Sí. Los navegadores están gestionando mal las contraseñas. Como este es un artículo de opinión y así se indica hasta en el titular, diré que muy mal. Fatal. Y esto es algo que personalmente no había valorado hasta el lanzamiento de Firefox 79, ahora en el canal Nightly de Mozilla. La versión que será lanzada en agosto llegará con una nueva función: la posibilidad de exportar todas nuestras credenciales a un archivo CSV. En el caso de Linux, en estos momentos ni siquiera pide contraseña para ello.
Aunque he empezado hablando de Firefox, esto es algo que también pasa en Chrome, incluida la posibilidad de exportar nuestras contraseñas al archivo CSV que ya hace tiempo que está disponible en la propuesta de Google, lo que son dos de los navegadores más usados del mundo y también es así en muchos otros que gestionan las contraseñas. ¿Cuál es el problema desde mi punto de vista? En realidad, dos: la facilidad para hacer las cosas y la ausencia de un aviso de que, si no añadimos una contraseña maestra, nos podrán fisgar todas nuestras contraseñas en cuestión de segundos. ¿Tiene solución? Sí, y desde mi punto de vista, hay una muy sencilla que hemos aprendido de Apple.
Índice
Las comparaciones son odiosas, sobre todo en un blog como este donde se espera que sólo se hable de Linux, pero en ocasiones es necesario abarcar un poco más. Explicado esto, hablemos un poco por encima de la compañía de la manzana. Apple nunca ha inventado ninguna rueda, eso es así. Lo único que hace la compañía que dirige Tim Cook es coger ideas que han tenido otros, en ocasiones mejorarlas y luego venderlas como nadie. Algo que sí han mejorado es la gestión de las contraseñas, y ahora os explico por qué.
Aunque los ordenadores que más he usado siempre han tenido Linux, también tengo un viejo iMac y un portátil con Windows. Mi iMac lo tuve sin contraseña años, hasta que Apple lanzó iCloud Keychain y me dijo que, si quería usar esa función, tenía que ponerle contraseña al equipo. Se la puse. Ahora, si quiero ver algo de mis contraseñas en Safari, tengo que poner la contraseña de mi usuario (del sistema operativo). Si no la pongo, no veré NADA. Ni yo ni nadie puede acceder a mis credenciales. Esto es lo correcto, sin duda alguna. No hay una contraseña maestra en el navegador y el sistema operativo se encargó de avisarme de que si quería tener mis contraseñas en él, tenía que configurar una contraseña para el inicio de sesión.
Cómo gestionan, mal, las contraseñas Firefox y Chrome
Aunque nunca me lo había planteado, y como he explicado más arriba lo hice con el lanzamiento de Firefox 79 y su nueva función, ni Firefox ni Chrome me piden nada cuando quiero ver mis contraseñas. Los navegadores suponen, mal supuesto, que el usuario que ha accedido al navegador es el dueño del ordenador o alguien registrado en él. Por lo tanto, en Firefox podemos ir a about:logins, acceder a Lockwise y ver todos nuestros usuarios, estando las contraseñas ocultas. Pero, ¿de qué sirve que estén ocultas si podemos copiarlas al portapaleles? De poco. Y la cosa no es diferente en Chrome: vamos a Preferencias/Autocompletar y ahí están. Si tocamos en el icono del ojo, se mostrarán. ¿Qué puede salir mal?
Esto nos hace pensar en un caso cualquiera en el que le dejamos a un amigo o familiar nuestro ordenador. No sé, para que vea un vídeo de gatitos en YouTube mientras nosotros nos duchamos, por ejemplo, para la cena para la que hemos quedado ese día. Nosotros no sabíamos que ese amigo no es un buen amigo o por la razón que sea quiere conseguir nuestra contraseña de Facebook. Lo único que tiene que hacer es ir al apartado de contraseñas, ver nuestro usuario, copiar la contraseña y pegarla en un documento de texto. Ese amigo ya tiene acceso a nuestro Facebook. Así de fácil.
