De Wikipedia, la enciclopedia libre
Saltar a navegación Saltar a búsqueda

Un administrador de contraseñas es un programa informático que permite a los usuarios almacenar, generar y administrar sus contraseñas para aplicaciones locales y servicios en línea.

Un administrador de contraseñas ayuda a generar y recuperar contraseñas complejas, almacenando dichas contraseñas en una base de datos encriptada [1] [2] o calculándolas bajo demanda. [3]

Los tipos de administradores de contraseñas incluyen:

Dependiendo del tipo de administrador de contraseñas utilizado y de la funcionalidad ofrecida por sus desarrolladores, la base de datos cifrada se almacena localmente en el dispositivo del usuario o se almacena de forma remota a través de un servicio de alojamiento de archivos en línea . Los administradores de contraseñas generalmente requieren que un usuario genere y recuerde una contraseña "maestra" para desbloquear y acceder a cualquier información almacenada en sus bases de datos. Muchas aplicaciones de administración de contraseñas ofrecen capacidades adicionales que mejoran tanto la conveniencia como la seguridad, como el almacenamiento de la información de la tarjeta de crédito y del viajero frecuente y la funcionalidad de autocompletar.

Software instalado localmente [ editar ]

Los administradores de contraseñas comúnmente residen en la computadora personal o dispositivo móvil del usuario y en el navegador web para completar instantáneamente, como teléfonos inteligentes , en forma de una aplicación de software instalada localmente . Estas aplicaciones pueden estar fuera de línea, donde la base de datos de contraseñas se almacena de forma independiente y local en el mismo dispositivo que el software de administración de contraseñas. Alternativamente, los administradores de contraseñas pueden ofrecer o requerir un enfoque basado en la nube, en el que la base de datos de contraseñas depende de un servicio de alojamiento de archivos en línea y se almacena de forma remota, pero se maneja mediante un software de administración de contraseñas instalado en el dispositivo del usuario.

Algunos administradores de contraseñas sin conexión no requieren permiso de Internet, por lo que no hay fugas de datos debido a la red. Hasta cierto punto, un administrador de contraseñas completamente fuera de línea es más seguro, pero puede ser mucho más débil en conveniencia y funcionalidad que uno en línea.

Servicios basados ​​en web [ editar ]

Un administrador de contraseñas en línea es un sitio web que almacena de forma segura los datos de inicio de sesión. Son una versión basada en web del administrador de contraseñas de escritorio más convencional.

Las ventajas de los administradores de contraseñas en línea sobre las versiones de escritorio son la portabilidad (generalmente se pueden usar en cualquier computadora con un navegador web y una conexión de red, sin tener que instalar software) y un riesgo reducido de perder contraseñas por robo o daño. a una sola PC, aunque existe el mismo riesgo para el servidor que se utiliza para almacenar las contraseñas de los usuarios. En ambos casos, este riesgo se puede prevenir garantizando que se realicen copias de seguridad seguras . [4]

Las principales desventajas de los administradores de contraseñas en línea son los requisitos de que el usuario confía en el sitio de alojamiento y no hay un registrador de teclas en la computadora que está usando. Dado que los servidores y la nube son el foco de los ataques cibernéticos, la forma en que uno se autentica en el servicio en línea y que las contraseñas almacenadas allí están encriptadas con una clave definida por el usuario son igualmente importantes. Nuevamente, los usuarios tienden a eludir la seguridad por conveniencia. Otro factor importante es si se utiliza cifrado unidireccional o bidireccional. [5]

Algunos sistemas de administración de contraseñas en línea, como Bitwarden, son de código abierto, donde el código fuente puede ser auditado de forma independiente o alojado en la propia máquina del usuario, en lugar de depender de la nube del servicio. [6]

El uso de un administrador de contraseñas basado en la web es una alternativa a las técnicas de inicio de sesión único , como OpenID o la cuenta de Microsoft de Microsoft (anteriormente Microsoft Wallet, Microsoft Passport, .NET Passport, Microsoft Passport Network y Windows Live ID), o puede servir como medida provisional en espera de la adopción de un método mejor. [7]

