Kleidos
EN ES
Seguir el proyecto
Menú

Gestor de contraseñas por hardware

Tus contraseñas, en un dispositivo que llevas encima.

Kleidos es un gestor de contraseñas por hardware: guarda tus contraseñas cifradas en un dispositivo pequeño que llevas encima, y las escribe en tu ordenador por Bluetooth solo cuando lo has desbloqueado en el propio dispositivo.

  • Sin app
  • Sin nube
  • Sin cuenta

En desarrollo. Sin publicar: todavía no hay nada que descargar.

Cómo funciona Hoja de ruta

Soy José M. Requena Plens. Kleidos lo hago yo solo, y los límites que vas a leer los escribo yo.

the PIN screen waking, the timing arc dialing the four digits of the demo PIN, the production key derivation, and the unlocked vault list with its six demo entries, on the glass of the modeled StickS3 case, turned slightly to the left
El M5StickS3, el dispositivo que esta página sigue paso a paso. Carcasa modelada, pantalla capturada

Lo desbloqueas en el propio dispositivo.

Una pulsación con la pantalla apagada solo la enciende; no actúa sobre nada hasta la siguiente.

Las placas de dos botones no tienen teclado numérico: mantienes pulsado un botón mientras un arco recorre las cifras del 0 al 9 en tres segundos y lo sueltas en tu cifra, una vez por cada una. Tras la última cifra el PIN se acepta solo, y el dispositivo deriva de él la clave de la bóveda en ese mismo momento con 175 000 iteraciones de PBKDF2-SHA256, un número calibrado para que una placa ESP32-S3 se desbloquee en unos dos segundos. Nada de esto pasa por tu ordenador.

  • PBKDF2-SHA256, 175 000 iteraciones en el ESP32-S3
  • Tu PIN no se guarda en ninguna parte

Cómo se obtiene la clave

the timing arc sweeping through the fourth digit, three digits entered, on the glass of the modeled StickS3 case, seen face on
Las pantallas del dispositivo están en inglés; también habla español, francés, alemán e italiano. Carcasa modelada, pantalla capturada

Te enseña la entrada con la contraseña oculta.

Una entrada se abre en una tarjeta que no se mueve: el servicio, el usuario y la contraseña, oculta. La contraseña solo se ve cuando la pides, durante tres segundos y bajo un aviso, y después el dispositivo la vuelve a ocultar por su cuenta.

  • La marca del servicio, cuando lo reconoce
the Microsoft demo entry's card, its password masked and its own one-time code counting down, the bar on Type, on the glass of the modeled StickS3 case, turned slightly to the right
Carcasa modelada, pantalla capturada

Pregunta antes de escribir.

Pedirle que escriba una entrada todavía no envía nada. Primero el dispositivo pregunta qué escribir: el usuario y la contraseña juntos, solo el usuario o solo la contraseña. Solo entonces se levanta el Bluetooth, y un ordenador con el que nunca se ha emparejado tiene que confirmarse en la propia pantalla del dispositivo, con un número de seis cifras, antes de recibir una sola pulsación. Cuando el envío termina, el Bluetooth se vuelve a apagar.

El Bluetooth solo se enciende cuando le pides que envíe o que se empareje, y se apaga cuando termina.

  • Bluetooth LE Secure Connections: la primera vez confirmas en su pantalla un número de seis cifras
the chooser asking what to type for the entry, the user name and password pair first, on the glass of the modeled StickS3 case, seen face on
Carcasa modelada, pantalla capturada

Escribe. No envía.

El dispositivo se empareja como un teclado Bluetooth y escribe por ti, una pulsación por carácter. Tu ordenador recibe pulsaciones, los mismos bytes que le llegan del teclado de tu mesa, y nunca la contraseña.

En su cristal, la última pantalla real, la de antes de que se conecte un ordenador: mientras escribe no hay ninguna captura.

Durante el envío: Bluetooth encendido, Wi-Fi apagado

Entre una tecla y la siguiente espera un tiempo al azar de 20 a 60 ms, y alrededor del tabulador, 50 ms fijos antes y 100 ms después.

Un formulario de acceso dibujado, relleno por las pulsaciones y a la espera de que entres. Ilustración
Bluetooth up and visible, waiting for a computer, under its ready notice, on the glass of the modeled StickS3 case, turned away from the viewer, its screen out of sight
Carcasa modelada, pantalla capturada

Las radios están apagadas.

Desbloqueado y en la bóveda, el dispositivo no tiene ninguna radio encendida. El Bluetooth solo se levanta para enviar una contraseña, emparejar un ordenador nuevo o configurar el dispositivo por primera vez, y el Wi-Fi solo para el panel de administración o para poner el reloj en hora cuando se lo pides, nunca los dos a la vez.

