Gestionnaires de mots de passe et crypto : quoi y stocker, et quoi jamais

Un gestionnaire de mots de passe est l'un des meilleurs outils de sécurité que la plupart des gens puissent adopter. Il génère des mots de passe robustes et uniques, ne les remplit que sur les bons sites et met fin à la réutilisation des mots de passe, l'habitude à l'origine d'une part énorme des piratages de comptes.

Il est donc naturel de se demander : vos secrets crypto doivent-ils y aller aussi ? Certains, oui. Une catégorie, presque jamais. Voici comment tracer la limite.

Ce qu'un gestionnaire de mots de passe fait bien

• Des mots de passe uniques et robustes pour chaque plateforme d'échange, chaque messagerie et chaque service, afin qu'une fuite n'ouvre pas les autres.
• Une résistance au phishing. Un bon gestionnaire ne remplit un mot de passe que sur le domaine exact pour lequel il a été enregistré. S'il ne propose pas de le remplir, vous êtes peut-être sur un site imitateur : un signal d'alerte gratuit.
• Des notes sécurisées et le partage pour des éléments comme les codes de récupération de comptes, avec un chiffrement que vous n'avez pas à construire vous-même.

Pour tout ce qui protège un compte (identifiants des plateformes d'échange, messagerie, mot de passe qui déverrouille votre application de portefeuille), c'est généralement le bon endroit.

La limite : comptes contre clés

Il existe une différence fondamentale entre ces deux types de secret :

• Le mot de passe d'un compte protège l'accès à un service. S'il fuite, le service dispose d'autres défenses (authentification à deux facteurs, confirmations de retrait, alertes de nouvel appareil) et vous pouvez le réinitialiser.
• Une phrase de récupération ou une clé privée est l'argent. Quiconque la possède contrôle les fonds, depuis n'importe où, sans aucun service intermédiaire, sans second facteur et sans réinitialisation.

Un gestionnaire de mots de passe concentre de nombreux secrets derrière un seul mot de passe maître, généralement synchronisé via le cloud et déverrouillé sur des appareils du quotidien. C'est un compromis raisonnable pour les mots de passe de comptes. Pour une phrase de récupération, il fait de votre secret le plus précieux une entrée de plus dans un coffre en ligne, sur votre ordinateur polyvalent, et à une seule compromission du mot de passe maître d'être exposé.

Quoi stocker, et quoi ne pas stocker

Raisonnable dans un gestionnaire de mots de passe :

• Les mots de passe des plateformes d'échange et de la messagerie.
• Les codes de secours à deux facteurs de ces comptes (idéalement dans un coffre distinct de celui des mots de passe eux-mêmes).
• Le mot de passe qui déverrouille votre application de portefeuille sur un appareil.
• Des notes sur votre configuration : quels portefeuilles vous utilisez, où sont conservées vos sauvegardes, sans les secrets eux-mêmes.

À garder en dehors :

• Les phrases de récupération (mots de la seed).
• Les clés privées et les clés privées étendues.
• Les photos ou scans des sauvegardes de phrases de récupération.

Les phrases de récupération doivent rester hors ligne, sur papier ou sur métal, rangées dans un endroit physiquement sûr. Bonnes pratiques pour la phrase de récupération présente les options.

Renforcer le gestionnaire de mots de passe lui-même

Si le gestionnaire contient vos mots de passe de plateformes d'échange et de messagerie, il mérite une protection sérieuse :

• Un mot de passe maître long et unique que vous n'utilisez nulle part ailleurs.
• Une authentification à deux facteurs robuste sur le compte du gestionnaire : une application d'authentification ou une clé de sécurité plutôt que le SMS. La 2FA mobile bien faite explique la différence.
• Maintenez à jour les appareils qui le déverrouillent, et méfiez-vous des extensions de navigateur dont vous n'avez pas besoin.
• Prévoyez un accès d'urgence (de nombreux gestionnaires permettent de désigner un contact de confiance) pour que vos comptes ne disparaissent pas avec vous.

Comment cela fonctionne avec SSP

SSP comporte deux types de secret, et ils correspondent parfaitement à cette séparation :

• Les mots de passe qui déverrouillent SSP Wallet et SSP Key sur vos appareils. Ils protègent les clés chiffrées stockées localement sur chaque appareil. Enregistrer le mot de passe de SSP Wallet dans un gestionnaire de mots de passe est un choix raisonnable pour beaucoup de gens.
• Les deux phrases de récupération : une pour SSP Wallet, une pour SSP Key. Ce sont les clés de votre coffre. Gardez-les hors ligne, et séparées l'une de l'autre.

Le second point compte davantage avec SSP qu'avec un portefeuille à clé unique. Vos fonds exigent les deux clés. Si les deux phrases de récupération se trouvent dans le même gestionnaire de mots de passe, quiconque y accède obtient les deux clés d'un coup, et la conception 2-of-2 ne vous protège plus. Conservées séparément et hors ligne, une compromission de votre ordinateur ou de votre gestionnaire de mots de passe laisse encore l'attaquant à court d'une clé.

Si votre gestionnaire de mots de passe est compromis

1. Changez le mot de passe maître et passez en revue les sessions et appareils du compte.
2. Changez d'abord les mots de passe de vos comptes les plus précieux : messagerie et plateformes d'échange.
3. Si une phrase de récupération y a déjà été stockée, considérez ce portefeuille comme compromis : créez un nouveau portefeuille et transférez-y les fonds.
4. Vérifiez vos plateformes d'échange à la recherche de nouvelles adresses de retrait, clés API ou réglages que vous n'avez pas effectués.

Le résumé honnête

Utilisez un gestionnaire de mots de passe : il rend presque chaque compte plus sûr. Mettez-y vos mots de passe, y compris celui qui déverrouille votre application de portefeuille. Gardez vos phrases de récupération en dehors, hors ligne et, pour un multisig comme SSP, séparées l'une de l'autre.

La règle est simple : si un secret peut être réinitialisé, le gestionnaire est un bon endroit. Si le secret est l'argent, il n'a sa place nulle part en ligne. Pour le reste de votre configuration, une liste de contrôle de sécurité opérationnelle crypto est une bonne étape suivante.