Editar: Atención, se ha escrito una solución diferente desde la redacción de esta página, pero la información aquí sigue siendo válida:
Elegí KeepassXC + Keepass2Android con autenticación Yubikey
Mis especificaciones
- Elija un administrador de contraseñas gratuito y seguro (incluso mejor certificado ANSSI)
- Permitir compartir un cambio de contraseña al instante en todos mis dispositivos, smartphone incluido, evitar replicaciones de archivos
- No use soluciones propietarias (no de código abierto) que puedan alojar mis datos en algún lugar del mundo
- No tenga una contraseña de apertura súper fuerte de 30 caracteres especiales para escribir 5 veces al día
- Apertura segura de la base de datos a través de un solo Yubikey en todos los dispositivos
- Si el Yubikey se pierde o se rompe, tenga una solución de respaldo
- Que el usuario en el navegador no tiene inicio de sesión o contraseña para ingresar y aún mejor, que la autenticación dual basada en TOTP (contraseña de un solo uso basada en el tiempo) se calcula y completa en el mismo principio.
- Que los nuevos nombres de usuario/contraseñas se agreguen fácilmente a la base de datos y que las actualizaciones se detecten y corrijan en la base de datos.
Adenda a mis especificaciones
- Tienen 3 bases: La mía, la de mi esposa, la común a ambas
- Que mi esposa también tiene un Yubikey y que con ella puede abrir las bases
- Por supuesto, los dos puntos anteriores no complican la recuperación automática de inicios de sesión en el navegador
Cómo guardar contraseñas en la base de datos en formato Keypass
Toda la seguridad de Keepass se basa en el hecho de que, a falta de una contraseña de apertura, actualmente es imposible leer las contraseñas contenidas en la base de datos.
Hasta la fecha, Keepass es el único gestor de contraseñas que ha recibido la certificación ANSSI en Francia. Por supuesto, ANSSI solo validó una versión portátil (KeePass Versión 2.10 Portátil) pero fue el principio de esta forma de codificación de la base de datos lo que fue recompensado.
Así que para hacerlo simple, el software Keypass explota un archivo de base de datos en formato mabasedemotsdepase.kdbx
La fuerza de este archivo es que es portátil. Puede guardarlo con usted, compartirlo a través de una nube o un servidor de archivos … La recuperación de este archivo por un hacker "debería" no poder ser leída. Sobre este principio y admitiéndolo, podemos continuar esta página.
Mi elección de KeePass para computadoras de escritorio y portátiles con Windows: KeePassXC
KeePassXC es una de las versiones más conocidas de KeyPass, probé varias de ellas, pero el soporte simple para asegurar por Challenge-Response (vemos esto en detalle a continuación) es genial. El uso de un Yubikey y el Challenge-Response significa que no tiene que ingresar una contraseña de arch-fort, el principio de la clave física es suficiente con KeePassXC.
Tenga en cuenta que KeepassXC está disponible en todas las plataformas
Mi elección de Keypass para Android: Keepass2Android
Al igual que en PC, hay una multitud de aplicaciones de Android que afirman ser compatibles con KeyPass. Asumiendo que confías todas tus credenciales a una aplicación, es mejor usar una que tenga un piñón en la calle y que toda la comunidad geek supervise. No tome al azar una aplicación poco conocida, sin embargo, las persianas están llenas de ella.
Keepass2Android permite utilizar yubikey y el principio Challenge-Response para abrir la base de datos. Principio y desafío: respuesta idéntica a la de KeypassXC, por lo que es maravillosa, incluso la clave Yubikey para ambos.
Obviamente, en el teléfono inteligente, tendrá que elegir un Yubikey que se pueda conectar al puerto USB o una clave NFC (mi elección).
La presentación de la clave en la parte posterior será suficiente para desbloquear la base de datos.
Mi elección de una nube dedicada al archivo de datos único: kDrive
Fácilmente hice las primeras pruebas en OneDrive Pro y luego en OneDrive Perso, funcionó bien. Pero mi idea es evitar que la base de datos Keypass esté disponible para un hacker potencial que haya ingresado a mi OneDrive Pro o Perso. Pensé para mí mismo, que también podría utilizar una mini nube dedicada al uso exclusivo de la base de datos Keypass. Bajo un nombre extravagante y sin información personal.
