Gana seguridad con estos 6 gestores de contraseñas para Android

Los gestores de contraseñas se han convertido en una parte importante para la vida de algunos, ya que estamos registrados en una gran cantidad de sitios web y servicios de toda índole que abarcan facetas como el trabajo, el ocio y la vida social.

Debido a que Internet ha devorado nuestras vidas, eso significa que manejamos decenas de contraseñas. Esto, unido a las ya no tan sorprendentes brechas de datos que hemos ido conociendo en los últimos 10 años, ha despertado un movimiento contrario al uso de las contraseñas, que son consideradas por algunos como inseguras. Una de las alternativas más prominentes son los métodos de autenticación biométricos, pero los puestos a disposición de los usuarios finales arrojan serias dudas en torno a la privacidad, la fiabilidad y la confianza que se puede depositar en ellos, así que los defensores de las contraseñas “clásicas” tienen razones de peso para mantener su postura.

Siendo heterodoxo, es posible realizar una correcta gestión de las contraseñas empleando la memoria que uno tiene en el cerebro. Si la cantidad es pequeña, es probable que el usuario no las repita e incluso se acuerde de renovarlas de vez en cuando, pero como seres falibles que somos, todo se complica cuando la cantidad aumenta. Aquí es donde entra la posibilidad de repetir contraseñas o desatender muchas de ellas, lo que aumenta las probabilidades de que los datos del usuario acaben en malas manos.

Por suerte, desde hace muchísimo tiempo existen los gestores de contraseñas, que facilitan la gestión de las contraseñas y en algunos casos incluso son capaces de avisar al usuario en caso de que alguna haya acabado comprometida por una brecha de datos. Aunque este tipo de aplicaciones suele estar asociado a los navegadores web, también se pueden emplear a nivel del sistema operativo, contexto que es lo normal en el sector de la movilidad, así que vamos a aprovechar la ocasión para extender el tema en torno a Android.

Razones para usar un gestor de contraseñas en Android

Google introduce en Android su propio gestor de contraseñas, una característica que a estas alturas no debería sorprender a nadie viendo las sucesivas brechas de datos descubiertas en los últimos 10 años.

A pesar de que Google cuida bastante la seguridad (la privacidad es otra cosa), emplear sus mecanismos y servicios significa quedarse atado a su ecosistema, por lo que luego uno tiene más dificultades para saltar a alguna alternativa.

Otro punto que la compañía del buscador tiene en su contra es el hecho de que la mayoría de sus productos y servicios son privativos, si bien pueden derivar de proyectos de código abierto, como es el caso de Chrome frente a Chromium. Esto impide, en la mayoría de los casos, que puedan ser auditados libremente por un tercero, una situación que deja la seguridad y la privacidad en la confianza que el usuario deposite en Google.

En resumidas cuentas, el uso de un gestor de contraseñas de terceros que sea totalmente multiplataforma y a ser posible de código abierto aporta buena parte de lo que el usuario necesita para no quedarse atrapado en el ecosistema de Google, pudiendo disponer de sus credenciales a través de distintos medios (una aplicación o una un extensión para navegador web). Obviamente, la independencia total es imposible de lograr a menos que uno desarrolle y mantenga su propio gestor de contraseñas, pero para eso es necesario tener unos conocimientos que están al alcance de muy pocos. A pesar de que la independencia total es una meta inalcanzable para el usuario común, siempre es preferible mejorar parcialmente en ese sentido que no hacerlo en absoluto.

No podemos dejar en el tintero la postura de desconfianza total de los servicios que se apoyan en la sincronización online, incluso de aquellos que sean de código abierto. Esta postura es legítima y se sostiene en poderosas razones, así que, si se prefiere emplear un gestor de contraseñas que funcione solo localmente, es importante mirar si cuenta con un buen soporte multiplataforma y si pone facilidades en la exportación para transferir los datos (y a ser posible evitando el Wi-Fi y el Bluetooth, que pueden ser hackeados de forma remota).

Seis gestores de contraseñes de terceros para Android

Bitwarden

Empezamos con la solución más popular entre las que están publicadas como software libre. Bitwarden es un gestor de contraseñas multiplataforma que con el paso de los años ha ido ganado adeptos gracias a que sus aplicaciones y extensiones son fáciles de usar. El hecho de ser en un alto porcentaje software libre tanto a nivel de cliente como servidor le aporta un plus de transparencia frente a muchos rivales.

Bitwarden incluye cifrado AES-256 junto a salted hash y PBKDF2-SHA-256 para ofrecer privacidad, seguridad y mecanismos para prevenir los ataques de fuerza bruta (probar contraseñas una a una hasta dar con la correcta). Ofrece almacenamiento ilimitado para contraseñas, información personal y finanzas; cifrado de extremo a extremo y autenticación en dos pasos. Gracias a que la parte del servidor es en un alto porcentaje software libre y puede ser bifurcado, el usuario puede hospedarla en su propia máquina servidora.

Dashlane

Dashlane es otra popular opción entre los gestores de contraseñas que también cuenta con soporte para Android. Para el cifrado emplea AES-256, es capaz de detectar las contraseñas débiles y de manera adicional pone a disposición una VPN como refuerzo de la privacidad. Otras de sus características son que monitoriza diversos sitios de la dark web para detectar brechas y filtraciones de datos y pone a disposición autenticación en dos pasos y 1GB de almacenamiento cifrado que pueden ser compartidos con otros usuarios del mismo gestor de contraseñas.

