Gestion de contraseñas, servicios de pago o softwares

[Tuelas]

...

Sí, así es Burt, me tomo muy en serio la seguridad, más con las explotaciones como le paso a LastPass no hace mucho, en algunas comunidades como se han dado casos, Rasomwares, etcétera. Y viendo que cada día más nuestros datos pueden sufrir en cualquier momento algún tipo de ataque, siempre es mejor prevenir que curar, si no mira hoy el ejemplo del Hospital Clínic de aquí Barcelona, lo que le ha ocurrido. Pero sobre todo me lo tomo muy en serio, porque en realidad al tenerlo en un par de pendrives, uno de ellos, me lo llevo a todas partes siempre y solo en modo lectura encriptado (El otro es una C.Seguridad), y como comprenderás, dentro de KeePass, pues hay muchos más datos críticos, incluso de bancos, S.Social, entre otros datos más. Es por eso que intento prevenir siempre todo lo que esté alojado en la nube, en lo que se refiere datos personales, porque una vez los subes, nunca sabrás cuando podrán ser explotados, en que manos acaban o a quienes se los han vendido; Y si hay brechas en los navegadores sin corregir, agárrate que vienen curvas, aparte de que lo fisgonean todo. Es por eso que mientras pueda, intento siempre tenerlo todo en aplicaciones de código abierto como KeePass y no en la nube o en navegadores alojados y con cuenta logueable para que han copia de los datos, porque por muy fuerte que puedan ser las encriptaciones que usen, pueden ser explotados de muchas maneras y sin darnos cuenta.

Sobre el tema de los plugins, complementos y demás no oficial, que no provenga y recomienden en la página oficial de KeePass original y no forks y plugins comunicándose con los navegadores ajenos como destacan en la misma que no sean oficial de ellos, yo personalmente no los emplearía, pero ya sabes el por qué. Y créeme que no soy del tipo de esas personas que no quieren que nada se filtre ni otras panonias, sino que como te he comentado anteriormente, prefiero prevenir por si las moscas que nunca se sabe y no tener que quebrarme los cuernos si pasa algo. Es y por eso utilizo KeePass original portable en los pendrive y en el móvil, KeePassDX con los datos justos y con biométrica.

Sé que hacerlo del modo en que lo hago yo, y de seguro que muchísima gente, puede darte palo, pero una vez te acostumbras a manejarte así constantemente y a diario, llega un punto en que ya te es indiferente, créeme, a veces la comodidad no es siempre mejor.





Un saludo compañero.

[Burt]

Mira @Tuelas, precisamente estos días se ha conocido la noticia de que a un ingeniero informático xD se la han colado al instalar un programa que simulaba ser un cliente para Windows de ChatGPT. Lo que ha hecho ese programa es, precisamente, acceder a su navegador Firefox y le copió todas las contraseñas almacenadas ahí a través de un malware llamado Stealer, concretamente Aurora Stealer.

Aquí la noticia, no la he encontrado en castellano:
https://www.rac1.cat/tecnologia/2023...trasenyes.html

Incluso teniendo el 2FA en Facebook, ha perdido la cuenta de esa red social!!!

Que me perdone, pero siendo informático autocalificándose como power user, instalar un programa de un anuncio de Facebook tiene delito...

[Tuelas]

Mira @Tuelas, precisamente estos días se ha conocido la noticia de que a un ingeniero informático xD se la han colado al instalar un programa que simulaba ser un cliente para Windows de ChatGPT. Lo que ha hecho ese programa es, precisamente, acceder a su navegador Firefox y le copió todas las contraseñas almacenadas ahí a través de un malware llamado Stealer, concretamente Aurora Stealer.

Aquí la noticia, no la he encontrado en castellano:
https://www.rac1.cat/tecnologia/2023...trasenyes.html

Incluso teniendo el 2FA en Facebook, ha perdido la cuenta de esa red social!!!

Que me perdone, pero siendo informático autocalificándose como power user, instalar un programa de un anuncio de Facebook tiene delito...

¡¡Ese tenia de ingeniero lo que yo de bombero!!


Qué un ingeniero informático lleve a cabo semejante estupidez, perdonarme, pero es que tiene nivel delito y es para darle con un mazo en toda la cabeza por confiado y bobo. ¿Cómo se le ocurre hacer tal disparate...?


A ver si ahora con lo que le ha pasado aprendide algo, y es que nunca hay que confiarse y menos instalar software bajados de cualquier web que no sean las legítimas. En fin...




Un saludo Burt.

[kertsz]

Es que ahora por ejemplo, salio ahí la noticia de que reventaron a Acer y que se ha visto comprometida información.

