Seguridad del administrador de contraseñas de Microsoft Edge

Las preguntas más frecuentes incluidas en este artículo describen cómo el administrador de contraseñas integrado de Microsoft Edge proporciona seguridad para las contraseñas de usuarios.

¿Cómo se almacenan las contraseñas en Microsoft Edge y qué tan seguro es este método?

Microsoft Edge almacena las contraseñas cifradas en el disco. Se cifran mediante AES y la clave de cifrado se guarda en un área de almacenamiento del sistema operativo (SO). Esta técnica se denomina cifrado de datos local. Aunque no todos los datos del explorador están cifrados, los datos confidenciales, como contraseñas, números de tarjeta de crédito y cookies, se cifran cuando se guardan.

El administrador de contraseñas de Microsoft Edge cifra las contraseñas para que solo se pueda acceder a ellas cuando un usuario haya iniciado sesión en el sistema operativo. Incluso si un atacante tiene derechos de administrador o acceso sin conexión y puede acceder a los datos almacenados localmente, el sistema está diseñado para impedir que el atacante obtenga las contraseñas de texto no cifrado de un usuario que no haya iniciado sesión.

La manera de descifrar las contraseñas de otro usuario es si ese usuario inició sesión y el atacante tenía la contraseña del usuario o ha puesto en peligro el controlador de dominio.

Acerca del método de cifrado

La clave de cifrado del perfil está protegida mediante OSCrypt de Chromium y usa las siguientes ubicaciones de almacenamiento del sistema operativo específicas de la plataforma:

• En Windows, el área de almacenamiento es DPAPI

• En Mac, el área de almacenamiento es el Llavero

• En iOS, el área de almacenamiento es la cadena de claves de iOS.

• En Linux, el área de almacenamiento es Gnome Keyring o KWallet

• En Android, no hay un área de almacenamiento de claves de nivel de sistema para la contraseña cifrada de AES128

Todas estas áreas de almacenamiento cifran la clave de AES mediante una clave accesible para algunos o todos los procesos que se ejecutan como usuario. Este vector de ataque a menudo se presenta en blogs como una posible "violación" o "vulnerabilidad", lo que es una comprensión incorrecta del modelo de amenazas del explorador y la posición de seguridad.

Sin embargo, los ataques físicamente locales y el malware están fuera del modelo de amenazas y, en estas condiciones, los datos cifrados serían vulnerables. Si el equipo está infectado con malware, un atacante puede obtener acceso descifrado a las áreas de almacenamiento del explorador. El código del atacante, que se ejecuta como su cuenta de usuario, puede hacer todo lo que usted puede hacer.

¿Por qué cifrar los datos localmente? ¿Por qué no almacenar la clave de cifrado en otro lugar o dificultar la obtención?

Los exploradores de Internet (incluido Microsoft Edge) no están equipados con defensas para protegerse frente a amenazas en las que todo el dispositivo está en peligro debido al malware que se ejecuta como usuario en el equipo. Sin embargo, programas como SmartScreen de Microsoft Defender y las protecciones de nivel de sistema operativo como Windows Defender están diseñados para garantizar que el dispositivo no esté en peligro para empezar.

A pesar de su incapacidad para proteger contra el malware de plena confianza, el Cifrado de datos local es útil en determinados escenarios. Por ejemplo, si un atacante encuentra una manera de robar archivos del disco sin la capacidad de ejecutar código o ha robado un portátil que no está protegido con cifrado de disco completo, el cifrado de datos local dificultará que el ladrón obtenga los datos almacenados.

¿Es recomendable almacenar contraseñas en Microsoft Edge?

Los usuarios que pueden confiar en el administrador de contraseñas integrado de Microsoft Edge pueden (y hacen) usar contraseñas más seguras y únicas más porque no necesitan recordarlas todas y escribirlas con tanta frecuencia. Y como el administrador de contraseñas solo rellenará automáticamente las contraseñas en los sitios a los que pertenecen, es menos probable que los usuarios sufran un ataque de suplantación de identidad (phishing).

Nota

Los informes del sector muestran que el 80 % de los incidentes en línea están relacionados con la suplantación de identidad (phishing) y que más del 37 % de los usuarios no capacitados no superan las pruebas de phishing.

El administrador de contraseñas de Microsoft Edge es cómodo y fácil de distribuir, lo que contribuye a mejorar la seguridad. Cuando se combina con la sincronización, puede tener todas las contraseñas en todos sus dispositivos y es fácil usar una contraseña diferente para cada sitio web. Puede usar contraseñas largas y complejas que no tiene que recordar para cada sitio y evitar la molestia de escribir una cadena compleja de caracteres cada vez. La conveniencia del administrador de contraseñas implica que hay menos riesgo de sufrir un ataque de phishing.

Sin embargo, el uso de un administrador de contraseñas con clave en la sesión de inicio de sesión del sistema operativo del usuario también significa que un atacante de esa sesión puede recuperar inmediatamente todas las contraseñas guardadas del usuario. Al no haber un administrador de contraseñas para robar, un adversario tendría que realizar un seguimiento de las pulsaciones de teclas o supervisar las contraseñas enviadas.