Tengo una cuenta con Ionos que ofrece una solución básica gratuita de HiDrive si tienes una cuenta con ellos, de lo contrario es de 1,80 € / mes. Probé con HiDrive, tuve problemas con la sincronización y el archivo dañado cuando probé cambios en varias máquinas al mismo tiempo, sincronizar en Android (incluso con la opción fuera de línea) no me parece en la parte superior, pero admito que no busqué más. También descarté HiDrive porque era el Drive vinculado a mi cuenta de Ionos.
Después de revisar todas las ofertas disponibles en el mercado, me detuve en el producto propuesto por Infomaniak. Infomaniak es un proveedor suizo de servicios en la nube que ha estado desarrollando soluciones de alojamiento web, streaming, marketing y eventos en línea desde 1994. La compañía favorece la energía renovable local y construye sus propios centros de datos y plantas de energía solar en Suiza, sin reubicarse. Ofrecen una oferta gratuita de descubrimiento con 15 GB de almacenamiento (kDrive) y una dirección de correo electrónico gratuita de por vida. Así que abrí una cuenta con un nombre extravagante, y se adjunta un almacenamiento a esa cuenta. Sin ninguna conexión conmigo fuera de la configuración de seguridad. Tenga en cuenta que la cuenta es de seguridad en doble autenticación con opción entre Yubikey u OTP.
Los datos se almacenan en Suiza, me queda muy bien.
En los ordenadores
Debe instalar la aplicación de sincronización kDrive, que funciona de la misma manera que otros programas de Drive que todos conocen. Una carpeta compartida en el disco en sincronización con una carpeta en la nube.
Este es el icono verde en la imagen de arriba, entre HiDrive y OneDrive descrito anteriormente.
Siempre he optado por dedicar una partición de disco a mi cloud synchro, este es el disco O: en casa, se organiza de la siguiente manera:
Así que voy a crear una carpeta en kDrive para poner mi archivo de base de datos KeyPass allí, por lo que será en O: / kDrive
En los SmartPhones
Se utiliza la aplicación kDrive dedicada. Encontraremos la carpeta creada en el ordenador que contendrá la base de datos KeyPass.
Mi elección de la clave de seguridad física: Yubikey
Había puesto mi mirada en el Winkeo-A de NeoWave, una compañía francesa hecha en Francia. Pero la ausencia de NFC me hizo retroceder porque quería poder desbloquear la base de datos de contraseñas en mi teléfono inteligente también.
Al final, como todos los demás, opté por la clave más popular, el Yubikey. Todo el mundo puede elegir su versión de acuerdo a su uso.
Interconecto todos los equipos a través de la nube
Como un buen esquema vale la pena todos los discursos, aquí hay una descripción general.
Cada base de datos solo se puede desbloquear con un Yubikey (el mismo).
Implemento esta solución paso a paso
Creo una cuenta en Infomaniak e instalo kDrive
En Infomaniak, acepto la propuesta de una dirección de correo electrónico gratuita y 15 GB, una vez que todo está configurado, activo la autenticación multifactor y luego instalo la aplicación kDrive en mi PC.
Esta aplicación me ofrece una carpeta de sincronización, será O:/kDrive, en esta carpeta, luego agrego una carpeta que se utilizará para colocar mi archivo de base de datos KeyPass.
Creo una base de datos Keypass que contendrá todas mis credenciales
Empiezo en PC, descargo la aplicación KeyPassXC.
Tenga cuidado de tomar la versión original en el sitio de KeypassXC !!
Instalo KeyPassXC y agrego una nueva base de datos.
No te preocupes si es necesario, hay muchas posibles importaciones de datos antiguos.
No hay ningún problema particular con la instalación.
Para la contraseña segura, no tomo demasiado de mi cabeza, en unos pocos pasos, la eliminaré para mantener solo la identificación con el Yubikey.
Guardo la base de datos en la carpeta específica que creé en mi unidad O:/kDrive
En este punto, puedo cerrar o abrir la base de datos, pide la contraseña segura definida en la instalación.
Aseguro la apertura de la base de datos con el Yubikey
El diálogo entre KeyPassXC y Yubikey tiene lugar a través de lo que se llama un Desafío-Respuesta.
