Elegir y usar gestores de contraseñas

Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección podrá elegir y configurar un gestor de contraseñas, proteger la contraseña maestra y compartir contraseñas de forma segura en equipo.

Conceptos clave: gestor de contraseñas, contraseña maestra, bóveda, cifrado de extremo a extremo, bóveda compartida, acceso de emergencia, gestor de contraseñas del navegador

Qué hace un gestor de contraseñas

En la lección 2.1 vio que cada cuenta necesita una contraseña propia, larga y aleatoria. Nadie recuerda ochenta contraseñas distintas. Un gestor de contraseñas es un programa que lo hace por usted. El gestor:

• crea para cada servicio una contraseña fuerte y aleatoria;
• guarda todas las contraseñas cifradas en una bóveda;
• las rellena en el sitio web correcto, y solo ahí;
• avisa a menudo de contraseñas débiles, duplicadas o filtradas;
• en muchos productos también puede guardar los códigos de verificación en dos pasos y almacenar passkeys (lecciones 2.3 y 2.4).

Usted solo tiene que recordar una: la contraseña maestra con la que abre la bóveda. El NCSC neerlandés recomienda un gestor de contraseñas como base fija, también para organizaciones pequeñas, con acuerdos claros sobre qué gestor se usa y para qué cuentas es obligatorio.

Tipos de gestores de contraseñas

No existe un único tipo mejor. El NCSC neerlandés distingue entre el gestor integrado en el navegador, la aplicación independiente, y en línea (nube) frente a sin conexión (local). En la práctica se encuentra con estas formas:

Ejemplos conocidos de gestores independientes son Bitwarden, 1Password, KeePassXC y Proton Pass, además de los gestores integrados en navegadores y sistemas operativos. Esto no es una recomendación: elija según las preguntas siguientes.

Preguntas al elegir

• ¿Funciona en todos sus dispositivos y navegadores, también los de sus compañeros?
• ¿Puede compartir bóvedas con permisos por carpeta, y volver a quitar a alguien de una bóveda?
• ¿Está la bóveda cifrada de extremo a extremo, y qué queda cifrado y qué no (por ejemplo, las direcciones de los sitios web)?
• ¿Puede proteger la bóveda con verificación en dos pasos o una passkey?
• ¿Existe acceso de emergencia o un sistema de recuperación, y cómo funciona exactamente?
• ¿Puede exportar sus datos si quiere cambiar de proveedor?
• En las versiones gratuitas: ¿cuál es el modelo de negocio?

Cifrado de extremo a extremo: ¿qué pasa si el proveedor sufre un ataque?

En un buen gestor en la nube, su bóveda se cifra en su propio dispositivo con una clave derivada de su contraseña maestra. El proveedor solo recibe el paquete cifrado. Esto se llama cifrado de extremo a extremo (a veces "conocimiento cero"). El proveedor no puede leer sus contraseñas, y por tanto tampoco puede restablecer su contraseña maestra por usted.

Si el proveedor sufre un ataque, un atacante puede robar las bóvedas cifradas. Entonces puede intentar descifrarlas sin conexión, como en la lección 2.1. En ese momento, su contraseña maestra es su única protección. Por eso:

• La contraseña maestra es larga y única: una frase de contraseña de al menos cinco, mejor seis, palabras aleatorias.
• No la usa en ningún otro sitio.
• Después de una filtración en el proveedor, cambia su contraseña maestra y las contraseñas de sus cuentas más importantes. Al fin y al cabo, la bóveda antigua robada está cifrada con la contraseña maestra antigua.

La verificación en dos pasos en la bóveda ayuda contra alguien que tiene su contraseña maestra y quiere iniciar sesión a través del sitio web. No ayuda contra el descifrado de un archivo de bóveda robado. El NCSC neerlandés también lo indica: la 2FA en el gestor no es motivo para tener una contraseña maestra débil.

Proteger la contraseña maestra

Olvidar la contraseña maestra suele ser definitivo en un buen gestor: el proveedor no puede recuperarla. Organice esto de antemano:

• Escriba la contraseña maestra en papel y guárdelo en casa en un lugar seguro. El NCSC neerlandés considera que esto está bien, siempre que no anote para qué sirve.
• Genere el kit de recuperación o código de emergencia que ofrece su gestor, imprímalo y guárdelo junto al papel.
• Escriba la contraseña maestra solo en la aplicación o extensión propia del gestor, nunca en un sitio web que se la pida.
• Active el bloqueo automático tras unos minutos de inactividad.