Cuándo está encendida cada radio, al completo

back in the vault list after the session was cancelled, Bluetooth down again, on the glass of the modeled StickS3 case, turned slightly to the left
Carcasa modelada, pantalla capturada
Qué radio está encendida en cada uno de estos momentos
Radio En la bóvedaEnviandoEmparejandoPanel de administración
Bluetooth apagado encendido encendido apagado
Wi-Fi apagado apagado apagado encendido

La etiqueta de cada imagen dice cómo la hice, y la leyenda de las etiquetas explica cada tipo.

  • En directo desde el dispositivo
  • Panel en un navegador

Sin app. Sin nube. Sin registrarte en nada.

Te traes las contraseñas que ya tienes. En desarrollo

Exporta la bóveda del gestor que usas ahora y abre el panel de administración. La página que sirve el propio dispositivo lee el fichero en tu navegador y te enseña cada inicio de sesión que ha encontrado antes de mover nada; las tarjetas, las identidades, los documentos, las notas seguras y las claves de acceso se cuentan por categoría y se dejan fuera, porque ninguno tiene una contraseña que escribir.

Panel en un navegador

Un recorrido por el panel. Un recorrido por el panel en un navegador de escritorio: el panel de control, las seis entradas de demostración, una de ellas abierta con la contraseña oculta, el autenticador, la página de seguridad y la de copias de seguridad.

Abrí la propia página del panel (los bytes que sirve el firmware) en un navegador, contra una bóveda de demostración servida desde mi ordenador y no desde una placa, y lo grabé. Así que el clip es la página en sí sobre datos de demostración, no una sesión en una placa.

Gratis, en la placa que elijas.

El firmware es software libre bajo GPL-3.0-or-later y no cuesta nada; solo pagas la placa: de 19,00 US$ a 70,99 US$ en la tienda de su fabricante, según los anuncios que leí el 1 de noviembre de 2026.

Todavía no hay nada que instalar, y yo no compraría una placa para esto antes de la primera publicación: la hoja de ruta dice cómo va.

M5StickS3, 24 por 48 mm, dibujado a escala, con una captura real de la lista de su bóveda en la pantalla

M5StickS3

Dos botones · 250 credenciales, 40 códigos 2FA

El firmware dibuja la misma pantalla en todas las placas, la lista de la bóveda; lo que cambia es la carcasa.

Lo que cambia es un fichero de cabecera

Junto a una OnlyKey y una YubiKey 5

Criterio Kleidos OnlyKey CryptoTrust YubiKey 5 Yubico
Qué guarda De 90 a 500 credenciales, cada una con una contraseña de hasta 128 caracteres, y de 30 a 50 secretos 2FA, según la placa 24 cuentas, cada una con una contraseña de hasta 56 caracteres, un usuario, una URL y un secreto 2FA; en el modelo de seis botones, 12 por perfil, cada perfil con su propio PIN features.md:38 Según su fabricante Dos contraseñas fijas que eliges tú, de hasta 38 caracteres, una en cada ranura OTP; la ranura 1 sale de fábrica con una Yubico OTP Technical Manual: OTP
Escribe por Solo HID por Bluetooth LE: envía pulsaciones y no lee nada HID por USB: el ordenador ve un teclado; un móvil, con un adaptador USB OTG features.md:19 Según su fabricante Un teclado USB; una contraseña fija solo sale por cable, no por NFC Technical Manual: OTP
Cómo eliges una En su propia pantalla, en la lista de entradas Uno de sus botones: un toque de menos de un segundo escribe la primera cuenta del botón, y una pulsación más larga, la segunda features.md:172-173 Según su fabricante Su contacto táctil: un toque breve para la ranura 1 y uno de tres segundos para la ranura 2 Technical Manual: OTP
Códigos 2FA TOTP de 6 u 8 cifras con pasos de 30 o 60 s, de 30 a 50 cuentas, con su propio reloj; en las tres placas sin chip de reloj están desactivados de serie y, una vez activados, cada código necesita una sincronización reciente de la hora TOTP y Yubico OTP, en las ranuras de sus cuentas; como no tiene batería, necesita abiertas la aplicación de OnlyKey o su aplicación web para ponerle la hora, y sin ninguna de las dos escribe «NOTSET» features.md:43 Según su fabricante TOTP y HOTP, hasta 64 cuentas desde el firmware 5.7 (32 antes); como no tiene batería, los códigos se leen, con la hora, en la aplicación Yubico Authenticator Technical Manual: OATH
PIN erróneos Un bloqueo corto a partir de 4 fallos y otro más largo a partir de 7; a los 10 borra la bóveda, todos los vínculos de Bluetooth y las redes de administración guardadas Cada 3 PIN erróneos hay que desenchufarla y volver a enchufarla; a los 10 borra todos sus datos. Un PIN de autodestrucción opcional la borra al momento security.md:93 Según su fabricante Sus contraseñas fijas no tienen PIN: las escribe un toque. FIDO2 sí tiene uno: tras 3 PIN erróneos seguidos hay que desenchufar la llave y volver a enchufarla, y a los 8, FIDO2 se bloquea; solo lo desbloquea un restablecimiento, que destruye sus credenciales FIDO2 y U2F Technical Manual: FIDO
Estándares de llave de seguridad Ninguno: su enlace Bluetooth solo lleva los servicios de teclado, de información del dispositivo y de batería FIDO2, U2F, OpenPGP y SSH features.md:43 Según su fabricante FIDO2 (hasta 100 llaves de acceso desde el firmware 5.7), U2F, tarjeta inteligente (PIV) y OpenPGP Technical Manual: applications

