Gestor de contraseñas y cifrado Zero-Knowledge
Cómo un gestor cifra su caja fuerte a partir de la contraseña maestra y qué debe hacer usted para que proteja de verdad sus cuentas.
En 30 segundos
- Dónde ocurre
- Cada vez que se crea, se escribe o se guarda una contraseña, tanto en el trabajo como en casa.
- Lo que busca el atacante
- La contraseña maestra o las credenciales en texto claro extraídas de la memoria10, porque un ataque con éxito da acceso a todas las contraseñas almacenadas1.
- El reflejo
- Elegir como contraseña maestra una frase de contraseña larga y única56, activar la autenticación multifactor en el gestor1 y no reutilizar nunca ese secreto en otro sitio4.
- Si ya lo ha hecho
- Saber si existe una recuperación, quién puede activarla y si usted la quiere1.
De qué se trata
Un gestor de contraseñas guarda las credenciales de un empleado en una caja fuerte. Esa caja fuerte se abre con un único secreto, la contraseña maestra1. Las decenas de contraseñas que cada persona utiliza son difíciles de recordar, y el efecto es conocido: se reutilizan las mismas o se eligen contraseñas habituales, algo que los atacantes aprovechan1.
En el caso ideal que describe el NCSC, la clave que descifra la caja fuerte se deriva generalmente de la contraseña maestra y no debería ser accesible para el proveedor del servicio de sincronización1. Esta propiedad tiene una contrapartida: si se pierde la clave de descifrado, no debe ser posible restablecerla para recuperar el contenido de la caja fuerte1.
Preguntas directas
¿Puede el proveedor leer mis contraseñas?
La guía del NCSC (Reino Unido) describe el caso ideal: las credenciales almacenadas solo son accesibles para el usuario, con su clave de descifrado, generalmente derivada de la contraseña maestra. Esa clave no debe ser accesible para otros, proveedor incluido1. Un gestor que ofrece una recuperación a cargo del proveedor se aparta de ese caso: el NCSC advierte de que el método de recuperación puede explotarse para acceder a las credenciales, sobre todo cuando el proveedor es el responsable1.
¿Qué ocurre si olvido la contraseña maestra?
Pierde el acceso a todas sus contraseñas guardadas y debe restablecer una por una las cuentas afectadas, lo que exige mucho tiempo1. Algunos gestores ofrecen una recuperación en la que intervienen otras personas autorizadas: un compañero, un administrador o el proveedor1. El NCSC recomienda decidir si se quiere esta opción sopesando sus riesgos frente al coste de perder la caja fuerte1.
¿Por qué la contraseña maestra no se usa tal cual como clave?
Una función de derivación de claves transforma la contraseña en una clave de cifrado. El NIST publicó en diciembre de 2010 la recomendación SP 800-132, que describe la derivación de claves maestras a partir de contraseñas o frases de contraseña para proteger datos almacenados2. El NIST indica en 2023 que prevé revisar ese documento2.
1Cómo funciona1 min
La contraseña maestra pasa por una función de derivación para producir la clave de cifrado2. Para el almacenamiento de contraseñas en el servidor, OWASP recomienda algoritmos lentos como Argon2id, bcrypt o PBKDF2, y considera inadecuados los algoritmos rápidos como SHA-256, porque dejan que el atacante pruebe un número muy elevado de combinaciones por segundo3. Un algoritmo lento y que consume mucha memoria hace que la fuerza bruta sea más difícil, más costosa y más larga3.
El ajuste se hace mediante un factor de trabajo, es decir, el número de iteraciones del algoritmo para cada contraseña3. OWASP da varias configuraciones mínimas equivalentes para Argon2id, una de las cuales es 19 MiB de memoria, 2 iteraciones y 1 grado de paralelismo y, para PBKDF2 con un requisito FIPS-140, un factor de 600 000 o más con HMAC-SHA-2563. Estas cifras describen el almacenamiento de contraseñas en el servidor. Las fuentes del expediente no dicen qué parámetros emplea cada gestor para su caja fuerte.
En el uso diario, el gestor también rellena formularios. Solo debe ofrecer las credenciales del sitio donde se guardaron, nunca el conjunto de la caja fuerte a un sitio visitado1. El NCSC añade que un gestor puede detectar los sitios falsos mejor que una persona1.
2Lo que usted hace2 min
Elija como contraseña maestra una frase de contraseña larga. CISA propone una serie de 4 a 7 palabras sin relación entre sí5. El NCSC aconseja tres palabras al azar, por ejemplo «applenemobiro», y desaconseja las fechas de nacimiento, los equipos deportivos y los nombres de familiares o mascotas, que las redes sociales suelen revelar6. Sustituir una «o» por un cero aporta poca fortaleza, porque los ciberdelincuentes conocen el truco6. La CNIL cita como ejemplo una contraseña de al menos 12 caracteres de 4 tipos, y señala que puede ser más corta si la cuenta tiene medidas de seguridad complementarias4.