Dispositivos de hardware basados ​​en tokens [ editar ]

Los administradores de contraseñas basados ​​en tokens deben tener un mecanismo de token de seguridad, [8] en el que un dispositivo de hardware accesible localmente, como tarjetas inteligentes o dispositivos flash USB seguros, se utiliza para autenticar a un usuario en lugar o además de un texto tradicional. -basada en contraseña u otro sistema de autenticación de dos factores . Los datos almacenados en el token generalmente están encriptados para evitar el sondeo y la lectura no autorizada de los datos. Algunos sistemas de tokens aún requieren software cargado en la PC junto con hardware (lector de tarjetas inteligentes) y controladores para leer y decodificar correctamente los datos.

  • Las credenciales se protegen mediante un token de seguridad , por lo que normalmente ofrecen autenticación multifactor mediante la combinación
    • algo que el usuario tiene , como una aplicación móvil [9] que genera un token similar a una tarjeta inteligente virtual, una tarjeta inteligente y una memoria USB ,
    • algo que el usuario sepa (PIN o contraseña), y / o
    • algo que el usuario es como biometría , como una huella digital, una mano, una retina o un escáner facial.

Hay algunas empresas que fabrican dispositivos de autenticación de terceros específicos, y uno de los más populares es YubiKey . Pero solo unos pocos administradores de contraseñas de terceros pueden integrarse con estos dispositivos de hardware. Si bien esto puede parecer un problema, la mayoría de los administradores de contraseñas tienen otras opciones aceptables de verificación en dos pasos, que se integran con aplicaciones como Google Authenticator y generadores TOTP integrados . [10] Si bien los dispositivos token de terceros son útiles para aumentar la seguridad, solo se consideran medidas adicionales por seguridad y conveniencia, y no se consideran esenciales ni críticos para el funcionamiento adecuado de un administrador de contraseñas.

Ventajas [ editar ]

La ventaja de los controles de acceso basados ​​en contraseñas es que se incorporan fácilmente en la mayoría del software utilizando las API disponibles en muchos productos de software, no requieren modificaciones extensas de computadora / servidor y que los usuarios ya están familiarizados con el uso de contraseñas. Si bien las contraseñas pueden ser bastante seguras, la debilidad es cómo los usuarios las eligen y administran, mediante el uso de:

  • contraseñas simples: de corta longitud, que usan palabras que se encuentran en diccionarios, o que no se mezclan en diferentes tipos de caracteres (números, puntuación, mayúsculas / minúsculas), o que son fáciles de adivinar
  • contraseñas que otros pueden encontrar: en notas adhesivas en monitores, en un bloc de notas junto a la computadora, en un documento en la computadora, recordatorios en la pizarra, almacenamiento de dispositivos inteligentes en texto claro, etc.
  • la misma contraseña: usar la misma contraseña para varios sitios, nunca cambiar las contraseñas de las cuentas, etc.
  • contraseñas compartidas: usuarios que dicen contraseñas a otros, envían correos electrónicos no cifrados con información de contraseña, contratistas que usan la misma contraseña para todas sus cuentas, etc.
  • inicios de sesión de cuentas administrativas donde los inicios de sesión limitados serían suficientes o
  • administradores que permiten que los usuarios con el mismo rol utilicen la misma contraseña.

Es típico cometer al menos uno de estos errores. Esto hace que sea muy fácil para los hackers , crackers , el malware y los ladrones cibernéticos para entrar en cuentas individuales, las empresas de todos los tamaños, agencias gubernamentales, instituciones, etc. que está protegiendo contra estas vulnerabilidades que hace encargados de la contraseña tan importante. [11]

