Por Roger Grimes, Evangelista de Defensa Basada en Datos, KnowBe4

Una contraseña perfectamente aleatoria de 12 caracteres o más es impenetrable a todos los ataques conocidos de adivinación y desciframiento de contraseñas. Una contraseña creada por un humano tiene que tener 20 caracteres o más para obtener la misma protección. A los humanos no les gusta crear o usar contraseñas muy largas (y a veces también complejas), así que recomiendo usar un programa de gestor de contraseñas confiable en su lugar.

Una pregunta común es si vale la pena el riesgo de usar gestores de contraseñas.

La respuesta, en mi opinión, es sí. Creo que el aumento en riesgos que una persona obtendrá al usar un gestor de contraseñas se compensa con todas las ventajas, que disminuyen y compensan completamente los riesgos de las desventajas.

Veamos los riesgos y ventajas de usar un gestor de contraseñas. Se pueden resumir como:

Desventajas

• El usuario debe obtener e instalar el gestor de contraseñas

• El usuario debe aprender a usar el gestor de contraseñas

• Puede tomarle más tiempo a un usuario crear o ingresar una contraseña usando un gestor de contraseñas (pero no siempre es cierto)

• Está sujeto a ataques

• Los gestores de contraseñas no funcionan con todos los programas o dispositivos

• Si no se puede acceder al gestor de contraseñas (por ejemplo, corrupción, pérdida de acceso de inicio de sesión, etc.), el usuario pierde todo acceso a toda la información de inicio de sesión contenida allí de una sola vez

• Si un atacante compromete el gestor de contraseñas, el atacante puede posiblemente acceder y obtener todas las contraseñas del usuario (y los sitios a los que pertenecen) de una vez

Es el último problema el que presenta el mayor riesgo en la mente de la mayoría de los usuarios preocupados: un solo punto de falla.

Ventajas

• Crea y permite el uso de contraseñas perfectamente aleatorias

• Crea y permite el uso mucho más fácil de contraseñas diferentes para cada sitio y servicio

• Puede usarse para prevenir el phishing de contraseñas

• Puede usarse para simular algunas soluciones MFA para que los usuarios no necesiten programas o tokens MFA separados

• Se puede compartir entre dispositivos para que las contraseñas estén donde el usuario las necesite

• Las contraseñas se pueden respaldar de manera más fácil y segura

• Todas las contraseñas pueden ser protegidas por un requisito de inicio de sesión MFA para el gestor de contraseñas

• Puede advertir al usuario de contraseñas comprometidas que no sabía

• Advertirá al usuario sobre contraseñas idénticas usandas entre diferentes sitios y servicios

• Pueden ser compartidas con personas de confianza en momentos de necesidad, cuando el usuario original está temporal o permanentemente incapacitado o no disponible

Es un riesgo muy real que el gestor de contraseñas de alguien pueda ser comprometido, y a partir de esa violación, todas las contraseñas del usuario para todos los sitios y servicios almacenados sean robadas de forma rápida a la vez. Es un gran riesgo que debe ser medido y sopesado por los administradores o usuarios que están utilizando gestores de contraseñas.

Sopesando los Riesgos

Aquí están los problemas opuestos en mi mente contra ese riesgo. Primero, para comprometer el programa de gestión de contraseñas de un usuario, LA MAYORÍA de las veces, el atacante tiene que obtener acceso al dispositivo del usuario que tenga el gestor de contraseñas en funcionamiento y acceder a él mientras está abierto o manipular su configuración para que puedan robar fácilmente todas las contraseñas. Si el atacante tiene acceso al dispositivo del usuario, el partido ya está prácticamente acabado. El hacker (o su programa malicioso) puede obtener algunas o todas las contraseñas usando una variedad de métodos diferentes, incluido simplemente registrándolas conforme el usuario las escribe o usa.

También hay ataques que intentan explotar vulnerabilidades de software en el programa de gestión de contraseñas, pero mientras el proveedor parchee rápidamente los fallos conocidos y el usuario aplique esos parches rápidamente (la mayoría de los programas de gestión de contraseñas se actualizan automáticamente), es un problema pasajero y más leve. A veces, las contraseñas del usuario también se almacenan en la red en la nube del proveedor del gestor de contraseñas, y si se comprometen, un atacante puede obtener acceso a todas las contraseñas almacenadas allí. Nuevamente, es un riesgo, pero la mayoría de los proveedores de gestores de contraseñas intentan mantener las “bóvedas de contraseñas” de sus clientes en una parte altamente segura de su red.

