Archive for Seguridad Informática

October 9th 2019

Simjacker: un ataque mediante la SIM

Número de lecturas: 210
{lang: 'es-419'}

Simjacker: vigilancia de teléfonos basada en la SIM.

Hace poco los expertos de AdaptiveMobile Security descubrieron un método de ataque en teléfonos móviles que se puede llevar a cabo utilizando una computadora normal y un módem USB barato. Mientras que algunos métodos antiguos para la vigilancia de teléfonos móviles requerían un equipo especial y una licencia operativa de telecomunicaciones, este ataque, llamado Simjacker, se aprovecha de una vulnerabilidad encontrada en las tarjetas SIM.

Todo se debe a S@T Browser

La mayoría de las tarjetas SIM que se han puesto a la venta desde principios del 2000, incluidas las eSIM, incluyen un menú sobre el operador. Este menú ofrece información sobre el saldo, opción de recarga, soporte técnico y, a veces, funciones adicionales como el tiempo o, incluso, el horóscopo. En los teléfonos antiguos aparece en el menú principal. Por su parte, iOS lo esconde en los ajustes (en Aplicaciones SIM) y en los teléfonos Android se trata de una aplicación llamada SIM Toolkit.

El menú es básicamente una aplicación (en concreto, varias aplicaciones con el nombre SIM ToolKit [STK]), pero estos programas no se ejecutan en el mismo teléfono, sino en la tarjeta SIM. Recuerda que tu tarjeta SIM es una computadora diminuta con sistema operativo y programa propios. STK responde a comandos externos, por ejemplo, al presionar un botón del menú del operador, y hace que el teléfono ejecute ciertas acciones, como enviar mensaje SMS o comandos USSD.

Una de las aplicaciones que incluye el STK se llama S@T Browser y se utiliza para ver páginas web de un cierto formato y páginas ubicadas en la red interna de la operadora. Por ejemplo, S@T Browser puede suministrar información sobre el saldo de tu cuenta.

La aplicación S@T Browser no se ha actualizado desde el 2009 y, aunque en los dispositivos modernos sus funciones las ejecutan otros programas, S@T Browser se sigue usando de forma activa o, al menos, sigue instalada en muchas tarjetas SIM. Los investigadores no han mencionado las zonas geográficas ni las empresas de telecomunicación en concreto que venden tarjetas Sim con esta aplicación instalada, pero aseguran que hay más de mil millones de personas repartidas en no menos de 30 países que las utilizan, y es precisamente en S@T Browser donde se encuentra la vulnerabilidad de la que estamos hablando.

Los ataques Simjacker

El ataque comienza con un mensaje SMS que contiene una serie de instrucciones para la tarjeta SIM. Siguiendo estas instrucciones, la tarjeta SIM solicita al teléfono móvil su número de serie y el identificador de celular de la estación base en cuya zona de cobertura se encuentre el suscriptor y envía un SMS de respuesta con esta información al número del atacante.

Las coordenadas de las estaciones se conocen (e incluso están disponibles en línea), por lo que el identificador de celular se puede utilizar para determinar la ubicación de los suscriptores que se encuentren a menos de unos cien metros. Los servicios basados en la ubicación dependen del mismo principio para determinar la ubicación sin asistencia satelital, por ejemplo, en interiores o cuando el GPS esté desactivado.

El usuario no se percatará de ningún tipo de manipulación que se realice en la tarjeta SIM. Ni los mensajes SMS entrantes con comandos, ni las respuestas con los datos de la ubicación del dispositivo aparecen en la aplicación de mensajería, por lo que es muy probable que las víctimas de Simjacker ni siquiera sepan que alguien las está espiando.

¿A quién ha afectado Simjacker?

Según AdaptiveMobile Security, los espías han estado rastreando la ubicación de usuarios de varios países no especificados. Y en uno de esos países, terminaron comprometidos entre 100 y 150 números al día. Como norma general, estas solicitudes se suelen enviar solo una vez a la semana; no obstante, los movimientos de algunas víctimas están mucho más monitoreados. De hecho, el equipo de investigación descubrió que varios usuarios recibían cientos de SMS maliciosos a la semana.

