Gestores de contraseñas: Parte 1 — ¿Por qué los necesita una empresa?

Incluso en una empresa pequeña hay decenas de cuentas: correo, servicios en la nube, sistema CRM, cuentas publicitarias, cliente bancario, paneles de hosting y del registrador de dominios. Cuando hay muchas contraseñas, la gente se lo hace más fácil: inventan contraseñas cortas, usan la misma contraseña en varios servicios, las anotan en hojas de cálculo y en mensajería. Precisamente así suelen producirse la mayoría de los hackeos.

¿Cuál es el problema?

• Reutilización de contraseñas. Las bases de usuarios y contraseñas filtradas de un servicio son comprobadas automáticamente por los atacantes en otros. Si la contraseña se repite, hackear un sitio abre el acceso a todos los demás.
• Contraseñas débiles. Es imposible memorizar decenas de contraseñas largas y aleatorias, por eso la gente elige contraseñas simples y previsibles.
• Contraseñas en texto claro. Una hoja con accesos en un disco compartido o un mensaje en el chat de trabajo son visibles para todos los que tienen acceso a ese disco o chat, y permanecen allí durante años.
• Accesos incontrolados. Nadie sabe con precisión qué empleados y contratistas tienen la contraseña de qué servicio.

Qué es un gestor de contraseñas

Un gestor de contraseñas es un programa o servicio que almacena las credenciales en un almacén cifrado. Para acceder al almacén se necesita una contraseña maestra. En los gestores populares los datos se cifran en el dispositivo del usuario, y el servidor recibe ya una copia cifrada, por lo que el proveedor no puede leer el contenido del almacén. Este esquema tiene una contrapartida: la contraseña maestra olvidada no se puede recuperar si no se ha configurado previamente un mecanismo de recuperación.

Funcionalidades principales

• Generación de contraseñas. Para cada servicio se crea una contraseña larga y aleatoria distinta.
• Autocompletado. Usuario y contraseña se rellenan en el sitio o la aplicación; no es necesario recordar ni copiar la contraseña.
• Sincronización entre dispositivos. El almacén está disponible en el ordenador, el teléfono y el navegador.
• Códigos de autenticación de dos factores. Muchos gestores pueden generar códigos de un solo uso (TOTP) para servicios con autenticación en dos factores.
• Comprobación de contraseñas. El gestor muestra contraseñas débiles, repetidas y que han aparecido en filtraciones conocidas.
• Notas seguras. En el almacén se pueden guardar claves API, datos de tarjetas bancarias y otros secretos.

Gestor de contraseñas en la empresa

Accesos compartidos

En los gestores corporativos las entradas se agrupan en colecciones o carpetas compartidas, y se conceden accesos a empleados y grupos. Por ejemplo, el responsable de marketing obtiene acceso a las cuentas publicitarias de ВКонтакте y Яндекс Директ, el contable — al cliente bancario y al portal fiscal, el desarrollador — a los paneles de hosting. Las contraseñas ya no se reenvían por chats, y el administrador ve la lista de accesos de cada empleado.

Contraseñas ocultas

Algunos gestores permiten conceder acceso de modo que el empleado pueda iniciar sesión en el servicio mediante autocompletado, pero no vea la contraseña dentro del gestor. Es recomendable usar esta función, pero entender sus límites. Como escriben en Bitwarden, esto no es una frontera de seguridad completa: al autocompletar la contraseña se transmite al navegador y, tras insertarse, puede verse en el campo de entrada del sitio. Ocultar la contraseña reduce las filtraciones accidentales, pero no protege frente a un empleado que quiera conocerla.

Despido de un empleado

El gestor de contraseñas facilita notablemente revocar accesos: se elimina al empleado de la organización y pierde acceso a todas las entradas compartidas de inmediato. Sin embargo, las contraseñas que había visto o que pudo obtener mediante autocompletado deben cambiarse después. El gestor muestra la lista de esos servicios por las colecciones a las que el empleado tenía acceso, por lo que cambiar las contraseñas se convierte en una tarea clara y acotada.

Registro de actividad

En las tarifas corporativas los gestores mantienen un registro de eventos: quién abrió, modificó o exportó entradas. Esto ayuda a investigar incidentes y comprobar que los accesos se usan según lo previsto.

Cómo implantar un gestor de contraseñas

1. Hagan un inventario de las cuentas de la empresa. Servicios, propietarios, quién los usa y dónde se almacena la contraseña actualmente.
2. Elijan una solución. Un servicio en la nube es más fácil de poner en marcha; un servidor propio ofrece más control sobre los datos, pero requiere administración. Para las empresas rusas es importante tener en cuenta también el método de pago: no se puede pagar un servicio extranjero con una tarjeta de un banco ruso.
3. Diseñen la estructura. Colecciones por departamentos o proyectos, grupos de empleados, permisos de visualización y modificación.
4. Protejan el acceso al propio gestor. Contraseña maestra larga y autenticación de dos factores obligatoria para todos los empleados.
5. Configuren la recuperación de acceso. Decidan de antemano qué pasará si un empleado olvida la contraseña maestra: en las tarifas corporativas para esto existe recuperación a través del administrador o acceso de una persona de confianza.
6. Trasladen las contraseñas. La mayoría de gestores importa datos desde navegadores y otros gestores. Tras la importación eliminen los archivos exportados: en ellos las contraseñas están en texto claro.
7. Cambien las contraseñas débiles y repetidas según el informe del gestor, empezando por el correo, el banco y los paneles de control.
8. Establezcan el procedimiento de trabajo. Los nuevos accesos se crean solo en el gestor; al despedir a un empleado — eliminación de la organización y cambio de contraseñas según sus colecciones.

Errores típicos

• Contraseña maestra débil o ausencia de autenticación de dos factores en el propio gestor: se convierte en un único punto de fallo.
• Falta de un plan de recuperación. Un empleado olvida la contraseña maestra y se pierde el acceso a los datos.
• Confiar en contraseñas ocultas en lugar de cambiar las contraseñas al dejar un empleado la empresa.
• Exportar contraseñas a un archivo que quedó en el disco o en el correo tras la migración.
• Almacenamiento paralelo de contraseñas en hojas de cálculo y chats. Si el gestor no se convierte en el único lugar de almacenamiento, no resuelve el problema.

En la nube o servidor propio

Los gestores de contraseñas se dividen en servicios en la nube, donde el proveedor aloja el almacén, y soluciones que se pueden desplegar en un servidor propio. La opción en la nube no requiere administración; un servidor propio mantiene los datos dentro de la empresa y no depende de la posibilidad de pagar una suscripción en el extranjero.

Cómo encaja un gestor de contraseñas en el modelo general de protección de secretos de la empresa: Secretos y zero trust: Parte 1 — Modelo de amenazas y principios.