Por Roger Grimes, Evangelista de Defensa Basada en Datos, KnowBe4

Una contraseña perfectamente aleatoria de 12 caracteres o más es impenetrable ante todos los ataques conocidos de adivinación y descifrado de contraseñas. Una contraseña creada por un humano tiene que tener 20 caracteres o más para obtener la misma protección. A los humanos no les gusta crear ni usar contraseñas muy largas (y a veces también complejas), así que recomiendo usar en su lugar un programa administrador de contraseñas de confianza.

Una pregunta común es si los administradores de contraseñas valen el riesgo de usarlos.

La respuesta, en mi opinión, es sí. Creo que el aumento en los riesgos que una persona tendrá al usar un administrador de contraseñas se compensa con todas las ventajas, las cuales reducen y compensan ampliamente los riesgos de las desventajas.

Veamos los riesgos y ventajas de usar un administrador de contraseñas. Se pueden resumir en:

Desventajas

• El usuario debe obtener e instalar un administrador de contraseñas

• El usuario debe aprender a usar el administrador de contraseñas

• Puede tomarle al usuario más tiempo crear o ingresar una contraseña usando un administrador de contraseñas (aunque no siempre es así)

• Está sujeto a ataques

• Los administradores de contraseñas no funcionan con todos los programas o dispositivos

• Si no se puede acceder al administrador de contraseñas (por ejemplo, por corrupción, pérdida de acceso al inicio de sesión, etc.), el usuario pierde de inmediato el acceso a toda la información de inicio de sesión contenida allí

• Si un atacante compromete el administrador de contraseñas, posiblemente pueda acceder y obtener todas las contraseñas del usuario (y los sitios a los que pertenecen) de una sola vez

Es este último problema el que presenta el mayor riesgo en la mente de la mayoría de los usuarios preocupados: un único punto de falla.

Ventajas

• Permite crear y usar contraseñas perfectamente aleatorias

• Permite crear y usar mucho más fácilmente contraseñas diferentes para cada sitio y servicio

• Puede usarse para prevenir el phishing de contraseñas

• Puede usarse para simular algunas soluciones de MFA para que los usuarios no necesiten programas o tokens de MFA separados

• Puede compartirse entre dispositivos para que las contraseñas estén donde el usuario necesita usarlas

• Las contraseñas se pueden respaldar de forma más fácil y segura

• Todas las contraseñas pueden estar protegidas por un requisito de inicio de sesión MFA para el administrador de contraseñas

• Puede advertir al usuario sobre contraseñas comprometidas de las que, de otro modo, no tendría conocimiento

• Advertirá al usuario sobre contraseñas idénticas usadas entre diferentes sitios y servicios

• Puede compartirse con personas de confianza en momentos de necesidad, cuando el usuario original está temporal o permanentemente incapacitado o no está disponible

Existe un riesgo muy real de que el administrador de contraseñas de alguien pueda verse comprometido y, a partir de ese compromiso, todas las contraseñas del usuario de todos los sitios y servicios almacenados sean robadas muy rápidamente de una sola vez. Ese es un enorme riesgo que debe ser medido y sopesado por los administradores o usuarios que usan administradores de contraseñas.

Sopesando los riesgos

Estas son las cuestiones que, en mi opinión, compensan ese riesgo. Primero, para comprometer el programa administrador de contraseñas de un usuario, la MAYORÍA de las veces el atacante tiene que obtener acceso al dispositivo del usuario en el que se está ejecutando el administrador de contraseñas y acceder a él mientras está abierto o manipular su configuración para poder robar fácilmente todas las contraseñas. Si el atacante tiene acceso al dispositivo del usuario, prácticamente ya es el fin. El hacker (o su programa de malware) puede obtener algunas o todas las contraseñas usando varios otros métodos, incluso simplemente registrándolas con keylogging mientras el usuario las escribe o las usa.

También hay ataques que intentan explotar vulnerabilidades de software en el programa administrador de contraseñas, pero mientras el proveedor parchee rápidamente las fallas conocidas y el usuario aplique esos parches con rapidez (la mayoría de los programas administradores de contraseñas se actualizan solos), es un problema pasajero y menor. A veces las contraseñas del usuario también se almacenan en la red en la nube del proveedor del administrador de contraseñas y, si se compromete, un atacante puede obtener acceso a todas las contraseñas almacenadas allí. De nuevo, es un riesgo, pero la mayoría de los proveedores de administradores de contraseñas intenta mantener las “bóvedas de contraseñas” de sus clientes en una parte altamente segura de su red.