Los ataques Simjacker pueden ir mucho más lejos

Los investigadores han descubierto que los cibercriminales no usaban todas las funciones que ofrecía S@T Browser en la tarjeta SIM. Por ejemplo, el SMS se puede utilizar para hacer que el teléfono llame a cualquier número, envíe mensajes con un texto aleatorio a números arbitrarios, abra enlaces en el navegador o, incluso, desactive la tarjeta SIM, dejando a la víctima sin teléfono.

Esta vulnerabilidad da lugar a posibles y numerosas situaciones de ataque, donde los criminales pueden transferir dinero por SMS a un número de cuenta, llamar a números de pago, abrir páginas de phishing en el navegador o descargar troyanos.

Esta vulnerabilidad es especialmente peligrosa porque no depende del dispositivo en el que se inserte la tarjeta SIM vulnerable, sino que el conjunto de comandos STK está estandarizado y es compatible con todos los teléfonos e, incluso, con los dispositivos IdC con SIM. Para algunas operaciones, como realizar una llamada, algunos dispositivos solicitan la confirmación del usuario, pero muchos otros, no.

¿Cómo puede un usuario evitar los ataques Simjacker?

Por desgracia, no existe ningún método independiente para que los usuarios eviten los ataques de tarjeta SIM. Es responsabilidad de las operadoras móviles garantizar la seguridad de sus clientes. Sobre todo, deberían evitar utilizar aplicaciones de menú de SIM desactualizadas, además de bloquear los códigos SMS que contengan comandos peligrosos.

Pero también hay buenas noticias. Aunque no se necesita ningún hardware caro para ejecutar el ataque, sí requiere amplios conocimientos técnicos y capacidades especiales, por lo que es poco probable que cualquier cibercriminal pueda utilizar este método.

Además, los investigadores notificaron al desarrollador S@T Browser, SIMalliance, sobre la vulnerabilidad y, como respuesta, la empresa expidió una serie de directrices de seguridad para los operadores que utilizan la aplicación. Los ataques Simjacker también se notificaron a la Asociación GSM, una organización internacional que representa los intereses de los operadores móviles de todo el mundo. Por tanto, se espera que las empresas tomen todas las medidas de protección necesarias en cuanto tengan la oportunidad.

Fuente:

kaspersky.com

September 9th 2019

Qué es y qué puedes hacer para evitar el ‘SIM swapping’, el ciberataque que causa estragos y que permite vaciar cuentas bancarias

Número de lecturas: 336
{lang: 'es-419'}

Si tu móvil deja de tener cobertura, ten miedo: un nuevo fraude telefónico conocido como ‘SIM swapping’ está siendo utilizado para que un ciberatacante duplique nuestro número de teléfono y utilice ese sistema para usurpar nuestra identidad, se autentiqie en nuestro banco y nos robe todo el dinero.

Ya hay víctimas de un fraude que ha sido utilizado para otros propósitos: a Jack Dorsey, cofundador de Twitter, le robaron su cuenta en el servicio con ese mismo sistema, lo que una vez más deja en evidencia la debilidad de mecanismos como el de los mensajes SMS para los sistemas de autenticación en dos pasos. Eran buena opción originalmente, pero como ya dijimos en el pasado, es mucho más recomendable utilizar aplicaciones independientes de autenticación, y no los SMS que cada vez son más vulnerables en este ámbito.

Cuidado, esta historia de terror te podría ocurrir a ti

En El País contaban recientemente un caso en el que un usuario se quedó sin cobertura repentinamente. Apagó el móvil, volvió a encenderlo y nada. Al volver a casa llamó a su operadora desde otro móvil, y resultó que alguien se había hecho pasar por él para solicitar un duplicado de su tarjeta SIM en una tienda de la operadora en otra ciudad.

