Administrador de contraseñas: ¿contraseña maestra o no?

La pregunta sobre el keylogger está un poco fuera de lugar con los administradores de contraseñas, porque una vez que opera en un sistema ya comprometido no se puede salvar con prácticamente ninguna operación, algunos troyanos pueden robar datos de formularios en la fracción de segundo que ingresan los administradores, También es muy probable que guarde todo lo que tiene en su portapapeles. Otros vectores de ataque pueden estar tomando la contraseña de las capturas de pantalla ...

Básicamente, ningún administrador de contraseñas puede ayudarlo si está en un sistema comprometido, ya que el atacante no necesita depender de una autenticación separada, solo puede usarlo. Un sistema comprometido no es un vector de ataque del que un administrador de contraseñas pueda protegerlo (y no está diseñado para hacerlo).

Para la pregunta de qué autenticación, la mejor opción sería una autenticación de dos factores con contraseña y una confirmación en un dispositivo separado, pero como la mayoría de los administradores no le permiten agregar un dispositivo nuevo sin una autenticación por separado, debe estar bastante seguro con una sola contraseña maestra (por supuesto no reutilizada en ningún otro lugar ...). La autenticación biométrica en los dispositivos de usuario habituales no es muy segura, por lo que no confiaría en eso con una contraseña larga y segura.

A partir de la experiencia personal con Lastpass, configuré la contraseña maestra personal y configuré 2FA con Google Authenticator. Sí, es un dolor en el culo para mí a veces, ya que necesito sacar mi Auth. Códigos pero, es más seguro y me da un tono cálido y difuso.