No reutilice nunca esta contraseña maestra. La CNIL pide una contraseña propia y única para cada cuenta sensible, a fin de evitar los ataques en cascada4.
Active la autenticación multifactor en el gestor. Con ella, el atacante debe conocer la contraseña maestra y poseer el segundo factor1. El NCSC pide usarla en todos los gestores con sincronización en la nube y en las cuentas con privilegios, como las de administrador1. OWASP cita un análisis de Microsoft según el cual la autenticación multifactor habría detenido el 99,9 % de los compromisos de cuentas7.
Decida si quiere un medio de recuperación, sopesando sus riesgos frente al coste de perder la caja fuerte, y sepa quién podría activarlo1. Si su empresa tiene una política, sígala. El NCSC recomienda que los responsables definan una norma clara sobre la exportación de la caja fuerte en texto claro, porque una vez exportadas, las contraseñas dejan de estar protegidas1.
Deje que el gestor genere las contraseñas de sus otras cuentas: facilita el uso de contraseñas únicas, largas y aleatorias1. El NIST señala que pegar en los campos de entrada facilita el uso de los gestores8. Esta versión del NIST SP 800-63 está sustituida por la SP 800-63-4 desde el 1 de agosto de 20258.
3Las trampas2 min
- Una contraseña maestra débil. El atacante puede intentar adivinarla por fuerza bruta10. Para la política de contraseña maestra, MITRE remite a las recomendaciones del NIST10.
- El phishing. MITRE recomienda formar a los usuarios para reconocer los intentos de phishing que roban cookies de sesión o credenciales10.
- La caja fuerte abierta en memoria. Una vez desbloqueada la base de datos, las credenciales pueden copiarse en memoria, y los atacantes extraen de ella la contraseña maestra o las credenciales en texto claro10. MITRE aconseja volver a bloquear el gestor tras un breve plazo10.
- El software sin actualizar. MITRE recomienda actualizar con regularidad navegadores, gestores y software asociado10, y el NCSC, comprobar que el editor corrige rápido sus fallos1.
- Las extensiones y el navegador. El gestor suele apoyarse en una extensión del navegador para rellenar formularios1. MITRE cita entre los objetivos de ciertos códigos maliciosos los datos de las extensiones del navegador y de los gestores10. En un ordenador compartido, Cybermalveillance.gouv.fr desaconseja guardar las contraseñas en el navegador9.
- Las bases de cajas fuertes robadas. MITRE cita actores y programas maliciosos que han atacado esas bases: Threat Group-3390 obtuvo una base KeePass en una máquina comprometida, e Indrik Spider exportó contraseñas desde gestores10.
- La pérdida del secreto sin recuperación. Si se pierde la clave y no existe recuperación, la caja fuerte sigue siendo ilegible1.
- Las notas en texto claro. Los pósits, los archivos de texto, la mensajería o el teléfono no están pensados para almacenar contraseñas4.
Ficha
- Identificador
- CP-201
- Ala
- 3. Protocolos y defensa
- Competencia Brain
- Controlar los accesos (control_access)
- Reflejo Brain
- cr-013
- Esquema
- G3 · Corte anatómico
- Idiomas
- en, es, fr
- Fuentes
- 10 fuentes verificadas el 3 de noviembre de 2026
Fuentes10 fuentes
- NCSC (Royaume-Uni), «Password manager buyers guide». https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consultado el 3 de noviembre de 2026)
- NIST, «SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC». https://csrc.nist.gov/pubs/sp/800/132/final (consultado el 3 de noviembre de 2026)
- OWASP, «Password Storage - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (consultado el 3 de noviembre de 2026)
- CNIL, «Les conseils de la CNIL pour un bon mot de passe», 26 de enero de 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consultado el 3 de noviembre de 2026)
- CISA, «Use Strong Passwords | CISA». https://www.cisa.gov/secure-our-world/use-strong-passwords (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Three random words», 21 de diciembre de 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (consultado el 3 de noviembre de 2026)
- OWASP, «Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (consultado el 3 de noviembre de 2026)
- NIST, «NIST Special Publication 800-63B». https://pages.nist.gov/800-63-3/sp800-63b.html (consultado el 3 de noviembre de 2026)
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses mots de passe ?», 23 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Credentials from Password Stores: Password Managers». https://attack.mitre.org/techniques/T1555/005/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Gestor de contraseñas y cifrado Zero-Knowledge», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp201_es_2026,
author = {Brain},
title = {Gestor de contraseñas y cifrado Zero-Knowledge},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/},
note = {CC BY 4.0}
}