La seguridad de la contraseña es una medida de la efectividad de una contraseña contra adivinanzas o ataques de fuerza bruta . En su forma habitual, estima cuántas pruebas necesitaría, en promedio, un atacante que no tiene acceso directo a la contraseña para adivinarla correctamente. La solidez de una contraseña depende de su longitud, complejidad e imprevisibilidad. [1]
El uso de contraseñas seguras reduce el riesgo general de una violación de la seguridad, pero las contraseñas seguras no reemplazan la necesidad de otros controles de seguridad efectivos . [2] La eficacia de una contraseña de una seguridad determinada está fuertemente determinada por el diseño y la implementación de los factores de autenticación (conocimiento, propiedad, inherencia). El primer factor es el foco principal de este artículo.
La velocidad a la que un atacante puede enviar contraseñas adivinadas al sistema es un factor clave para determinar la seguridad del sistema. Algunos sistemas imponen un tiempo de espera de varios segundos después de un pequeño número (por ejemplo, tres) de intentos fallidos de introducción de contraseña. En ausencia de otras vulnerabilidades, estos sistemas pueden protegerse eficazmente con contraseñas relativamente simples. Sin embargo, el sistema debe almacenar información sobre las contraseñas del usuario de alguna forma y si esa información es robada, por ejemplo violando la seguridad del sistema, las contraseñas del usuario pueden estar en riesgo.
En 2019, el NCSC del Reino Unido analizó bases de datos públicas de cuentas vulneradas para ver qué palabras, frases y cadenas utilizaban las personas. La contraseña más popular de la lista fue 123456 y apareció en más de 23 millones de contraseñas. La segunda cadena más popular, 123456789, no fue mucho más difícil de descifrar, mientras que las cinco primeras incluían " qwerty ", "contraseña" y 1111111. [3]
Las contraseñas se crean automáticamente (utilizando equipos aleatorios) o por un ser humano; el último caso es más común. Si bien la seguridad de las contraseñas elegidas al azar contra un ataque de fuerza bruta se puede calcular con precisión, determinar la seguridad de las contraseñas generadas por humanos es difícil.
Por lo general, a los humanos se les pide que elijan una contraseña, a veces guiados por sugerencias o restringidas por un conjunto de reglas, al crear una nueva cuenta para un sistema informático o un sitio web de Internet. Sólo son posibles estimaciones aproximadas de la fuerza, ya que los humanos tienden a seguir patrones en tales tareas, y esos patrones generalmente pueden ayudar a un atacante. [4] Además, hay listas de contraseñas elegidas comúnmente que están ampliamente disponibles para que las utilicen programas de adivinación de contraseñas. Dichas listas incluyen numerosos diccionarios en línea para varios idiomas humanos, bases de datos violadas de texto sin formato y contraseñas hash de varias cuentas comerciales y sociales en línea, junto con otras contraseñas comunes. Todos los elementos de dichas listas se consideran débiles, al igual que las contraseñas que son simples modificaciones de las mismas.
Aunque hoy en día existen programas de generación de contraseñas aleatorias que están pensados para ser fáciles de usar, normalmente generan contraseñas aleatorias y difíciles de recordar, lo que a menudo hace que las personas prefieran elegir las suyas propias. Sin embargo, esto es intrínsecamente inseguro porque el estilo de vida de la persona, sus preferencias de entretenimiento y otras cualidades individualistas clave generalmente entran en juego para influir en la elección de la contraseña, mientras que la prevalencia de las redes sociales en línea ha hecho que obtener información sobre las personas sea mucho más fácil.
Los sistemas que utilizan contraseñas para la autenticación deben tener alguna forma de verificar cualquier contraseña ingresada para obtener acceso. Si las contraseñas válidas simplemente se almacenan en un archivo o base de datos del sistema, un atacante que obtenga suficiente acceso al sistema obtendrá todas las contraseñas de usuario, dándole al atacante acceso a todas las cuentas en el sistema atacado y posiblemente a otros sistemas donde los usuarios empleen la misma o contraseñas similares. Una forma de reducir este riesgo es almacenar sólo un hash criptográfico de cada contraseña en lugar de la contraseña misma. Los hashes criptográficos estándar, como la serie Secure Hash Algorithm (SHA), son muy difíciles de revertir, por lo que un atacante que obtenga el valor hash no puede recuperar directamente la contraseña. Sin embargo, el conocimiento del valor hash permite al atacante probar rápidamente sus conjeturas sin conexión. Hay programas de descifrado de contraseñas ampliamente disponibles que probarán una gran cantidad de contraseñas de prueba con un hash criptográfico robado.
