gestor de contraseñas

Cuando se cifra una bóveda de contraseñas, su clave se deriva comúnmente de la contraseña principal. ^{[ 1 ]} Un atacante que obtiene una bóveda cifrada puede probar conjeturas de la contraseña principal sin contactar al servicio del gestor de contraseñas. Por lo tanto, los gestores de contraseñas utilizan funciones de derivación de clave deliberadamente lentas, que convierten la contraseña principal en una clave de cifrado, haciendo que cada intento sea más costoso. ^{[ 21 ]} Algunos gestores de contraseñas dejan partes sin cifrar de los metadatos de la bóveda, como direcciones de sitios web, nombres de usuario, información de uso de la cuenta o configuraciones de seguridad. ^{[ 1 ]} Si una bóveda no verifica completamente si sus registros y metadatos han sido modificados, un atacante puede alterarlos o reorganizarlos sin ser detectado. ^{[ 3 ]} Una evaluación de 2020 de 13 gestores de contraseñas encontró que muchos problemas identificados en estudios anteriores se habían abordado, pero aún se identificaron metadatos sin cifrar, valores predeterminados inseguros y vulnerabilidades de clickjacking. ^{[ 1 ]}

Los gestores de contraseñas normalmente asocian una credencial almacenada con un sitio web y pueden retenerla cuando la dirección actual no coincide con la dirección guardada. ^{[ 20 ]} El autocompletado puede exponer una contraseña a código malicioso que se ejecuta en una página de inicio de sesión comprometida sin que el usuario tenga que seleccionar la credencial. ^{[ 1 ]} En una evaluación de 2014, 6 de los 10 gestores de contraseñas probados insertaron credenciales en elementos ocultos de la página llamados marcos invisibles durante un ataque realizado a través de una red hostil. ^{[ 16 ]} El mismo trabajo encontró que exigir al usuario que inicie el autocompletado redujo la exposición a ataques que dependían de la recopilación silenciosa de varias credenciales. ^{[ 16 ]}

La interfaz de desbloqueo de una extensión de navegador de gestor de contraseñas también puede ser imitada por un sitio web malicioso. ^{[ 20 ]} En una simulación de phishing de 2025 con 29.809 participantes, el 31,25 % de los usuarios detectados de 4 gestores de contraseñas de terceros introdujeron su contraseña principal en una interfaz de extensión falsa. ^{[ 20 ]} Una contraseña principal robada puede dar a un atacante acceso a las credenciales almacenadas a menos que el gestor de contraseñas esté protegido por la autenticación multifactor resistente al phishing. ^{[ 20 ]}

Los ataques contra el cliente de un gestor de contraseñas pueden utilizar un sitio web malicioso, una aplicación que se ejecuta en el mismo dispositivo o una red hostil que altera páginas u observa el tráfico. ^{[ 21 ]} Las vulnerabilidades en las interfaces de las extensiones del navegador han permitido ataques de autocompletado y clickjacking , ^{[ 1 ]} en los que una página engañosa hace que el usuario interactúe con un elemento de la interfaz que está oculto o disfrazado. Estos ataques del lado del cliente y de la red utilizan un modelo de amenaza diferente al de los ataques en los que un adversario obtiene una copia cifrada de la bóveda. ^{[ 21 ]}

Los gestores de contraseñas basados ​​en la nube suelen describir su cifrado del lado del cliente como "cifrado de conocimiento cero". En este uso, el proveedor no pretende conocer el contenido en texto plano de una bóveda almacenada. ^{[ 3 ]} El término no tiene una definición técnica fija y no indica por sí solo cómo se comporta el servicio si su servidor es comprometido o actúa de forma maliciosa. ^{[ 3 ]} Un análisis de 2026 identificó 25 ataques contra Bitwarden, LastPass y Dashlane bajo ese modelo de amenaza, con hallazgos adicionales para 1Password. ^{[ 3 ]} Los ataques explotaron vulnerabilidades en la recuperación de cuentas y bóvedas compartidas, claves que no habían sido autenticadas, comprobaciones incompletas de cambios en toda una bóveda y compatibilidad continua con formatos de cifrado antiguos. ^{[ 3 ]}

Una evaluación de 2024 reveló que los registros proporcionados por un atacante podían afectar los informes de seguridad de contraseñas, las solicitudes de iconos de sitios web, el tamaño de los datos comprimidos de la bóveda o el manejo de archivos adjuntos duplicados. En los 10 gestores de contraseñas probados, estos efectos podían revelar contraseñas, nombres de usuario, direcciones de sitios web o archivos adjuntos. ^{[ 21 ]} Muchos de los proveedores afectados implementaron cambios tras la divulgación, aunque las correcciones abordaron las vías de ataque específicas en lugar de proporcionar una defensa general contra todos los ataques de inyección. ^{[ 21 ]}

