Менеджеры паролей и криптовалюта: что хранить, а что никогда

Менеджер паролей — один из лучших инструментов безопасности, которые может использовать большинство людей. Он создаёт надёжные уникальные пароли, подставляет их только на нужных сайтах и избавляет от повторного использования паролей — привычки, из-за которой происходит огромная доля взломов аккаунтов.

Поэтому естественно спросить: стоит ли хранить там и криптовалютные секреты? Некоторые — да. Одну категорию — почти никогда. Вот как провести границу.

В чём менеджер паролей хорош

• Уникальные надёжные пароли для каждой биржи, почты и сервиса, чтобы одна утечка не открывала доступ к остальным.
• Защита от фишинга. Хороший менеджер подставляет пароль только на том домене, для которого он был сохранён. Если он не предлагает автозаполнение, возможно, вы на сайте-двойнике — бесплатный предупреждающий сигнал.
• Защищённые заметки и совместный доступ для таких вещей, как коды восстановления аккаунтов, с шифрованием, которое не нужно выстраивать самостоятельно.

Для всего, что защищает аккаунт, — входа на биржи, почты, пароля, разблокирующего приложение кошелька, — это обычно правильное место.

Граница: аккаунты и ключи

Между этими двумя видами секретов есть принципиальная разница:

• Пароль от аккаунта защищает доступ к сервису. Если он утечёт, у сервиса есть другие линии обороны — двухфакторная аутентификация, подтверждение вывода средств, оповещения о новых устройствах, — а пароль можно сбросить.
• Фраза восстановления или закрытый ключ — это и есть деньги. Тот, у кого они есть, управляет средствами откуда угодно, без какого-либо сервиса посередине, без второго фактора и без возможности сброса.

Менеджер паролей собирает множество секретов за одним мастер-паролем, обычно синхронизируемым через облако и разблокируемым на повседневных устройствах. Для паролей от аккаунтов это разумный компромисс. Для фразы восстановления же он превращает ваш самый ценный секрет в ещё одну запись в хранилище, которое находится онлайн, на вашем компьютере общего назначения и отделено от раскрытия лишь одной компрометацией мастер-пароля.

Что хранить, а что нет

Разумно хранить в менеджере паролей:

• Пароли от бирж и почты.
• Резервные коды двухфакторной аутентификации для этих аккаунтов (в идеале — в отдельном хранилище, не там же, где сами пароли).
• Пароль, разблокирующий приложение кошелька на устройстве.
• Заметки о вашей конфигурации: какими кошельками вы пользуетесь, где хранятся резервные копии, — без самих секретов.

Не храните там:

• Фразы восстановления (сид-слова).
• Закрытые ключи и расширенные закрытые ключи.
• Фотографии или сканы резервных копий фраз восстановления.

Фразы восстановления должны храниться офлайн, на бумаге или металле, в физически защищённом месте. В статье Лучшие практики хранения сид-фразы разобраны варианты.

Как сделать сам менеджер паролей надёжным

Если менеджер хранит ваши пароли от бирж и почты, он заслуживает серьёзной защиты:

• Длинный уникальный мастер-пароль, который вы больше нигде не используете.
• Надёжная двухфакторная аутентификация для аккаунта менеджера — приложение-аутентификатор или ключ безопасности, а не SMS. В статье Мобильная 2FA: как правильно объясняется разница.
• Обновляйте устройства, на которых он разблокируется, и остерегайтесь ненужных расширений браузера.
• Продумайте экстренный доступ — многие менеджеры поддерживают доверенный контакт, — чтобы ваши аккаунты не исчезли вместе с вами.

Как это работает с SSP

В SSP есть два вида секретов, и они точно ложатся на это разделение:

• Пароли, разблокирующие SSP Wallet и SSP Key на ваших устройствах. Они защищают зашифрованные ключи, хранящиеся локально на каждом устройстве. Сохранить пароль от SSP Wallet в менеджере паролей — разумный выбор для многих.
• Две фразы восстановления — одна для SSP Wallet, другая для SSP Key. Это ключи к вашему хранилищу. Держите их офлайн и отдельно друг от друга.

Второй пункт для SSP важнее, чем для кошелька с одним ключом. Для доступа к вашим средствам нужны оба ключа. Если обе фразы восстановления лежат в одном менеджере паролей, любой, кто проникнет в него, сразу получит оба ключа, и схема 2-of-2 перестанет вас защищать. Если же хранить их раздельно и офлайн, то даже при компрометации вашего компьютера или менеджера паролей злоумышленнику по-прежнему будет не хватать одного ключа.

Если ваш менеджер паролей скомпрометирован

1. Смените мастер-пароль и проверьте сеансы и устройства аккаунта.
2. В первую очередь смените пароли от самых ценных аккаунтов — почты и бирж.
3. Если там когда-либо хранилась фраза восстановления, считайте этот кошелёк скомпрометированным: создайте новый кошелёк и переведите в него средства.
4. Проверьте свои биржи на наличие новых адресов вывода, API-ключей или настроек, которые вы не создавали.

Честный итог

Пользуйтесь менеджером паролей — он делает безопаснее почти любой аккаунт. Храните в нём пароли, включая тот, что разблокирует приложение кошелька. Фразы восстановления держите вне его — офлайн, а для мультиподписи вроде SSP ещё и отдельно друг от друга.

Правило простое: если секрет можно сбросить, менеджер — хорошее место для него. Если секрет и есть деньги, ему не место там, где есть подключение к сети. Для остальной части вашей конфигурации хорошим следующим шагом станет чек-лист операционной безопасности для криптовалют.