Las mejoras en la tecnología informática siguen aumentando la velocidad a la que se pueden probar las contraseñas adivinadas. Por ejemplo, en 2010, el Instituto de Investigación Tecnológica de Georgia desarrolló un método para utilizar GPGPU para descifrar contraseñas mucho más rápido. [5] Elcomsoft inventó el uso de tarjetas gráficas comunes para una recuperación más rápida de contraseñas en agosto de 2007 y pronto presentó la patente correspondiente en los EE. UU. [6] En 2011, había productos comerciales disponibles que afirmaban tener la capacidad de probar hasta 112.000 contraseñas por segundo en una computadora de escritorio estándar, utilizando un procesador de gráficos de alta gama para ese momento. [7] Un dispositivo de este tipo descifrará una contraseña de seis letras de una sola mayúscula en un día. El trabajo se puede distribuir entre muchas computadoras para obtener una aceleración adicional proporcional a la cantidad de computadoras disponibles con GPU comparables. Hay disponibles hashes de extensión de claves especiales que tardan relativamente mucho en calcularse, lo que reduce la velocidad a la que se pueden realizar conjeturas. Aunque se considera una mejor práctica utilizar la extensión de claves, muchos sistemas comunes no lo hacen.
Otra situación en la que es posible adivinar rápidamente es cuando la contraseña se utiliza para formar una clave criptográfica . En tales casos, un atacante puede comprobar rápidamente si una contraseña adivinada decodifica correctamente los datos cifrados. Por ejemplo, un producto comercial afirma probar 103.000 contraseñas WPA PSK por segundo. [8]
Si un sistema de contraseñas solo almacena el hash de la contraseña, un atacante puede calcular previamente los valores hash para las variantes de contraseña comunes y todas las contraseñas más cortas que una determinada longitud, lo que permite una recuperación muy rápida de la contraseña una vez que se obtiene su hash. Se pueden almacenar de manera eficiente listas muy largas de hashes de contraseñas precalculados utilizando tablas de arcoíris . Este método de ataque puede frustrarse almacenando un valor aleatorio, llamado sal criptográfica , junto con el hash. La sal se combina con la contraseña al calcular el hash, por lo que un atacante que precalcule una tabla de arcoíris tendría que almacenar para cada contraseña su hash con todos los valores de sal posibles. Esto resulta inviable si la sal tiene un rango lo suficientemente grande, digamos un número de 32 bits. Muchos sistemas de autenticación de uso común no emplean sales y en Internet hay tablas de arco iris disponibles para varios de estos sistemas.
La seguridad de la contraseña se especifica por la cantidad de entropía de la información , que se mide en Shannon (Sh) y es un concepto de la teoría de la información . Puede considerarse como el número mínimo de bits necesarios para contener la información en una contraseña de un tipo determinado. Una medida relacionada es el logaritmo de base 2 del número de intentos necesarios para encontrar la contraseña con certeza, que comúnmente se conoce como "bits de entropía". [9] Una contraseña con 42 bits de entropía sería tan fuerte como una cadena de 42 bits elegida al azar, por ejemplo mediante un lanzamiento justo de moneda . Dicho de otra manera, una contraseña con 42 bits de entropía requeriría 2 42 (4,398,046,511,104) intentos para agotar todas las posibilidades durante una búsqueda de fuerza bruta . Por lo tanto, aumentar la entropía de la contraseña en un bit duplica el número de intentos necesarios, lo que hace que la tarea del atacante sea dos veces más difícil. En promedio, un atacante tendrá que probar la mitad de contraseñas posibles antes de encontrar la correcta. [4]
Las contraseñas aleatorias consisten en una cadena de símbolos de longitud específica tomados de algún conjunto de símbolos mediante un proceso de selección aleatorio en el que cada símbolo tiene la misma probabilidad de ser seleccionado. Los símbolos pueden ser caracteres individuales de un conjunto de caracteres (por ejemplo, el conjunto de caracteres ASCII ), sílabas diseñadas para formar contraseñas pronunciables o incluso palabras de una lista de palabras (formando así una frase de contraseña ).
