Tu gestor de contraseñas no cifra tu bóveda con tu contraseña maestra. No puede: una frase escrita por una persona no tiene ni la forma ni la robustez de una clave criptográfica.
En su lugar la pasa por una función de derivación de clave, o KDF, que la convierte en una clave de longitud fija. Y esa función está hecha para ser lenta a propósito.
Por qué la lentitud es la función
Si derivar la clave llevara un microsegundo, un atacante con una bóveda robada podría probar miles de millones de contraseñas candidatas por segundo. Que la derivación tarde una fracción de segundo no te cambia nada - escribes la contraseña una vez - y multiplica por lo mismo el coste del atacante en cada intento.
Ese es todo el diseño. El retraso que apenas notas es el que el atacante paga una y otra vez.
El número que lo controla
La lentitud de la derivación depende de un factor de trabajo: iteraciones para PBKDF2, memoria y pasadas para Argon2.
La OWASP Password Storage Cheat Sheet sitúa ahora Argon2id en cabeza de sus recomendaciones, con un mínimo de 19 MiB de memoria, 2 iteraciones y 1 grado de paralelismo. Donde se exige conformidad FIPS-140, recomienda PBKDF2 con 600 000 iteraciones o más, usando HMAC-SHA-256.
La progresión histórica merece una pausa. El número recomendado de iteraciones PBKDF2 ha pasado de 10 000 en 2010 a 600 000 hoy, sesenta veces más, porque el hardware de los atacantes se aceleró mientras las matemáticas seguían igual.
El ajuste que nadie revisa
Esta es la consecuencia práctica, y la razón de ser de este artículo.
Tu cuenta se configuró el día que la creaste, con el valor por defecto de ese día. Si la abriste hace años, el factor de trabajo almacenado puede seguir siendo el que se consideraba suficiente entonces, no el que se considera suficiente ahora. Las recomendaciones se movieron; tu cuenta no las siguió sola.
La mayoría de los gestores serios exponen el ajuste, y varios han migrado su valor por defecto a Argon2id. Cambiarlo suele ser cuestión de un campo en los ajustes de seguridad, y la clave se vuelve a derivar en el siguiente desbloqueo.
Dos precauciones antes de tocarlo. Subir el factor de trabajo hace el desbloqueo más lento en tu dispositivo más lento - el teléfono viejo, no el ordenador de sobremesa -, así que pruébalo ahí. Y exporta antes una copia de tu bóveda: la operación vuelve a cifrar, y una interrupción a destiempo no es el momento de descubrir que no tenías copia.
Qué protege realmente la bóveda
El orden importa más que cualquier cifra aislada.
Una contraseña maestra larga y única va primero. Ningún factor de trabajo rescata una frase débil; solo multiplica el tiempo necesario para romperla, y multiplicar un número muy pequeño deja un número pequeño.
Después los ajustes del KDF, que deciden lo que cuesta atacar una bóveda robada.
Y después todo lo demás: la autenticación en dos pasos protege la cuenta en los servidores del proveedor, pero no protege un archivo de bóveda exportado que el atacante ya tiene. Frente a eso solo actúan la contraseña maestra y el KDF.
En resumen
Tu contraseña maestra no es la clave; es la entrada de una función deliberadamente lenta que produce la clave. Esa función tiene un factor de trabajo, la guía actual es Argon2id o PBKDF2 con 600 000 iteraciones, y el valor de tu cuenta es probablemente el de por defecto del día que te registraste. Merece una mirada, una vez.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Probar NordPass30 días de garantía de reembolso · Plan gratis disponible→Preguntas frecuentes
¿Qué es un KDF en un gestor de contraseñas?
Una función de derivación de clave convierte tu contraseña maestra en una clave criptográfica. Una frase escrita no tiene la longitud ni la robustez para cifrar una bóveda directamente, así que el gestor la pasa por una función como PBKDF2 o Argon2id, que produce una clave de longitud fija. La función es lenta a propósito, porque esa lentitud es lo que encarece adivinar.
¿Cuántas iteraciones KDF debo usar?
La guía actual de OWASP pone Argon2id primero, con un mínimo de 19 MiB de memoria, 2 iteraciones y 1 grado de paralelismo. Donde se exige conformidad FIPS-140 recomienda PBKDF2 con 600 000 iteraciones o más usando HMAC-SHA-256. Como referencia, la cifra recomendada era 10 000 en 2010: sube a medida que el hardware de los atacantes se acelera.
¿Por qué es bueno que la función sea lenta?
Porque tú pagas el retraso una vez, al desbloquear, y el atacante lo paga en cada contraseña candidata. Una derivación de una fracción de segundo te resulta imperceptible y multiplica por lo mismo el coste de un ataque de fuerza bruta, en cada uno de miles de millones de intentos. La rapidez solo ayudaría al atacante.
¿Debo cambiar el ajuste KDF en una cuenta antigua?
Conviene comprobarlo, porque tu cuenta conserva el valor por defecto del día en que se creó y las recomendaciones han subido bastante desde entonces. Dos precauciones: un factor de trabajo mayor ralentiza el desbloqueo en tu dispositivo más lento, así que pruébalo ahí y no en un equipo rápido, y exporta antes una copia de la bóveda, ya que el cambio la vuelve a cifrar.
¿La verificación en dos pasos hace menos importante el KDF?
No, protegen cosas distintas. La verificación en dos pasos protege tu cuenta en los servidores del proveedor. No hace nada por un archivo de bóveda exportado o robado, sobre el que un atacante puede trabajar sin conexión a su ritmo. Frente a ese archivo solo cuentan la fortaleza de tu contraseña maestra y el factor de trabajo del KDF.