Leí cada celda sobre las dos llaves el 2 de noviembre de 2026: la documentación de la OnlyKey en su propio repositorio, en el commit que nombra cada enlace, y los manuales de Yubico y las tiendas de los dos fabricantes, que no tienen commit que fijar. No he usado ninguna de las dos para comprobarlo, y «se desconoce» significa que su documentación no lo dice, no que le falte.

Lo primero que se pregunta

Cada pregunta se responde aquí en un párrafo, con cifras que ya da el resto del sitio o con la documentación de otro producto, y con un enlace a donde se lleva hasta el final.

¿Qué es Kleidos?

Kleidos es un gestor de contraseñas por hardware: el firmware de nueve placas pequeñas de M5Stack y LilyGO, con el ESP32-S3 y con el ESP32 clásico. Guarda tus contraseñas cifradas en el dispositivo y escribe en tu ordenador la que eliges, como un teclado Bluetooth, cuando lo has desbloqueado en el propio dispositivo con un PIN o una contraseña. No hay app, ni nube, ni cuenta; «Cómo funciona» lo cuenta paso a paso.

¿En qué placas funciona Kleidos?

Kleidos funciona en nueve placas: cuatro con el ESP32-S3 y cinco con el ESP32 clásico. Son cuatro sticks de dos botones, una placa de papel electrónico que se maneja con una rueda, dos táctiles y dos con teclado, y según la placa la bóveda guarda de 90 a 500 credenciales y de 30 a 50 códigos 2FA. «Los dispositivos» da el chip, la entrada, la pantalla, el reloj y la capacidad de cada una.

¿Puedo descargar Kleidos?

Todavía no. Kleidos es una versión previa, la 0.1.0, y no hay ninguna versión publicada, así que no hay nada que instalar. Mantengo el repositorio privado mientras preparo la primera versión, y publicarla es un paso de la hoja de ruta, al que no pongo fecha.

¿Kleidos cuesta algo? ¿Necesito una cuenta?

Kleidos no cuesta nada ni pide cuenta. El proyecto no vende dispositivos, licencias ni suscripciones: el firmware tiene licencia GNU GPL, versión 3 o posterior, no hay ningún servidor en el que registrarse, y lo que pagas es la placa, que eliges entre las nueve en las que funciona y compras a quien la venda. «Los dispositivos» las presenta una a una, y la comparación pone eso junto a lo que piden los otros proyectos. Todavía no hay nada que instalar: la primera versión sigue siendo un paso de la hoja de ruta.

¿Kleidos es de código abierto?

Kleidos tiene licencia GNU GPL, versión 3 o posterior, pero su código todavía no es público: por ahora mantengo el repositorio privado, y abrirlo es un paso de la hoja de ruta anterior a la primera versión. Hasta entonces estas páginas describen el código, y el código en sí no lo puedes leer.

¿En qué se diferencia Kleidos de una YubiKey?

Hacen trabajos distintos: Kleidos es un gestor de contraseñas y una YubiKey es una llave de seguridad. La YubiKey 5 permite iniciar sesión con FIDO2 y U2F, guarda claves de tarjeta inteligente (PIV) y de OpenPGP, y admite hasta 64 cuentas de códigos de un solo uso desde el firmware 5.7. También puede escribir hasta dos contraseñas fijas de hasta 38 caracteres, con un toque breve o de tres segundos. Kleidos guarda de 90 a 500 credenciales: eliges una en su pantalla y el dispositivo la escribe por Bluetooth LE. No admite FIDO2, U2F, PIV ni OpenPGP. Leí estas cifras en la documentación de Yubico el 1 de noviembre de 2026 y no he usado ninguna para comprobarlas. La comparación completa pone Kleidos junto a una OnlyKey y una YubiKey 5, fila a fila, con la fuente de cada celda.