Así que voy a empezar por definir la clave del Desafío-Respuesta en Herramienta de personalización de Yubikey.
En la pestaña Challenge-Response, hago clic en HMAC-SHA1.
En esta pantalla, verifico la ranura2, En HMAC-SHA1, hago clic en Generar para generar una clave secreta.
No quiero tener que presionar Yubikey en cada llamada, no marco «Requerir información del usuario», pero es mi elección, todos son libres de decidir. Y finalmente, hago clic en Write Configuration para guardar la clave secreta en el Yubikey.
Importante: Tenga en cuenta en algún lugar la clave secreta, de hecho, en caso de falla o pérdida del Yubikey, simplemente pondré la misma clave en otro Yubikey y no perderé su acceso.
Vuelvo a KeyPassXC abrir mi base de datos y luego entrar en seguridad de la base de datos.
Entonces Añade otra protección.
Entonces Añade una pregunta y una respuesta.
La clave es detectada, solo validar y cerrar.
Primera prueba, cierro la base de datos y la reabro. Tengo que escribir la contraseña e insertar la clave Yubikey.
Borraré la contraseña para mantener solo la identificación con el Yubikey, iré a seguridad de la base de datos entonces hago clic en Elimina la contraseña.
La base de datos ahora se abre solo si el Yubikey está insertado y sin una contraseña adicional. Ese era mi objetivo.
Interconecto de forma segura KeypassXC y el navegador
Todo está bien planeado, vuelvo a la página web de KeyPassXC y voy a Descargar / Extensión del navegador
Mi navegador es Brave, así que tomaré la versión Chrome de la extensión.
Se establece un enlace entre Brave y KeypassXC, se puede dar un nombre a este enlace. Esto permanece activo y permitido en la base de datos.
Para comprobar estos enlaces, voy a Base de datos / Configuración de la base de datos / Pestaña Integración del navegador
Por supuesto, por razones de seguridad, en el futuro, elimine cualquier enlace KeyPassXC/Browser que se vuelva inútil.
Reproduzco toda esta instalación en mi portátil
Similar al párrafo anterior, hago toda la instalación nuevamente en mi computadora portátil.
La base de datos se recupera de la carpeta kDrive bien sincronizada.
Abro sin preocuparme con el mismo Yubikey en el portátil.
Instalo kDrive en mi SmartPhone
La aplicación kDrive proporcionada por Infomaniak es muy simple de instalar.
Una vez identificado con mi correo electrónico/worddepass y la segunda autenticación, tengo acceso al archivo de base de datos KeyPass que se ha registrado en mi teléfono.
La única pequeña manipulación que hago es comprobar «Disponible fuera de línea» para tener siempre la última versión en mi teléfono. No sé si esto es necesario, pero en duda es un plus.
Instalo Keypass2Android en mi SmartPhone
Una vez completada la instalación, puedo abrir la base de datos.
Iré a Abrir, seleccione en la parte superior izquierda «Selector de archivos del sistema», porque kDrive no está en los servicios integrados en el asistente (lo cual no es un problema).
Cuando se abre la ventana de selección, hago clic en las 3 barras en la parte superior izquierda y selecciono mi kDrive de la lista.
Luego navego en mi kDrive y seleccionaré mi base xxxx.kdbx
Para abrir mi base de datos, debo seleccionar la forma en que me identificaré, por lo que tomo: « Desafío Contraseña + Respuesta para KeepassXC«
Cuando hago clic en " Desbloquear«, se muestra una pequeña ventana sobreimpresa con las palabras « Por favor adjunta o desliza tu Yubikey ahora.
Puse el Yubikey en la parte posterior de mi teléfono, el NFC reacciona y la base se abre.
Nota: : Por ahora, tengo que pasar la llave dos veces, no sé por qué, no es muy molesto, pero me pregunto por qué sucede. Si alguien lo sabe, soy un tomador.
Hay una gran cantidad de ajustes en Keepass2Android, todo el mundo es libre de elegir sus opciones.
Debate, preguntas, solicitudes de aclaración
Desactivé los comentarios en este blog, los bots publicitarios saturaron todo.
Te sugiero que hagas tus preguntas o simplemente me des tu opinión si has seguido este tutorial sobre:
- El Foro de Jeedom
- El Foro de HACF
Spanish 
French 
English 
Chinese 
German