Los administradores de contraseñas también se pueden utilizar como defensa contra el phishing y el pharming.. A diferencia de los seres humanos, un programa de administración de contraseñas también puede incorporar un script de inicio de sesión automatizado que primero compara la URL del sitio actual con la URL del sitio almacenado. Si los dos no coinciden, el administrador de contraseñas no completa automáticamente los campos de inicio de sesión. Esto pretende ser una protección contra imitaciones visuales y sitios web que se parecen. Con esta ventaja incorporada, el uso de un administrador de contraseñas es beneficioso incluso si el usuario solo tiene algunas contraseñas para recordar. Si bien no todos los administradores de contraseñas pueden manejar automáticamente los procedimientos de inicio de sesión más complejos impuestos por muchos sitios web bancarios, muchos de los administradores de contraseñas más nuevos manejan contraseñas complejas, complementos de varias páginas y autenticación de múltiples factores antes. [12]

Con esa misma lógica, los administradores de contraseñas también pueden proteger contra el malware de registro de pulsaciones de teclas (keyloggers). Cuando se utiliza un administrador de contraseñas de autenticación multifactor que completa automáticamente los campos de inicio de sesión, el usuario no tiene que escribir ningún nombre de usuario o contraseña para que el registrador de teclas los recoja. Mientras que un keylogger puede tomar el PIN para autenticarse en el token de la tarjeta inteligente, por ejemplo, sin la tarjeta inteligente en sí (algo que el usuario tiene), el PIN no le hace ningún bien al atacante. Sin embargo, los administradores de contraseñas no pueden proteger contra ataques de hombre en el navegador , donde el malware en el dispositivo del usuario realiza operaciones (por ejemplo, en un sitio web bancario) mientras el usuario está conectado y oculta la actividad maliciosa del usuario. [13]

Problemas [ editar ]

Vulnerabilidades [ editar ]

Si las contraseñas se almacenan sin cifrar, todavía es posible obtener las contraseñas con acceso local a la máquina.

Algunos administradores de contraseñas utilizan una contraseña maestra o una frase de contraseña seleccionada por el usuario para formar la clave utilizada para cifrar las contraseñas protegidas. La seguridad de este enfoque depende de la fuerza de la contraseña elegida (que puede ser adivinada o forzada), y también que la frase de contraseña en sí nunca se almacena localmente donde un programa malicioso o una persona pueda leerla. Una contraseña maestra comprometida hace que todas las contraseñas protegidas sean vulnerables.

Al igual que con cualquier sistema en el que el usuario introduzca una contraseña, la contraseña maestra también puede ser atacada y descubierta mediante el registro de claves o el criptoanálisis acústico . Algunos administradores de contraseñas intentan utilizar teclados virtuales para reducir este riesgo, aunque sigue siendo vulnerable a los registradores de teclas que toman capturas de pantalla a medida que se ingresan los datos. Este riesgo se puede mitigar con el uso de un dispositivo de verificación de múltiples factores .

Algunos administradores de contraseñas incluyen un generador de contraseñas . Las contraseñas generadas pueden adivinarse si el administrador de contraseñas utiliza un generador de números aleatorios débil en lugar de uno criptográficamente seguro.

Un administrador de contraseñas seguro incluirá un número limitado de entradas de autenticación falsas permitidas antes de que el administrador de contraseñas se bloquee y requiera que los servicios de TI se vuelvan a activar. Esta es la mejor manera de protegerse contra el ataque de fuerza bruta.

Los administradores de contraseñas que no impiden el intercambio de su memoria al disco duro permiten extraer contraseñas no cifradas del disco duro de la computadora. [ cita requerida ] Desactivar el intercambio puede prevenir este riesgo.

Los administradores de contraseñas basados ​​en la web, que se ejecutan dentro del navegador del usuario, están particularmente cargados de trampas. Un estudio detallado que utilizó varios administradores de contraseñas descubrió las siguientes fallas posibles dentro de los administradores de contraseñas basados ​​en la web: [14]