Así que, para mí, el principal riesgo es que un atacante obtenga acceso al dispositivo de un usuario, acceda al administrador de contraseñas y luego robe todas las contraseñas. Es un riesgo real. He oído de ello, pero por ahora no es un ataque súper popular. En el futuro, si los administradores de contraseñas se vuelven súper populares y todo el mundo los usa, podría convertirse en un ataque popular. Pero incluso si fuera un ataque popular, creo que cualquier vez que un atacante o la creación de su malware tenga acceso al escritorio de un usuario, prácticamente ya es el fin. Pueden hacer cualquier cosa. El hecho de que hayan decidido atacar tu administrador de contraseñas y robar tus contraseñas es solo uno de tus grandes problemas.

Nota: Usar MFA separado resistente al phishing puede ayudar a evitar esa situación, o usar “claves divididas”, donde el usuario debe escribir algún secreto basado en conocimiento que no esté almacenado en el administrador de contraseñas, podría ser una posible solución.

Por qué todos deberían usar un administrador de contraseñas para sus contraseñas

A pesar de este gran riesgo, creo que todos deberían usar un administrador de contraseñas para sus contraseñas (si no se puede usar MFA resistente al phishing). Esto se debe a que los dos mayores riesgos para las contraseñas (después de ingeniería social) provienen de contraseñas robadas de un sitio o servicio que el usuario usa y de contraseñas débiles que pueden ser adivinadas y hackeadas. Según el Instituto Nacional de Estándares y Tecnología (NIST) y otras autoridades en contraseñas, el mayor riesgo de las contraseñas es la reutilización de contraseñas en sitios web y servicios no relacionados y que los usuarios creen “patrones de contraseñas”, que los hackers pueden predecir.

El usuario promedio tiene de cuatro a siete contraseñas que usa en más de 170 sitios y servicios. Hay muchísimas contraseñas idénticas que se están usando donde no deberían. El problema es que una vez que un hacker compromete uno o algunos de tus sitios web (de lo que a menudo ni siquiera te das cuenta), el hacker obtiene tu contraseña y luego la usa en tus otros sitios y servicios. Uno o algunos compromisos conducen rápidamente a un montón de compromisos más. Esto se considera el principal riesgo de las contraseñas después de la ingeniería social de tu contraseña. Y los administradores de contraseñas eliminan este riesgo.

Los administradores de contraseñas ayudan a los usuarios a crear y usar más fácilmente contraseñas diferentes y completamente no relacionadas para cada sitio y servicio. Cuando usas un administrador de contraseñas, es posible que ni siquiera conozcas la contraseña que se usa. Esto elimina uno de los mayores riesgos de las contraseñas, y por esto solo, se deberían usar administradores de contraseñas. Pero hay más.

Los administradores de contraseñas crean contraseñas perfectamente aleatorias. Una contraseña perfectamente aleatoria de 12 caracteres o más no puede ser adivinada ni descifrada por hash mediante ningún método conocido. Y esas contraseñas perfectamente aleatorias y seguras pueden ser diferentes para cada sitio web y servicio.

La ingeniería social es el mayor riesgo

El mayor riesgo de cualquier contraseña es que el usuario la entregue mediante ingeniería social. El robo de contraseñas por ingeniería social interviene en aproximadamente la mitad de todos los ataques exitosos a contraseñas. La mayoría de los administradores de contraseñas te permiten iniciar sesión en tu sitio o servicio desde dentro del administrador de contraseñas y el administrador de contraseñas solo te llevará al sitio o servicio real y legítimo. Esto evita el tipo más común de ataque de ingeniería social a contraseñas, en el que el atacante te envía un correo electrónico de ingeniería social que contiene un enlace URL fraudulento, que intenta engañarte para que reveles tus credenciales legítimas a un sitio web falso y fraudulento.

Así que, al repasar los beneficios de los administradores de contraseñas, mitigan los mayores ataques a contraseñas (por ejemplo, ingeniería social, adivinación/descifrado y reutilización). Cualquier experto en contraseñas te diría que esos tres tipos de ataques representan la mayoría de los riesgos de las contraseñas. Y por esa razón, todos deberían usar un administrador de contraseñas, o al menos sopesarlo muy seriamente frente al gran riesgo de un punto único de falla.

Depende de ti si pones tu confianza, o la confianza de tus usuarios, en un administrador de contraseñas. Si puedes, intenta migrarlos primero a MFA resistente al phishing. Pero si el sitio o servicio no funciona con MFA resistente al phishing, considera usar un administrador de contraseñas. Cada día más expertos en contraseñas lo recomiendan más.