Gerenciadores de senhas e cripto: o que guardar e o que nunca guardar

Um gerenciador de senhas é uma das melhores ferramentas de segurança que a maioria das pessoas pode adotar. Ele gera senhas fortes e únicas, preenche-as apenas nos sites certos e acaba com a reutilização de senhas, o hábito por trás de uma parcela enorme das invasões de contas.

Então é natural perguntar: seus segredos cripto também deveriam ir para lá? Alguns, sim. Uma categoria quase nunca. Veja como traçar a linha.

No que um gerenciador de senhas é bom

• Senhas únicas e fortes para cada corretora, e-mail e serviço, para que um vazamento não abra os outros.
• Resistência a phishing. Um bom gerenciador preenche uma senha apenas no domínio exato para o qual ela foi salva. Se ele não oferecer o preenchimento, talvez você esteja em um site imitador: um sinal de alerta gratuito.
• Notas seguras e compartilhamento para coisas como códigos de recuperação de contas, com uma criptografia que você não precisa construir sozinho.

Para tudo o que protege uma conta (logins de corretoras, e-mail, a senha que desbloqueia seu app de carteira), ele costuma ser o lugar certo.

A linha: contas versus chaves

Há uma diferença fundamental entre esses dois tipos de segredo:

• A senha de uma conta protege o acesso a um serviço. Se vazar, o serviço tem outras defesas (autenticação de dois fatores, confirmações de saque, alertas de novo dispositivo) e você pode redefini-la.
• Uma frase de recuperação ou chave privada é o dinheiro. Quem a tiver controla os fundos, de qualquer lugar, sem nenhum serviço no meio, sem segundo fator e sem redefinição.

Um gerenciador de senhas concentra muitos segredos atrás de uma única senha mestra, geralmente sincronizada pela nuvem e desbloqueada em dispositivos do dia a dia. Para senhas de contas, essa é uma troca sensata. Para uma frase de recuperação, ele transforma seu segredo mais valioso em apenas mais um item de um cofre que está online, no seu computador de uso geral, e a um único comprometimento da senha mestra de ser exposto.

O que guardar e o que não guardar

Razoável em um gerenciador de senhas:

• Senhas de corretoras e de e-mail.
• Códigos de backup de dois fatores dessas contas (de preferência em um cofre separado das próprias senhas).
• A senha que desbloqueia seu app de carteira em um dispositivo.
• Anotações sobre sua configuração: quais carteiras você usa, onde seus backups ficam guardados, sem os segredos em si.

Mantenha fora dele:

• Frases de recuperação (palavras-semente).
• Chaves privadas e chaves privadas estendidas.
• Fotos ou digitalizações de backups de frases de recuperação.

Frases de recuperação devem ficar offline, em papel ou metal, guardadas em algum lugar fisicamente seguro. Boas práticas para a frase semente apresenta as opções.

Como deixar o próprio gerenciador de senhas forte

Se o gerenciador guarda suas senhas de corretoras e de e-mail, ele merece uma proteção séria:

• Uma senha mestra longa e única que você não use em nenhum outro lugar.
• Autenticação de dois fatores forte na conta do gerenciador: um app autenticador ou uma chave de segurança em vez de SMS. 2FA no celular do jeito certo explica a diferença.
• Mantenha atualizados os dispositivos que o desbloqueiam e desconfie de extensões de navegador de que você não precisa.
• Tenha um plano de acesso de emergência (muitos gerenciadores permitem um contato de confiança) para que suas contas não morram com você.

Como isso funciona com o SSP

O SSP tem dois tipos de segredo, e eles se encaixam perfeitamente nessa divisão:

• As senhas que desbloqueiam a SSP Wallet e a SSP Key nos seus dispositivos. Elas protegem as chaves criptografadas armazenadas localmente em cada dispositivo. Salvar a senha da SSP Wallet em um gerenciador de senhas é uma escolha razoável para muitas pessoas.
• As duas frases de recuperação: uma para a SSP Wallet e outra para a SSP Key. Elas são as chaves do seu cofre. Mantenha-as offline e separadas uma da outra.

O segundo ponto importa mais com o SSP do que com uma carteira de chave única. Seus fundos precisam das duas chaves. Se as duas frases de recuperação estiverem no mesmo gerenciador de senhas, quem entrar nesse gerenciador obtém as duas chaves de uma vez, e o design 2-of-2 deixa de proteger você. Guardadas separadamente e offline, mesmo um comprometimento do seu computador ou do seu gerenciador de senhas ainda deixa o invasor com uma chave a menos.

Se o seu gerenciador de senhas for comprometido

1. Troque a senha mestra e revise as sessões e os dispositivos da conta.
2. Troque primeiro as senhas das suas contas mais valiosas: e-mail e corretoras.
3. Se alguma vez uma frase de recuperação foi guardada lá, trate essa carteira como comprometida: crie uma carteira nova e transfira os fundos.
4. Verifique suas corretoras em busca de novos endereços de saque, chaves de API ou configurações que você não fez.

O resumo honesto

Use um gerenciador de senhas: ele deixa quase todas as contas mais seguras. Coloque suas senhas nele, incluindo a que desbloqueia seu app de carteira. Mantenha suas frases de recuperação fora dele, offline e, em uma multisig como o SSP, separadas uma da outra.

A regra é simples: se um segredo pode ser redefinido, o gerenciador é um bom lar. Se o segredo é o dinheiro, ele não pertence a nenhum lugar online. Para o restante da sua configuração, um checklist de segurança operacional em cripto é um bom próximo passo.