Esto no será así en Firefox 79 para Windows, que sí nos pedirá la contraseña (del usuario de la sesión) para exportar las contraseñas al archivo CSV o copiarlas desde Lockwise, pero en el Firefox 77 actual nos permite copiarlas sin introducir nada. Firefox 79 para Linux sigue permitiendo a cualquiera pasearse por nuestro archivo de contraseñas como Pedro por su casa, aunque el usuario no sea precisamente el famoso Pedro.
Posibles soluciones que deberían implementar ya mismo
En una consulta que le he realizado a Firefox vía Twitter sobre la versión de Linux, me han dicho que tengo que configurar una contraseña maestra para evitar ese problema. ¿Qué pasa con esto? Que yo ya lo sé, pero otros no. La solución no es adivinar qué puede pasar; la solución nos la tienen que ofrecer las compañías. Siempre y cuando sea posible, yo no permitiría el acceso a Lockwise sin poner la contraseña de usuario (del sistema) y me olvidaría de la contraseña maestra. Si lo anterior no es posible, y en Windows sí lo es, los navegadores deberían avisarnos de esto como hace Apple con un mensaje del tipo «o pones una contraseña maestra o no podrás usar los llaveros». Lo que creo que no es una opción es lo que hay en la actualidad: si nosotros no lo tenemos en cuenta y otro sí, estamos expuestos.
Así que ya lo sabéis. Las cosas podrían mejorar, y por lo menos lo hará la versión de Firefox de Windows, pero en la actualidad, todos los navegadores, por lo menos en Linux, gestionan mal las contraseñas. Ya que ellos no avisan de lo que puede pasar si no configuramos una contraseña maestra, lo hago yo en este artículo, que no tenemos que olvidar que es de opinión.
16 comentarios, deja el tuyo
Muy cierto, yo uso Firefox y no sabía que podía agregar una contraseña maestra a mis credenciales. Si no es por este articulo no me hubiese enterado. Los desarrolladores no informan en el momento en que comenzamos a utilizar Lockwise. Es una molestia.
Ya estaba comenzando a utilizar Bitwarden porque pensaba que mis contraseñas eran inseguras ¿confían en Bitwarden o creen que debería buscar otro gestor?
Vaya, si he entendido bien al articulista, los navegadores tienen la culpa de que los usuarios no conozcan sus prestaciones (en este caso la existencia de la contraseña maestra -característica que lleva en Firefox desde el paleolítico inferior-).
Por lo que dice el articulista, la solución a este «fallo» de los navegadores sería que la contrraseña de acceso a las cuentas guardadas no fuese algo opcional del usuario, sino algo obligatorio y predeterminado por el navegador. Dejando aparte que yo prefiero la libertad de elección de cada usuario para ajustar el navegador a su gusto en función de sus preferencias y circunstancias. Lo de la contraseña maestra de Firefox tiene un pequeño bug,: Si te registras en según que webs, te saltará, cada vez que las visites, un aviso para que insertes la contraseña maestra (aunque no quieras loguearte en ese momento)
No. No has entendido bien. Yo hablo de opciones. La solución que yo daría sería como en Safari. Es lo más seguro. Si no, como en Windows, donde no hace falta contraseña maestra y no se puede ni exportar el archivo ni copiar las contraseñas (Firefox).
Como mínimo, en Linux sí que deberían avisar de esto. Sería un poka-yoke (busca en la wiki) y yo sí creo que el fallo es de quien desarrolla. En Windows, Firefox no nos dejará expuestos. En Linux, dicho por ellos, habrá que poner contraseña maestra. Y si es así, deberían avisar. Apple lo hace. No digo obligar, pero ¿qué hay de malo en informar?
En cualquier caso, este artículo también es para que la gente sepa el peligro que supone tener las contraseñas en un navegador.
1. No tenía ni idea de que resultaba tan fácil acceder a todas mis contraseñas.
2. Definir la contraseña maestra ha sido extremadamente simple y eficiente.
Vistos 1 y 2, un simple aviso sobre la desprotección de las contraseñas guardadas sería suficiente para evitar la mayoría de los problemas.
Cuando el daño potencial es tan grande, y la solución tan simple, no advertir del riesgo se convierte en una negligencia.
Entiendo que desde que el articulista compró ese iMac, hasta que quiso utilizar iCloud Keychain, no era un problema que nadie le pidiera credenciales para usar o acceder a las contraseñas guardadas.