Eso alertó al usuario, que fue rápidamente a comprobar su cuenta bancaria y detectó que estaba bloqueada. Su entidad había detectado movimientos extraños, miles de euros habían desaparecido y tenía un préstamo solicitado a su nombre por valor de 50.000 euros. Un verdadero desastre que según responsables de la Guardia Civil responde perfectamente a esa tendencia al alza de los casos de SIM swapping.

Ayer volvía a surgir un nuevo y preocupante caso de este tipo de casos: un usuario de Twitter, Otto Más (@Otto_Mas) relataba sucesos muy parecidos. Dejó de tener línea en su móvil con contrato de Vodafone y al volver a casa conectó el móvil a la WiFi y se dio cuenta de que “me habían vaciado mi cuenta corriente” en el Banco Santander.

Alguien había duplicado su línea móvil y con los SMS de confirmación había hecho diversas transferencias “sacando el dinero poco a poco”. Pudo cancelar las transferencias y bloquear la cuenta tras varias horas al teléfono con ellos, aunque se quejaba de la mala respuesta de su operadora, de la que criticaba las pocas medidas de seguridad que exigían para quien pedía un duplicado de tarjeta SIM.

Hay aquí dos problemas claros: en primer lugar, que pedir un duplicado de la SIM es relativamente sencillo. En segundo, que hace tiempo que el uso de los SMS como sistema para plantear la autenticación en dos pasos o de dos factores (2FA) es vulnerable a diversos ataques, y este es solo el último -pero probablemente el más preocupante- de todos ellos.

El SIM swapping permite suplantar la identidad de cualquiera, incluido el CEO de Twitter

Esta técnica permite burlar las medidas de seguridad que sitúan al móvil como instrumento de verificación de nuestra identidad, y eso es peligroso como hemos visto en el ámbito económico, sino también en otros muchos escenarios.

Se modestró estos días cuando el cofundador y CEO de Twitter, Jack Dorsey, sufrió un ataque similar que provocó que de repente en su cuenta de Twitter (@jack) aparecieran mensajes ofensivos y racistas que fueron posteriormente eliminados.

El problema se debió a esa suplantación de identidad que hizo que un operador de telefonía en Estados Unidos -no se especifica cuál- permitiera al atacante obtener un duplicado de la SIM de Dorsey, lo que a su vez permitió que este atacante usara la función de publicar en Twitter mediante mensajes SMS que fue una de las características originales del servicio.

Los mensajes ofensivos provocaron una reacción inmediata en Dorsey, que anunció que Twitter deshabilitaba el envío de mensajes a la plataforma a través de SMS.

La solución está en nuestras manos (pero también en la de las operadoras y los bancos)

Como decíamos anteriormente, el problema de este ciberataque es que tiene dos caras muy separadas, ambas con su propia solución interdependiente: si no se solucionan los dos, el problema seguirá presente.

También tienen deberes pendientes bancos, entidades financieras y cualquier otra plataforma que sigue usando los SMS como sistema de autenticación en dos pasos. Es un método popular y cómodo, pero como se ha visto es muy vulnerable desde hace ya tiempo, como apuntaba el experto en seguridad Bruce Schneier. Es por esta razón por la que todas estas empresas deberían erradicar el SMS de sus sistemas de autenticación en dos pasos y utilizar otras alternativas.

Entre las más recomendables ahora mismo están las aplicaciones de autenticación que sustituyen a los SMS y que se pueden instalar en nuestros móviles. Microsoft Authenticator, Google Authenticator o Authy están entre las más conocidas, y si podemos usarlas -la plataforma con la que trabajamos debe soportar esa opción- son mucho más seguras que la autenticación vía SMS.

Dsadas

Aún más interesantes son las llaves U2F (Universal 2nd Factor keys), un estándar abierto de autenticación que hace uso de llaves físicas y que tiene como última implementación el estándar FIDO2. Fabricantes como Yubico son muy conocidos por estas soluciones, pero incluso Google se quiso introducir recientemente en este segmento con sus Titan Security Keys, aunque recientemente anunció que un teléfono Android podía convertirse también en una llave de seguridad.

