--- id: CP-201 slug: gestor-contrasenas-zero-knowledge lang: es title: Gestor de contraseñas y cifrado Zero-Knowledge description: Cómo un gestor cifra su caja fuerte a partir de la contraseña maestra y qué debe hacer usted para que proteja de verdad sus cuentas. canonical_url: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ markdown_url: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Gestor de contraseñas y cifrado Zero-Knowledge», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-013 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ en: https://startbrain.io/cyberpedia/en/articles/zero-knowledge-password-manager/ it: https://startbrain.io/cyberpedia/it/articles/gestore-password-zero-knowledge/ sources: - "n": 1 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide accessed: "2026-11-03" - "n": 2 title: "SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/132/final accessed: "2026-11-03" - "n": 3 title: Password Storage - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html accessed: "2026-11-03" - "n": 4 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 5 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 6 title: Three random words publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words published: "2021-12-21" accessed: "2026-11-03" - "n": 7 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 9 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 10 title: "Credentials from Password Stores: Password Managers" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/005/ accessed: "2026-11-03" --- # Gestor de contraseñas y cifrado Zero-Knowledge Un gestor de contraseñas guarda las credenciales de un empleado en una caja fuerte. Esa caja fuerte se abre con un único secreto, la contraseña maestra [1]. Las decenas de contraseñas que cada persona utiliza son difíciles de recordar, y el efecto es conocido: se reutilizan las mismas o se eligen contraseñas habituales, algo que los atacantes aprovechan [1]. En el caso ideal que describe el NCSC, la clave que descifra la caja fuerte se deriva generalmente de la contraseña maestra y no debería ser accesible para el proveedor del servicio de sincronización [1]. Esta propiedad tiene una contrapartida: si se pierde la clave de descifrado, no debe ser posible restablecerla para recuperar el contenido de la caja fuerte [1]. ## En 30 segundos - Dónde ocurre: cada vez que se crea, se escribe o se guarda una contraseña, tanto en el trabajo como en casa. - Lo que busca el atacante: la contraseña maestra o las credenciales en texto claro extraídas de la memoria [10], porque un ataque con éxito da acceso a todas las contraseñas almacenadas [1]. - El reflejo: elegir como contraseña maestra una frase de contraseña larga y única [5][6], activar la autenticación multifactor en el gestor [1] y no reutilizar nunca ese secreto en otro sitio [4]. - Si ya lo ha hecho: saber si existe una recuperación, quién puede activarla y si usted la quiere [1]. ## Preguntas directas ### ¿Puede el proveedor leer mis contraseñas? La guía del NCSC (Reino Unido) describe el caso ideal: las credenciales almacenadas solo son accesibles para el usuario, con su clave de descifrado, generalmente derivada de la contraseña maestra. Esa clave no debe ser accesible para otros, proveedor incluido [1]. Un gestor que ofrece una recuperación a cargo del proveedor se aparta de ese caso: el NCSC advierte de que el método de recuperación puede explotarse para acceder a las credenciales, sobre todo cuando el proveedor es el responsable [1]. ### ¿Qué ocurre si olvido la contraseña maestra? Pierde el acceso a todas sus contraseñas guardadas y debe restablecer una por una las cuentas afectadas, lo que exige mucho tiempo [1]. Algunos gestores ofrecen una recuperación en la que intervienen otras personas autorizadas: un compañero, un administrador o el proveedor [1]. El NCSC recomienda decidir si se quiere esta opción sopesando sus riesgos frente al coste de perder la caja fuerte [1]. ### ¿Por qué la contraseña maestra no se usa tal cual como clave? Una función de derivación de claves transforma la contraseña en una clave de cifrado. El NIST publicó en diciembre de 2010 la recomendación SP 800-132, que describe la derivación de claves maestras a partir de contraseñas o frases de contraseña para proteger datos almacenados [2]. El NIST indica en 2023 que prevé revisar ese documento [2]. ### ¿Se puede atacar un gestor? Sí. El NCSC recuerda que, como cualquier software, un gestor puede tener vulnerabilidades y que es un objetivo natural, ya que un ataque con éxito da acceso a todas las contraseñas de un usuario [1]. La misma guía concluye que los beneficios superan a los riesgos [1]. ## Cómo funciona La contraseña maestra pasa por una función de derivación para producir la clave de cifrado [2]. Para el almacenamiento de contraseñas en el servidor, OWASP recomienda algoritmos lentos como Argon2id, bcrypt o PBKDF2, y considera inadecuados los algoritmos rápidos como SHA-256, porque dejan que el atacante pruebe un número muy elevado de combinaciones por segundo [3]. Un algoritmo lento y que consume mucha memoria hace que la fuerza bruta sea más difícil, más costosa y más larga [3]. El ajuste se hace mediante un factor de trabajo, es decir, el número de iteraciones del algoritmo para cada contraseña [3]. OWASP da varias configuraciones mínimas equivalentes para Argon2id, una de las cuales es 19 MiB de memoria, 2 