KDE Wallet (Español)
KDE Wallet Manager es una herramienta para gestionar las contraseñas en el sistema KDE Plasma. El uso del subsistema KWallet permite al usuario mantener sus propios secretos, pero también le permite acceder a las contraseñas almacenadas por cada aplicación que se integra con KWallet.
Una billetera (en la terminología de KDE, a veces llamada bóveda o llavero) es un volumen cifrado protegido por una contraseña definida por el usuario donde el usuario o el software pueden almacenar secretos (a menudo, credenciales cuando el usuario marcó "Recordar la cuenta" en una aplicación). Estas bóvedas pueden ser creadas y utilizadas manualmente por el usuario o creadas y utilizadas automáticamente en segundo plano por algún software que se integre con el subsistema de la billetera (por ejemplo, aplicaciones de correo o juegos). Las bóvedas suelen descifrarse automáticamente al iniciar sesión el usuario mediante un módulo PAM (ver más abajo).
Consejos:
- Si solo necesita tener una billetera disponible para las aplicaciones que la usan, se recomienda usar el nombre predeterminado (es decir,
kdewallet) y la misma contraseña que el usuario (para PAM). - Las billeteras se almacenan como archivos cifrados con la extensión
.kwlen el directorio~/.local/share/kwalletdpor defecto.
Instalación
KDE Wallet suele incluirse en el entorno de escritorio KDE Plasma. El subsistema de billetera se puede instalar manualmente con el paquete kwallet.
Opcionalmente, instale el paquete kwalletmanager para la herramienta de gestión de billeteras. Esta herramienta permite crear y gestionar gráficamente una billetera KDE.
Configuración
Desbloquear KDE Wallet automáticamente al iniciar la sesión
Para desbloquear KDE Wallet automáticamente al iniciar la sesión, instale kwallet-pam para el módulo compatible con PAM. La contraseña de KWallet elegida debe ser la misma que la contraseña actual del usuario.
-
kwallet-pam no es compatible con claves GnuPG, la billetera KDE debe usar el cifrado estándar
blowfish. - Al usar el inicio de sesión automático, la billetera solo se puede desbloquear si el método guarda la contraseña. Por ejemplo, pam_autologin sí lo hace.
- La billetera no se puede desbloquear al usar un lector de huellas dactilares para iniciar sesión.
- La billetera debe llamarse
kdewallet(nombre predeterminado). No desbloquea ninguna otra billetera. - Si usa KDE, puede desactivar la opción "Cerrar cuando la última aplicación deje de usarla" en la configuración de la billetera KDE para evitar que se cierre después de cada uso (desbloqueo mediante frase de contraseña de Wi-Fi, etc.).
- Puede que sea necesario eliminar primero la billetera creada por defecto, eliminando así todas las entradas almacenadas. * Si el Asistente de Migración de Kwallet solicita una contraseña después de cada inicio de sesión, cambie el nombre o elimine la carpeta
~/.kde4/share/apps/kwallet.
Configurar PAM
Las siguientes líneas deben estar presentes en sus secciones correspondientes:
auth optional pam_kwallet5.so session optional pam_kwallet5.so auto_start
Edite la configuración de PAM correspondiente a tu situación:
- Para SDDM no se requieren más ediciones, ya que las líneas ya están en
/etc/pam.d/sddm. - Para LightDM no se requieren más ediciones, ya que las líneas ya están en
/etc/pam.d/lightdmy/etc/pam.d/lightdm-autologin. - Para GDM, edite
/etc/pam.d/gdm-passwordsegún corresponda. - Para greetd, edite
/etc/pam.d/greetdsegún corresponda. - Para desbloquear al iniciar sesión con TTY (sin administrador de pantalla, o similar a greetd-tuigreet), edite
/etc/pam.d/loginsegún corresponda. Deberá especificar el parámetro force_run.
/etc/pam.d/login
auth optional pam_kwallet5.so session optional pam_kwallet5.so auto_start force_run
/etc/pam.d/greetd
#%PAM-1.0 auth required pam_securetty.so auth requisite pam_nologin.so auth include system-local-login auth optional pam_kwallet5.so account include system-local-login session include system-local-login session optional pam_kwallet5.so auto_start force_run
Uso de inicio de sesión automático con SDDM y cifrado LUKS
Cuando el sistema está cifrado con dm-crypt, es posible desbloquear automáticamente la billetera KDE usando la contraseña que descifra el disco. Si SDDM#Autologin está configurado, la billetera también se puede desbloquear automáticamente. Edite /etc/pam.d/sddm-autologin para agregar pam_systemd_loadkey(8):
/etc/pam.d/sddm-autologin
-auth optional pam_systemd_loadkey.so -auth optional pam_gnome_keyring.so -auth optional pam_kwallet5.so -session optional pam_gnome_keyring.so auto_start -session optional pam_kwallet5.so auto_start
Luego edite sddm.service, y añada:
/etc/systemd/system/sddm.service.d/keyringmode.conf
[Service] KeyringMode=inherit
Consejos y trucos
Usar KDE Wallet para almacenar claves de ssh
Establezca la variable de entorno SSH_ASKPASS en ksshaskpass y SSH_ASKPASS_REQUIRE en prefer (preferiblemente use el programa askpass en lugar del TTY). Para configurarlo automáticamente en cada inicio de sesión, cree el siguiente archivo environment.d(5):
~/.config/environment.d/ssh_askpass.conf
SSH_ASKPASS=/usr/bin/ksshaskpass SSH_ASKPASS_REQUIRE=prefer
Reinicia tu sesión (es decir, vuelve a iniciar sesión) para que las variables de entorno surtan efecto.
La primera vez que intentes usar una clave SSH, se te solicitará su contraseña. Asegúrate de marcar la casilla "Recordar contraseña". La próxima vez, la contraseña se leerá desde KDE Wallet.
Uso de KDE Wallet para almacenar credenciales de Git
Git puede delegar la gestión de credenciales a un asistente de credenciales. Al usar ksshaskpass como asistente de credenciales, las contraseñas HTTP/HTTPS y SMTP se pueden almacenar de forma segura en KDE Wallet.
Instale el paquete ksshaskpass.
Configura Git estableciendo la variable de entorno GIT_ASKPASS:
~/.config/environment.d/git_askpass.conf
GIT_ASKPASS=/usr/bin/ksshaskpass
SSH_ASKPASS está establecida en ksshaskpass, no es necesario configurar GIT_ASKPASS.Consulta gitcredentials(7) para obtener alternativas y más detalles.
Almacenar contraseñas de claves GPG
Las ventanas nativas de KDE pueden usarse para solicitar contraseñas de claves GPG y guardarlas en KDE Wallet.
Configure gpg-agent para usar /usr/bin/pinentry-qt.
Habilite la interfaz del Servicio Secreto. Hay dos maneras de hacerlo:
- Vaya a «Preferencias del sistema > Monedero de KDE» y habilite «Usar KWallet para la interfaz del Servicio Secreto».
- Edite el archivo de configuración del Monedero de KDE:
~/.config/kwalletrc
[org.freedesktop.secrets] apiEnabled=true
Cierre la billetera y vuelva a abrirla para que estos cambios surtan efecto. Puede hacerlo usando kwalletmanager o ejecutando comandos directamente a Qt D-Bus:
$ qdbus org.kde.kwalletd6 /modules/kwalletd6 closeAllWallets $ qdbus org.kde.kwalletd6 /modules/kwalletd6 open kdewallet 0 $0
KDE Wallet para Chrome y Chromium
Chrome/Chromium/Opera incorpora la integración de billeteras. Para habilitarla, ejecuta Chromium con el argumento --password-store=kwallet5, --password-store=kwallet6 o --password-store=detect. Para que el cambio sea persistente, consulta Chromium#Making flags persistent. (Configurar CHROMIUM_USER_FLAGS no funcionará).
Consultar contraseñas desde la terminal
En lugar de almacenar contraseñas en archivos de texto sin formato, puedes agregar manualmente nuevas entradas a tu monedero y recuperarlas con kwallet-query.
Por ejemplo, si desea iniciar sesión en el registro de Docker Hub con Podman, que permite obtener las contraseñas de la entrada estándar con el indicador --password-stdin, puede usar el siguiente comando:
$ kwallet-query -r folder_entry wallet_name -f folder_name | podman login docker.io -u dockerhub_username --password-stdin
De esta forma, su contraseña no se almacena en ningún archivo de texto ni en el historial del terminal.
Para ejecutar kwallet-query fuera de una sesión gráfica (por ejemplo, como parte de un script de copia de seguridad desatendida), configure la variable de entorno QT_QPA_PLATFORM=offscreen:
$ QT_QPA_PLATFORM=offscreen kwallet-query -r folder_entry wallet_name -f folder_name
Desbloqueo automático de KWallet en un gestor de ventanas
Para desbloquear KWallet protegido por la contraseña de inicio de sesión, es necesario iniciar /usr/lib/pam_kwallet_init en la sección autostart del archivo de configuración de su gestor de ventanas, además de configurar PAM.
Desactivar KWallet
Si desea desactivar KWallet permanentemente:
~/.config/kwalletrc
[Wallet] Enabled=false
Activación automática de D-Bus
La mayoría de las aplicaciones utilizan el servicio org.freedesktop.secrets.service D-Bus. KWallet no incluye un archivo de servicio predeterminado.
Puede lograr la activación automática creando dicho archivo de servicio:
~/.local/share/dbus-1/services/org.freedesktop.secrets.service
[Servicio D-BUS] Nombre=org.freedesktop.secrets Ejecutivo=/usr/bin/kwalletd6