La solidez de las contraseñas aleatorias depende de la entropía real del generador de números subyacente; sin embargo, estos a menudo no son verdaderamente aleatorios, sino pseudoaleatorios. Muchos generadores de contraseñas disponibles públicamente utilizan generadores de números aleatorios que se encuentran en bibliotecas de programación que ofrecen entropía limitada. Sin embargo, la mayoría de los sistemas operativos modernos ofrecen generadores de números aleatorios criptográficamente sólidos que son adecuados para la generación de contraseñas. También es posible utilizar dados comunes para generar contraseñas aleatorias . Los programas de contraseñas aleatorias a menudo pueden garantizar que la contraseña resultante cumpla con una política de contraseñas local ; por ejemplo, produciendo siempre una combinación de letras, números y caracteres especiales.
Para las contraseñas generadas por un proceso que selecciona aleatoriamente una cadena de símbolos de longitud, L , de un conjunto de N símbolos posibles, el número de contraseñas posibles se puede encontrar elevando el número de símbolos a la potencia L , es decir, N L. Aumentar L o N fortalecerá la contraseña generada. La solidez de una contraseña aleatoria medida por la entropía de la información es solo el logaritmo de base 2 o log 2 del número de contraseñas posibles, suponiendo que cada símbolo de la contraseña se produzca de forma independiente. Por lo tanto, la entropía de información de una contraseña aleatoria, H , viene dada por la fórmula:
donde N es el número de símbolos posibles y L es el número de símbolos de la contraseña. H se mide en bits . [4] [10] En la última expresión, log puede tener cualquier base .
Un byte binario normalmente se expresa mediante dos caracteres hexadecimales.
Para encontrar la longitud, L, necesaria para lograr la fuerza deseada H, con una contraseña extraída aleatoriamente de un conjunto de N símbolos, se calcula:
donde denota la función matemática de techo , es decir , redondeando hacia arriba al siguiente número entero más grande .
La siguiente tabla utiliza esta fórmula para mostrar las longitudes requeridas de contraseñas generadas verdaderamente de forma aleatoria para lograr las entropías de contraseña deseadas para conjuntos de símbolos comunes:
Las personas son notoriamente pobres a la hora de lograr suficiente entropía para producir contraseñas satisfactorias. Según un estudio en el que participaron medio millón de usuarios, la entropía media de las contraseñas se estimó en 40,54 bits. [11]
Así, en un análisis de más de 3 millones de contraseñas de ocho caracteres, la letra "e" se utilizó más de 1,5 millones de veces, mientras que la letra "f" se utilizó sólo 250.000 veces. En una distribución uniforme, cada carácter se habría utilizado unas 900.000 veces. El número más común utilizado es "1", mientras que las letras más comunes son a, e, o y r. [12]
Los usuarios rara vez hacen uso completo de conjuntos de caracteres más grandes al formar contraseñas. Por ejemplo, los resultados de piratería obtenidos de un esquema de phishing de MySpace en 2006 revelaron 34.000 contraseñas, de las cuales sólo el 8,3% utilizaba una combinación de mayúsculas y minúsculas, números y símbolos. [13]
La seguridad total asociada con el uso de todo el conjunto de caracteres ASCII (números, letras mayúsculas y minúsculas y caracteres especiales) solo se logra si cada contraseña posible tiene la misma probabilidad. Esto parece sugerir que todas las contraseñas deben contener caracteres de cada una de varias clases de caracteres, tal vez letras mayúsculas y minúsculas, números y caracteres no alfanuméricos. Tal requisito es un patrón en la elección de contraseña y se puede esperar que reduzca el "factor de trabajo" de un atacante (en términos de Claude Shannon). Esta es una reducción en la "fuerza" de la contraseña. Un mejor requisito sería exigir que una contraseña no contenga ninguna palabra de un diccionario en línea, lista de nombres o patrón de matrícula de ningún estado (en los EE. UU.) o país (como en la UE). Si se requieren elecciones basadas en patrones, es probable que los humanos las utilicen de maneras predecibles, como poner una letra en mayúscula, agregar uno o dos números y un carácter especial. Esta previsibilidad significa que el aumento en la seguridad de la contraseña es menor en comparación con las contraseñas aleatorias.