Dashlane es un servicio privativo, centralizado y enfocado a la suscripción de pago, así que, si bien hay un plan individual gratuito que permite almacenar hasta 50 contraseñas, en caso de elegirlo como gestor sería conveniente pagar por el plan Premium, que cuesta 5,49 euros al mes.

1Password

Otra opción tan popular como centralizada y privativa. 1Password es otro de los gigantes de la gestión de contraseñas que ofrece monitorización para detectar brechas de datos, autenticación en dos factores, cifrado AES de 256-bit, protección frente al phishing y una clave secreta que se crea de forma local en el dispositivo y que se usa en combinación con la clave maestra para autenticarse en el servidor y cifrar los datos del usuario. Es importante tener en consideración que solo funciona en navegadores web verificados (la sincronización entre móvil y escritorio es una característica que consideramos básica).

1Password ofrece un periodo de pruebas de 14 días que tras cumplirse fuerza al usuario a pasar por caja para seguir usándolo. El plan personal básico cuesta 2,99 euros al mes.

Bifurcaciones de KeePass

KeePass es uno de los gestores de contraseñas publicados como software libre más populares, si no es el que más después de Bitwarden en estos momentos. Se trata de todo un veterano del sector que se ha mantenido firme en su filosofía, así que, frente a la mayoría de opciones mencionadas en esta entrada, trabaja solo localmente y no soporta, al menos en un principio, sincronización online.

Siendo en un principio desarrollado para Windows, luego llegó a macOS y Linux empleando Mono, una reimplementación software libre del framework .NET. Aunque su interfaz puede verse como vetusta, su calidad ha sido elogiada en más de una ocasión. Las contraseñas son guardadas por defecto en un fichero en formato ‘.kdbx’ y pueden ser exportadas a TXT, HTML, XML y CSV. Tiene una arquitectura de plugins que puede comprometerlo si no se usa con cuidado y se apoya en extensiones para navegadores web para facilitar su uso.

¿Y qué pasa con Android en este frente? Pues que existen varias implementaciones no oficiales KeePass, siendo KeePassDroid, KeePass2Android, KeePassDX y KeepShare las mencionadas por la web del proyecto original. Debido a que KeePass está publicado bajo GPL, todas sus bifurcaciones están obligadas a publicar el código fuente si quieren cumplir con la licencia.

Todas las opciones para Android ofrecen esencialmente lo mismo, pero con un acabado estético diferente y alguna que otra característica propia. Saber cuál es la mejor es cuestión de probar, cosa que es habitual dentro del software libre y su tendencia hacia las bifurcaciones y las reimplementaciones.

Enpass

Enpass es otro gestor de contraseñas más, con sus características a nivel de seguridad y sus facilidades a la hora de gestionar credenciales y datos como los de pago, pero a su favor cuenta con una bastante particular, y es la de que no almacenar los datos en los servidores del propio desarrollador.

Enpass no solo permite al usuario almacenar sus contraseñas y datos localmente, sino también ofrece la posibilidad de sincronizar a través de servicios de almacenamiento en la nube como Dropbox, iCloud, Google Drive, OneDrive, Box, WebDAV y Nextcloud. Aquí posiblemente la opción de más valor sea Nextcloud debido a que puede ser implementado en un servidor contratado por el usuario, mientras que la mayoría del resto de opciones son servicios privativos y centralizados.

Profundizando en las particularidades de Enpass, podemos mencionar la posibilidad de adjuntar cualquier tipo de fichero, soporte para smartwatches y el soporte de contraseña de un solo uso basada en el tiempo (TOTP).

LastPass

Y cerramos la lista con la solución más popular del sector, LastPass, que desde hace un tiempo no parece estar viviendo sus mejores momentos.

LastPass se sirve como freemium (o sea, que es en un principio es gratuito y pone a disposición mediante pago características adicionales) y destaca por el uso de cifrado AES-256 con PBKDF2 SHA-256, salted hash y el hecho de que los procesos de cifrado y descifrado se llevan a cabo a nivel del dispositivo. También ofrece soporte multiplataforma a través de sistemas operativos y navegadores web y de autenticación en dos pasos a través de medios como YubiKey.

LastPass ha llegado a ser extremadamente popular, pero durante el transcurso de la pasada década se ha enfrentado a diversos incidentes a nivel de seguridad que han minado su reputación. Lo último de lo que nos hemos hecho eco es un presunto comprometimiento de las contraseñas maestras.

Otro punto a tener en cuenta es que la sincronización entre dispositivos móviles y escritorio ha dejado de ser gratuita, así que hay que suscribirse a algún plan de pago para obtener una funcionalidad básica para un servicio que sincroniza online.

Conclusión

Aunque los métodos de autenticación biométricos han logrado hacerse hueco en los móviles (incluso hay gestores de contraseñas que los soportan), la realidad es que las contraseñas de “toda la vida” siguen siendo el medio predilecto para acceder a muchos servicios y sitios web y hasta hay razones para defenderlas frente a medios más modernos que, al menos por ahora, arrojan dudas sobre su fiabilidad.

Tener un gestor de contraseñas fiable y multiplataforma es un buen mecanismo de defensa para que el usuario pueda disponer de sus credenciales independientemente del medio y el sistema utilizados. Opciones hay muchas, descubrir cuál es la mejor es un viaje que hay que recorrer por uno mismo.

Imágenes: Pixabay