[Descargo de responsabilidad: trabajo para AgileBits , creadores de 1Password , un administrador de contraseñas y billetera segura.]
Recordar las contraseñas es malo para la salud de su contraseña
En cierto sentido, en realidad se encuentra en una posición fantástica para tener una mejor contraseña de seguridad que la mayoría de las personas. Como dice el investigador de seguridad Troy Hunt: ” La única contraseña segura es la que no puedes recordar “.
Muchas personas se aferran firmemente a su deseo de usar contraseñas que pueden recordar que en realidad termina lastimándolos desde una perspectiva de seguridad. Yo mismo no tengo una necesidad relacionada con la salud de usar un administrador de contraseñas, pero elijo usar uno porque ofrece una seguridad mucho mejor que el uso de contraseñas lo suficientemente débiles para recordar o, lo que es peor, volver a usarlas.
No conozco ninguna de mis contraseñas
La idea detrás de un administrador de contraseñas como 1Password es que solo necesita “recordar” una Contraseña Maestra. Aunque, en su caso, simplemente puede escribirlo y almacenarlo en un lugar seguro , como su billetera o donde guarde sus tarjetas de crédito. Ya sabes cómo mantener tus tarjetas de crédito a salvo. No hay necesidad de reinventar la rueda.
Entonces, 1Password genera, almacena y llena de manera segura todas sus contraseñas individuales por usted. No tiene que recordar nada siempre que nunca pierda su Contraseña maestra. (Es una buena idea tener una copia de respaldo en un segundo lugar seguro. Es posible que desee completar el kit de emergencia 1Password para más información).
No todos los administradores de contraseñas son creados iguales
Quiero señalar que 1Password ofrece algunas características y tiene ciertas características de seguridad que otros administradores de contraseñas no tienen. Uno puede compartir algunos de ellos, y otro puede compartir otros, pero la combinación específica a continuación no se comparte con ningún otro administrador de contraseñas. Debería, por supuesto, investigar todas sus opciones, pero si desea “marcar todas las casillas” a continuación, 1Password puede estar en la parte superior de su lista.
- 1Password no es un servicio al que se conecta o inicia sesión . En cambio, funciona completamente manteniendo tu datos cifrados y almacenados en sus dispositivos. No tenemos ninguno de sus datos en ninguna forma. Esto tiene dos grandes beneficios:
- Como no tenemos ninguno de sus datos, no podemos perderlo, usarlo o abusar de él, incluso si éramos (obligados a ser) malvados.
- Esta arquitectura de seguridad significa que no tenemos un sistema de autenticación para defender. Sus datos están protegidos a través de un sistema de solo cifrado, sin ninguna de las amenazas que enfrentan los sistemas basados en autenticación.
- 1Password protege sus datos usando un formato documentado públicamente. Es un cifrado autenticado completamente compatible con la palabra de moda: AES-256-CBC y HMAC-SHA256; derivación de clave: PBKDF2-HMAC-SHA512, pero, lo que es más importante, el formato utilizado por 1Password está disponible para su control y para la comunidad de seguridad en general. Tienes secretos; nosotros no. Por qué nuestro formato de datos es público Por supuesto, no puedo pensar en muchas maneras mejores de mostrar qué tan bien 1Password protege sus datos que enfrentando a la herramienta preeminente de descifrado de contraseñas `hashcat`: los crackers informan buenas noticias para 1Password 4.
- 1Password es el único administrador de contraseñas que ha ganado un premio de diseño. Como dijo una vez Steve Jobs: “La gente piensa que es esta chapa: que los diseñadores reciben esta caja y dicen, ‘¡Haz que se vea bien!’ Eso no es lo que pensamos que es el diseño. No es solo lo que parece y se siente. El diseño es la forma en que funciona “. 1Password es ganador del Ars Design Award.
- 1Password se integra directamente con todos los principales navegadores. Safari, Chrome, Firefox, Opera e Internet Explorer son compatibles en el escritorio. En iOS, 1Password incluso completa las aplicaciones de Safari y de iOS que tienen soporte adicional para la extensión de 1Password. Esto no solo simplifica mucho su vida, sino que también mantiene los datos confidenciales fuera del portapapeles. Se completa de forma segura con su aprobación explícita. En Mac, por ejemplo, Command- \ lo conectará a cualquier sitio web para el que haya guardado un inicio de sesión, seguro y conveniente.