Por qué el autorrelleno ayuda contra el phishing

Un gestor de contraseñas vincula cada contraseña a la dirección del sitio web. En https://mijnbank.example rellena su contraseña. En una dirección falsa como https://rnijnbank.example (rn en lugar de m) o https://mijnbank-veilig.example no hace nada, porque esas direcciones no están asociadas al elemento.

Una persona a menudo no ve la diferencia entre rn y m. El gestor compara caracteres y no se cansa ni se precipita. Esa es una protección real, pero solo si deja que funcione:

¿Su gestor de repente no rellena nada en un sitio donde siempre lo hacía? No lo evite copiando la contraseña a mano. Mire primero muy bien la dirección. Este es exactamente el momento en que el gestor le avisa.

A veces hay un buen motivo para que no rellene la contraseña: un servicio que se ha mudado a una nueva dirección. En ese caso, compruébelo por otra vía, por ejemplo escribiendo usted mismo la dirección que ya conocía.

Compartir en equipo

En una empresa pequeña siempre hay cuentas que se usan en conjunto: la tienda en línea en webwinkelplatform.example, la cuenta en koeriersdienst.example, las redes sociales del negocio. Lo mejor es que cada persona tenga su propia cuenta (módulo 7). Si no es posible, use una bóveda compartida:

• Cree bóvedas o carpetas por tema ("Tienda en línea", "Finanzas", "Redes sociales") y dé acceso solo a quien lo necesite.
• No comparta nunca por correo, chat o una hoja de cálculo. Quien tiene acceso a la bóveda compartida, ve la contraseña ahí.
• ¿Se marcha alguien? Quítelo de la bóveda y cambie las contraseñas que podía ver. Quitarlo de la bóveda no basta: puede haberlas copiado o guardado.
• Organice el acceso de emergencia: ¿qué pasa si usted, el propietario, enferma o no está disponible? Muchos gestores tienen una función con la que una persona de confianza obtiene acceso tras un período de espera. O guarda los datos de recuperación en un sobre sellado junto a una segunda persona.

En la práctica: cambiar de gestor en una tarde

1. Elija un gestor e instálelo en el ordenador y el teléfono, con la extensión de navegador.
2. Cree una contraseña maestra (frase de contraseña), escríbala y guarde el kit de recuperación.
3. Active la verificación en dos pasos en la bóveda.
4. Importe las contraseñas que su navegador ya guardaba. Una exportación suele ser un archivo sin cifrar: elimínelo de inmediato tras la importación, también de la papelera.
5. Empiece por las cuentas más importantes y asigne a cada una una contraseña nueva y aleatoria: su buzón de correo (info@example.com), su alojamiento y registro de dominio, su banco y su contabilidad (por ejemplo en boekhoudpakket.example).
6. Actualice el resto a medida que inicie sesión en ellas. Los avisos de contraseñas duplicadas le ayudarán.

¿Usa un servicio del entorno de WebOké, como un buzón de correo o Nextcloud, con aplicaciones en su teléfono? Para eso a veces se crea una contraseña de aplicación aparte (consulte la Base de conocimientos 436). Guárdela también en el gestor, en el elemento correcto. Con otros proveedores funciona de forma parecida.

Resumen

• Un gestor de contraseñas crea, guarda y rellena contraseñas únicas; usted solo recuerda la contraseña maestra.
• Tipos: integrado en el navegador o sistema, aplicación independiente con nube, local, de código abierto o alojado por usted mismo. Elija según dispositivos, compartición, cifrado y recuperación.
• Con el cifrado de extremo a extremo, su contraseña maestra es la última defensa si el proveedor sufre un ataque.
• Si el gestor no rellena, mire la dirección en lugar de copiar la contraseña.
• Comparta mediante una bóveda compartida y cambie las contraseñas cuando alguien se marche.

Cuestionario

Ejercicio

Ejercicio D2.2: Configurar su gestor de contraseñas. Elija un gestor de contraseñas, cree una contraseña maestra y un kit de recuperación, active la verificación en dos pasos en la bóveda y asigne a sus cinco cuentas más importantes una contraseña nueva y única. Marque la lista de comprobación y responda a las preguntas de reflexión. No introduzca ninguna contraseña en ningún sitio.

Más información

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; con otros proveedores funciona de forma parecida.

• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Crear una contraseña de aplicación (necesaria para conectar apps y dispositivos)
• Manual de Nextcloud 3.5: Contraseñas de aplicación: cuándo y cómo
• NCSC neerlandés, ¿Cómo elijo un gestor de contraseñas?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• NCSC neerlandés, Cuatro pasos para hacer sus contraseñas más seguras: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken