El almacén de credenciales de Windows

El modelo

Cuatro piezas, más simples que las de macOS:

La diferencia que lo cambia todo

No hay identidad de aplicación. Merece insistir porque contradice lo aprendido en macOS:

• Cualquier programa que corra como ese usuario puede leer tus credenciales si conoce el nombre.
• Y puede enumerarlas, con lo que descubrir el nombre es trivial.
• No hay diálogo, no hay autorización, no hay lista.

La protección de Windows es de usuario a usuario, no de programa a programa. Otro usuario de la misma máquina no puede leer las tuyas; otro programa del mismo usuario, sí.

Y no es un defecto que arreglar, es el modelo. Lo que cambia es la conclusión de diseño: en Windows, la razón de usar el almacén no es que otro programa no pueda leerlo, sino que el secreto no está en un fichero tuyo en claro, no entra en las copias, y no viaja a otra máquina. Eso sigue siendo mucho más de lo que da un fichero de configuración.

La persistencia, que decide dónde vive

Tres opciones y la elección importa:

• Solo sesión — desaparece al cerrar sesión. Útil para algo temporal, casi nunca es lo que quieres.
• Máquina local — persiste en esa máquina, no viaja con el perfil. Es la opción por omisión razonable.
• Empresa — viaja con el perfil de usuario a otras máquinas del dominio.

La tercera parece atractiva —el usuario cambia de equipo y tiene su sesión— y trae el problema del nivel 35.4: un testigo que identifica una instalación no debería viajar. Además, en un perfil viajero el material de cifrado se mueve con él, lo que cambia el modelo de amenaza.

Recomendación: máquina local, salvo que sepas exactamente por qué quieres lo contrario.

El límite de tamaño

Un detalle práctico que se encuentra en el peor momento: el blob de una credencial tiene un tamaño máximo, del orden de unos pocos kilobytes, y el nombre también tiene su límite.

Para un testigo normal sobra. Para un testigo largo con muchas afirmaciones dentro, o para un certificado, se llega. Y el fallo no siempre es un error claro: puede ser un error genérico que no dice que el problema es el tamaño.

La salida es la del nivel 34.5: si no cabe, no va en el almacén. Va cifrado en un fichero, con la clave en el almacén — y ahí es donde entra la interfaz de protección de datos del nivel 36.2.