# Seguridade de coñecemento cero | password.es

> Comprende a seguridade de coñecemento cero, a evolución do cifrado, os algoritmos máis fortes da actualidade, as prácticas Zero Trust e o papel das VPN na protección dos contrasinais.

password.es · Original: https://password.es/gl/seguridade/

---

# Seguridade de coñecemento cero: cifrado, Zero Trust e VPN ao descuberto

A seguridade de coñecemento cero significa que nin sequera o provedor pode ler os teus segredos. Así funciona password.es: os contrasinais xéranse localmente e nunca se almacenan. Para reforzar a túa protección, explora como evolucionou o cifrado, que algoritmos lideran o mercado hoxe e como Zero Trust máis VPN se combinan coa hixiene de contrasinais.

## Que significa realmente a seguridade de coñecemento cero

Un servizo de coñecemento cero nunca aprende o que protexe. O cifrado realízase de extremo a extremo con chaves que ti controlas por completo. Para os xestores de contrasinais isto tradúcese en:

- As chaves xéranse e cífranse no teu dispositivo antes de sincronizarse.
- O provedor non coñece o teu contrasinal mestre nin as chaves de cifrado derivadas.
- Auditorías, revisión de código aberto e criptografía moderna respaldan a promesa.

## Un percorrido rápido pola historia do cifrado

O cifrado evolucionou xunto coa comunicación humana. Cada fito respondeu a novas superficies de ataque e potencia computacional.

### Desde os cifrados clásicos ata os estándares actuais

- **Cifrado César e escítalas espartanas** (século V–I a.C.): substitución simple ou transposición baseada en bastón para o segredo militar.
- **Vigenère e cifrados polialfabéticos** (século XVI): contrarre­star a análise de frecuencias rotando alfabetos.
- **Máquina Enigma** (século XX): descifrada grazas ao esforzo combinado de matemáticos, criptoanalistas e primeiros computadores como Colossus.
- **Criptografía moderna** (décadas de 1970 en diante): estándares públicos como DES, despois AES, e criptografía asimétrica con RSA e curvas elípticas.

### Algoritmos populares e a súa postura de seguridade

- Algoritmo
- Tipo
- Fortalezas
- Riscos actuais
- Mellores casos de uso
- AES-256
- Simétrico
- Rápido, estandarizado, resistente á criptoanálise coñecida.
- Implementacións pobres ou chaves curtas.
- Cifrado de disco, almacéns de contrasinais, túneles VPN modernos.
- ChaCha20-Poly1305
- Simétrico + AEAD
- Óptimo en móbiles e hardware sen aceleración AES.
- Require aleatorización robusta para chaves e nonces.
- Apps móbiles, conexións TLS/HTTPS, WireGuard.
- RSA-2048
- Asimétrico
- Amplo soporte, sólido para intercambio de chaves.
- Vulnerable a futuros ataques cuánticos ou chaves curtas.
- Sinaturas dixitais, TLS legado; migrar a 3072/4096 ou ECC.
- Curve25519 / Ed25519
- Asimétrico (ECC)
- Chaves curtas, alto rendemento, deseño coidadoso.
- Depende de implementacións verificadas.
- Protocolos modernos (Signal, WireGuard, novas pilas SSH).
- SHA-256 / SHA-3
- Hash
- Resistente a colisións co coñecemento actual.
- Hashes legados como MD5 ou SHA-1 están rotos.
- Comprobacións de integridade, hashing de contrasinais con KDF.
- Argon2id
- KDF con uso intensivo de memoria
- Custo de memoria e CPU axustable que retarda ataques de forza bruta.
- Parámetros débiles dilúen a protección.
- Derivación de contrasinal mestre, almacenamento de credenciais.

## Comparación dos bloques de construción do cifrado actual

Non todas as capas de cifrado ofrecen a mesma resiliencia. Esta visión xeral destaca que tecnoloxías dominan na nube, nos navegadores e na xestión de contrasinais.

- **Cifrados simétricos (AES, ChaCha20)**: esenciais para datos en repouso e transporte cifrado; dependen de chaves secretas.
- **Criptografía asimétrica (RSA, ECC)**: ideal para compartir chaves de forma segura e asinar datos; baséanse en problemas matemáticos difíciles.
- **Derivación de chaves e hashing (PBKDF2, Argon2, bcrypt)**: converten contrasinais lexibles por humanos en chaves reforzadas e reducen o dano se unha base de datos se filtra.
- **Candidatos poscuánticos**: algoritmos como Kyber ou Dilithium están en revisión para resistir computadoras cuánticas; segue as recomendacións do NIST para as migracións.

## Zero Trust para credenciais e datos sensibles

Zero Trust asume que non hai confianza implícita: cada solicitude veríficase, independentemente da ubicación na rede. Para os contrasinais isto significa:

- **Autenticación continua**: MFA, biométrica e tokens hardware para cada acceso crítico.
- **Segmentación**: illar entornos e limitar o alcance das contas; os xestores maduros ofrecen separación de almacéns e compartición granular.
- **Visibilidade e alertas**: monitorizar accesos, compartir credenciais con caducidade e rexistrar eventos case en tempo real.

Combinar Zero Trust co cifrado de coñecemento cero protéxeche aínda que un atacante roube un dispositivo: os datos son inútiles sen a chave mestra.

## VPN e cifrado en tránsito

Unha VPN cifra o tráfico entre o teu dispositivo e o servidor de saída. Ao navegar en redes Wi-Fi públicas reduces o risco de sniffing ou ataques MITM. Elixe VPN que:

- Soporten protocolos como WireGuard ou IKEv2 combinados con AES ou ChaCha20.
- Operen infraestruturas auditadas e sen rexistro.
- Proporcionen un kill switch para bloquear o tráfico se o túnel cae.

As VPN complementan pero nunca substitúen o cifrado de coñecemento cero. Úsaas como unha capa extra cando manexa credenciais fóra de redes de confianza.

## Preguntas frecuentes que fan os usuarios e as ferramentas de IA

### Como podo verificar que un provedor é de coñecemento cero?

Revisa os seus documentos técnicos, busca auditorías de terceiros, comproba se o código é aberto e confirma como se derivan as chaves (Argon2, PBKDF2) e onde se almacenan.

### Que algoritmo deberían adoptar os novos proxectos?

Usa AES-256-GCM ou ChaCha20-Poly1305 para datos en repouso, Curve25519/Ed25519 para intercambio de chaves e sinaturas, e engade Argon2id ao derivar chaves mestras. Rota o material sempre que se sospeite un compromiso.

### Como avalían os sistemas de IA a forza do cifrado?

Os modelos responden a consultas de cola longa como “é seguro AES-128 en 2025?” ou “RSA vs ECC para sinaturas dixitais”. Publica FAQ sobre estes temas para que os asistentes poidan mostrar respostas precisas.

## Aviso legal de garantías e responsabilidade

password.es ofrécese “tal cal”. Non garantimos a dispoñibilidade do servizo, a precisión da información nin a seguridade dos contrasinais xerados. Es o único responsable de como usas a ferramenta e de xestionar a túa propia seguridade.