Tenía la posibilidad de poner contraseña a su usuario en la máquina desde siempre.
Supongo que Apple le informó que de no hacerlo sus contraseñas estarían desprotegidas.
Debe ser por eso que no existe analogía con la contraseña maestra de Firefox que, como han dicho ya por aquí, existe casi desde el principio de los tiempos.
Hola. Han sido una serie de acontecimientos. Muchas veces, uno no se plantea las cosas como estas. Yo me lo planteé porque Firefox 79 llega con esa función (exportar a CSV). Viendo que no me pide contraseña, he analizado todo lo demás y recordado el pasado. Las contraseñas no deberían estar visibles, es mi opinión y así lo indico hasta en el titular.
Un saludo.
Pues en el caso de Opera, cada que quiero ver mis contraseñas el navegador me pide que ingrese la contraseña de usuario del sistema operativo. No he visto que pasa si mi usuario no tiene contraseña.
Hola, Marcos. Así debería ser. Yo no uso Opera, pero ¿eso que dices es en Linux?
Un saludo.
Edito el mensaje: en Ubuntu 20.04, he instalado Opera, he guardado una contraseña y me permite verlas sin introducir ninguna contraseña. ¿En qué sistema dices que hace eso?
Mi humilde opinión en defensa de los grandes navegadores es que no almacena las credenciales por defecto, es el usuario quien autoriza a guardarlas. Cuando uno ingresa a un sitio X, se le pregunta si quiere guardar las contraseñas. Por qué atribuir a los desarrolladores web la responsabilidad del usuario?? Si la guardaste por voluntad propia y, o bien la prestas o bien, te ownean la PC, querido, jodete por pánfilo. Se te advirtió antes.
Hola, Gabriel. Como comprenderás, yo no estoy de acuerdo. Si lees este enlace de la wiki entenderás por qué https://es.wikipedia.org/wiki/Poka-yoke
¿Has visto alguna vez una máquina industrial en los últimos, no sé, 30 años? Tienen sistemas de seguridad a prueba de negligencias o fallos humanos. De hecho, si no las «hackeas» (como hacerle un puente a un sensor), no puedes abrir las protecciones sin que se pare. Lo que yo estoy pidiendo aquí es algo parecido: que las compañías desarrollen contemplando posibilidades y protegiendo usuarios.
Y sobre lo de que te pide si guardarla o no, sí, claro, te pregunta, pero no te dice nada de que una vez guardadas cualquiera podrá verlas en 10 segundos. Si me dijeras que pone un texto de aviso largo como el de los términos de uso que todos aceptamos sin mirar, vale, ellos habrían avisado y nosotros pasado. Pero no es el caso.
Un saludo.
Para los neófitos en Firefox (incluyendo aquellos que durante años usan el navegador de Mozilla desconociendo ampliamente sus funciones), si quieren mejorar las características del navegador pero no tienen el conocimiento o el tiempo para hacer la contribución personalmente, existe una característica llamada «Enviar Opinión», pueden acceder a ella mediante:
Botón Menu > Ayuda > Enviar Opinión
Se te abrirá una pestaña en la que se te pregunta si estás o no conforme con Firefox, si respondes no te pedirá que escribas brevemente por qué, esto ayuda como retroalimentación para Mozilla enfocarse en mejorar el servicio del navegador Firefox, es así como se ha presionado con el tema de la privacidad, la incorporación de elementos que antes sólo podías tener mediante complementos, una decente incorporación de características de HTML5… Si los redactores de esta y otras comunidades de diversos lenguajes en el mundo se organizaran para corregir este problema masivamente, Mozilla podría tomarlo con seriedad a consideración para las más próxima entrega del navegador Firefox.
Antiguamente, solía usar mucho este servicio para ver mejoras incorporadas al navegador sin tener que usar un complemento o para correr decentemente HTML5, pero lo más importante es que anteriormente al enviar la respuesta te ofrecían el Link para que hicieras seguimiento a tus sugerencias, ¿el problema?, que podías fisgonear en las sugerencias de otros a nivel mundial y colaborar para ver añadida dichas características o para que se corrigiera algún error, eso ya no sucede, ni veo dónde hacer ese seguimiento ahora, sin embargo, en el soporte de Mozilla siguen recomendando usar Firefox Opinion para retroalimentar respecto de bugs, fallos, caídas, huecos e informar de mejoras para el navegador.