Fuente:

xataka.com

March 27th 2019

Por qué iOS no tiene antivirus

Número de lecturas: 1722
{lang: 'es-419'}

Puede sonar raro que Kaspersky Lab no ofrezca una aplicación antivirus para iOS, pero hay una buena explicación: Apple no admite aplicaciones antivirus en la App Store, ya que afirma que “Apple diseñó la plataforma iOS con un núcleo muy seguro” y, por tanto, su sistema operativo no necesita antivirus.

Parece arrogante, pero no es una estrategia de marketing absurda: iOS está realmente diseñado para ser muy seguro. Las aplicaciones iOS se ejecutan en sus propios sandbox, ambientes seguros que aíslan las aplicaciones y las mantienen alejadas de los datos de otras y evitan que corrompan archivos del sistema operativo. En iOS, una aplicación no será capaz de robar o comprometer nada, ya que no podrá salir de su propio sandbox, donde solo se almacenan y se procesan sus propios datos. Esta estrategia resulta muy útil en términos de seguridad.

Además de esta medida de seguridad, Apple restringe la instalación en dispositivos iOS a aplicaciones oficiales de la App Store (a menos que alguien, ya sean los administradores de tu empresa o un ciberdelincuente, tenga una cuenta de desarrollador de empresa que le permita utilizar Mobile Device Management [MDM] para instalar aplicaciones de terceros). La empresa lleva muy controlado lo que está permitido en su tienda, pues revisa el código de todas las aplicaciones antes de realizar la aprobación. Si encajamos las piezas, esto significa que alguien tendría que desarrollar una aplicación maliciosa para iOS y después conseguir que pasara un análisis oficial antes de poder acceder a un dispositivo.

Evidentemente, esto tiene lugar en dispositivos iOS en los que no se haya aplicado el jailbreak, pero la mayoría de iPhones y iPads no sufren esta modificación, principalmente porque las versiones modernas de iOS son muy seguras y no hay forma conocida de ejecutar un jailbreak.

Estas mismas limitaciones son las que no permiten crear aplicaciones antivirus para iOS. Para funcionar por completo, una solución antivirus tiene que poder observar lo que hacen otras aplicaciones e intervenir si el comportamiento de alguna aplicación es sospechoso. Esto no se puede llevar a cabo en un sandbox.

¿Y qué pasa con las aplicaciones de seguridad en la App Store?

Si buscas en la App Store encontrarás aplicaciones de seguridad en Internet y estas aplicaciones tienen dos cosas en común: no son aplicaciones antivirus y suelen recibir malas opiniones de los usuarios por eso mismo. Como acabamos de comentar, no se puede ejecutar una solución antivirus real en iOS. Estas aplicaciones no son antivirus, aunque tengan motores antivirus incorporados, no tienen permitido analizar otras aplicaciones ni sus datos. Esto lo confirman opiniones de usuarios expertos que les recriminan no ser aplicaciones antivirus.

Entonces, ¿qué hacen estas aplicaciones? ¿Son falsas? No, y puede que hasta contengan funciones de seguridad útiles como módulos contra el phishing y el rastreo online, VPN, funciones de control parental, gestores de contraseñas, bloqueadores de publicidad, soluciones antirrobo y demás.

Todas estas características son útiles (y están relacionadas con la seguridad y privacidad), pero no se pueden considerar un paquete de seguridad en Internet, por lo que podrían generar confusión en los usuarios. Todo el mundo sabe que el antivirus debería ser un componente clave de toda aplicación de seguridad en Internet. Por ello, Kaspersky Internet Security for iOS no existe: no queremos confundir a nuestros usuarios. Pero todas las funciones que hemos comentado son útiles y por ello contamos con herramientas destinadas al sistema operativo móvil de Apple.

Cómo mantenerse a salvo en iOS

Apple diseñó iOS con un núcleo muy seguro, pero no podemos afirmar que sea un sistema operativo completamente seguro. De vez en cuando, los ciberdelincuentes encuentran una nueva forma de explotar vulnerabilidades en iOS o engañar al personal de Apple que analiza las aplicaciones.

