Seguridad: de qué protege OTP Pink y de qué no puede

Esta página trata de la extensión OTP Pink. El sitio que estás leyendo es otra cosa: cuenta las visitas, y la página de privacidad explica cómo.

De qué protege

• Una copia de tus datos sin tu contraseña. La bóveda en el almacenamiento de extensiones del navegador, las copias de seguridad automáticas y la exportación .pinkotp están cifradas. Quien copie el perfil de tu navegador o uno de esos archivos no averigua nada sobre tus cuentas, salvo el tamaño aproximado de la bóveda y sus parámetros de derivación de clave. El tiempo que lleva adivinar depende de la contraseña que elijas.
• Archivos alterados u hostiles. Los datos cifrados, los metadatos vinculados a ellos y cada clave encapsulada están autenticados: un cambio en cualquiera de ellos hace que la bóveda o el archivo no se abra, en lugar de abrirse mal. De un archivo importado se comprueban el tamaño, la estructura y los parámetros de derivación de clave antes de derivar ninguna clave, así que un archivo no puede hacer que la extensión ejecute un cálculo sin límite.
• La red. La extensión no hace solicitudes de red, así que no hay ningún servidor que pueda filtrar datos o ser vulnerado, ni nada que interceptar.
• Las páginas que visitas. OTP Pink no tiene acceso permanente a ningún sitio. Lee una pestaña solo después de que lo abras en ella, y solo mientras el navegador mantenga ese acceso para la pestaña. El script que ejecuta ahí solo lee la página y no hace solicitudes, y lo que encuentra se te muestra antes de que se agregue nada.
• Una contraseña antigua. Cambiar la contraseña reemplaza la clave de datos y vuelve a cifrar la bóveda, así que un material de clave antiguo que se vuelva a poner no puede abrir la bóveda actual con la contraseña antigua.

De qué no protege

• Una computadora o un navegador comprometidos. Un malware, un navegador comprometido u otra extensión capaz de depurar o inspeccionar extensiones puede leer lo que muestra OTP Pink y, mientras la bóveda esté desbloqueada, su clave.
• Reversión, borrado o daño. Quien pueda escribir en el almacenamiento de extensiones del navegador puede volver a poner una copia más antigua de la bóveda, cifrada correctamente (y así traer de vuelta una cuenta que borraste), o borrarla o dañarla. Las copias de seguridad automáticas viven en el mismo perfil del navegador, al mismo alcance, y se eliminan con la extensión. El camino de vuelta es un archivo .pinkotp que guardas fuera del navegador (copias de seguridad).
• Una contraseña débil. Argon2id ralentiza los intentos de adivinarla; no hace segura una contraseña corta o reutilizada.
• Archivos anteriores. Un archivo .pinkotp o una copia de seguridad automática hechos antes de un cambio de contraseña se siguen abriendo con la contraseña que estaba vigente cuando se hicieron. Si esa contraseña se filtró, bórralos.
• Lo que sacas sin cifrar. Las exportaciones sin cifrar, los códigos QR que se muestran en pantalla y la hoja de recuperación impresa contienen tus claves tal cual. Un código copiado al portapapeles puede ser leído por otros programas mientras está ahí. Borrar el portapapeles es una comodidad, no una garantía: OTP Pink no puede leer el portapapeles para comprobar qué hay en él, así que también se borra todo lo que hayas copiado después del código.
• El phishing. Un sitio falso puede usar al instante un código que escribas en él. OTP Pink pone primero los códigos del sitio en el que estás, pero no juzga el sitio por ti.
• La configuración junto a la bóveda. Se guarda sin cifrar un pequeño registro del dispositivo: el tema, el tiempo de bloqueo automático, un ajuste del reloj, un identificador aleatorio del dispositivo, cuándo exportó este navegador la bóveda por última vez (con un resumen criptográfico de la bóveda cifrada en ese momento, para el recordatorio de exportación) y hasta cuándo está pospuesto ese recordatorio, y dos interruptores de funciones que no están en esta versión.