Yo no puedo tener una contraseña en cada sitio manualmente y este problema de que cada dos pro tres, revientan una pagina o servicio te obliga a ello, por algo lógico... revientan uno y revientan todos aquellos en donde tengas esa contraseña... obvio no hace falta ni decirlo.

Pero claro, si tengo 150 o 200 contraseñas, el usar un sistema que genere una contraseña para cada sitio y tener que ir uno por uno cambiándolas todas es un poco "meg".
Y lo peor de todo es que lo he intentado con el software de mi antivirus, pero la integración o como se gestiona no esta bien afinado o no es del todo sencillo.
Mas haya aun, que es muy sencillo al cambiarlas generar una única, luego que la que tienes guardada no este actualizada cosas así, y luego cuando te hace falta tengas que andar recuperándolas. Es un embrollo.

La noticia es esta LinK, ¿que pasa, que si tenía mi contraseña ahí, ahora tengo cientos de webs comprometidas?.

A ver la pregunta en si no va por esa noticia, por lo visto no se ha comprometido información de usuarios, pero en los casos en los que si, el problema es ese.
El propio Google el otro día me decía que la contraseña de nvidia había sido comprometida que la cambiase, menudo jaleo si de cada vez que revienten un sitio me voy tener que poner a cambiar la pass...

Desde luego que para eso me sale a cuentas generar una única para cada pagina aunque me lleve un tiempo.
(reflexión al escribir el post, de las que le gustan a Burt jaja)

[zagloj]

¡Buenas! Las contraseñas han de almacenarse cifradas, por tanto no se pueden "comprometer" si bien se pueden ver comprometidos otros datos si no los tuvieran cifrados, como las cuentas de correo o usuarios.

Saludos

[Burt]

Es que ahora por ejemplo, salio ahí la noticia de que reventaron a Acer y que se ha visto comprometida información.

Yo no puedo tener una contraseña en cada sitio manualmente y este problema de que cada dos pro tres, revientan una pagina o servicio te obliga a ello, por algo lógico... revientan uno y revientan todos aquellos en donde tengas esa contraseña... obvio no hace falta ni decirlo.

Pero claro, si tengo 150 o 200 contraseñas, el usar un sistema que genere una contraseña para cada sitio y tener que ir uno por uno cambiándolas todas es un poco "meg".
Y lo peor de todo es que lo he intentado con el software de mi antivirus, pero la integración o como se gestiona no esta bien afinado o no es del todo sencillo.
Mas haya aun, que es muy sencillo al cambiarlas generar una única, luego que la que tienes guardada no este actualizada cosas así, y luego cuando te hace falta tengas que andar recuperándolas. Es un embrollo.

La noticia es esta LinK, ¿que pasa, que si tenía mi contraseña ahí, ahora tengo cientos de webs comprometidas?.

A ver la pregunta en si no va por esa noticia, por lo visto no se ha comprometido información de usuarios, pero en los casos en los que si, el problema es ese.
El propio Google el otro día me decía que la contraseña de nvidia había sido comprometida que la cambiase, menudo jaleo si de cada vez que revienten un sitio me voy tener que poner a cambiar la pass...

Desde luego que para eso me sale a cuentas generar una única para cada pagina aunque me lleve un tiempo.
(reflexión al escribir el post, de las que le gustan a Burt jaja)

Sí puedes y debes tener una contraseña única para cada sitio, pero necesitarás días dedicándole un rato a cambiarlas. Cuando la cambias, te deslogueas de la web y vuelves a loguearte, entonces el navegador te pregunta si la quieres actualizar.

Aunque esa contraseña que tenías en ACER es la misma que tienes en otros sitios, seguramente no te vaya a afectar mucho porque los hackers deberían fijarse en si tú estás registrado en otras páginas. Por ejemplo, si tenías cuenta en Acer (como otras miles de personas) ¿el hacker de Hong Kong (por ejemplo) va a relacionar tus datos con una cuenta tuya en PCComponentes?, ¿va a ir a probar a la web de esa tienda española a ver si le funciona el mail/contraseña?. Puede ocurrir, ciertamente, pero yo creo que es poco probable. Y ni menudo jaleo ni nada, en cualquier caso, debes cambiar las contraseñas ahí donde tengas la misma o se hayan visto comprometidas. A mi Google me dice lo mismo, y mira que estoy registrado en un montón de sitios.
Por cierto, leyendo la noticia de ACER, SÍ que han robado contraseñas de particulares!!

