Una configuración para mejorar la seguridad de Bitwarden
Descripción general
Muchos lectores de DCT utilizan Bitward de código abierto para administrar sus contraseñas. He estado usando la versión premium de Bitwarden durante años, mientras que Jim Hillier recomienda la versión gratuita de Bitwarden si no necesita las funciones premium. Bitwarden es un administrador de contraseñas seguro por defecto, pero en unos minutos podemos aumentar la seguridad de Bitwarden con un cambio de configuración.
¿Qué es un KDF?
Un aspecto clave para garantizar la seguridad de un administrador de contraseñas radica en la selección de su token de autenticación principal: la contraseña maestra. Para obtener orientación sobre cómo crear una contraseña maestra eficaz, consulte nuestra serie completa de dos partes,“La guía definitiva para crear una contraseña maestra”(Parte 1 y Parte 2).
En el contexto de los administradores de contraseñas basados en la nube, un elemento crítico es la utilización de una función de derivación de claves (KDF) para proteger la información del usuario. Antes de almacenar datos en plataformas de servidores, todos estos administradores emplean este método realizando una serie de operaciones criptográficas conocidas como"hashing". En consecuencia, el resultado resultante pasa por múltiples iteraciones, lo que mejora la protección contra intentos de acceso no autorizados. En esencia, aumentar el número de iteraciones amplifica la solidez del sistema y dificulta que los adversarios penetren las defensas de manera efectiva.
En diciembre de 2022, proporcioné una actualización sobre el incidente de seguridad relacionado con LastPass. Si bien LastPass experimentó varios desafíos durante ese tiempo, una preocupación importante fue el uso de funciones de derivación de claves (KDF) débiles, específicamente al permitir una o 500 iteraciones para su proceso de derivación de claves. Vale la pena señalar que LastPass emplea el algoritmo convencional PBKDF2 (Función 2 de derivación de clave basada en contraseña). Por el contrario, Bitwarden, otra solución de gestión de contraseñas, utiliza actualmente el mismo PBKDF2 KDF, aunque con una configuración predeterminada más sólida de 600.000 iteraciones.
Bitwarden ha introducido recientemente una función de derivación de claves (KDF) mejorada basada en el algoritmo Argon2, que salió victorioso en el concurso de hash de contraseñas celebrado en 2015. El KDF de Argon2 viene en tres iteraciones distintas, incluido Argon2d, diseñado para mitigar los ataques basados en GPU; Argon2i, diseñado para resistir ataques de canales laterales; y Argon2id, utilizado por Bitwarden como una combinación de ambos enfoques. Específicamente, Argon2id aplica el método Argon2i durante las etapas iniciales de almacenamiento de contraseñas y luego cambia al protocolo Argon2d, más robusto.
Le demostraré el proceso de actualización de Bitwarden para utilizar la función de derivación de claves (KDF) de Argon2i.
Precaución
Para garantizar que no se realicen modificaciones no deseadas en la configuración de la función de derivación de claves (KDF) en Bitwarden, es recomendable crear una copia de seguridad de su billetera digital antes de implementar cualquier modificación. Para hacerlo, inicie sesión en su cuenta Bitwarden en la plataforma web, navegue hasta la pestaña"Herramientas"y seleccione la opción para exportar su billetera digital. Se recomienda elegir los formatos de archivo JSON o JSON cifrado, ya que contienen toda la información necesaria, mientras que el formato CSV no. Una vez seleccionado, confirme el formato elegido haciendo clic en"Confirmar formato", lo que le pedirá que ingrese su contraseña una vez más, después de lo cual el archivo de respaldo se podrá guardar en su dispositivo.
Tenga en cuenta que en una versión anterior, se ejecutaron modificaciones en una versión anterior de Bitwarden, lo que podría haber resultado en la pérdida de todas las credenciales de inicio de sesión. Es imperativo crear una copia de seguridad antes de intentar cualquier modificación, como subraya John. El requisito previo para ejecutar estos ajustes requiere la versión más reciente de Bitwarden.
Cambiar configuración de KDF
Para modificar la configuración de la Función de derivación de claves (KDF), debe navegar hasta el icono “Perfil” situado en la esquina superior derecha de la interfaz y posteriormente acceder a la configuración de la cuenta.
Predeterminado – Aceptar
En"CONFIGURACIÓN DE LA CUENTA"en la columna de la izquierda, navegue hasta la sección"Seguridad"en el panel derecho y expándala para revelar la subcategoría"Claves". De forma predeterminada, el algoritmo de función de derivación de claves (KDF) utilizado es PBKDF2 utilizando el algoritmo hash SHA-256, junto con un recuento de iteraciones preestablecido de 600.000. Si bien estas configuraciones pueden ser suficientes para algunos usuarios, otros pueden intentar mejorarlas.