La seguridad de una contraseña generada depende de la aleatoriedad del generador y del número de posibles resultados permitidos por la longitud y el conjunto de caracteres seleccionados. ^{[ 1 ]} Una evaluación de 2020 generó 147 millones de contraseñas y descubrió que algunos resultados cortos de los gestores de contraseñas probados eran más vulnerables a ser adivinados de lo que sugería su longitud aparente. ^{[ 1 ]}

Una vulnerabilidad detectada en Kaspersky Password Manager utilizaba la hora del sistema para inicializar un generador de números pseudoaleatorios que no estaba diseñado para uso criptográfico. ^{[ 22 ]} Por lo tanto, las instancias afectadas de Kaspersky Password Manager que se ejecutaban durante el mismo segundo podían generar la misma contraseña, y conocer la hora aproximada de creación reducía el número de contraseñas que un atacante tenía que probar. ^{[ 23 ]} Kaspersky comenzó a publicar correcciones en 2019 y posteriormente advirtió a los usuarios que reemplazaran las contraseñas que pudieran haber sido generadas por las versiones afectadas. ^{[ 22 ]}

Un estudio de entrevistas de 2019 con 30 usuarios y no usuarios de gestores de contraseñas reveló que quienes dependían de herramientas integradas en navegadores o sistemas operativos a menudo se sentían atraídos por ellas por su conveniencia, mientras que los usuarios que habían instalado un gestor de contraseñas independiente citaban con mayor frecuencia la seguridad como motivo para hacerlo. ^{[ 24 ]} Entre las razones para no adoptar un gestor de contraseñas independiente se incluían el conocimiento limitado, las dudas sobre su seguridad, la creencia de que muy pocas contraseñas importantes necesitaban protección y la reticencia a depender de contraseñas que el usuario no podía recordar. ^{[ 24 ]} Algunos participantes desconocían si las solicitudes para guardar contraseñas provenían del navegador, del sitio web o del sistema operativo , y no estaban seguros de dónde se almacenaban las contraseñas guardadas ni si el proveedor podía leerlas. ^{[ 24 ]}

Un estudio de entrevistas realizado en 2021 examinó a 26 adultos mayores de 60 años, cuya edad promedio era de 70,4 años. ^{[ 25 ]} Los participantes expresaron preocupación por el almacenamiento en la nube, la sincronización entre dispositivos, la pérdida de control sobre la información privada y las consecuencias de mantener muchas contraseñas detrás de un único punto de acceso. ^{[ 25 ]} Las recomendaciones y la ayuda práctica de familiares o amigos cercanos desempeñaron un papel importante en la adopción entre los participantes mayores. ^{[ 25 ]}

En un estudio longitudinal de un mes, con un seguimiento al final del período de licencia de tres meses de un gestor de contraseñas comercial, 37 usuarios nuevos completaron la configuración, pero el 42 % dejó de usar el gestor entre la primera y la cuarta semana. ^{[ 26 ]} Quienes dejaron de usarlo le dieron calificaciones de usabilidad más bajas durante la primera semana que quienes continuaron. ^{[ 26 ]} La confianza en el gestor aumentó durante el ensayo, pero las calificaciones de usabilidad de los participantes no mejoraron con el tiempo. ^{[ 26 ]}

Los participantes a menudo encontraban frustrante ingresar repetidamente su contraseña principal. ^{[ 26 ]} Cuando se les preguntó cómo habían creado su contraseña principal, el 44% de las respuestas describieron la reutilización total o parcial de una contraseña existente o información personal. ^{[ 26 ]} Muchos también dejaron sin cambios contraseñas débiles o reutilizadas previamente almacenadas, a pesar de que casi el 80% tenía credenciales marcadas por la función de auditoría del administrador de contraseñas y veía la pantalla de auditoría cada semana. ^{[ 26 ]} En entrevistas realizadas en 2019, los usuarios comúnmente movieron contraseñas existentes a un administrador de contraseñas sin reemplazarlas todas a la vez, y luego las cambiaron gradualmente a medida que usaban las cuentas. ^{[ 24 ]}

Los problemas de compatibilidad pueden interrumpir el registro o el inicio de sesión cuando un gestor de contraseñas no ofrece la generación de contraseñas, guarda o completa una credencial incorrectamente, o genera una contraseña que el sitio web rechaza. ^{[ 27 ]}

El uso de un gestor de contraseñas no garantiza por sí solo que las contraseñas almacenadas sean seguras o únicas; el resultado depende de si el usuario emplea la generación, el almacenamiento y la introducción como un único proceso. ^{[ 28 ]} Un estudio de 2018 que combinó una encuesta a 476 participantes con mediciones del navegador de 170 de ellos encontró contraseñas más seguras y menos reutilizadas cuando el soporte técnico comenzaba en la creación de la contraseña en lugar de simplemente almacenar las credenciales que los usuarios ya habían elegido. ^{[ 28 ]} En esa muestra, las contraseñas introducidas manualmente y las completadas por Chrome fueron únicas en un 20 a 25 % de los casos, en comparación con un 53 a 78 % para las contraseñas introducidas a través de LastPass o mediante copiar y pegar. ^{[ 28 ]}

