Menedżery haseł a krypto: co w nich przechowywać, a czego nigdy

Menedżer haseł to jedno z najlepszych narzędzi bezpieczeństwa, z jakich może korzystać większość ludzi. Generuje silne, unikalne hasła, wypełnia je tylko na właściwych stronach i kończy z ponownym używaniem haseł – nawykiem, który stoi za ogromną częścią przejęć kont.

Naturalne jest więc pytanie: czy twoje kryptograficzne sekrety też powinny tam trafić? Niektóre tak. Jedna kategoria niemal nigdy. Oto jak wyznaczyć granicę.

W czym menedżer haseł jest dobry

• Unikalne, silne hasła do każdej giełdy, poczty i usługi, aby jeden wyciek nie otwierał pozostałych.
• Odporność na phishing. Dobry menedżer wypełnia hasło tylko w dokładnie tej domenie, dla której zostało zapisane. Jeśli nie proponuje wypełnienia, możesz być na stronie podszywającej się – to darmowy sygnał ostrzegawczy.
• Bezpieczne notatki i udostępnianie dla rzeczy takich jak kody odzyskiwania kont, z szyfrowaniem, którego nie musisz budować samodzielnie.

Do wszystkiego, co chroni konto – logowania na giełdy, pocztę, hasło odblokowujące aplikację portfela – zwykle jest to właściwe miejsce.

Granica: konta a klucze

Między tymi dwoma rodzajami sekretów istnieje zasadnicza różnica:

• Hasło do konta chroni dostęp do usługi. Jeśli wycieknie, usługa ma inne zabezpieczenia – uwierzytelnianie dwuskładnikowe, potwierdzenia wypłat, alerty o nowych urządzeniach – a ty możesz je zresetować.
• Fraza odzyskiwania lub klucz prywatny to pieniądze. Każdy, kto je ma, kontroluje środki, z dowolnego miejsca, bez żadnej usługi pośredniczącej, bez drugiego składnika i bez możliwości resetu.

Menedżer haseł skupia wiele sekretów za jednym hasłem głównym, zwykle synchronizowanym przez chmurę i odblokowywanym na urządzeniach codziennego użytku. Dla haseł do kont to rozsądny kompromis. W przypadku frazy odzyskiwania zamienia twój najcenniejszy sekret w kolejny wpis w sejfie, który jest online, na twoim komputerze ogólnego przeznaczenia i dzieli go od ujawnienia tylko jedno przejęcie hasła głównego.

Co przechowywać, a czego nie

Rozsądne w menedżerze haseł:

• Hasła do giełd i poczty.
• Zapasowe kody dwuskładnikowe do tych kont (najlepiej w osobnym sejfie niż same hasła).
• Hasło odblokowujące aplikację portfela na urządzeniu.
• Notatki o twojej konfiguracji: z jakich portfeli korzystasz, gdzie trzymasz kopie zapasowe – bez samych sekretów.

Trzymaj z dala od niego:

• Frazy odzyskiwania (słowa seed).
• Klucze prywatne i rozszerzone klucze prywatne.
• Zdjęcia lub skany kopii zapasowych fraz odzyskiwania.

Frazy odzyskiwania powinny być offline, na papierze lub metalu, przechowywane w fizycznie bezpiecznym miejscu. Dobre praktyki dotyczące frazy seed omawia dostępne opcje.

Jak wzmocnić sam menedżer haseł

Jeśli menedżer przechowuje twoje hasła do giełd i poczty, zasługuje na poważną ochronę:

• Długie, unikalne hasło główne, którego nie używasz nigdzie indziej.
• Silne uwierzytelnianie dwuskładnikowe na koncie menedżera – aplikacja uwierzytelniająca lub klucz bezpieczeństwa zamiast SMS. Mobilne 2FA zrobione dobrze wyjaśnia różnicę.
• Aktualizuj urządzenia, które go odblokowują, i uważaj na rozszerzenia przeglądarki, których nie potrzebujesz.
• Miej plan dostępu awaryjnego – wiele menedżerów obsługuje zaufany kontakt – aby twoje konta nie umarły razem z tobą.

Jak to działa w SSP

SSP ma dwa rodzaje sekretów i idealnie pasują one do tego podziału:

• Hasła odblokowujące SSP Wallet i SSP Key na twoich urządzeniach. Chronią zaszyfrowane klucze przechowywane lokalnie na każdym urządzeniu. Zapisanie hasła do SSP Wallet w menedżerze haseł to dla wielu osób rozsądny wybór.
• Dwie frazy odzyskiwania – jedna dla SSP Wallet, druga dla SSP Key. To klucze do twojego sejfu. Trzymaj je offline i oddzielnie od siebie.

Drugi punkt ma w SSP większe znaczenie niż w portfelu z jednym kluczem. Twoje środki wymagają obu kluczy. Jeśli obie frazy odzyskiwania leżą w tym samym menedżerze haseł, każdy, kto się do niego dostanie, zdobywa oba klucze naraz, a konstrukcja 2-of-2 przestaje cię chronić. Przechowywane osobno i offline sprawiają, że nawet po przejęciu twojego komputera lub menedżera haseł atakującemu wciąż brakuje jednego klucza.

Jeśli twój menedżer haseł zostanie przejęty

1. Zmień hasło główne i przejrzyj sesje oraz urządzenia powiązane z kontem.
2. Najpierw zmień hasła do najcenniejszych kont – poczty i giełd.
3. Jeśli kiedykolwiek była tam zapisana fraza odzyskiwania, traktuj ten portfel jako przejęty: utwórz nowy portfel i przenieś środki.
4. Sprawdź swoje giełdy pod kątem nowych adresów wypłat, kluczy API lub ustawień, których nie wprowadzałeś.

Szczere podsumowanie

Korzystaj z menedżera haseł – sprawia, że niemal każde konto jest bezpieczniejsze. Umieść w nim swoje hasła, w tym to, które odblokowuje aplikację portfela. Trzymaj z dala od niego frazy odzyskiwania – offline, a w przypadku multisig takiego jak SSP oddzielnie od siebie.

Zasada jest prosta: jeśli sekret da się zresetować, menedżer jest dla niego dobrym domem. Jeśli sekret to pieniądze, nie powinien znajdować się nigdzie, gdzie jest online. Dla reszty twojej konfiguracji dobrym kolejnym krokiem jest lista kontrolna bezpieczeństwa operacyjnego w krypto.