La publicación especial 800-63 del NIST de junio de 2004 (segunda revisión) sugirió un esquema para aproximar la entropía de las contraseñas generadas por humanos: [4]
Usando este esquema, se estima que una contraseña de ocho caracteres seleccionada por humanos sin caracteres en mayúsculas ni caracteres no alfabéticos O con cualquiera de los dos conjuntos de caracteres tiene dieciocho bits de entropía. La publicación del NIST admite que en el momento del desarrollo, había poca información disponible sobre la selección de contraseñas en el mundo real. Investigaciones posteriores sobre la entropía de las contraseñas seleccionadas por humanos utilizando datos del mundo real recientemente disponibles han demostrado que el esquema del NIST no proporciona una métrica válida para la estimación de la entropía de las contraseñas seleccionadas por humanos. [14] La revisión de junio de 2017 de SP 800-63 (Revisión tres) abandona este enfoque. [15]
Debido a que las implementaciones de teclados nacionales varían, no todos los 94 caracteres imprimibles ASCII se pueden usar en todas partes. Esto puede presentar un problema para un viajero internacional que desee iniciar sesión en un sistema remoto utilizando un teclado en una computadora local . Muchos dispositivos portátiles, como tabletas y teléfonos inteligentes , requieren secuencias de turnos complejas o intercambio de aplicaciones de teclado para ingresar caracteres especiales.
Los programas de autenticación pueden variar en cuanto a la lista de caracteres de contraseña permitidos. Algunos no reconocen diferencias entre mayúsculas y minúsculas (por ejemplo, la "E" mayúscula se considera equivalente a la "e" minúscula), y otros prohíben algunos de los otros símbolos. En las últimas décadas, los sistemas han permitido más caracteres en las contraseñas, pero aún existen limitaciones. Los sistemas también varían en cuanto a la longitud máxima de contraseñas permitidas.
En la práctica, las contraseñas deben ser razonables y funcionales para el usuario final, así como lo suficientemente seguras para el propósito previsto. Las contraseñas que son demasiado difíciles de recordar pueden olvidarse y, por lo tanto, es más probable que se escriban en papel, lo que algunos consideran un riesgo para la seguridad. [16] Por el contrario, otros argumentan que obligar a los usuarios a recordar contraseñas sin ayuda sólo puede dar cabida a contraseñas débiles y, por lo tanto, plantea un mayor riesgo de seguridad. Según Bruce Schneier , la mayoría de las personas son buenas para proteger sus billeteras o carteras, lo cual es un "excelente lugar" para almacenar una contraseña escrita. [17]
La cantidad mínima de bits de entropía necesarios para una contraseña depende del modelo de amenaza de la aplicación determinada. Si no se utiliza la ampliación de claves , se necesitan contraseñas con más entropía. RFC 4086, "Requisitos de aleatoriedad para la seguridad", publicado en junio de 2005, presenta algunos modelos de amenazas de ejemplo y cómo calcular la entropía deseada para cada uno. [18] Sus respuestas varían entre 29 bits de entropía necesarios si solo se esperan ataques en línea, y hasta 96 bits de entropía necesarios para claves criptográficas importantes utilizadas en aplicaciones como cifrado donde la contraseña o clave debe estar segura durante un largo período y El estiramiento no es aplicable. Un estudio del Georgia Tech Research Institute de 2010 basado en claves no estiradas recomendó una contraseña aleatoria de 12 caracteres, pero como requisito de longitud mínima. [5] [19] Vale la pena tener en cuenta que, dado que la potencia informática crece continuamente, para evitar ataques fuera de línea, la cantidad requerida de bits de entropía también debería aumentar con el tiempo.