El cifrado, en números

• La bóveda se cifra con AES-256-GCM bajo una clave de datos aleatoria de 256 bits, con un nonce nuevo de 12 bytes en cada escritura. Los metadatos guardados junto al texto cifrado se autentican con él.
• La clave de datos se encapsula con una clave derivada de tu contraseña con Argon2id: 64 MiB de memoria, 3 pasadas, paralelismo 1.
• La contraseña tiene al menos 8 caracteres y nunca se guarda.
• Un archivo importado o restaurado se comprueba antes de derivar ninguna clave de una contraseña: los archivos de más de 10 MiB se rechazan, y la descompresión está limitada a 16 MiB.

El bloqueo

La bóveda se bloquea tras el tiempo de inactividad que elijas (1, 5 o 15 minutos, 1 hora o nunca) y al cerrar el navegador. Mientras está desbloqueada, la clave de datos se guarda en el almacenamiento de sesión del navegador, que vive en la memoria y se borra al cerrar el navegador, donde la extensión puede cerrarlo a sus otros contextos; donde no puede, la clave queda solo en la memoria del segundo plano de la extensión. Los tiempos de bloqueo y los cambios de contraseña están en bloqueo y contraseña.

Lo que puede hacer la extensión

Permisos en Chrome y Edge: storage, alarms, activeTab, clipboardWrite, scripting, contextMenus, offscreen y sidePanel. En Firefox: storage, alarms, activeTab, clipboardWrite, scripting y contextMenus. Opcionales, que se piden solo cuando activas una opción de configuración: tabs.

• En una página: solo en una pestaña donde abriste OTP Pink, con su botón en la barra de herramientas, su elemento del menú contextual o tu atajo. Ahí ejecuta un script incluido en la extensión que lee la página en busca de un código QR, un enlace de configuración o una clave escrita, no cambia nada y no envía nada. Mientras el navegador mantenga ese acceso para la pestaña, vuelve a buscar cuando se carga una página en ella. Para leer un QR al que el script no llega, toma una imagen de la pestaña visible.
• El portapapeles: escribe el código que copias y, después, escribe una cadena vacía para borrarlo. Nunca lee el portapapeles.
• Códigos en cualquier pestaña: una opción de configuración opcional. Al activarlo, pide al navegador el permiso tabs (el navegador lo describe como «Leer el historial de navegación» o «Acceder a pestañas del navegador») y lee solo la dirección de la pestaña activa, nunca su contenido. Un sitio se guarda solo cuando lo vinculas a una cuenta.
• Ningún permiso de host, ningún webRequest, ningún script de contenido que permanezca en las páginas, y una política de seguridad de contenido que empieza con default-src 'none' y establece connect-src 'none'.

Compruébalo tú mismo

La promesa: el código de la extensión no hace ninguna solicitud http:, https:, ws: ni wss: ni ninguna conexión WebRTC, ni a un servidor ni a la página en la que estás. Cargar sus propios archivos incluidos (chrome-extension://…, moz-extension://…) y direcciones locales data: o blob: no son solicitudes de red.

1. El panel lateral. Chrome o Edge: clic derecho dentro del panel → Inspeccionar → Red. Firefox: about:debugging → Este Firefox → OTP Pink → Inspeccionar → Red; esa caja de herramientas pertenece al segundo plano de la extensión, y la barra lateral puede necesitar la suya propia (clic derecho dentro de ella → Inspeccionar, con la caja de herramientas del navegador habilitada).
2. El segundo plano. Chrome o Edge: chrome://extensions (o edge://extensions) → Modo de desarrollador → OTP Pink → service worker → Red. En Firefox, la misma ventana de Inspeccionar lo cubre.
3. Usa la extensión: desbloquea, agrega una cuenta, busca una clave en una página, copia un código, exporta. La pestaña Red solo muestra los archivos de la propia extensión.

Los enlaces del pie del panel (301.st, la tienda) son enlaces normales que abren una pestaña nueva cuando haces clic en ellos; la extensión no carga nada de ellos.

Cómo usarlo con seguridad

• Una contraseña larga que no uses en ningún otro lugar.
• Un tiempo de bloqueo que se ajuste a cómo dejas tu computadora.
• Una exportación .pinkotp cifrada guardada fuera del navegador, y su contraseña recordada. El panel te lo vuelve a recordar 30 días después de una exportación si la bóveda cambió desde entonces.
• Borra las exportaciones sin cifrar una vez importadas, y guarda una hoja impresa como guardas un pasaporte.