Algunos de estos métodos consistieron en envenenar el kit de desarrollo de XCode para convertir aplicaciones benévolas creadas con él en aplicaciones maliciosas o tener una aplicación para verificar la ubicación y no ejecutar el código malicioso en Estados Unidos, lo que permitió que los atacantes sortearan el radar de Apple y acabaran en la App Store.

Por lo que, una aplicación antivirus para iOS suena muy bien, pero, por desgracia, ni existe ni se puede desarrollar. Afortunadamente, el malware en iOS no es muy común de momento, por lo que las probabilidades de acabar infectado son muy bajas. (Como ya hemos comentado, esto es cierto a no ser que instales un perfil MDM, ya que, con esto el dispositivo puede controlarse por completo y en remoto desde el servidor de la organización que emite el perfil. Por lo que, la principal medida de seguridad en iOS para los usuarios particulares es evitar los certificados MDM).

Sin malware, no hay problemas, ¿no?

Por desgracia, el malware no es la única amenaza. No olvidemos que otras amenazas también afectan a los usuarios de iOS, como el phishing, el spam, la intercepción de datos de red y mucho más, sin olvidar las amenazas de privacidad. Por ello, todo usuario de iOS deben conocer las reglas básicas de ciberseguridad (ya hablamos sobre este tema). Además, también recomendamos a los usuarios de iOS que utilicen servicios de seguridad como Kaspersky Security Cloud.

Aunque no cuente con un motor antivirus, Kaspersky Security Cloud for iOS aporta algunas mejoras de seguridad muy útiles, como una VPN incorporada que se puede activar automáticamente cuando la conexión no sea segura, notificaciones sobre incidentes de seguridad relevantes y una herramienta que comprueba ajustes débiles en el sistema. Completamos con Password Manager y, en la versión Family, Kaspersky Safe Kids, nuestra herramienta de control parental avanzada. Todo esto debería mantenerte protegido.

Fuente:

kaspersky.com

June 20th 2018

Gestores de contraseñas: qué son, cómo se usan y cuál es el mejor

Número de lecturas: 3154
{lang: 'es-419'}

Hackeruna: “Les comparto un post interesante que en medida resume mi experiencia con este tipo de aplicaciones y luego de varias pruebas y buscando la que mas se acomode a mi necesidad decidi continuar utilizando: LastPass “

Últimamente la seguridad de nuestras contraseñas ha vuelto a salir a la palestra a raíz del Celebgate y la filtración de cinco millones de contraseñas de Gmail. Y es que por mucho que tratemos de ir a otros modelos de autenticación o busquemos medidas de seguridad adicionales, las contraselas son prácticamente inevitables a día de hoy.

Por eso en Xataka hemos querido hacer un repaso al tema, explicando qué es realmente una contraseña segura y cómo podemos crearlas nosotros mismos. También revisaremos gestores de contraseñas, viendo cuáles son más recomendables y cómo nos pueden ayudar.

Creando contraseñas seguras

keyskeyboard.jpg

Empezando por lo primero: ¿qué es una contraseña segura? La respuesta es fácil: una contraseña que no pueden adivinar ni ordenadores ni humanos. Por ejemplo, 28712 es una contraseña que le costará adivinar a una persona, aunque un ordenador no tardaría mucho haciendo intentos aleatorios (fuerza bruta). Por otra parte, costaría que un programa adivinase mellamoguillermojulián, pero igual alguien que me conozca apenas tarda dos intentos en encontrarla.

Los consejos básicos suelen ser que usemos contraseñas suficientemente largas (12 caracteres es suficiente para que un ataque por fuerza bruta sea prácticamente imposible, ni ahora ni en unos cuantos años), y sobre todo que no sean comunes. Aquí va una lista más o menos completa:

  • Cuantas menos palabras de diccionario uses, mejor. Sí, “libroordenadorpatata” es una contraseña larga pero son tres palabras comunes, sencillas de adivinar.
  • No uses datos personales, o al menos no directamente. Un ordenador no adivinará que tu contraseña es “alamedilla85”, pero igual alguien que sepa dónde y cuándo naciste igual sí saca esa contraseña.
  • Por supuesto, tampoco uses tu nombre usuario o nombre real como contraseña.
  • Usa símbolos, números, y mayúsculas.
  • No uses contraseñas comunes, como “1234”, “contraseña” o “asdfg”.
  • Usa contraseñas diferentes para cada servicio. El consejo más importante, diría yo.
  • Cambia cada cierto tiempo las contraseñas.