La decisión de usar un administrador de contraseñas se reduce a evaluar las numerosas ventajas que hemos descrito frente a la posibilidad de que todo el dispositivo se ponga en peligro. Para la mayoría de los modelos de amenazas, el administrador de contraseñas de Microsoft Edge es la opción recomendada.

Nota

Si una empresa está preocupada por el robo de una contraseña específica o que un sitio se vea en peligro a causa de una contraseña robada, se deben tomar precauciones adicionales. Algunas soluciones eficaces que ayudan a mitigar este tipo de incidentes son Inicio de sesión único (SSO) a través de Active Directory, Microsoft Entra ID o un tercero. Otras soluciones incluyen 2FA (como MS Authenticator) o WebAuthN.

¿Una organización debe habilitar un administrador de contraseñas?

La respuesta sencilla y sencilla es: Sí, use el administrador de contraseñas del explorador.

Una respuesta más completa implica tener un conocimiento detallado del modelo de amenazas, porque las opciones y decisiones de seguridad varían en función de los distintos modelos de amenazas. Algunas preguntas relevantes que debe tener en cuenta al pensar si debe habilitar el administrador de contraseñas para su organización son:

• ¿Qué tipos de atacantes le preocupan?

• ¿En qué tipo de sitios web inician sesión sus usuarios?

• ¿Los usuarios seleccionan contraseñas seguras y únicas?

• ¿Las cuentas de los usuarios están protegidas con 2FA?

• ¿Qué tipo de ataques son más probables?

• ¿Cómo se protegen los dispositivos de la empresa frente al malware?

• ¿Cuál es la tolerancia personal de los usuarios a las molestias?

• Tenga en cuenta el impacto de la sincronización de datos.

Es importante tener en cuenta la seguridad de los datos de usuario a medida que se sincronizan con varios dispositivos de usuario y la cantidad de control que tiene la organización en la sincronización de datos de autorrellenamiento.

Sincronización de datos y Microsoft Edge:

• La sincronización de datos se puede habilitar o deshabilitar según lo desee en toda la organización.

• Seguridad de datos en tránsito y en reposo en la nube: todos los datos sincronizados se cifran en tránsito a través de HTTPS cuando se transfieren entre el explorador y los servidores de Microsoft. Los datos sincronizados también se almacenan en un estado cifrado en los servidores de Microsoft. Los tipos de datos confidenciales, como direcciones y contraseñas, se cifran aún más en el dispositivo antes de sincronizarse. Si usa una cuenta profesional o educativa, todos los tipos de datos se cifran más antes de sincronizarse mediante Microsoft Purview Information Protection.

¿Qué recomendación hace la línea base de seguridad de Microsoft para el administrador de contraseñas?

El equipo de seguridad de Microsoft ha quitado la recomendación de deshabilitar el administrador de contraseñas integrado (Habilitar el guardado de contraseñas en el administrador de contraseñas) en la versión 114 de Microsoft Edge. El equipo ha movido la configuración a No configurada en función de la disponibilidad de varias características nuevas que modifican los inconvenientes de seguridad introducidos por el Administrador de contraseñas mejorado de Microsoft Edge. Cada empresa debe evaluar su propio perfil de riesgo al decidir si desea configurar el administrador de contraseñas. Para obtener más información, consulte Línea base de seguridad para Microsoft Edge versión 114.

¿Pueden las extensiones malintencionadas obtener acceso a las contraseñas?

Una extensión con permiso para interactuar con una página es inherentemente capaz de tener acceso a cualquier cosa desde esa página, incluida una contraseña rellenada automáticamente. Del mismo modo, una extensión malintencionada puede modificar el contenido de los campos de un formulario y las solicitudes/respuestas de red para hacer mal uso de la autoridad del contexto de inicio de sesión del usuario actual.

Sin embargo, Microsoft Edge proporciona un amplio conjunto de directivas que permiten un control preciso sobre las extensiones instaladas. El uso de las directivas incluidas en la tabla siguiente es necesario para proteger los datos corporativos.

Directiva	Título
BlockExternalExtensions	Bloquear la instalación de extensiones externas
ExtensionAllowedTypes	Configurar los tipos de extensión permitidos
ExtensionInstallAllowlist	Permitir que se instalen extensiones específicas
ExtensionInstallBlocklist	Controlar qué extensiones no se pueden instalar
ExtensionInstallForcelist	Controlar qué extensiones se instalan de forma silenciosa
ExtensionInstallSources	Configurar la extensión y los orígenes de instalación de los scripts de usuario
ExtensionSettings	Configurar la administración de la extensión

¿Cómo se compara el administrador de contraseñas de Microsoft Edge con un producto de terceros?

En la tabla siguiente se muestra cómo se compara el administrador de contraseñas de Microsoft Edge con administradores de contraseñas de terceros.

