La sincronización de contraseñas es un proceso, generalmente respaldado por software como administradores de contraseñas , a través del cual un usuario mantiene una única contraseña en múltiples sistemas de TI . [1]
Siempre que todos los sistemas apliquen estándares de contraseñas mutuamente compatibles (por ejemplo, respecto de la longitud mínima y máxima de la contraseña, caracteres admitidos, etc.), el usuario puede elegir una nueva contraseña en cualquier momento y utilizar la misma contraseña en sus propias cuentas de inicio de sesión en múltiples sistemas vinculados.
Cuando los distintos sistemas tienen normas incompatibles entre sí en cuanto a lo que se puede almacenar en un campo de contraseña, el usuario puede verse obligado a elegir más de una contraseña (pero menos que la cantidad de sistemas). Esto puede suceder, por ejemplo, cuando la longitud máxima de la contraseña en un sistema es menor que la longitud mínima en otro, o cuando un sistema exige el uso de un signo de puntuación pero otro lo prohíbe.
La sincronización de contraseñas es una función de ciertos sistemas de gestión de identidad y se considera más fácil de implementar que el inicio de sesión único (SSO) empresarial , ya que normalmente no hay implementación de software de cliente ni necesidad de inscripción activa de usuarios. [1]
La sincronización de contraseñas facilita a los usuarios de TI recordar sus contraseñas y, por lo tanto, administrar su acceso a múltiples sistemas, por ejemplo, en una red empresarial. [1] Dado que solo tienen que recordar una o, como máximo, unas pocas contraseñas, es menos probable que los usuarios las olviden o las anoten, lo que se traduce en menos llamadas al Help Desk de TI y menos oportunidades para que compañeros de trabajo, intrusos o ladrones obtengan acceso indebido. A través de una adecuada concienciación sobre seguridad, la aplicación automatizada de políticas y actividades de capacitación, se puede alentar u obligar a los usuarios a elegir contraseñas más seguras, ya que tienen menos que recordar.
Si la contraseña única sincronizada se ve comprometida (por ejemplo, si se adivina, se divulga, se determina mediante criptoanálisis desde uno de los sistemas, se intercepta en una ruta de comunicación insegura o si se obliga al usuario a restablecerla a un valor conocido mediante ingeniería social), todos los sistemas que comparten esa contraseña son vulnerables a un acceso indebido. En la mayoría de las soluciones de inicio de sesión único y bóveda de contraseñas, la vulneración de la contraseña principal o maestra (en otras palabras, la contraseña utilizada para desbloquear el acceso a las contraseñas únicas individuales utilizadas en otros sistemas) también compromete a todos los sistemas asociados, por lo que los dos enfoques son similares.
Dependiendo del software utilizado, la sincronización de contraseñas puede activarse mediante un cambio de contraseña en cualquiera de los sistemas sincronizados (ya sea iniciado por el usuario o un administrador) y/o por el usuario que inicia el cambio de forma centralizada a través del software, quizás mediante una interfaz web.
Algunos sistemas de sincronización de contraseñas pueden copiar hashes de contraseñas de un sistema a otro, donde el algoritmo de hash es el mismo. En general, esto no sucede y se requiere acceso a una contraseña en texto simple.
En las siguientes animaciones, alojadas por el proveedor de software Hitachi ID Systems, se muestran dos procesos que generan contraseñas sincronizadas: 1
{{cite journal}}: Requiere citar revista |journal=( ayuda )