A estas alturas estos consejos son conocidos por todos, y seguro que cualquiera puede aporrear el teclado y sacar una contraseña imposible de adivinar, como jhg7896/%asd7asdgFA&1.

La cuestión es que no nos sirve de nada tener una contraseña segura si no nos acordamos de ella. Buscando sobre este tema, de hecho, me encontré con una frase que debería quedársenos grabada:

La seguridad a costa de la usabilidad, es a expensas de la seguridad

Traducción: para que una contraseña sea de verdad segura, tiene que ser fácil de recordar. Para ello hay dos opciones. La primera es tener un algoritmo para crear tus contraseñas, de tal forma que sólo tengas que recordar una serie de pasos y no cuarenta contraseñas. Uno de ejemplo:

  1. Cogemos una frase fácil de recordar: yo juego al baloncesto con el número 15.
  2. Nos quedamos con la letra inicial de cada palabra: yjabcen15. Con esto ya tenemos una base.
  3. Para que la contraseña sea distinta para cada sitio, añadimos un guión y el nombre del servicio en mayúsculas: yjabcen15-XATAKA.
  4. Y ya para acabar, añadimos después el número de vocales que tenga el servicio, pero sustituyéndolo por un símbolo. En este caso shift + 3 es “·”, así que la contraseña final es yjabcen15-XATAKA·.

Al final acabamos con una contraseña de 17 caracteres, suficientemente segura tanto para ordenadores como para humanos. Lo único malo es que nos exponemos a que alguien adivine nuestro algoritmo, así que siempre podemos añadir algo de “salsa secreta”: por ejemplo, en lugar de usar el número de vocales del servicio, le sumamos un número secreto que sólo sepamos nosotros y nos quedamos con el último dígito del resultado. La cuestión es usar un método que nos resulte fácil de recordar y que no sea demasiado sencillo para que alguien lo adivine.

passwords-1.jpg

Tampoco hace falta romperse mucho la cabeza con las contraseñas. Los tipos de ataques a los que vamos a estar expuestos como usuario común son dos: ataques de fuerza bruta al hash de nuestra contraseña (cuando un atacante entra en una web y obtiene la lista de contraseñas hasheadas de los usuarios) y ataques personales de alguien que quiera entrar específicamente en nuestra cuenta. Para lo primero basta con no tener una contraseña común: a partir de un mínimo de seguridad los atacantes no van a invertir tanto tiempo para encontrar unas pocas contraseñas más.

Y para lo segundo, suele bastar con que la contraseña no tenga datos personales ni sea simple de adivinar para alguien que nos conozca, así que en cuanto nos compliquemos un poco nos quitamos este posible escenario.

En resumen, aunque es obvio que cuanta más seguridad mejor, en cuanto sigamos unos mínimos consejos de seguridad (contraseñas largas y no repetidas en diferentes servicios) tendremos la confianza de que no estaremos al alacance de los ataques más comunes.

Gestores de contraseñas

Otra posibilidad es dejar a los gestores de contraseñas que nos hagan el trabajo: ellos generan contraseñas aleatorias y las recuerdan por nosotros. Simplemente tenemos que limitarnos a saber la contraseña maestra que da acceso a nuestras cuentas. En Genbeta hicimos en su momento varias comparativas de servicios del estilo.

Además de generar las contraseñas, estos gestores se integran en nuestro navegador para rellenar los formularios de login de los sitios web, de tal forma que con sólo pulsar un botón se copie el usuario y contraseña. También son capaces de rellenar automáticamente perfiles cuando nos registramos, o de guardar las contraseñas cuando entramos en un sitio que no teníamos guardado. En muchos casos también podremos guardar otro tipo de credenciales, aunque no estén ligadas a páginas web.