Entonces, para mí, el principal riesgo es que un atacante obtenga acceso al dispositivo de un usuario, acceda al gestor de contraseñas y luego robe todas las contraseñas. Es un riesgo real. He escuchado que sucede, pero ahora mismo no es un ataque muy popular. En el futuro, si los gestores de contraseñas se vuelven súper populares y todos los usan, podría volverse un ataque popular. Pero incluso si fuera un ataque popular, creo que cada vez que un atacante o su creación de malware tenga acceso al escritorio de un usuario, prácticamente está todo perdido. Ellos pueden hacer cualquier cosa. El hecho de que decidieron atacar tu gestor de contraseñas y robar tus contraseñas es solo uno de tus grandes problemas.

Nota: Usar MFA que sea resistente al phishing por separado puede ayudar a evitar esa situación, o usar “claves divididas” donde el usuario debe escribir un secreto basado en el conocimiento que no está almacenado en el gestor de contraseñas puede ser una solución posible.

Por Qué Todos Deberían Usar un Gestor de Contraseñas para Sus Contraseñas

A pesar de este gran riesgo, creo que todos deberían usar un gestor de contraseñas para sus contraseñas (si no se puede usar MFA resistente al phishing). Esto se debe a que los dos mayores riesgos para las contraseñas (después del robo de ingeniería social) es de contraseñas robadas de un sitio o servicio que el usuario utiliza y contraseñas débiles que se pueden adivinar y hackear. Según el Instituto Nacional de Estándares y Tecnología (NIST) y otras autoridades en contraseñas, el mayor riesgo de las contraseñas es el uso repetido de contraseñas en sitios web y servicios no relacionados y los usuarios creando “patrones de contraseñas”, que los hackers pueden predecir.

El usuario promedio tiene de cuatro a siete contraseñas que usa en más de 170 sitios y servicios. Esas son muchas contraseñas idénticas que se usan donde no deberían. El problema es que una vez que un hacker compromete uno o unos pocos de tus sitios web (de los que muchas veces ni siquiera eres consciente), el hacker obtiene tu contraseña y luego las usa en tus otros sitios y servicios. Una o pocas violaciones conducen rápidamente a un montón de más violaciones. Esto se considera el mayor riesgo de contraseñas después de la ingeniería social de tu contraseña. Y los gestores de contraseñas eliminan este riesgo.

Los gestores de contraseñas ayudan a los usuarios a crear y usar más fácilmente contraseñas diferentes, completamente no relacionadas, para cada sitio y servicio. Cuando usas un gestor de contraseñas, es posible que ni siquiera conozcas la contraseña que se usa. Esto elimina uno de los mayores riesgos de contraseñas, y por esto solamente, los gestores de contraseñas deberían ser utilizados. Pero hay más.

Los gestores de contraseñas crean contraseñas perfectamente aleatorias. Una contraseña perfectamente aleatoria de 12 caracteres o más no se puede adivinar ni descifrar mediante hash por ningún método conocido. Y esas contraseñas perfectamente aleatorias y seguras pueden ser diferentes para cada sitio web y servicio.

La Ingeniería Social es el Mayor Riesgo

El mayor riesgo de cualquier contraseña es que el usuario sea engañado socialmente para obtenerla. El robo de contraseñas a partir de ingeniería social está involucrado en aproximadamente la mitad de todos los ataques exitosos de contraseñas. La mayoría de los gestores de contraseñas te permiten iniciar sesión en tu sitio o servicio desde dentro del gestor de contraseñas y el gestor de contraseñas solo te llevará al sitio o servicio verdadero y legítimo. Esto evita el tipo más común de ataque de ingeniería social de contraseñas, donde el atacante te envía un correo electrónico de ingeniería social que contiene un enlace URL falso, que intenta engañarte para que reveles tus credenciales legítimas a un sitio web falso y ficticio.

Así que, para resumir los beneficios de los gestores de contraseñas, mitigan los mayores ataques de contraseñas (por ejemplo, ingeniería social, adivinación/desciframiento y reutilización). Cualquier experto en contraseñas te diría que esos tres tipos de ataques de contraseñas representan la mayoría de los riesgos de contraseñas. Y por esa razón, todos deberían usar un gestor de contraseñas, o al menos considerarlo seriamente frente al gran riesgo de un único punto de falla.

Depende de ti si confías o no, o confías en tus usuarios, en un gestor de contraseñas. Intenta hacer que se pasen a MFA resistente al phishing, si puedes, primero. Pero si el sitio o servicio no funciona con MFA resistente al phishing, considera usar un gestor de contraseñas. Cada día son más recomendados por más expertos en contraseñas.