Gestores de contraseñas y cripto: qué guardar y qué nunca
Un gestor de contraseñas es una de las mejores herramientas de seguridad que la mayoría de la gente puede adoptar. Genera contraseñas fuertes y únicas, las rellena solo en los sitios correctos y acaba con la reutilización de contraseñas, el hábito que está detrás de una enorme proporción de los robos de cuentas.
Así que es natural preguntarse: ¿deberían ir ahí también tus secretos cripto? Algunos sí. Una categoría casi nunca. Así es como se traza la línea.
En qué es bueno un gestor de contraseñas
- Contraseñas únicas y fuertes para cada exchange, correo y servicio, de modo que una filtración no abra las demás.
- Resistencia al phishing. Un buen gestor rellena una contraseña solo en el dominio exacto para el que se guardó. Si no ofrece rellenarla, puede que estés en un sitio imitador: una señal de alerta gratuita.
- Notas seguras y uso compartido para cosas como los códigos de recuperación de cuentas, con un cifrado que no tienes que construir tú mismo.
Para todo lo que protege una cuenta (inicios de sesión en exchanges, correo, la contraseña que desbloquea tu app de billetera), suele ser el lugar adecuado.
La línea: cuentas frente a claves
Hay una diferencia fundamental entre estos dos tipos de secreto:
- La contraseña de una cuenta protege el acceso a un servicio. Si se filtra, el servicio tiene otras defensas (autenticación de dos factores, confirmaciones de retiro, alertas de nuevo dispositivo) y puedes restablecerla.
- Una frase de recuperación o una clave privada es el dinero. Quien la tenga controla los fondos, desde cualquier lugar, sin ningún servicio de por medio, sin segundo factor y sin restablecimiento.
Un gestor de contraseñas concentra muchos secretos detrás de una sola contraseña maestra, normalmente sincronizada a través de la nube y desbloqueada en dispositivos de uso diario. Es un intercambio sensato para las contraseñas de cuentas. Para una frase de recuperación, convierte tu secreto más valioso en una entrada más de una bóveda que está en línea, en tu ordenador de uso general y a un solo compromiso de la contraseña maestra de quedar expuesta.
Qué guardar y qué no
Razonable en un gestor de contraseñas:
- Contraseñas de exchanges y de correo.
- Códigos de respaldo de dos factores para esas cuentas (idealmente en una bóveda separada de las propias contraseñas).
- La contraseña que desbloquea tu app de billetera en un dispositivo.
- Notas sobre tu configuración: qué billeteras usas, dónde guardas tus copias de seguridad, sin los secretos en sí.
Mantenlo fuera:
- Frases de recuperación (palabras semilla).
- Claves privadas y claves privadas extendidas.
- Fotos o escaneos de las copias de seguridad de frases de recuperación.
Las frases de recuperación deben estar fuera de línea, en papel o metal, guardadas en algún lugar físicamente seguro. Buenas prácticas para la frase semilla repasa las opciones.
Cómo hacer fuerte el propio gestor de contraseñas
Si el gestor guarda tus contraseñas de exchanges y de correo, merece una protección seria:
- Una contraseña maestra larga y única que no uses en ningún otro sitio.
- Autenticación de dos factores fuerte en la cuenta del gestor: una app de autenticación o una llave de seguridad en lugar de SMS. 2FA móvil bien hecho explica la diferencia.
- Mantén actualizados los dispositivos que lo desbloquean y desconfía de las extensiones de navegador que no necesitas.
- Ten un plan de acceso de emergencia (muchos gestores admiten un contacto de confianza) para que tus cuentas no mueran contigo.
Cómo funciona esto con SSP
SSP tiene dos tipos de secreto, y encajan perfectamente en esta división:
- Las contraseñas que desbloquean SSP Wallet y SSP Key en tus dispositivos. Protegen las claves cifradas almacenadas localmente en cada dispositivo. Guardar la contraseña de SSP Wallet en un gestor de contraseñas es una opción razonable para muchas personas.
- Las dos frases de recuperación: una para SSP Wallet y otra para SSP Key. Son las llaves de tu bóveda. Mantenlas fuera de línea y separadas entre sí.
El segundo punto importa más con SSP que con una billetera de una sola clave. Tus fondos necesitan ambas claves. Si las dos frases de recuperación están en el mismo gestor de contraseñas, quien entre en ese gestor obtiene ambas claves a la vez, y el diseño 2-of-2 deja de protegerte. Guardadas por separado y fuera de línea, un compromiso de tu ordenador o de tu gestor de contraseñas sigue dejando al atacante con una clave de menos.
Si tu gestor de contraseñas se ve comprometido
- Cambia la contraseña maestra y revisa las sesiones y dispositivos de la cuenta.
- Rota primero las contraseñas de tus cuentas más valiosas: correo y exchanges.
- Si alguna vez guardaste allí una frase de recuperación, trata esa billetera como comprometida: crea una billetera nueva y mueve los fondos.
- Revisa tus exchanges en busca de nuevas direcciones de retiro, claves API o ajustes que no hayas hecho tú.
El resumen honesto
Usa un gestor de contraseñas: hace que casi todas las cuentas sean más seguras. Pon tus contraseñas en él, incluida la que desbloquea tu app de billetera. Mantén tus frases de recuperación fuera de él, fuera de línea y, en una multifirma como SSP, separadas entre sí.
La regla es sencilla: si un secreto se puede restablecer, el gestor es un buen hogar. Si el secreto es el dinero, no pertenece a ningún lugar que esté en línea. Para el resto de tu configuración, una lista de verificación de seguridad operativa cripto es un buen siguiente paso.