Bien
Al seleccionar la función de derivación de clave Argon2id (KDF) eligiéndola en el menú desplegable denominado"Algoritmo KDF"y haciendo clic en el botón"Cambiar KDF", aparecerá una notificación de que cerrará sesión temporalmente y deberá volver a iniciar sesión con su contraseña.. Una vez ingresado, al seleccionar"Cambiar KDF"nuevamente se aplicará la configuración predeterminada de Argon2id que mejora la seguridad al nivel"Bueno".
La información proporcionada pertenece a una instancia específica de un algoritmo conocido como KDF, que significa función de derivación de claves. Los detalles proporcionados incluyen el tamaño del requisito de memoria del algoritmo en megabytes (MB), que se establece en 64; el número de iteraciones que realiza, denotado por “iteraciones”, que asciende a 3; y el nivel de paralelismo empleado durante su ejecución, representado por “paralelismo”, con un valor de 4.
Al restablecer sus credenciales de inicio de sesión, tenga en cuenta la duración requerida para una autenticación exitosa.
Mejor
Para mejorar la configuración estándar de la función de derivación de claves (KDF) de Argon2id, seguiremos un proceso similar al descrito anteriormente; sin embargo, ajustaremos los parámetros para que correspondan con las especificaciones que se describen a continuación. Al seleccionar valores intermedios entre los umbrales mínimo y máximo, este enfoque debería generar medidas de seguridad más sólidas en comparación con el conjunto inicial de configuraciones proporcionado anteriormente.
La información proporcionada describe una instancia específica de la función de derivación de claves (KDF), que utiliza el algoritmo Argon2i, con ciertos parámetros definidos de la siguiente manera:* La asignación de memoria para la operación KDF se establece en 512 kilobytes (KB).* El número de iteraciones de KDF se ha configurado en 6.* Al paralelismo durante el proceso KDF se le ha asignado un valor de 10.
Al restablecer sus credenciales de inicio de sesión, tenga en cuenta la duración requerida para una autenticación exitosa.
Mejor
Para lograr una seguridad óptima con Argon2i KDF, procederemos repitiendo el proceso antes mencionado mientras aumentamos los parámetros a sus valores más altos posibles como se especifica en la lista que se proporciona a continuación.
La información proporcionada pertenece a una instancia específica de un algoritmo conocido como"Argon2i". Los detalles proporcionados incluyen el uso de memoria de su función de derivación de claves, el número de iteraciones y el nivel de paralelismo durante la ejecución. Específicamente, el algoritmo utiliza 1024 MB de memoria para sus operaciones, realiza 10 rondas de iteración y emplea un factor de paralelismo de 16.
Al restablecer sus credenciales de inicio de sesión, tenga en cuenta la duración requerida para una autenticación exitosa.
Hora de inicio de sesión
KDF, o función de derivación de claves, requiere intrínsecamente muchos recursos debido a sus principios de diseño. La duración requerida para la autenticación es directamente proporcional a la eficiencia del hardware utilizado durante el proceso. En esencia, los dispositivos más antiguos y menos potentes pueden experimentar un tiempo de inicio de sesión más largo en comparación con los más nuevos y avanzados. Es recomendable realizar dichas pruebas en su dispositivo más básico utilizado para iniciar sesión en Bitwarden. Sería prudente seleccionar cuidadosamente configuraciones que logren un equilibrio óptimo entre seguridad y velocidad operativa.
Realicé el experimento utilizando un procesador Intel i7 de 13.ª generación recientemente adquirido, que demuestra un rendimiento impresionante en términos de potencia y velocidad de procesamiento. Durante mis pruebas, registré el tiempo que me llevó iniciar sesión en el sistema, lo que arrojó los siguientes resultados:
Las traducciones"buenas"se completan en aproximadamente 1,5 segundos, mientras que las traducciones"mejores"tardan alrededor de 5 segundos en completarse. El nivel más alto de calidad,“Mejor”, requiere un tiempo un poco más largo, de unos 10 segundos, para completarse.
Dado que mi único medio para acceder a Bitwarden depende de este dispositivo en particular, optaría por la opción de primer nivel. Sin embargo, si encuentro retrasos o tiempos de inicio de sesión prolongados debido al rendimiento subóptimo de mi sistema, es posible que deba hacer concesiones y seleccionar una configuración menos exigente.
—
*️⃣ Enlace fuente: