto, orientado a equipos | Passbolt | Passbolt SA, Luxemburgo | Fuerte en la compartición por grupos; autoalojable o como servicio |
| Servicio de un proveedor europeo centrado en la privacidad | Proton Pass | Proton AG, Suiza (no es UE, pero cuenta con una decisión de adecuación) | Encaja bien si ya utiliza otros servicios de Proton |
| Integrado en el navegador o el sistema operativo | Gestor de contraseñas de Google, Edge, Contraseñas de Apple | Google, Microsoft, Apple (EE. UU.) | Cómodo, pero vinculado a esa cuenta y a ese ecosistema |
Esto no es una clasificación de mejor a peor. Para un autónomo, KeePassXC con el archivo de la caja fuerte en su propia nube puede ser perfectamente válido. Para un equipo de doce personas, un gestor con cajas fuertes compartidas resulta más práctico. Utilice también aquí las cinco preguntas de la lección 2.1 (sede, propietario, centro de datos, subencargados, clave). En un gestor de contraseñas, la última pregunta tiene el mayor peso: ¿quién tiene la clave? Si solo la tiene usted, importa menos dónde esté almacenada la caja fuerte cifrada que en el caso de archivos normales.
Trasladar: exportar, importar y eliminar de inmediato
Casi todos los navegadores y gestores permiten exportar las contraseñas como archivo csv. Se trata de un archivo de texto normal con, en cada línea, un sitio, un nombre de usuario y una contraseña, sin cifrar. Cualquiera que abra el archivo puede leerlo todo. Por eso:
- Hágalo en un ordenador de confianza, no en un ordenador compartido de la tienda.
- Exporte a su propio ordenador, no a una carpeta sincronizada ni a la nube. De lo contrario, el archivo sin cifrar estará en pocos segundos en el servidor, en las versiones y en la papelera.
- Impórtelo de inmediato en el nuevo gestor.
- Compruebe mediante un muestreo que todo es correcto (inicie sesión en algunos sitios).
- Elimine el archivo csv inmediatamente y vacíe también la papelera del ordenador.
- A continuación, desactive el guardado de contraseñas en el navegador, para que no se cree una segunda copia, desactualizada.
La hoja de cálculo con contraseñas la traslada introduciendo los datos a mano en el gestor (o importándola como csv, con las mismas normas). Elimine después la hoja de cálculo, también de la papelera y del historial de versiones de la nube antigua. Cambie las contraseñas más importantes que contenía, ya que no sabe quién ha visto el archivo a lo largo de los años.
Preste también atención a las passkeys (lección 7.3). Una passkey guardada en su cuenta de Google o Apple no siempre se puede exportar. En los sitios importantes, cree una nueva passkey en su nuevo gestor o asegúrese de conocer su contraseña y el segundo paso, antes de cerrar la cuenta antigua.
Compartir en equipo
Algunas contraseñas pertenecen a la organización, no a una persona: el banco, el mayorista, las cuentas de redes sociales, el wifi. Utilice para ello una caja fuerte compartida o colección en el gestor:
- Cree una caja fuerte por grupo: «Tienda», «Administración», «Moderación». No todos necesitan ver todo.
- No comparta nunca una contraseña por chat o correo electrónico. Tampoco «rápidamente, solo por esta vez».
- Si alguien se marcha, retírelo de las cajas fuertes compartidas y cambie las contraseñas a las que tenía acceso y que haya podido memorizar o copiar.
La contraseña maestra y el día en que algo sale mal
La contraseña maestra es la única clave. Elija una frase larga de cuatro a seis palabras aleatorias que no utilice en ningún otro sitio. Active también la verificación en dos pasos (2FA) en el propio gestor.
Organice la recuperación de antemano:
- Guarde la clave de recuperación o el acceso de emergencia que ofrezca su gestor en papel, en un lugar seguro.
- Acuerde para la organización quién recibirá acceso en caso de fallecimiento o enfermedad prolongada del propietario. Muchos gestores disponen de una función de acceso de emergencia para esto.
- Los códigos de respaldo de sus cuentas más importantes también deben guardarse aquí, o en papel (lección 7.3). No en una caja fuerte a la que solo se pueda acceder con esas mismas cuentas.
En la práctica: así funciona con un proveedor
En un Nextcloud de WebOké no hay un gestor de contraseñas independiente; usted utiliza el gestor de contraseñas que prefiera. Si usa KeePassXC, puede colocar el archivo cifrado de la caja fuerte en su Nextcloud, de modo que esté disponible mediante la aplicación de escritorio en todos sus ordenadores y pueda recuperarse mediante las versiones. El archivo ya está cifrado con su contraseña maestra antes de llegar al servidor. El propio manual sobre la seguridad del Nextcloud de WebOké también recomienda un gestor de contraseñas y lo menciona como buen lugar para guardar sus códigos de respaldo.
En otros servicios de nube europeos el funcionamiento es similar: el gestor de contraseñas suele ser un servicio o una aplicación independiente junto a su nube.
Resumen
- Las contraseñas en el navegador de su cuenta antigua desaparecen si da de baja esa cuenta. Trasládelas de antemano.
- Un gestor de contraseñas cifra en su propio dispositivo; la contraseña maestra es la única clave.
- Una exportación csv no está cifrada: nunca en una carpeta sincronizada, impórtela de inmediato y elimínela de inmediato.
- Utilice cajas fuertes compartidas por grupo para las contraseñas de la organización, y cámbielas cuando alguien se marche.
- Organice de antemano, en papel, la recuperación y el acceso de emergencia.
Cuestionario
Ejercicio
Ejercicio E7.4: Inventario de contraseñas y plan de traspaso. Averigüe dónde están actualmente las contraseñas en su organización (navegador por persona, hojas de cálculo, papeles, cuentas compartidas), elija un gestor de contraseñas con las cinco preguntas de la lección 2.1, y redacte el plan de traspaso: quién exporta qué, en qué ordenador, cuándo se elimina el archivo csv y qué cajas fuertes compartidas se crearán.
Ejercicio E7.4: Inventario de contraseñas y plan de traspaso
Localice todos los lugares con contraseñas y traspáselas de forma segura a un único gestor de contraseñas. No pegue nunca contraseñas aquí.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para seguir leyendo
Los pasos de estos artículos son válidos para los servicios de WebOké; en otros proveedores el funcionamiento es similar.
- Manual de Nextcloud 3.1: ¿Cómo protege WebOké su Nextcloud?
- Manual de Nextcloud 3.3: Configurar una aplicación de autenticación y guardar códigos de respaldo
- NCSC, Comenzar con la ciberseguridad (el centro nacional de ciberseguridad de los Países Bajos): https://www.ncsc.nl/beginnen-met-cybersecurity
- KeePassXC: https://keepassxc.org/