Password manager e cripto: cosa conservare e cosa mai

Un password manager è uno dei migliori strumenti di sicurezza che la maggior parte delle persone possa adottare. Genera password robuste e uniche, le compila solo sui siti giusti e mette fine al riutilizzo delle password, l'abitudine dietro una quota enorme dei furti di account.

Viene quindi naturale chiedersi: anche i tuoi segreti cripto dovrebbero finirci dentro? Alcuni sì. Una categoria quasi mai. Ecco come tracciare il confine.

In cosa è bravo un password manager

• Password uniche e robuste per ogni exchange, email e servizio, così una violazione non apre anche gli altri.
• Resistenza al phishing. Un buon manager compila una password solo sul dominio esatto per cui è stata salvata. Se non propone di compilarla, potresti trovarti su un sito imitatore: un segnale d'allarme gratuito.
• Note sicure e condivisione per cose come i codici di recupero degli account, con una crittografia che non devi costruire da solo.

Per tutto ciò che protegge un account (accessi agli exchange, email, la password che sblocca la tua app di wallet), di solito è il posto giusto.

Il confine: account contro chiavi

C'è una differenza fondamentale tra questi due tipi di segreto:

• La password di un account protegge l'accesso a un servizio. Se trapela, il servizio ha altre difese (autenticazione a due fattori, conferme di prelievo, avvisi di nuovi dispositivi) e puoi reimpostarla.
• Una frase di recupero o una chiave privata è il denaro. Chiunque la possieda controlla i fondi, da qualsiasi luogo, senza alcun servizio in mezzo, senza secondo fattore e senza possibilità di reimpostazione.

Un password manager concentra molti segreti dietro un'unica password principale, di solito sincronizzata tramite il cloud e sbloccata su dispositivi di uso quotidiano. Per le password degli account è un compromesso sensato. Per una frase di recupero, trasforma il tuo segreto di maggior valore in una voce in più di una cassaforte online, sul tuo computer di uso generale, a una sola compromissione della password principale dall'essere esposta.

Cosa conservare, e cosa no

Ragionevole in un password manager:

• Password di exchange ed email.
• Codici di backup a due fattori per quegli account (idealmente in una cassaforte separata da quella delle password stesse).
• La password che sblocca la tua app di wallet su un dispositivo.
• Note sulla tua configurazione: quali wallet usi, dove sono conservati i tuoi backup, senza i segreti veri e propri.

Da tenere fuori:

• Frasi di recupero (parole seed).
• Chiavi private e chiavi private estese.
• Foto o scansioni dei backup delle frasi di recupero.

Le frasi di recupero vanno tenute offline, su carta o metallo, conservate in un luogo fisicamente sicuro. Buone pratiche per la seed phrase illustra le opzioni.

Rendere robusto il password manager stesso

Se il manager contiene le tue password di exchange ed email, merita una protezione seria:

• Una password principale lunga e unica che non usi da nessun'altra parte.
• Un'autenticazione a due fattori robusta sull'account del manager: un'app di autenticazione o una chiave di sicurezza invece degli SMS. La 2FA mobile fatta bene spiega la differenza.
• Mantieni aggiornati i dispositivi che lo sbloccano e diffida delle estensioni del browser di cui non hai bisogno.
• Prepara un piano di accesso di emergenza (molti manager supportano un contatto fidato) così i tuoi account non muoiono con te.

Come funziona con SSP

SSP ha due tipi di segreto, e si adattano perfettamente a questa divisione:

• Le password che sbloccano SSP Wallet e SSP Key sui tuoi dispositivi. Proteggono le chiavi cifrate conservate localmente su ciascun dispositivo. Salvare la password di SSP Wallet in un password manager è una scelta ragionevole per molte persone.
• Le due frasi di recupero: una per SSP Wallet, una per SSP Key. Sono le chiavi della tua cassaforte. Tienile offline, e separate l'una dall'altra.

Il secondo punto conta di più con SSP che con un wallet a chiave singola. I tuoi fondi richiedono entrambe le chiavi. Se entrambe le frasi di recupero si trovano nello stesso password manager, chiunque riesca a entrarci ottiene entrambe le chiavi in una volta, e il design 2-of-2 smette di proteggerti. Conservate separatamente e offline, anche una compromissione del tuo computer o del tuo password manager lascia l'attaccante con una chiave in meno.

Se il tuo password manager è compromesso

1. Cambia la password principale e controlla le sessioni e i dispositivi dell'account.
2. Cambia prima le password dei tuoi account più preziosi: email ed exchange.
3. Se una frase di recupero vi è mai stata conservata, considera quel wallet compromesso: crea un nuovo wallet e sposta i fondi.
4. Controlla i tuoi exchange alla ricerca di nuovi indirizzi di prelievo, chiavi API o impostazioni che non hai creato tu.

Il riepilogo onesto

Usa un password manager: rende più sicuro quasi ogni account. Mettici le tue password, compresa quella che sblocca la tua app di wallet. Tieni fuori le tue frasi di recupero, offline e, per un multisig come SSP, separate l'una dall'altra.

La regola è semplice: se un segreto si può reimpostare, il manager è una buona casa. Se il segreto è il denaro, non appartiene a nessun luogo online. Per il resto della tua configurazione, una checklist di sicurezza operativa per le cripto è un buon passo successivo.