La forma en que un gestor de contraseñas presenta la generación de contraseñas puede afectar si los usuarios aceptan su sugerencia. ^{[ 29 ]} En un experimento con 558 participantes, la solicitud de Safari condujo a un uso significativamente mayor de contraseñas generadas que las solicitudes probadas en Chrome y Firefox. ^{[ 29 ]} La aceptación también se asoció con si los participantes notaron la solicitud y si habían usado previamente un gestor de contraseñas o una contraseña generada. ^{[ 29 ]}

En un sitio web, un gestor de contraseñas debe distinguir los campos para nombres de usuario, contraseñas existentes y contraseñas recién creadas antes de poder guardar o completar las credenciales correctas. ^{[ 33 ]} El autocompleteatributo HTML proporciona los valores username, current-password, y new-passwordpara identificar el uso previsto de cada campo. ^{[ 34 ]} El uso de formularios HTML estándar, tipos de entrada apropiados y estos nombres de campo ayuda a los gestores de contraseñas a reconocer cuándo generar, guardar, actualizar o completar las credenciales. ^{[ 33 ]}

Los gestores de contraseñas aún pueden fallar cuando un sitio web utiliza formularios no estándar, etiqueta campos incorrectamente o impone reglas de contraseña que no coinciden con las contraseñas generadas por el gestor. ^{[ 27 ]} Las pruebas realizadas entre junio y diciembre de 2022 encontraron problemas de registro o inicio de sesión con Chrome, Safari, Bitwarden y Keeper en más de una cuarta parte de los 61 sitios web para los que los investigadores completaron las pruebas. ^{[ 27 ]} De los 60 sitios web en los que se generaron contraseñas, 19 rechazaron una contraseña de al menos uno de los 4 gestores de contraseñas debido a requisitos de longitud, símbolos o combinaciones de caracteres. ^{[ 27 ]}

Algunos sitios web han intentado impedir el uso de gestores de contraseñas deshabilitando las operaciones de pegar o indicando a los navegadores que no guarden ni rellenen los campos de inicio de sesión. ^{[ 35 ]} En 2015, British Gas colocó una restricción onpaste="return false"en un campo de contraseña y declaró que había optado por no admitir gestores de contraseñas; posteriormente dijo que revisaría la política tras las críticas. ^{[ 35 ]} Las comprobaciones también encontraron restricciones de pegado en los formularios de registro o contraseña operados por T-Mobile , Barclaycard y Western Union , aunque T-Mobile dijo que su restricción no fue intencionada y posteriormente la eliminó. ^{[ 36 ]}

Un sitio web puede configurar autocomplete="off"un formulario o campo para solicitar que los datos ingresados ​​no se conserven, pero muchos navegadores modernos ignoran ese valor para los campos de nombre de usuario y contraseña. ^{[ 37 ]} El valor sigue siendo útil para campos cuyo contenido no debe conservarse, mientras que new-passwordpuede identificar un campo destinado a una contraseña recién asignada en lugar de la actual del usuario. ^{[ 37 ]}

Las directrices actuales del Instituto Nacional de Estándares y Tecnología (NIST) exigen que los servicios que verifican contraseñas permitan el uso de gestores de contraseñas y autocompletado, y recomiendan permitir pegar contraseñas cuando no haya una interfaz de autocompletado disponible. ^{[ 19 ]} OWASP , el Proyecto Abierto Mundial de Seguridad de Aplicaciones, también recomienda campos estándar de nombre de usuario y contraseña en HTML, compatibilidad con caracteres imprimibles y contraseñas suficientemente largas, y la posibilidad de pegar en campos de contraseña y autenticación multifactor. ^{[ 38 ]}

En Android 8 y versiones posteriores se incluye un marco de autocompletado que permite a las aplicaciones solicitar credenciales guardadas y otros datos de servicios como gestores de contraseñas. ^{[ 39 ]} Las aplicaciones pueden marcar sus campos de nombre de usuario y contraseña para que los proveedores de credenciales instalados puedan ofrecer credenciales guardadas coincidentes. ^{[ 40 ]}

La función de autocompletar contraseñas de Apple utiliza una asociación verificada entre una aplicación y un sitio web. Los desarrolladores configuran la asociación mediante los permisos de dominios asociados de la aplicación y los datos correspondientes publicados por el sitio web. ^{[ 41 ]} Las credenciales sugeridas dentro de una aplicación se limitan a sus dominios asociados, mientras que otros registros guardados permanecen disponibles a través de la interfaz de credenciales del sistema. ^{[ 42 ]} Los desarrolladores de aplicaciones pueden etiquetar los campos de texto según su contenido previsto para que el sistema ofrezca los registros de nombre de usuario o contraseña adecuados. ^{[ 43 ]}