Gestor de contraseñas

Generación automática de clave en KeePass.

Un gestor de contraseñas es un programa que se utiliza para almacenar una gran cantidad de parejas usuario/contraseña. La base de datos donde se guarda esta información está cifrada mediante una única clave (contraseña maestra o en inglés master password), de forma que el usuario sólo tenga que memorizar una clave para acceder a todas las demás. Esto facilita la administración de contraseñas y fomenta que los usuarios escojan claves complejas sin miedo a no ser capaces de recordarlas posteriormente.

Generación de contraseñas

A menudo los gestores de contraseñas ofrecen la opción de generar una contraseña automáticamente, lo cual contribuye a evitar que se utilice la misma clave para acceder a distintos recursos, una práctica muy poco recomendable pero muy extendida, especialmente para acceder a páginas web que requieren que el usuario se registre. Asimismo, si el usuario opta por elegir su propia contraseña, estos programas suelen indicar el nivel de robustez de la palabra elegida. Evidentemente es imprescindible que la contraseña maestra sea lo suficientemente compleja para que sea difícil de romper. Si alguien consiguiera adivinar la contraseña maestra y acceder a la BBDD del programa, por ejemplo mediante un ataque de diccionario, automáticamente ganaría acceso a todas nuestras claves.

Implementación

La mayoría de los navegadores de Internet actuales, como Firefox o Internet Explorer, llevan incorporado un gestor de contraseñas en forma de plugin que opcionalmente se puede proteger mediante una contraseña maestra. De esta manera cuando visitamos una página web que requiere autenticación, el navegador escribe automáticamente el usuario y la clave en los campos correspondientes sin necesidad de que el usuario intervenga.

También existen aplicaciones independientes del navegador de Internet que tienen el mismo cometido y a menudo son más seguras, como por ejemplo LastPass (open source) o KeePass Password Safe (open source). Una opción especialmente conveniente es instalar el programa en una memoria USB para llevarlo con nosotros. Esto sólo es posible si el gestor de contraseñas elegido dispone de una versión portátil.

Una manera alternativa de gestionar las contraseñas, es almacenarlas en páginas web que ofrezcan este tipo de servicio. De esta manera podemos acceder a ellas desde cualquier lugar con conexión a Internet. En este caso la seguridad de nuestras claves dependerá fundamentalmente del nivel de confianza que otorguemos a quien nos ofrece el servicio.

Seguridad

La seguridad del gestor de contraseñas depende de varios parámetros:

• La robustez de la clave maestra elegida.
• La seguridad del algoritmo de cifrado utilizado.
• La calidad del código fuente de la aplicación.
• La forma de almacenar la clave cuando el usuario la solicita.
• La existencia de virus u otro tipo de malware en nuestro ordenador. La solidez de la clave maestra y del gestor de contraseñas sirven de poco si tenemos un keylogger instalado.

Se debe tener en cuenta que algunos gestores de contraseñas almacenan la contraseña en texto claro en la memoria del ordenador de manera que existe la posibilidad de que ésta sea robada por un programa parásito, como por ejemplo un troyano.

Phishing

Los gestores de contraseñas también son útiles como medida de defensa contra el Phishing, ya que a diferencia de un ser humano, una máquina no se equivoca al distinguir entre dos páginas parecidas pero con diferente dominio garantizando de esta forma que sólo se introduzca el password en una página legítima.

Alternativas

Una alternativa al uso de gestores de contraseñas es el OpenID.

Lista de gestores de contraseñas

• KeePass (open source)
• LastPass (open source)
• Password Safe (open source)
• PasswordSafeSWT clon de Password Safe escrito en Java con licencia open source
• Roboform RoboForm2Go software propietario