Las contraseñas se almacenan cifradas usando nuestra contraseña (y en algún caso datos adicionales), de tal forma que nadie más que nosotros puede leerlas. Así, podemos crear contraseñas muy seguras sin que haga falta que nos acordemos de ellas: ya lo hace el gestor por nosotros.

Ahora mismo, yo daría tres opciones: Lastpass, 1Password y KeePass.

keepass.png

KeePass es una utilidad de código abierto que mantiene nuestras contraseñas cifradas en una base de datos. La ventaja es que absolutamente todo está bajo nuestro control. La desventaja es que tenemos que preocuparnos nosotros de instalar además los plugins para los navegadores y de encontrar una forma de sincronizar las contraseñas entre dispositivos. Entre aplicaciones oficiales y no oficiales, está disponible para prácticamente cualquier sistema.

1password.png

1Password tiene la misma idea de KeePass, pero es más fácil de usar, de integrar y además está preparado para sincronizar a través de Dropbox. Tiene aplicaciones para Windows, Mac, iOS y Android.

El último es mi favorito y el que yo recomendaría: Lastpass. La principal desventaja es que tus contraseñas se almacenan en la nube, aunque Lastpass promete que están cifradas con una clave derivada de tu contraseña maestra y correo, y que aunque un hacker entrase en sus servidores no podría ver ninguna contraseña. A cambio, LastPass puede ofrecer más controles de seguridad: permitir logins sólo desde ciertos países, impedir que entren desde Tor, activar autenticación en dos pasos o incluso cerrar sesiones en ciertos ordenadores.

¿Por qué recomendaría Lastpass? Aparte de porque ya me he acostumbrado, creo que si vamos a sincronizar nuestras contraseñas entre dispositivos es mejor hacerlo con un servicio dedicado a ello que guardar nuestra base de datos en otras nubes o que ande rondando por ahí con un USB. De todas formas, en la práctica, cualquiera de los tres servicios es igual de seguro si los usamos bien.

¿Podemos confiar en un gestor de contraseñas?

En cuanto a los posibles problemas de seguridad, es cierto que es un único punto de fallo: un acceso ahí y tienen todas nuestras contraseñas. Pero por otra parte, ¿qué es más fácil? ¿Asegurar una cuenta o asegurar cincuenta? Podemos aumentar las medidas de seguridad en un único punto y darle más seguridad a todas nuestras contraseñas. Además, estos productos, como decía antes, están dedicados a mantener tus contraseñas seguras y probablemente vayan a hacer un mejor trabajo de lo que harías tú sólo.

Un gestor de contraseñas nos puede dar más seguridad que la que podríamos lograr la mayoría de nosotros por nuestra cuenta.

Realmente es muy difícil que alguien acceda a los datos de tu gestor de contraseñas si tienes una buena contraseña maestra. Los datos se guardan cifrados y, en el caso de 1Password y Lastpass se transmiten por HTTPS. Incluso aunque hubiese alguien leyendo todo lo que mandas por Internet, no podría ver ninguna contraseña. Tampoco tendría éxito un atacante que entre a los servidores de Lastpass o que acceda a tu base de datos en Dropbox (o cualquier otro servicio de sincronización): sólo vería un montón de datos inútiles, imposibles de descifrar.

Y además, siempre podemos combinar los gestores de contraseñas con otros métodos. Por ejemplo, dejando por ejemplo las cuentas importantes (correo, bancos) con contraseñas seguras que no se guarden en el gestor, y dando a esas cuentas una capa más de protección con autenticación en dos pasos.

A modo de conclusión, en estas cosas hay que usar el sentido común, minimizar riesgos sin olvidarnos de la comodidad (no sirve de nada tener un método superseguro para gestionar contraseñas si no lo usamos), y procurar no depender de una única herramienta o método – mucho mejor usar un gestor y tu memoria que sólo un gestor: ¿qué pasa si éste deja de funcionar?.

Fuente:

https://www.xataka.com/