La gestión de contraseñas es muy importante para mantener nuestros sistemas y cuentas seguros. Cada vez accedemos a más servicios y por tanto contamos con más contraseñas. Tener una sola contraseña maestra para todas las sesiones es un grave error, ya que si consiguen hackearla tendrán acceso a todas tus cuentas y sesiones. Por eso es recomendable tener una contraseña para cada servicio, pero esto dificulta recordarlas todas…
Usar contraseñas fuertes, con más de 8 caracteres y combinando números, letras minúsculas, letras mayúsculas y símbolos es lo mejor. Además, estas no debe ser fechas señaladas, nombres de mascotas, equipos de fútbol favoritos o cosas así, ya que pueden ser averiguadas por ingeniería social de forma sencilla. Tampoco es una buena práctica apuntarlas en una nota bajo el teclado o junto al monitor como algunos hace, puesto que pueden ser vistas por terceros.
Estas nuevas medidas hacen que sea difícil gestionarlas y recordarlas de forma segura. Por eso, contar con proyectos como Keepass es de gran ayuda. Por eso hemos dedicado este post a descrifrar sus claves, enseñarte su manejo y que puedas entender los pros y contras de utilizar este software para la seguridad.
Ventajas e inconvenientes:
KeePassX, como ya saben es un gestor de contraseñas multiplataforma, open source y cifrado. Lo que hace KeepassX es almacenar las contraseñas de manera segura para que no tengas que recordarlas. Lo hace en forma de pares: usuario-contraseña, para un control óptimo de este tipo de sesiones. Con una contraseña maestra puedes acceder a la aplicación, generar los ficheros cifrados con tus contraseñas, guardarlos en un directorio compartido o enviarlas por email si lo necesitas.
Esta ventaja puede transformarse en una desventaja, ya que si almacena tus contraseñas puede ser un buen foco donde centrar un ataque para tratar de sacar la contraseña maestra y poder tener las contraseñas de todas las sesiones de un usuario concreto. A veces los medios analógicos pueden ser los más seguros por muy avanzados que sean los digitales. Con esto no me refiero a escribirlo bajo el teclado o pegar un post-it junto al monitor de tu equipo…
Por otro lado tenemos otra virtud y es su cifrado para poder compartir las contraseñas y usarlas desde donde queramos de forma segura. Te permite elegir si su cifrado se basará en el algoritmo de cifrado AES o Twofish con una llave de 256 bits. Pero muchos dicen que lo único seguro es un equipo desconectado de cualquier red y aislado de presencias de terceros.
Aunque AES y Twofish sean dos algoritmos bastante fiables, no son infalibles. No se conocen ataques eficientes para sacar claves por fuerza bruta de Twofish, pero eso no quiere decir que no los haya o que no los habrá. Por otro lado, AES, fue adoptado como estándar por el gobierno de Estados Unidos y es ampliamente usado por muchos sistemas, pero la NSA declaró que es suficientemente seguro (al no haberse detectado ataques eficientes), aunque no lo recomiendan para cifrar documentos clasificados del gobierno, además de sospechar de posibles debilidades en llaves de 128 bits (aunque Keepass use de 256bits).
Como digo, ambos algoritmos son bastante fiables, pero existen algunas sospechas sobre su fortaleza. No obstante, a no ser que seas un blanco muy jugoso e interesante, podrás estar bastante seguro con este cifrado, ya que no muchos querrán perder el tiempo para sacar su contraseña para acceder a datos con poco valor. No obstante recuerda que hay algunos ataques que implican métodos más directos que los ataques por fuerza bruta, por diccionario, tablas Rainbow, etc., como por ejemplo la ingeniería social de la que hablamos…
Para añadir más datos, una alternativa que analizaremos más abajo llamada LastPass, ha sido hacekada. Sus desarrolladores han tenido que informar sobre actividades sospechosas que retenían información de los usuarios de este gestor de contraseñas. Y eso es el gran problema de guardar todas las contraseñas en un mismo lugar… Si guardas tus llaves de casa, garaje, negocio, coche en un llavero, un solo acceso a este llavero le daría vía libre para acceder a tu casa, negocio, garaje y llevarse tu coche. Con las contraseñas ocurre igual.
Tutorial:
KeepassX es una versión de Keepass Password Safe, una herramienta inicialmente creada para sistemas operativos Microsoft Windows, pero que ha sido portada para otros sistemas operativos. La X final identifica a la versión para Linux, pero también puede ser instalado en iOS, Android, Mac OS X y Windows Phone. Aunque estas versiones sean “no-oficiales”, funcionan como el original e incluso se han creado programas para BlackBerry (KeepassB), Sailfish OS (ownKeepass), Chrome OS (CKP), para usuarios del navegador Firefox de Mozilla (KeepFox), etc.