El extremo superior está relacionado con los estrictos requisitos de elección de las claves utilizadas en el cifrado. En 1999, un proyecto de Electronic Frontier Foundation rompió el cifrado DES de 56 bits en menos de un día utilizando hardware especialmente diseñado. [20] En 2002, distribuido.net descifró una clave de 64 bits en 4 años, 9 meses y 23 días. [21] Al 12 de octubre de 2011, distribuido.net estima que descifrar una clave de 72 bits utilizando el hardware actual tardará unos 45.579 días o 124,8 años. [22] Debido a las limitaciones actualmente conocidas de la física fundamental, no hay expectativas de que cualquier computadora digital (o combinación) sea capaz de romper el cifrado de 256 bits mediante un ataque de fuerza bruta. [23] Aún se desconoce si las computadoras cuánticas podrán hacerlo en la práctica, aunque el análisis teórico sugiere tales posibilidades. [24]
Las pautas para elegir buenas contraseñas generalmente están diseñadas para hacer que las contraseñas sean más difíciles de descubrir mediante adivinanzas inteligentes. Las pautas comunes defendidas por los defensores de la seguridad del sistema de software incluyen: [25] [26] [27] [28] [29]
Forzar el uso de caracteres alfabéticos en minúsculas y mayúsculas, números y símbolos en las contraseñas era una política común, pero se ha descubierto que disminuye la seguridad al facilitar su descifrado. Las investigaciones han demostrado cuán predecible es el uso común de tales símbolos, y los departamentos de seguridad cibernética de los gobiernos de EE. UU. [33] , Reino Unido [34] desaconsejan forzar su inclusión en la política de contraseñas. Los símbolos complejos también hacen que recordar las contraseñas sea mucho más difícil, lo que aumenta la escritura, el restablecimiento de contraseñas y la reutilización de contraseñas, todo lo cual reduce en lugar de mejorar la seguridad de las contraseñas. El autor original de las reglas de complejidad de contraseñas, Bill Burr, se disculpó y admite que disminuyen la seguridad, como han descubierto las investigaciones; esto fue ampliamente informado en los medios de comunicación en 2017. [35] Los investigadores de seguridad en línea [36] y los consultores también apoyan el cambio [37] en los consejos de mejores prácticas sobre contraseñas.
Algunas directrices desaconsejan escribir las contraseñas, mientras que otras, teniendo en cuenta el gran número de sistemas protegidos por contraseña a los que deben acceder los usuarios, alientan a escribir las contraseñas siempre y cuando las listas de contraseñas escritas se guarden en un lugar seguro, no conectadas a un monitor o en un cajón del escritorio sin llave. [38] El NCSC recomienda el uso de un administrador de contraseñas . [39]
El posible conjunto de caracteres para una contraseña puede estar limitado por diferentes sitios web o por la variedad de teclados en los que se debe ingresar la contraseña. [40]
Como ocurre con cualquier medida de seguridad, las contraseñas varían en cuanto a su seguridad; algunos son más débiles que otros. Por ejemplo, la diferencia de fuerza entre una palabra del diccionario y una palabra con ofuscación (por ejemplo, las letras de la contraseña se sustituyen, por ejemplo, por números, un enfoque común) puede costarle a un dispositivo de descifrado de contraseñas unos segundos más; esto añade poca fuerza. Los siguientes ejemplos ilustran varias formas en que se pueden construir contraseñas débiles, todas las cuales se basan en patrones simples que resultan en una entropía extremadamente baja, lo que permite probarlas automáticamente a altas velocidades: [12]
Hay muchas otras formas en que una contraseña puede ser débil, [43] correspondientes a las fortalezas de varios esquemas de ataque; El principio básico es que una contraseña debe tener una alta entropía (generalmente considerada equivalente a la aleatoriedad) y no ser fácilmente derivable mediante ningún patrón "inteligente", ni las contraseñas deben mezclarse con información que identifique al usuario. Los servicios en línea a menudo proporcionan una función de restauración de contraseña que un pirata informático puede descubrir y, al hacerlo, omitir una contraseña. Elegir preguntas de restauración de contraseña difíciles de adivinar puede proteger aún más la contraseña. [44]
En el panorama de 2012, como lo describió William Cheswick en un artículo para la revista ACM, la seguridad de las contraseñas enfatizaba predominantemente una contraseña alfanumérica de ocho caracteres o más. Se dedujo que dicha contraseña podría resistir diez millones de intentos por segundo durante 252 días. Sin embargo, con la ayuda de las GPU contemporáneas de la época, este período se redujo a unas 9 horas, dada una tasa de descifrado de 7 mil millones de intentos por segundo. Se estima que una contraseña de 13 caracteres resiste los intentos de cálculo de la GPU durante más de 900.000 años. [45] [46]