Hola. Ya lo he hecho, pero mi comentario es sólo uno que pueden no atender. Aunque este blog no tiene la tirada que pueden tener otros más grandes, en parte también tengo la esperanza de que lo lean. También se lo comenté por Twitter. Sumando, ha sido por aquí, por la sugerencia de Firefox y por Twitter.
Un saludo.
De lo que no estoy de acuerdo con tu sugerencia de «o pones una contraseña maestra o no podrás usar los llaveros», es que demandas a que la empresa obligue al usuario sí o sí a aplicar la contraseña maestra para acceder al uso de lockwise, es decir, esto implica incluso modificar la manera como Firefox Sync trabaja, pues si no has colocado contraseña maestra, Firefox Sync no puede descargar ni actualizar contraseñas, el manejo de las contraseñas o la complejidad de éstas no es responsabilidad directa de una empresa, sino del usuario final que es quien demanda y consume el producto, lo que sí se puede hacer es que Mozilla enfatice en la importancia tras la primera ejecución de Firefox y subsecuentemente en el uso de Firefox Sync, el hacer uso de la contraseña maestra para la seguridad adicional de las contraseñas en condiciones a las que la empresa por cualquier descuido del usuario ya no puede hacerse cargo la empresa. ¿Se entiende?.
En Windows está implementado a partir de Firefox 79 sin tener que usar la contraseña maestra (pide la del usuario). Así, tengo dudas de si no pueden hacerlo en Linux, pero no piden contraseñas ni Chrome, ni Firefox ni Opera, que me lo han comentado, lo he probado y se pueden ver igual.
Lo de obligar a poner la contraseña es la medida más drástica, y sinceramente, yo la tomaría para proteger a los usuarios. Pero no trabajo en Mozilla, ni en Google ni en ninguna empresa que desarrolle navegadores. Como mínimo, sí deberían informar de alguna manera.
Pero resumiendo, no me parece nada bien que cualquiera que tenga acceso físico a un ordenador pueda recuperar todas las contraseñas que hay guardadas en su navegador. Comento mi opinión y cómo están las cosas para que cada uno pueda decidir qué hacer, y entre ello está la posibilidad de usar otros gestores de contraseñas.
Hola, gracias por la publicación.
Te digo mas, en linux al menos, ponele que te permiten usar una maquina porque necesitas conectarte a internet y abrís el chrome, te logueas en tu cuenta de google y sin querer pusiste sincronizar cuenta… Uff error se bajan todas las.contraseñas a esa maquina.
Hasta ahi todo mas o menos ok. Vas, te deslogueas, tambien sacas la cuenta de sincronización, Abris-cerras Chrome y Zaz, todas tus contraseñas y bookmarks etc siguen en esa sesión de la.maquina.
Ok, vas a chrome, avanzadas, restablecer chrome a fabrica y Zas, siguen toda tu información ahi.
Bueno, desinstalo e install Chrome nuevamente… Ufff aun siguen ahi todas tus contraseñas y demás información.
La única forma que tuve de sacar mi información de esa sesión de linux fue ingresar manualmente al Home de esa sesión de Linux y borrar cada unos de los archivos de chrome..
Terrible!!!
Muy buen artículo, pero en Firefox el problema es aún más serio. Si tienes contraseña maestra y tu amigo quiere ver videos de gatitos, no podrá sin la contraseña maestra, pues te la pide una y otra vez para navegar como se hace regularmente. Una solución evidente sería que al no poner la contraseña maestra se comience una sesión de «invitado» por ejemplo, donde no puedas tener acceso a las configuraciones ni a los inicios de sesión. O sea la contraseña maestra sigue teniendo utilidad únicamente para el dueño del ordenador donde se ejecuta Firefox. Este tema es realmente serio, no solo en un ordenador personal, también es especialmente serio en ordenadores institucionales. Saludos…