Administrador de contraseñas de terceros	Administrador de contraseñas de Microsoft Edge
Sincronización del servidor. Algunos productos almacenan contraseñas en la nube para sincronizar todos los dispositivos. Esta característica es útil, pero existe un riesgo si el servicio en la nube se pone en peligro y se exponen los datos. Observaciones: El riesgo se mitiga al tener contraseñas cifradas en la nube y almacenar la clave de cifrado en los dispositivos para que los atacantes no puedan acceder a la clave ni a las contraseñas.	Existe un riesgo de exposición a la nube porque las contraseñas se sincronizan entre dispositivos Windows que tienen Microsoft Edge instalado. Observaciones: Este riesgo se mitiga mediante los pasos de seguridad de datos descritos en este artículo.
Confianza. Es necesario confiar en que el tercero no está haciendo nada malintencionado, como enviar sus contraseñas a otro usuario. Observaciones: Este riesgo se puede mitigar revisando el código fuente (en el caso de los productos de código abierto) o creyendo que el proveedor se preocupa por su reputación e ingresos.	Observaciones: Microsoft es un proveedor conocido y de confianza con décadas de historia en proporcionar seguridad y productividad de nivel empresarial, con recursos diseñados para proteger sus contraseñas en todo el mundo.
Seguridad de cadena de suministro. Es difícil comprobar que el proveedor tiene procesos seguros de cadena de suministro, compilación y versión para el código fuente.	Observaciones: Microsoft tiene procesos internos sólidos para garantizar un riesgo mínimo para el código fuente.
Cliente o cuenta en peligro. Si un dispositivo cliente o una cuenta de usuario están en peligro, un atacante puede obtener las contraseñas. Observaciones: Este riesgo se mitiga para algunos administradores de contraseñas que requieren que el usuario escriba una contraseña maestra que no esté almacenada localmente para descifrar las contraseñas. Una Contraseña maestra es solo una mitigación parcial porque un atacante podría leer pulsaciones de teclas y obtener la contraseña maestra a medida que se escribe o leer contraseñas de la memoria del proceso al rellenar un campo de formulario.	Notas: Microsoft ofrece protecciones de nivel de sistema operativo como Windows Defender, diseñadas para garantizar que el dispositivo no se vea en peligro para empezar. Sin embargo, si un dispositivo cliente está en peligro, es posible que un atacante pueda descifrar las contraseñas.

Nota

Los productos de terceros pueden proporcionar protección contra modelos de amenazas adicionales, pero esto es a expensas de la complejidad o la facilidad de uso. El administrador de contraseñas de Microsoft Edge está diseñado para proporcionar una administración de contraseñas cómoda y fácil de usar que los administradores de TI pueden controlar completamente mediante directiva de grupo y no requiere confiar en un tercero.

¿Por qué Microsoft no ofrece una Contraseña maestra para proteger los datos?

Cuando las contraseñas del explorador se cifran en el disco, la clave de cifrado está disponible para cualquier proceso del dispositivo, lo que incluye cualquier malware que se ejecute localmente. Incluso si una clave maestra cifra las contraseñas en un "almacén", se descifrarán cuando se carguen en el espacio de memoria del explorador y se podrán recopilar después de desbloquear el almacén.

Una característica de Contraseña maestra (que autentica al usuario antes de rellenar automáticamente sus datos) ofrece una ventaja en cuanto a comodidad, para una mitigación de amenazas más amplia. En concreto, ayuda a reducir la ventana de exposición de datos contra malware latente o atacantes físicamente locales. Sin embargo, una Contraseña maestra no es la solución perfecta, ya que los atacantes locales y el malware dedicado tienen diversas estrategias para eludir la protección de una Contraseña maestra.

Nota

Microsoft Edge ahora ofrece la capacidad de habilitar la autenticación antes de la funcionalidad de autorrellenar; Esto proporciona a los usuarios una capa adicional de privacidad e impide que cualquiera que no sea ellos use sus contraseñas almacenadas. Para obtener más información, consulte Privacidad adicional para las contraseñas guardadas.

¿El uso de un administrador de contraseñas puede afectar a mi privacidad?

No, no si se realizan pasos para proteger el acceso a las contraseñas guardadas.

Hay una vulnerabilidad de seguridad conocida que usan algunos anunciantes, que usa contraseñas almacenadas para identificar y realizar un seguimiento único de los usuarios. Para obtener más información, consulte Ad targeters are pull data from your browser's password manager (Los destinatarios de anuncios están extraendo datos del administrador de contraseñas del explorador). Los exploradores han tomado medidas para mitigar este problema de privacidad. La clase PasswordValueGatekeeper se puede usar para limitar el acceso a los datos del campo de contraseña, incluso cuando el explorador está configurado para autorrellenar cuando se carga.

Esta amenaza de recopilación de información de usuario se puede mitigar fácilmente habilitando la característica de edge://flags/#fill-on-account-select opcional. Esta característica solo permite agregar contraseñas a un campo de formulario después de que el usuario elija explícitamente una credencial, lo que garantiza que los usuarios estén al tanto de quién recibe sus contraseñas.

Consulte también

Página de aterrizaje de Microsoft Edge Enterprise

Cómo Microsoft Edge es más seguro que Chrome para empresas en Windows 10