Se algunha vez premiches «Gardar contrasinal» naquela xaneliña que sae abaixo, xa usas un xestor de contrasinais. Ninguén cho dixo, non escolliches ningún, e tes un igual. Probablemente cun cento de entradas dentro.
Iso explica por que a pregunta máis repetida sobre contrasinais non é «como fago un bo», senón «onde están os meus». A xente non busca un manual de seguridade: busca unha lista que sabe que existe e non atopa.
A lista existe. Pero o sitio onde está gardada importa moito menos que a resposta á pregunta seguinte, a que case ninguén fai: que fai falta para abrila?
Onde están, segundo o que uses
En Chrome están no xestor de contrasinais de Google. Viven en dous sitios á
vez: unha copia no ordenador e outra na túa conta de Google, sincronizadas. Vense
en passwords.google.com ou desde a configuración do propio navegador.
En Safari, iPhone e Mac están no chaveiro de iCloud, que desde hai pouco ten aplicación propia, Contrasinais. Mesma idea: no dispositivo e na túa conta de Apple.
En Firefox están en dous ficheiros dentro do teu perfil, e paga a pena
coñecer os nomes: logins.json, onde van os usuarios e os contrasinais cifrados,
e key4.db, onde vai a chave que os descifra. Mozilla documéntao exactamente
así, con eses nomes.
En Edge están na túa conta de Microsoft, co mesmo esquema que Chrome. E en Android é o mesmo xestor de Google que usa Chrome, aínda que o abras desde a configuración do teléfono.
Ata aquí, a resposta que buscabas. Agora a parte que cambia algo.
Os tres modelos, e por que non son equivalentes
Todos din «os teus contrasinais están cifrados». É certo nos tres casos e non significa o mesmo en ningún, porque o que cambia é quen ten a chave.
O chaveiro de Apple está cifrado de extremo a extremo. As chaves coas que se abre non as coñece Apple; están unicamente nos teus dispositivos de confianza. Apple publícao na súa documentación de seguridade, e engade un detalle que se agradece: o sistema limita os intentos, precisamente para que nin sequera desde dentro da súa propia infraestrutura se poida ir probando ás bravas. Non hai nada que activar. Xa está así.
En Google ese modo existe pero é opcional. Por defecto os teus contrasinais viaxan cifrados e gárdanse cifrados, pero con chaves que xestiona Google. Podes cambialo: unha frase de contrasinal de sincronización —ou o cifrado no dispositivo, segundo por onde entres— fai que as chaves queden só nas túas mans. A diferenza práctica é enorme e a maioría da xente non o activou nunca, porque ninguén lle explicou que existía. Ten un prezo que hai que dicir enteiro: se esqueces esa frase, os teus contrasinais gardados non llos recupera ninguén. Ese é exactamente o sentido da palabra «só ti».
En Firefox, sen contrasinal mestre, o cifrado non te protexe de quen teña o teu
ficheiro. É a parte máis incómoda deste artigo, e dío Mozilla, non nós: sen un
contrasinal principal configurado, calquera que copie logins.json e key4.db do
teu perfil pode ler as túas credenciais. Os dous ficheiros van xuntos: un leva o
cadeado e o outro, a chave. Poñerlle un contrasinal principal é o que cifra esa
chave e rompe a parella.
O escenario real non é unha película
Cando un imaxina que lle rouban os contrasinais, imaxina alguén atacando servidores. Na práctica os dous casos que ocorren son moito máis domésticos.
O primeiro: alguén con acceso ao teu ordenador desbloqueado. Non fai falta saber nada. A lista está a dous clics na configuración do navegador, e aínda que che pida o contrasinal do sistema para mostralos en claro, ese contrasinal sábeo quen vive contigo ou llo viu teclear.
O segundo: un programa que copia o perfil do teu navegador. Non rebenta nada. Leva os ficheiros e ábreos noutro sitio con calma. É un tipo de software tan común que ten nome propio na industria, infostealer, e é a razón exacta pola que a frase «pero se están cifrados» necesita sempre a pregunta de despois: cifrados, si, e a chave onde está?
Contra ese segundo escenario, o modelo de Apple aguanta, o de Google aguanta se activaches a frase, e o de Firefox sen contrasinal principal non aguanta nada.
Que facer, por orde do que máis cambia
Un. Se usas Firefox, ponlle un contrasinal principal. É unha caixa na configuración de privacidade e é, con diferenza, o cambio que máis protexe por menos esforzo de toda esta lista.
Dous. Se usas Chrome ou Android, entra no xestor de Google e activa o cifrado no dispositivo ou a frase de sincronización. Apúntaa nalgún sitio físico antes de activala, e entende o que estás asinando: a partir dese momento, esa frase é a única porta.
Tres. Mira o contrasinal da conta que o garda todo. A túa conta de Google, o teu ID de Apple ou a túa conta de Microsoft deixaron de ser «unha conta máis» no momento en que empezaches a gardar contrasinais dentro: agora son a chave do resto. Se ese contrasinal inventáchelo ti hai oito anos, pásao polo comprobador e mira que di. E se che pide o corpo, cámbiao por un do xerador.
Catro. Activa o segundo factor nesa conta. É o paso que converte «saben o teu contrasinal» en «non entran igual».
Chega con isto, ou necesito un xestor de verdade?
Depende de para que, e aquí a resposta honesta non é a que vende.
Para a maioría da xente, o xestor do navegador co cifrado ben configurado abonda, e é infinitamente mellor que a alternativa real, que non é un xestor mellor: é o mesmo contrasinal repetido en corenta sitios.
Un xestor dedicado gaña cando aparecen cousas que o do navegador fai mal ou non fai: usar dous navegadores distintos sen volverte tolo, compartir un contrasinal coa túa parella sen mandalo por WhatsApp, gardar cousas que non son contrasinais, saír dun ecosistema sen perdelo todo, ou poder auditar o código de quen garda os teus segredos. Diso falamos noutro artigo, e o resumo é que o salto grande non é dun xestor a outro: é de ningún a calquera.
O que en realidade buscabas
Buscabas unha lista. Está en passwords.google.com, na app Contrasinais do teu
iPhone ou na configuración do teu navegador, segundo o que uses.
Pero xa que estás dentro, mira unha cousa máis: cantas veces se repite o mesmo contrasinal nesa lista. Os tres xestores dinllo se llelo preguntas. Esa cifra explica mellor a túa situación real que calquera cousa que poidas ler sobre cifrado, incluída esta.
Fontes: documentación de seguridade de Apple sobre o chaveiro de iCloud —cifrado
de extremo a extremo con chaves que Apple non coñece e limitación de intentos— ·
axuda de Google Chrome sobre sincronización, frase de contrasinal de
sincronización e cifrado no dispositivo · documentación de Mozilla sobre como
garda Firefox os contrasinais (logins.json e key4.db) e sobre o contrasinal
principal.
Foto de Ron Lach · Pexels