¿Qué tan seguros están los administradores de contraseñas con la recuperación de la cuenta?

Tener una opción de recuperación está perfectamente bien siempre que esté adecuadamente asegurado. Depende de usted si prefiere perder sus contraseñas si pierde la contraseña maestra o si desea confiar en la empresa del administrador de contraseñas con acceso a sus contraseñas.

Tenga en cuenta que la seguridad es un medio para un fin. Siempre hay que hacer concesiones. Puede tener una computadora perfectamente segura al no tener una computadora. Sin embargo, la usabilidad sufre.

Editar:

Dado que la gente en los comentarios desea que se responda la pregunta específica de "qué tan seguros son los administradores de contraseñas con opción de recuperación", agregaré algunos puntos:

Es posible proporcionar opciones de recuperación que sean seguras, pero esto siempre depende del modelo del atacante. La seguridad SIEMPRE depende del modelo de atacante : ¡las contraseñas son muy malas para los lectores de la mente!

Aquí hay algunas ideas posibles para esquemas de recuperación razonablemente seguros:

1. Cifre una copia de la base de datos con una clave diferente y solicite a los usuarios que impriman esta clave y la guarden en su caja fuerte. Eso es lo que hace keybase.io, o el cifrado de la unidad Ubuntu.
2. Almacene una copia de base de datos que requiera una clave de la compañía en la máquina de los usuarios.
3. Tenga dos departamentos en la empresa, uno que almacene una copia de base de datos y el otro que almacene la clave necesaria. Si desea recuperar, verifique su identidad y envíe su parte.

Sin embargo, ninguno de estos significa que es imposible que otra persona obtenga sus contraseñas. (no usa "conocimiento cero" porque tiene un significado específico que funciona completamente diferente cuando se aplica a las contraseñas) Después de que todos los empleados puedan coludir o las cajas de seguridad se pueden abrir.

Cada opción de recuperación para ti también es una opción de recuperación, o una ruta alternativa de ataque para robar tus contraseñas.

Recuerda: si quieres preguntar "¿Qué tan segura es X?" Su modelo de atacante debe ser obvio o estar establecido. ¡La seguridad siempre depende del modelo de atacante! No hay seguridad absoluta.

Este es un tipo de pregunta en la que puedo confiar . Cuando utiliza un administrador de contraseñas, y específicamente uno en línea, confía en ello. De manera admirable, su bóveda de contraseñas se almacena de forma segura y encriptada que se puede descifrar con su clave maestra privada, y confía en que el administrador de contraseñas nunca filtrará esa clave; debe saberla en el momento del descifrado. Para aquellos que ofrecen un procedimiento de recuperación, el secreto principal puede ser descifrado con su clave privada o con una clave alternativa. Si solo necesita responder una pregunta de seguridad, es suficiente para que un atacante conozca la respuesta a la pregunta de seguridad para acceder a sus contraseñas. Si es mucho más sencillo adivinar que su contraseña maestra, entonces ha reducido la seguridad global.

Si la recuperación implica tanto la respuesta a una pregunta de seguridad como al acceso a un buzón, es tan segura como la más segura de ambas. Por ejemplo, si usa 2FA en su buzón, puede ser aceptable. Porque aquí nuevamente confías en tu proveedor de correo.

De todos modos, cuando usa un administrador de contraseñas, admite que tienen procedimientos suficientemente seguros (*) para proteger sus contraseñas y ya no es el punto más débil. Dicho de otra manera, usted admite que sería más fácil para un atacante hackear su propio sistema (donde escribe la contraseña maestra) que el sistema que aloja el administrador de contraseñas. Si no lo hace, entonces no debe usar ese administrador de contraseñas.

(*) Hablo de procedimientos aquí, porque la seguridad del sistema implica mucho más que software. También debe considerar la seguridad física del centro de datos y si puede confiar en todos los empleados que tienen privilegios de administrador en el sistema.

Es solo mi opinión, pero debo admitir que todavía me resisto a usar un administrador de contraseñas en línea por esas razones y me atengo a una bóveda local con copias de seguridad privadas.

  

Esto significa que la contraseña maestra del usuario es la única forma de descifrar los datos y no se almacena en ninguna parte.

No, no lo hace. "Cero conocimiento" significa que nadie en la compañía, mucho menos un pirata informático, puede descifrar sus datos en menos del tiempo de fuerza bruta, incluso si se les da la información en una bandeja de plata. Sus datos están "almacenados", pero en un formato cifrado o dos. Cero conocimiento significa que sus datos no se almacenan, en texto claro, en ninguna parte del sistema.

Si hay dos, tres o cinco maneras de obtener los datos, aún es seguro siempre y cuando no sea posible obtener ningún fragmento de información de las formas cifradas de manera diversa (y presumiblemente, hay un relleno aleatorio para desalentar esto) .

Tener más de un método para obtener los datos es todavía bastante seguro, siempre y cuando las preguntas sean algo que solo usted pueda responder, o requiera 2FA, etc.

La documentación de LastPass dice que debe hacer lo siguiente para restablecer una contraseña:

  

Si la sugerencia de [contraseña] no ayuda, vaya a la página Recuperación de cuenta para activar su contraseña de One Time local. Esto le permite cambiar su Contraseña maestra si ha iniciado sesión en LastPass anteriormente en esa computadora, y es la única forma de 'restablecer su contraseña'. Debe intentar esto. en todos los navegadores y en todas las computadoras donde haya usado el complemento de LastPass para acceder a su cuenta. Este método no funciona en dispositivos móviles. La recuperación de cuentas no es compatible con dispositivos móviles o aplicaciones. Cambiar la contraseña maestra, revertir la cuenta o borrar la memoria caché del navegador para LastPass puede destruir estos archivos .

Esto sugiere fuertemente que el material de claves relevante (o quizás toda la bóveda) se encuentre en el navegador, y no en los servidores de LastPass. De lo contrario, estas restricciones no tendrían ningún sentido.

  

Si ha actualizado su Contraseña maestra en los últimos 30 días, puede seguir estos pasos para volver a cambiar a su Contraseña maestra anterior. Tenga en cuenta que NO recomendamos que seleccione la opción "restaurar" a menos que haya confirmado con LastPass Support que este es el mejor curso de acción.

Esto indica que mantienen una copia antigua del material de claves durante treinta días, pero no significa que lo mantengan sin cifrar.

Su otro enlace no me proporciona información suficiente para evaluar dónde guardan su material de claves, porque solo dice que "Si tiene la Recuperación de Cuenta habilitada en su cuenta, se lo guiará a través de un procedimiento para restablecer su contraseña maestra. . " No indica lo que implica ese procedimiento o si puede realizarlo en una computadora nueva.