Para instalar KeepassX en nuesatra distro y poder usarla podemos seguir esta guía paso a paso:
- Lo primero que debemos hacer es descargar KeepassX.
- Como has podido comprobar es un tarball con el código fuente. Ahora debemos desempaquetarlo y compilarlo para su instalación. Para ello puedes teclear en el terminal esto. Por ejemplo para la versión 0.4.3 que he descargado en la carpeta Descargas de mi distro:
tar xzvf KeePassX-0.4.3.tar.gz
cd keepassx-{version}
qmake-qt4
o también puede ser (dependiendo de tu distribución):
qmake
make
make install
Si ves que no surte efecto este último comando, prueba:
sudo make install
- Ya podemos comenzar a usar KeepassX. KeepassX trabajará con bases de datos que es donde se guardan las contraseñas cifradas de usuarios en nuestro disco duro. Para cifrar las contraseñas podemos usar una contraseña maestra y/o archivos de claves. Llegados a este punto debemos recordar que no podemos olvidar nuestra contraseña maestra, ya que no podremos acceder al resto de contraseñas y que ésta debe ser fuerte para que no deje expuestas al resto de tus contraseñas. Si optas por un archivo de claves, este actua igual que la contraseña maestra, ya que debes proporcionar este archivo a KeepassX para que descifre las contraseñas. Puedes tenerlo en un pendrive o cualquier medio externo que solo tengas tú, ya que si lo almacenas localmente podría suponer un riesgo si alguien tiene acceso a tu equipo. Y sobre todo asegurate de que no sea modificado, ya que no servirá…
- Para comenzar a almacenar contraseñas, abre KeePassX y selecciona “Nueva base de datos” en el menú Archivo. Se abre un diálogo pidiéndote el archivo de contraseñas o la contraseña maestra. Introducelo/a y verificalo según tu elección.
- Ahora ya tenemos nuestra base de datos para contraseñas creada. Debemos seleccionar en el menú Archivo la opción “Guardar base de datos“. Este archivo de base de datos puede ser movido a otro equipo o medio externo y podrás acceder a él con KeepassX y la contraseña maestra o archivo de contraseñas.
- Podemos crear y organizar nuestras contraseñas por Grupos. KeepassX las creará, eliminará o editará desde el menú Grupos o también haciendo clic derecho en el grupo del panel izquierdo.
- Desde “Crear Nueva Entrada” podemos añadir una nueva contraseña. Te pedirá un título descriptivo para identificar a qué contraseña se corresponde, el nombre de usuario, y la contraseña. Si Aceptamos, se guardará la contraseña en el grupo seleccionado.
- Una vez creada se puede editar para modificarla o eliminarla si es necesario, para ello, pulsa sobre la nueva entrada con el botón derecho del ratón o touchpad y selecciona la opción correspondiente a lo que deseas hacer. .
Alternativas a Keepass:
LastPass
Existen varias alternativas para Keepass para otros sistemas operativos, pero para Linux el número de variantes se reduce. Una de las alternativas más interesantes para KeepassX es LastPass. LastPass puede instalarse en varias plataformas, además está disponible un complemento para los navegadores Chrome de Google, Mozilla Firefox y Opera.
LastPass gestiona las contraseñas en la nube, y su funcionamiento es igual a KeepassX, en el que solo necesitas recordar una contraseña maestra para realizar la gestión del resto de contraseñas. Las contraseñas serán cifradas localmente y sincronizadas a los navegadores soportados para tener acceso a las cuentas.
LastPass tiene una versión gratuita que funciona bastante bien, aunque la versión de pago tiene ciertas ventajas frente a esta. El precio del servicio es de 1 dólar al mes, así accederás a nuevas funcionalidades de la versión Premium.
Encryptr
Otra alternativa es otra alternativa a LastPass y Keepass. Encryptr es un gestor de contraseñas basado en la nube. Está disponible para varias plataformas, entre ellas Android y para las distribuciones Linux. En este caso se trata de una alternativa totalmente gratuita y libre, algo que no ocurre con LastPass.
Encryptr cifra y descifra las contraseñas de forma local con una contraseña maestra, por tanto su comportamiento es igual al de sus hermanos descritos anteriormente. La información encriptada puede ser almacenada en la nube y sincronizada entre tu dispositivo y ésta para disponer siempre de las contraseñas estés donde estés.
No olvides comentar, dejar tus dudas, críticas o sugerencias…
El artículo Tutorial sobre Keepass: tu gestor de contraseñas ha sido originalmente publicado en Linux Adictos.
from Linux Adictos http://ift.tt/1XRTjgq
via IFTTT