¿En qué se diferencia Kleidos de una OnlyKey?

La OnlyKey también escribe contraseñas guardadas como un teclado, se desbloquea con sus botones y se borra tras 10 PIN erróneos; Kleidos borra su bóveda tras 10. La OnlyKey guarda 24 cuentas en seis botones, se conecta por USB, añade FIDO2, U2F y OpenPGP y, sin batería para llevar la hora, necesita tener abierta su aplicación o su aplicación web para poner la hora y dar un código TOTP. Kleidos guarda de 90 a 500 credenciales, las escribe por Bluetooth LE y calcula con su propio reloj los códigos de 30 a 50 cuentas 2FA, desactivados de serie en las tres placas sin chip de reloj, y una vez activados un código necesita una sincronización de hora reciente. Leí estas cifras en la documentación del fabricante el 1 de noviembre de 2026 y no he usado ninguna para comprobarlas. La comparación completa pone Kleidos junto a una OnlyKey y una YubiKey 5, fila a fila, con la fuente de cada celda.

¿Alguien ha auditado Kleidos?

No. Nadie independiente ha revisado Kleidos: el firmware lo escribí yo, y también el modelo de amenazas, la matriz de controles y el registro que lo describen. La página de seguridad recoge veintiuna amenazas, cuarenta y seis controles y cinco de los riesgos que he aceptado, cada uno con su motivo, y dice qué no puedes comprobar mientras el repositorio sea privado.

¿Qué pasa si pierdo mi Kleidos o me lo roban?

Quien lo tenga sigue necesitando tu PIN o tu contraseña: Kleidos guarda la bóveda cifrada y solo la desbloquea en el propio dispositivo. Tras cuatro PIN erróneos te hace esperar antes del siguiente intento, tras siete te hace esperar más, y al llegar a diez borra la bóveda, todos los vínculos de Bluetooth y todas las redes de administración guardadas. La cuenta sobrevive a un corte de corriente, porque se escribe antes de comprobar el PIN. La página de seguridad da la respuesta completa y lo que esas esperas no cubren. En las compilaciones abiertas, quien copie la flash puede probar PIN tras PIN sin tener el dispositivo delante. Un PIN más largo (de 6 u 8 cifras), o una contraseña en los modelos con teclado o con pantalla táctil, lo hace más lento; solo la clave atada al chip de la compilación endurecida lo impide. Lleva el dispositivo contigo.

¿Cuánto dura con una carga una placa con Kleidos?

Solo tengo una estimación para una placa: con Kleidos en el LilyGO T-Deck Plus y la celda de 2000 mAh con la que lo medí, según mi estimación una carga dura entre unos 11 y 21 días, calculados a partir de los consumos que medí. Para las otras ocho placas todavía no doy ninguna estimación, y la página de mediciones explica por qué en cada caso.

Sigue el proyecto.

Dónde se lleva cada cosa hasta el final.

Cada sección de abajo reúne un tipo de prueba y llega tan lejos como llega la prueba.

  1. Resumen

    Por qué existe el dispositivo, y grabaciones de cómo funciona.

    Las nueve placas una a una, y Kleidos junto a otros cinco gestores de contraseñas en una placa pequeña y, después, junto a una OnlyKey y una YubiKey 5.

  2. Grabaciones

    Grabaciones de una placa de cada tipo, y cómo se hizo cada imagen de la web.

  3. Hoja de ruta

    Lo que funciona, lo que se está construyendo y lo que todavía es solo un plan.

    Por hacer: ocho pasos, en el orden en que tienen que darse.

  4. Seguridad

    Qué lo ataca y qué detiene cada ataque.

    Recoge veintiuna amenazas, cuarenta y seis controles que las responden, trece entradas del registro que citan un CVE o un aviso publicado y cinco de los riesgos que he aceptado.

  5. Mediciones

    Cuánto consumen las placas que he medido, cuánto dura una carga donde puedo estimarlo y dónde se pasan de lo previsto.

    De las nueve placas, he medido una con el sistema de medida en el cable de la batería.

  6. Arquitectura

    Cómo está construido el firmware, módulo a módulo.

    El firmware en veintidós módulos, en un orden que ningún include puede subir.