VPN o gestor de contraseñas: qué detiene el robo de credenciales

Una VPN y un gestor de contraseñas aparecen ambos en las conversaciones sobre seguridad de cuentas, pero protegen cosas distintas. El túnel transporta la petición y oculta el camino; el gestor decide qué credencial se ofrece, la mantiene cifrada en reposo y la recuerda por ti. Ninguno sustituye al otro, y los modos de fallo apenas se solapan. Compararlos tarea por tarea muestra a qué control recurrir cuando algo va mal.

Dos tareas dentro de un solo inicio de sesión

Cuando inicias sesión, la VPN responde una pregunta de transporte: qué camino toman estos paquetes y qué ve el extremo remoto. El gestor de contraseñas responde una pregunta de credenciales: qué secreto pertenece a este sitio, dónde se guarda y qué lo protege en la bóveda. Lo primero es una propiedad de red; lo segundo, una propiedad de almacenamiento y emparejamiento.

Por eso un túnel que funciona perfectamente no hace nada contra la reutilización de contraseñas. No puede generar un secreto único, notar que dos cuentas comparten uno ni impedir que pegues la entrada equivocada en una imitación convincente de una página de inicio de sesión. Esas son tareas del gestor y de la configuración de la cuenta.

Lo contrario también es cierto. Una bóveda llena de contraseñas fuertes y únicas no hace nada contra una red hostil que lee una sesión sin cifrar, ni contra un servicio que rechaza conexiones de tu región. Dos herramientas, dos conjuntos de fallos, y un informe que culpa a la equivocada hace perder el tiempo a todos.

Qué puede proteger el túnel y qué no

El túnel protege el tráfico en tránsito entre el cliente y la puerta de enlace VPN y, según el diseño, entre la puerta de enlace y el destino. Ese alcance es más estrecho de lo que la mayoría supone cuando compra uno. No protege lo que ocurre después de que llegue la credencial ni protege una sesión que sale por una ruta que el túnel nunca llevó.

El phishing es el caso más claro. Un camino cifrado hacia un sitio engañoso sigue entregando la contraseña al destinatario equivocado, y el túnel ha hecho su trabajo a la perfección mientras la cuenta se pierde. El software malicioso en el dispositivo es el segundo caso: un programa con acceso suficiente al navegador puede leer credenciales mientras se usan, sea cual sea el cifrado que protege el cable.

Cambiar la dirección de salida tiene un efecto secundario que conviene planificar. Un servicio puede pedir una verificación adicional cuando llega un inicio de sesión desde una red nueva, lo que es una respuesta legítima y no un fallo de ninguna de las dos herramientas. Distingue una solicitud que has provocado tú de una petición de código no relacionada.

Cómo decide el gestor qué contraseña ofrecer

Los gestores asocian un inicio de sesión guardado con direcciones de sitios web y aplican reglas de emparejamiento. Esas reglas son la parte relevante para la seguridad y son configurables. Una coincidencia exacta de host es la más estricta; una regla de dominio base o de empieza-por es más cómoda y cubre más subdominios, incluidos los que no pretendías.

Cuando falta el inicio de sesión esperado en una página desconocida, lee la dirección antes de copiar la contraseña a mano. Una discrepancia puede tener una explicación inocente, como un subdominio distinto tras un rediseño, y también puede ser la primera señal de que la página no es lo que dice ser. Copiar a mano es exactamente el paso que el gestor debía evitar.

El autocompletado correcto tampoco es una garantía. La regla de emparejamiento, el navegador y el entorno del dispositivo deciden qué ocurre, así que un campo relleno demuestra que la regla coincidió, no que el sitio sea auténtico.

Seguridad, recuperación y exportación de la bóveda

La protección de la bóveda es cosa del gestor. Los productos difieren en cómo derivan la clave, cifran la bóveda, la sincronizan y recuperan el acceso, y la documentación del propio proveedor es la única descripción fiable para la versión que ejecutas. Bitwarden, por ejemplo, documenta el cifrado del lado del cliente como parte de su arquitectura, lo que significa que el servidor almacena texto cifrado y no los secretos en sí.

Entiende la recuperación antes de una emergencia. Una contraseña maestra olvidada sin método de recuperación es una pérdida permanente, y un método de recuperación demasiado fácil es una segunda vía de entrada. Decide qué intercambio has hecho y escríbelo.

La exportación es la parte que la gente olvida. Una exportación en texto plano en una carpeta de descargas es una copia de cada credencial, y estar conectado a una VPN no la protege en absoluto. Si una exportación es realmente necesaria, cífrala y demuestra que el archivo se abre antes de borrar el texto plano.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Mantén el gestor, el navegador y el sistema operativo con soporte. Un cliente desactualizado con acceso al dispositivo es un riesgo mayor para las credenciales guardadas que una red Wi-Fi sin cifrar para una sesión bien autenticada.

Dónde se encuentran realmente las dos herramientas

Se encuentran en el formulario de inicio de sesión y en ningún otro sitio. Todo lo anterior pertenece a la red, todo lo posterior pertenece al servicio. El gestor aporta un secreto, la red lo transporta y el servicio decide si lo acepta. Unas credenciales únicas, una autenticación adicional adecuada y un plan de recuperación siguen siendo útiles con túnel o sin él, y un túnel sigue siendo útil para la propiedad de red que realmente necesitas.

Elige cada control por el problema que realmente resuelve y deja de esperar que uno cubra al otro. Un túnel no es una bóveda, y una bóveda no es una ruta.