iteraciones y 1 grado de paralelismo y, para PBKDF2 con un requisito FIPS-140, un factor de 600 000 o más con HMAC-SHA-256 [3]. Estas cifras describen el almacenamiento de contraseñas en el servidor. Las fuentes del expediente no dicen qué parámetros emplea cada gestor para su caja fuerte. En el uso diario, el gestor también rellena formularios. Solo debe ofrecer las credenciales del sitio donde se guardaron, nunca el conjunto de la caja fuerte a un sitio visitado [1]. El NCSC añade que un gestor puede detectar los sitios falsos mejor que una persona [1]. ## Lo que usted hace Elija como contraseña maestra una frase de contraseña larga. CISA propone una serie de 4 a 7 palabras sin relación entre sí [5]. El NCSC aconseja tres palabras al azar, por ejemplo «applenemobiro», y desaconseja las fechas de nacimiento, los equipos deportivos y los nombres de familiares o mascotas, que las redes sociales suelen revelar [6]. Sustituir una «o» por un cero aporta poca fortaleza, porque los ciberdelincuentes conocen el truco [6]. La CNIL cita como ejemplo una contraseña de al menos 12 caracteres de 4 tipos, y señala que puede ser más corta si la cuenta tiene medidas de seguridad complementarias [4]. No reutilice nunca esta contraseña maestra. La CNIL pide una contraseña propia y única para cada cuenta sensible, a fin de evitar los ataques en cascada [4]. Active la autenticación multifactor en el gestor. Con ella, el atacante debe conocer la contraseña maestra y poseer el segundo factor [1]. El NCSC pide usarla en todos los gestores con sincronización en la nube y en las cuentas con privilegios, como las de administrador [1]. OWASP cita un análisis de Microsoft según el cual la autenticación multifactor habría detenido el 99,9 % de los compromisos de cuentas [7]. Decida si quiere un medio de recuperación, sopesando sus riesgos frente al coste de perder la caja fuerte, y sepa quién podría activarlo [1]. Si su empresa tiene una política, sígala. El NCSC recomienda que los responsables definan una norma clara sobre la exportación de la caja fuerte en texto claro, porque una vez exportadas, las contraseñas dejan de estar protegidas [1]. Deje que el gestor genere las contraseñas de sus otras cuentas: facilita el uso de contraseñas únicas, largas y aleatorias [1]. El NIST señala que pegar en los campos de entrada facilita el uso de los gestores [8]. Esta versión del NIST SP 800-63 está sustituida por la SP 800-63-4 desde el 1 de agosto de 2025 [8]. ## Las trampas - Una contraseña maestra débil. El atacante puede intentar adivinarla por fuerza bruta [10]. Para la política de contraseña maestra, MITRE remite a las recomendaciones del NIST [10]. - El phishing. MITRE recomienda formar a los usuarios para reconocer los intentos de phishing que roban cookies de sesión o credenciales [10]. - La caja fuerte abierta en memoria. Una vez desbloqueada la base de datos, las credenciales pueden copiarse en memoria, y los atacantes extraen de ella la contraseña maestra o las credenciales en texto claro [10]. MITRE aconseja volver a bloquear el gestor tras un breve plazo [10]. - El software sin actualizar. MITRE recomienda actualizar con regularidad navegadores, gestores y software asociado [10], y el NCSC, comprobar que el editor corrige rápido sus fallos [1]. - Las extensiones y el navegador. El gestor suele apoyarse en una extensión del navegador para rellenar formularios [1]. MITRE cita entre los objetivos de ciertos códigos maliciosos los datos de las extensiones del navegador y de los gestores [10]. En un ordenador compartido, Cybermalveillance.gouv.fr desaconseja guardar las contraseñas en el navegador [9]. - Las bases de cajas fuertes robadas. MITRE cita actores y programas maliciosos que han atacado esas bases: Threat Group-3390 obtuvo una base KeePass en una máquina comprometida, e Indrik Spider exportó contraseñas desde gestores [10]. - La pérdida del secreto sin recuperación. Si se pierde la clave y no existe recuperación, la caja fuerte sigue siendo ilegible [1]. - Las notas en texto claro. Los pósits, los archivos de texto, la mensajería o el teléfono no están pensados para almacenar contraseñas [4]. ## Fuentes 1. NCSC (Royaume-Uni), «Password manager buyers guide». https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultado el 3 de noviembre de 2026) 2. NIST, «SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC». https://csrc.nist.gov/pubs/sp/800/132/final (consultado el 3 de noviembre de 2026) 3. OWASP, «Password Storage - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (consultado el 3 de noviembre de 2026) 4. CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de enero de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado el 3 de noviembre de 2026) 5. CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado el 3 de noviembre de 2026) 6. NCSC (Royaume-Uni), «Three random words», 21 de diciembre de 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (consultado el 3 de noviembre de 2026) 7. OWASP, «Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (consultado el 3 de noviembre de 2026) 8. NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado el 3 de noviembre de 2026) 9. Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado el 3 de noviembre de 2026) 10. MITRE ATT&CK, «Credentials from Password Stores: Password Managers». https://attack.mitre.org/techniques/T1555/005/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.