  • Defectos de autorización : otro posible problema es confundir la autenticación con la autorización . El investigador descubrió que varios administradores de contraseñas basados ​​en la web tenían, en algún momento, tales fallas. Estos problemas estaban presentes en particular en los administradores de contraseñas que permitían a los usuarios compartir credenciales con otros usuarios.
  • Defectos de Bookmarklet : los administradores de contraseñas basados ​​en web suelen confiar en Bookmarklets para iniciar sesión en los usuarios. Sin embargo, si se implementa incorrectamente, un sitio web malicioso puede abusar de esto para robar la contraseña de un usuario. La principal causa de estas vulnerabilidades es que no se puede confiar en el entorno JavaScript de un sitio web malicioso. [15]
  • Defectos de la interfaz de usuario : algunos administradores de contraseñas le pedirán al usuario que inicie sesión mediante un iframe . Esto puede presentar un riesgo de seguridad porque entrena al usuario para que ingrese su contraseña, mientras que la URL que muestra el navegador no es la del administrador de contraseñas. Un phisher puede abusar de esto creando un iframe falso y capturando las credenciales del usuario. Un enfoque más seguro puede ser abrir una nueva pestaña donde los usuarios puedan iniciar sesión en el administrador de contraseñas.
  • Defectos web : las vulnerabilidades web clásicas también pueden estar presentes en los administradores de contraseñas basados ​​en web. En particular, los piratas informáticos pueden aprovechar las vulnerabilidades XSS y CSRF para obtener la contraseña de un usuario.

Además, los administradores de contraseñas tienen la desventaja de que cualquier pirata informático o malware potencial solo necesita saber una contraseña para obtener acceso a todas las contraseñas de un usuario y que dichos administradores tienen ubicaciones estandarizadas y formas de almacenar contraseñas que pueden ser explotadas por malware. [dieciséis]

Bloqueo de administradores de contraseñas [ editar ]

Varios sitios web de alto perfil han intentado bloquear a los administradores de contraseñas, a menudo retrocediendo cuando se cuestionan públicamente. [17] [18] [19] Las razones citadas incluyen protección contra ataques automatizados , protección contra phishing , bloqueo de malware o simplemente negar la compatibilidad. El software de seguridad del cliente Trusteer de IBM presenta opciones explícitas para bloquear administradores de contraseñas. [20] [21]

Este bloqueo ha sido criticado por los profesionales de la seguridad de la información por hacer que los usuarios sean menos seguros y que las justificaciones son falsas. [19] [21] La implementación de bloqueo típica implica la configuración autocomplete='off'en el formulario web de contraseña correspondiente . En consecuencia, esta opción ahora se ignora en Internet Explorer 11 [18] en sitios https , [22] Firefox 38, [23] Chrome 34, [24] y en Safari desde aproximadamente 7.0.2. [25]

Un artículo de 2014 de un investigador de la Universidad Carnegie Mellon descubrió que, si bien los navegadores se niegan a autocompletar si el protocolo en la página de inicio de sesión actual es diferente del protocolo en el momento en que se guardó la contraseña, algunos administradores de contraseñas completarían de manera insegura las contraseñas para la versión http. de contraseñas guardadas en https. La mayoría de los administradores no se protegieron contra los ataques basados ​​en iframe y redirección y expusieron contraseñas adicionales donde se había utilizado la sincronización de contraseñas entre múltiples dispositivos. [22]

Ver también [ editar ]

  • Lista de administradores de contraseñas
  • Fatiga de la contraseña
  • Gestión de contraseñas
  • Token de seguridad
  • Tarjeta electrónica
  • Criptografía

Referencias [ editar ]