- 1Password se sincroniza con Mac, Windows, iOS, Android. Usar contraseñas únicas y fuertes que no puedas recordar no es bueno si no tienes acceso a ellas.
- 1Password proporciona una opción para usar su propia red Wi-Fi privada para sincronizar. Puede sincronizar sin usar un servicio en la nube como Dropbox o iCloud. Ningún dato sale de su propia red local. De nuevo, usted tiene el control de sus propios datos. (Puede estar detectando un tema aquí).
- 1Password no cobra tarifas mensuales ni anuales. Una vez que tenga una licencia de Windows, por ejemplo, puede usarla en todas las PC que pueda pagar. Del mismo modo para Mac, etc.
- 1Password admite numerosos formatos de importación y le permite exportar todos sus datos a CSV estándar o nuestro propio formato de intercambio de 1Password en cualquier momento. Creemos que le gustará 1Password lo suficiente como para que no necesitemos encerrarlo artificialmente. Queremos que los usuarios felices no queden atrapados.
Pero antes de que esto se convierta en nada más que un argumento de venta, permítanme compartir algunos consejos para evaluar los administradores de contraseñas. Esto te será útil incluso si no terminas eligiendo 1Password. Puede verificar la seguridad de una aplicación estudiando los datos que es (1) lectura / escritura y (2) envío / recepción. Primero, echemos un vistazo a este último.
Uno no puede compartir accidentalmente lo que uno no tiene
Los datos que envía y recibe cualquier aplicación son bastante fáciles de controlar. Algunas aplicaciones incluso proporcionan una guía que resume toda la actividad de red que puede esperar de la aplicación. Para una aplicación que no requiere que inicie sesión en un servicio en línea, la actividad de la red puede ser completamente opcional.
En ese caso, una aplicación que no requiere una conexión de red puede funcionar completamente al mantener su datos cifrados y almacenados en sus dispositivos. Si la empresa que hace la aplicación no tiene ninguno de sus datos de ninguna forma, usted obtiene los dos grandes beneficios que mencioné anteriormente:
- Si no tienen ninguno de sus datos, no pueden perderlo, usarlo o abusar de él, incluso si fueron (obligados a ser) malvados.
- Tal arquitectura de seguridad puede significar que no tienen un sistema de autenticación para defender. Sus datos pueden protegerse a través de un sistema de solo cifrado, sin ninguna de las amenazas que enfrentan los sistemas basados en autenticación.
¿El producto, servicio o aplicación que está evaluando tiene una copia de sus datos ? ¿Necesita autenticarse en un servicio para acceder a sus datos? Estas son algunas buenas preguntas para hacer.
Ahora no tiene que preocuparse de que alguien “se vuelva malvado” para que esa distinción importe. Si alguien tiene la capacidad de hacer daño, puede hacerlo por accidente. Si alguien no tiene la capacidad de hacer daño, entonces no podrían hacerlo ni por accidente.
Sin secretos, salvo los tuyos
“Un criptosistema debe ser seguro incluso si todo lo relacionado con el sistema, excepto la clave, es de conocimiento público”. – Principio de Kerckhoff
Los datos que una aplicación lee y escribe son críticos para su función. ¿Su formato de datos está documentado públicamente? ¿Ha sido publicado para beneficiarse del escrutinio de expertos públicos? Si bien un individuo puede no tener los conocimientos necesarios para analizar ese volumen, es importante que esté disponible para los expertos en seguridad que sí lo tienen.
Si tiene acceso al diseño del formato de datos, puede verificar que la aplicación utiliza implementaciones de biblioteca estándar confiables y confiables de funciones criptográficas. Los expertos en criptografía están de acuerdo: no es necesario rodar nuestra propia criptografía.
¿Qué medidas toma la aplicación para ralentizar los intentos de craqueo? ¿El desarrollador tiene una buena relación con la comunidad de seguridad? De hecho, ¿cómo ve la comunidad de cracking la aplicación?
Estas son solo algunas de las clases de preguntas que puede comenzar haciendo preguntas. Espero que eso te ayude a tomar una decisión informada. Manténgase seguro allí!
