Sabes que debes usar un gestor. Pero ¿cómo funciona realmente? ¿Tus contraseñas están en un servidor ajeno? ¿Bitwarden puede leerlas? ¿Qué pasa si hackean al gestor? Este artículo explica la arquitectura de seguridad que protege tus datos — sin simplificar de más, pero sin asumir que sabes criptografía.
El problema que resuelve un gestor
Necesitas contraseñas distintas para cada sitio (50, 100, 200 cuentas). No puedes memorizarlas todas. Necesitas un lugar seguro donde guardarlas.
Pero "guardarlas" tiene que significar que:
- Solo tú puedas verlas (ni el proveedor del gestor, ni un atacante que robe sus servidores).
- Puedas acceder a ellas desde varios dispositivos.
- Si tu computador se rompe, no pierdas todo.
Estas tres cosas parecen contradictorias — y la criptografía es lo que las hace posibles al mismo tiempo.
La bóveda cifrada
Todos tus datos (contraseñas, notas, tarjetas) se guardan en un archivo cifrado llamado bóveda (vault). Este archivo existe en los servidores del gestor (para sincronización) pero está cifrado de manera que el servidor no puede leerlo.
Es como guardar un cofre cerrado en la bodega de un banco. El banco guarda el cofre, pero no tiene la llave — solo tú la tienes.
Tu contraseña maestra: la llave de todo
Cuando creas tu cuenta en el gestor, eliges una contraseña maestra. Esta contraseña nunca se envía al servidor. Lo que pasa es más complejo y más seguro:
1. Derivación de clave
Tu contraseña maestra se procesa con una función de derivación (como PBKDF2 o Argon2) que la transforma en una clave de cifrado de 256 bits. Este proceso es intencionalmente lento (cientos de miles de iteraciones) para que un atacante no pueda probar contraseñas rápidamente.
En términos simples: tu contraseña "gato ventana lluvia septiembre" se convierte en un número enorme que sirve como llave del cofre. Probar cada posible contraseña para encontrar la correcta tomaría millones de años.
2. Cifrado de la bóveda
Esa clave de 256 bits se usa para cifrar y descifrar tu bóveda con AES-256 — el mismo algoritmo que usan gobiernos para información clasificada. Sin la clave, los datos son indistinguibles de basura aleatoria.
3. Verificación sin revelar la contraseña
Para verificar que eres tú cuando inicias sesión, el gestor usa un hash de tu clave derivada (no de tu contraseña directamente). El servidor puede verificar que tu contraseña es correcta sin saber cuál es.
Zero-knowledge: el proveedor no puede ver tus datos
Este es el concepto central. "Zero-knowledge" (conocimiento cero) significa que el proveedor del servicio almacena tus datos pero no tiene la capacidad técnica de descifrarlos.
Bitwarden, por ejemplo:
- Guarda tu bóveda cifrada en sus servidores.
- No almacena tu contraseña maestra ni la clave de cifrado derivada de ella.
- Si Bitwarden es hackeado, los atacantes obtienen bóvedas cifradas que no pueden abrir sin tu contraseña maestra.
- Si Bitwarden desaparece mañana, puedes exportar tu bóveda mientras tengas acceso.
KeePassXC es aún más directo:
- Tu bóveda es un archivo local en tu computador (
.kdbx). - No hay servidor — tú controlas dónde se guarda.
- Si quieres sincronizar entre dispositivos, lo haces tú (nube, USB, lo que sea).
¿Qué pasa si hackean al gestor?
Esta es la pregunta clave. Ocurrió con LastPass en 2022 [1]:
- Los atacantes robaron las bóvedas cifradas de millones de usuarios.
- Cada bóveda estaba cifrada con la contraseña maestra de su dueño.
- Los atacantes no podían abrirlas directamente — necesitaban adivinar cada contraseña maestra.
- Los usuarios con contraseñas maestras fuertes (largas, aleatorias) estaban protegidos.
- Los usuarios con contraseñas maestras débiles fueron vulnerables al ataque de fuerza bruta.
Lección: la seguridad de un gestor depende fundamentalmente de la fortaleza de tu contraseña maestra. Si es débil, todo el sistema cae. Si es fuerte (5-6 palabras aleatorias, 60+ bits), resiste incluso una brecha del proveedor.
El flujo completo: qué pasa cuando usas tu gestor
Al guardar una contraseña
- Generas una contraseña nueva (16+ caracteres aleatorios).
- El gestor la agrega a tu bóveda local (en memoria).
- La bóveda completa se cifra con tu clave y se sincroniza al servidor.
- El servidor almacena datos que no puede leer.
Al rellenar una contraseña
- El gestor descifra tu bóveda localmente usando tu clave (que está en memoria mientras la sesión está activa).
- Busca las credenciales del sitio donde estás.
- Las inserta en el formulario.
- En ningún momento la contraseña descifrada sale de tu dispositivo hacia el servidor del gestor.
Al cerrar sesión
- La clave de cifrado se borra de la memoria.
- Solo queda la bóveda cifrada.
- Para volver a acceder, necesitas tu contraseña maestra otra vez.
¿Por qué no usar el gestor del navegador?
Los gestores de Chrome, Firefox y Safari son cómodos pero tienen diferencias importantes:
- Cifrado más débil en algunos casos: Chrome cifra con las credenciales de tu sesión de Windows/Mac, no con una contraseña maestra independiente. Si alguien accede a tu sesión, accede a tus contraseñas.
- Sin auditoría independiente: gestores como Bitwarden publican su código y son auditados por terceros. Los gestores de navegador no tienen el mismo nivel de escrutinio.
- Dependencia del ecosistema: si usas Chrome, tus contraseñas están atadas a Google. Con un gestor independiente, puedes cambiar de navegador o sistema operativo sin perder nada.
No son inseguros — son mejores que no usar nada. Pero un gestor dedicado ofrece más control y más garantías.
Qué hacer
- Elige un gestor — Bitwarden (nube, gratuito, código abierto) o KeePassXC (local, sin nube).
- Crea una contraseña maestra fuerte — 5-6 palabras aleatorias. Usa el generador de contraseñas en modo "frase de palabras".
- Activa 2FA en tu cuenta del gestor — es la cuenta más importante que tienes.
- Guarda los códigos de recuperación — en papel, en un lugar físico seguro.
- No reutilices tu contraseña maestra en ningún otro lugar. Es la llave de todo.
Fuentes
[1] LastPass (2023). Incident Report. https://blog.lastpass.com/posts/2023/03/security-incident-update-recommended-actions
[2] Bitwarden (2024). Security Whitepaper. https://bitwarden.com/help/bitwarden-security-white-paper/
[3] OWASP (2024). Password Storage Cheat Sheet. https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html
[4] KeePass (2024). Security. https://keepass.info/help/base/security.html