Bueno, ahora te cuento mi caso. Estoy registrado en una barbaridad de sitios (como tú), pero aquellos que más sensibles para mi seguridad considero, les cambié la contraseña hace tiempo por una de robusta y aquellos sitios donde me lo permite, tengo activado el 2FA (cuenta de Google, Paypal, Amazon, H2M, cuenta de Firefox, Instagram, Twitter, cuenta de Yahoo, foros y unos cuantos más) que gestiono vía Authy. En Steam también debo confirmar el logueo con una clave que te mandan por email.
Como me emparanollado estos días, estoy volviendo a cambiar esas contraseñas y además llevo unos días revisando cada contraseña a través del navegador de TODOS LOS SITIOS. Las estoy cambiando y ni siquiera uso ya el generador de contraseñas de Firefox, utilizo este generador https://1password.com/es/password-generator/ con claves alfanuméricas y mínimo 20 caracteres. Todo esto lo estoy apuntando (user/password de muchos sitios) y introduciendo en un Excel para tenerlo guardado, por una razón que explico ahora...
Es increíble la cantidad de contraseñas repetidas y poco seguras que he ido generando a lo largo de los años, increíble.

Esto que te cuento es un primer paso. Al final voy a hacer caso a @Tuelas y @El_Angel_Caído y voy a utilizar KeepPassXC y encriptaré mis contraseñas para eliminarlas antes o después de mis navegadores. Lo que no creo que haga es lo de usar la versión portable en USB, lo utilizaré desde el PC y además con los plugins i extensiones de ese gestor de contraseñas en los navegadores para que no me resulte tan engorroso.

Bueno, ahora te he pegado la chapa yo @kertsz xD

Un saludo.

[Tuelas]

Aunque sea un peñazo el tener una contraseña distinta para cada sitio, es siempre la mejor opción y la más viable. Lo que no es para nada normal, es utilizar las mismas contraseñas en muchos portales, comunidades y empresas, y eso es lo que jamás se ha de hacer nunca. Por eso siempre es recomendable que cada sitio tenga una única contraseña, y contra más larga y más compleja, mucho mejor.

Desgraciadamente, es sabido que no todas las empresas, comunidades, redes sociales, hacen un buen uso de ellas en lo que su seguridad se refiere. Y de hecho tenemos un mero ejemplo, como empresas en el pasado como Acer, Asus, Facebook y otras muchas más, guardaban estas en texto plano y auguraban de que tenian por entonces una seguridad robusta, cosa que no fue así y nos mintieron como bellacos. ¿El problema? Es que nunca sabemos cómo se almacenan estas, que tipos de seguridad y encriptaciones utilizan y que se suponen que hacen con estas y ese es el problema, por eso es recomendable siempre que cada portal, tenga una unica y exclusiva para ello en caso de robo e intentar siempre que se pueda, huir de páginas de alojamiento gratuitas o de pago, así como de los gestores de los navegadores, porque pueden contener brechas que son faciles de explotar.

Hace unas semanas tuvimos el ejemplo de LastPass y hoy tenemos de nuevo el ejemplo de Bitwarden, que ha sido hackeada, donde de nuevo un fallo ha permitido robar contraseñas y están pidiendo desde Bitwarden a sus usuarios de pago y gratuitos, que las cambien contra más rápido mejor.

Noticias:

Un fallo permite robar contraseñas de Bitwarden - RedesZone

La fallo de Bitwarden puede permitir a los hackers robar contraseñas usando iframes - bleepingcomputer



Así que como veis, yo sigo apostando por programas de código libre reputados, descentralizados, y si tengo que hacer unos clics más, lo prefiero viendo todo lo que ocurre y lo que nunca llegaremos a saber.




Un saludo chicos.

[kertsz]

Le voy echar un vistazo detenidamente al hilo, y ver lo que comentáis y valorar las opciones que hay.

No estoy nada tranquilo con como lo gestiono actualmente y aunque sea un engorro o algo tedioso cambiarlo, creo que debo darle una vuelta.

[kertsz]

En mi caso con tener una contraseña por host me llega, no tenerlas repetidas.

Burt ¿como dices que haces para que el Firefox te genere una aleatoria?.

EDITO:
No he dicho nada, ya lo he encontrado... con eso me vale.

[Burt]

En mi caso con tener una contraseña por host me llega, no tenerlas repetidas.

Burt ¿como dices que haces para que el Firefox te genere una aleatoria?.

EDITO:
No he dicho nada, ya lo he encontrado... con eso me vale.

Supongo que has activado o ya la tenías activada la opción en los parámetros de Privacidad y Seguridad de Firefox.

Cuando en alguna cuenta voy a la opción de cambiar la contraseña, cuando pones el mouse donde debes poner la nueva, Firefox te sugiere una. Como dije anteriormente, yo ya no utilizo esa opción porque esas contraseñas no me parecen suficientemente seguras ni complejas y utilizo el generador de contraseñas 1password , que te permite generar contraseñas más largas y complejas y con caracteres especiales.

Todavía no me he puesto a implementar totalmente KeepPassXC

No lo he probado, pero parece que Chrome también puede generar o sugerir contraseñas

Un saludo.