En el contexto de la tecnología de hardware de 2023, el estándar de 2012 de una contraseña alfanumérica de ocho caracteres se ha vuelto vulnerable y sucumbirá en unas pocas horas. El tiempo necesario para descifrar una contraseña de 13 caracteres se reduce a unos pocos años. Por tanto, el énfasis actual ha cambiado. La seguridad de la contraseña ahora se mide no sólo por su complejidad sino también por su longitud, y las recomendaciones se inclinan por contraseñas que comprendan al menos entre 13 y 16 caracteres. Esta era también ha visto el aumento de la autenticación multifactor (MFA) como una medida de fortificación crucial. La llegada y adopción generalizada de administradores de contraseñas ha ayudado aún más a los usuarios a cultivar y mantener una variedad de contraseñas únicas y seguras. [47]
Una política de contraseñas es una guía para elegir contraseñas satisfactorias. Se pretende:
Las políticas de contraseñas anteriores solían prescribir los caracteres que deben contener las contraseñas, como números, símbolos o mayúsculas/minúsculas. Si bien esto todavía está en uso, ha sido desacreditado como menos seguro por investigaciones universitarias, [48] por el instigador original [49] de esta política y por los departamentos de seguridad cibernética (y otros organismos de seguridad gubernamentales relacionados [50] ) de Estados Unidos [51] y Reino Unido. [52] Las principales plataformas como Google [53] y Facebook, [54] utilizaban anteriormente reglas de complejidad de contraseñas de símbolos obligatorios, pero estas han eliminado el requisito tras el descubrimiento de que en realidad reducían la seguridad. Esto se debe a que el elemento humano supone un riesgo mucho mayor que el descifrado, y la complejidad impuesta lleva a la mayoría de los usuarios a patrones altamente predecibles (número al final, intercambio 3 por E, etc.) que ayudan a descifrar contraseñas. Por lo tanto, la simplicidad y longitud de las contraseñas (frases de contraseña) son las nuevas mejores prácticas y se desaconseja la complejidad. Las reglas de complejidad forzada también aumentan los costos de soporte y la fricción de los usuarios y desalientan los registros de usuarios.
La caducidad de la contraseña estaba en algunas políticas de contraseñas más antiguas, pero ha sido desacreditada [35] como mejor práctica y no es respaldada por los gobiernos de EE. UU. o el Reino Unido, ni por Microsoft, que eliminó [55] la función de caducidad de la contraseña. Anteriormente, la caducidad de la contraseña intentaba cumplir dos propósitos: [56]
Sin embargo, la caducidad de la contraseña tiene sus inconvenientes: [57] [58]
Las contraseñas más difíciles de descifrar, para una longitud y un conjunto de caracteres determinados, son las cadenas de caracteres aleatorias; si son lo suficientemente largos, resisten ataques de fuerza bruta (porque hay muchos personajes) y ataques de adivinanzas (debido a la alta entropía). Sin embargo, estas contraseñas suelen ser las más difíciles de recordar. La imposición de un requisito para dichas contraseñas en una política de contraseñas puede alentar a los usuarios a escribirlas, almacenarlas en dispositivos móviles o compartirlas con otros como protección contra fallas de memoria. Si bien algunas personas consideran que cada uno de estos recursos de usuarios aumenta los riesgos de seguridad, otros sugieren lo absurdo de esperar que los usuarios recuerden contraseñas distintas y complejas para cada una de las docenas de cuentas a las que acceden. Por ejemplo, en 2005, el experto en seguridad Bruce Schneier recomendó escribir la contraseña:
Simplemente, las personas ya no pueden recordar contraseñas lo suficientemente buenas como para defenderse de manera confiable contra ataques de diccionario, y están mucho más seguras si eligen una contraseña demasiado complicada para recordar y luego la escriben. Todos somos buenos asegurando pequeños trozos de papel. Recomiendo que las personas escriban sus contraseñas en una pequeña hoja de papel y la guarden con sus otros pequeños papeles valiosos: en su billetera. [38]
Las siguientes medidas pueden aumentar la aceptación de requisitos de contraseñas seguras si se usan con cuidado:
Las políticas de contraseñas a veces sugieren técnicas de memoria para ayudar a recordar las contraseñas:
Un compromiso razonable para el uso de una gran cantidad de contraseñas es registrarlas en un programa de administración de contraseñas, que incluye aplicaciones independientes, extensiones de navegador web o un administrador integrado en el sistema operativo. Un administrador de contraseñas permite al usuario usar cientos de contraseñas diferentes y solo tiene que recordar una única contraseña, la que abre la base de datos de contraseñas cifradas. [65] No hace falta decir que esta única contraseña debe ser segura y estar bien protegida (no registrada en ninguna parte). La mayoría de los administradores de contraseñas pueden crear automáticamente contraseñas seguras utilizando un generador de contraseñas aleatorias criptográficamente seguro , además de calcular la entropía de la contraseña generada. Un buen administrador de contraseñas brindará resistencia contra ataques como el registro de claves , el registro del portapapeles y otras técnicas de espionaje de memoria.
