Si alguna vegada has clicat «Desa la contrasenya» en aquella finestreta que surt a baix, ja fas servir un gestor de contrasenyes. Ningú t’ho ha dit, no n’has triat cap, i en tens un igualment. Probablement amb un centenar d’entrades a dins.
Això explica per què la pregunta més repetida sobre contrasenyes no és «com en faig una de bona», sinó «on són les meves». La gent no busca un manual de seguretat: busca una llista que sap que existeix i no troba.
La llista existeix. Però el lloc on està desada importa molt menys que la resposta a la pregunta següent, la que gairebé ningú fa: què cal per obrir-la?
On són, segons què facis servir
Al Chrome són al gestor de contrasenyes de Google. Viuen a dos llocs alhora:
una còpia a l’ordinador i una altra al teu compte de Google, sincronitzades. Es
veuen a passwords.google.com o des de la configuració del navegador.
Al Safari, l’iPhone i el Mac són al clauer de l’iCloud, que des de fa poc té aplicació pròpia, Contrasenyes. Mateixa idea: al dispositiu i al teu compte d’Apple.
Al Firefox són a dos fitxers dins del teu perfil, i val la pena conèixer-ne
els noms: logins.json, on van els usuaris i les contrasenyes xifrats, i
key4.db, on va la clau que els desxifra. Mozilla ho documenta exactament així,
amb aquests noms.
A l’Edge són al teu compte de Microsoft, amb el mateix esquema que el Chrome. I a Android és el mateix gestor de Google que fa servir el Chrome, encara que l’obris des de la configuració del telèfon.
Fins aquí, la resposta que buscaves. Ara la part que canvia alguna cosa.
Els tres models, i per què no són equivalents
Tots diuen «les teves contrasenyes estan xifrades». És cert en els tres casos i no vol dir el mateix en cap, perquè el que canvia és qui té la clau.
El clauer d’Apple està xifrat d’extrem a extrem. Les claus que l’obren Apple no les coneix; només existeixen als teus dispositius de confiança. Apple ho publica a la seva documentació de seguretat, i hi afegeix un detall que s’agraeix: el sistema limita els intents, precisament perquè ni tan sols des de dins de la seva pròpia infraestructura es pugui anar provant a la brava. No hi ha res per activar. Ja és així.
A Google aquest mode existeix però és opcional. Per defecte les teves contrasenyes viatgen xifrades i es desen xifrades, però amb claus que gestiona Google. Ho pots canviar: una frase de contrasenya de sincronització —o el xifrat al dispositiu, segons per on hi entris— deixa les claus només a les teves mans. La diferència pràctica és enorme i la majoria de la gent no ho ha activat mai, perquè ningú els ha explicat que existia. Té un preu, i cal dir-lo sencer: si oblides aquesta frase, les teves contrasenyes desades no les recupera ningú. És exactament el sentit de la paraula «només tu».
Al Firefox, sense contrasenya principal, el xifrat no et protegeix de qui tingui
els teus fitxers. És la part més incòmoda d’aquest article, i ho diu Mozilla, no
nosaltres: sense una contrasenya principal configurada, qualsevol que copiï
logins.json i key4.db del teu perfil pot llegir les teves credencials. Els dos
fitxers viatgen junts: un porta el pany i l’altre, la clau. Posar-hi una
contrasenya principal és el que xifra aquesta clau i trenca la parella.
L’escenari real no és una pel·lícula
Quan un s’imagina que li roben les contrasenyes, s’imagina algú atacant servidors. A la pràctica els dos casos que passen són molt més domèstics.
El primer: algú amb accés al teu ordinador desbloquejat. No cal saber res. La llista és a dos clics a la configuració del navegador, i encara que et demani la contrasenya del sistema per mostrar-les en clar, aquesta contrasenya la sap qui viu amb tu o te l’ha vist teclejar.
El segon: un programa que copia el perfil del teu navegador. No rebenta res. S’emporta els fitxers i els obre en un altre lloc amb calma. És un tipus de programari tan comú que té nom propi a la indústria, infostealer, i és la raó exacta per la qual «però si estan xifrades» necessita sempre la pregunta següent: xifrades, d’acord — i la clau, on és?
Contra aquest segon escenari, el model d’Apple aguanta, el de Google aguanta si vas activar la frase, i el Firefox sense contrasenya principal no aguanta res.
Què fer, per ordre del que més canvia
Un. Si fas servir el Firefox, posa-li una contrasenya principal. És una casella a la configuració de privadesa i és, de llarg, el canvi que més protegeix per menys esforç de tota aquesta llista.
Dos. Si fas servir el Chrome o Android, entra al gestor de Google i activa el xifrat al dispositiu o la frase de sincronització. Apunta-la en algun lloc físic abans d’activar-la, i entén què estàs signant: a partir d’aquell moment, aquesta frase és l’única porta.
Tres. Mira la contrasenya del compte que ho desa tot. El teu compte de Google, el teu ID d’Apple o el teu compte de Microsoft van deixar de ser «un compte més» en el moment que hi vas començar a desar contrasenyes: ara són la clau de la resta. Si aquesta contrasenya te la vas inventar tu fa vuit anys, passa-la pel comprovador i mira què diu. I si et ve de gust, canvia-la per una del generador.
Quatre. Activa el segon factor en aquell compte. És el pas que converteix «saben la teva contrasenya» en «no entren igualment».
Amb això n’hi ha prou, o em cal un gestor de debò?
Depèn de per a què, i aquí la resposta honesta no és la que ven.
Per a la majoria de la gent, el gestor del navegador amb el xifrat ben configurat ja n’hi ha prou, i és infinitament millor que l’alternativa real, que no és un gestor millor: és la mateixa contrasenya repetida a quaranta llocs.
Un gestor dedicat guanya quan apareixen coses que el del navegador fa malament o no fa: fer servir dos navegadors diferents sense tornar-te boig, compartir una contrasenya amb la teva parella sense enviar-la per WhatsApp, desar coses que no són contrasenyes, sortir d’un ecosistema sense perdre-ho tot, o poder auditar el codi de qui guarda els teus secrets. En parlem en un altre article, i el resum és que el salt gran no va d’un gestor a un altre: va de cap a qualsevol.
El que realment buscaves
Buscaves una llista. És a passwords.google.com, a l’aplicació Contrasenyes del
teu iPhone o a la configuració del teu navegador, segons què facis servir.
Però ja que hi ets, mira una cosa més: quantes vegades es repeteix la mateixa contrasenya en aquesta llista. Els tres gestors t’ho diuen si els ho preguntes. Aquesta xifra explica la teva situació real millor que qualsevol cosa que puguis llegir sobre xifrat, aquest article inclòs.
Fonts: documentació de seguretat d’Apple sobre el clauer de l’iCloud —xifrat
d’extrem a extrem amb claus que Apple no coneix i limitació d’intents— · ajuda de
Google Chrome sobre sincronització, frase de contrasenya de sincronització i
xifrat al dispositiu · documentació de Mozilla sobre com desa el Firefox les
contrasenyes (logins.json i key4.db) i sobre la contrasenya principal.
Foto de Ron Lach · Pexels