  1. ↑ Price, Rob (22 de febrero de 2017). "Los administradores de contraseñas son una forma esencial de protegerse de los piratas informáticos; así es como funcionan" . Business Insider . Archivado desde el original el 27 de febrero de 2017 . Consultado el 29 de abril de 2017 .
  2. ^ Mohammadinodoushan, Mohammad; Cambou, Bertrand; Philabaum, Christopher Robert; Duan, Nan (2021). "Administrador de contraseñas resistente utilizando funciones físicas no clonables" . Acceso IEEE . 9 : 17060-17070. doi : 10.1109 / ACCESS.2021.3053307 . ISSN 2169-3536 . 
  3. ^ LessPass, administrador de contraseñas sin estado https://lesspass.com
  4. ↑ Aleksandersen, Daniel (17 de febrero de 2020). "Cómo hacer una copia de seguridad de su administrador de contraseñas" . Ctrl blog . Consultado el 25 de enero de 2021 .
  5. ^ "Pros y contras de los administradores de contraseñas" . Lumen . 2017-05-13 . Consultado el 25 de enero de 2021 .
  6. ^ "Código abierto" . Bitwarden . Consultado el 25 de enero de 2021 .
  7. ^ "¿Qué es el inicio de sesión único (SSO) y cómo funciona?" . SearchSecurity . Consultado el 25 de enero de 2021 .
  8. ^ "¿Qué es la autenticación basada en token? | Okta" . www.okta.com . Consultado el 26 de abril de 2021 .
  9. ^ https://www.entrust.com/solutions/mobile/ Entrust IdentityGuard Mobile Smart Credential
  10. ^ "10 mejores administradores de contraseñas [2021] (con cupones + ofertas exclusivas)" . SafetyDetectives . Consultado el 29 de enero de 2021 .
  11. ^ "Las 20 contraseñas más pirateadas del mundo: ¿está aquí la suya?" . SafetyDetectives . 2020-05-27 . Consultado el 29 de enero de 2021 .
  12. ^ "Cómo los administradores de contraseñas ayudan a prevenir el phishing" . Blog de Bitwarden . Consultado el 29 de enero de 2021 .
  13. ^ "Un ataque de intermediario contra un sistema de restablecimiento de contraseña - Schneier sobre seguridad" . www.schneier.com . Consultado el 29 de enero de 2021 .
  14. ^ Li, Zhiwei; Él, Warren; akhawe, Devdatta; Canción, amanecer. "El nuevo administrador de contraseñas del emperador: análisis de seguridad de administradores de contraseñas basados ​​en web" (PDF) . 2014 . Archivado desde el original (PDF) el 5 de febrero de 2015 . Consultado el 25 de diciembre de 2014 .
  15. ^ Adida, Ben; Barth, Adam; Jackson, Collin. "Rootkits para entornos JavaScript Ben" (PDF) . 2009 . Consultado el 25 de diciembre de 2014 .
  16. ^ "Pros y contras de los administradores de contraseñas" . Lumen . 2017-05-13 . Consultado el 25 de enero de 2021 .
  17. ^ Mic, Wright (16 de julio de 2015). "British Gas rompe deliberadamente a los administradores de contraseñas y los expertos en seguridad están consternados" . Consultado el 26 de julio de 2015 .
  18. ↑ a b Reeve, Tom (15 de julio de 2015). "British Gas se inclina ante las críticas sobre el bloqueo de administradores de contraseñas" . Consultado el 26 de julio de 2015 .
  19. ↑ a b Cox, Joseph (26 de julio de 2015). "Sitios web, deje de bloquear administradores de contraseñas. Estamos en 2015" . Consultado el 26 de julio de 2015 .
  20. ^ "Administrador de contraseñas" . Consultado el 26 de julio de 2015 .
  21. ↑ a b Hunt, Troy (15 de mayo de 2014). "El" Efecto Cobra "que está deshabilitando pegar en los campos de contraseña" . Consultado el 26 de julio de 2015 .
  22. ^ a b "Administradores de contraseñas: ataques y defensas" (PDF) . Consultado el 26 de julio de 2015 .
  23. ^ "Firefox en Windows 8.1 rellena automáticamente un campo de contraseña cuando la función de autocompletar está desactivada" . Consultado el 26 de julio de 2015 .
  24. ^ Sharwood, Simon (9 de abril de 2014). "Chrome crea una nueva captura de contraseña en la versión 34" . Consultado el 26 de julio de 2015 .
  25. ^ "Re: 7.0.2: Autocompletar =" desactivado "todavía roto" . Consultado el 26 de julio de 2015 .

Enlaces externos [ editar ]

  • Administrador de contraseñas en Curlie