Wallettypen en herstelontwerp

Kies voor de taak, niet voor de reputatie

Een softwarewallet op een telefoon of in een browser is handig en leeft in dezelfde omgeving als je berichten, downloads en links. Daardoor is hij goed geschikt om te leren en om vaak met applicaties om te gaan, en slecht geschikt om jarenlang een groot saldo te bewaren.

Een hardwarewallet houdt het ondertekenen op een apart apparaat, zodat malware op de computer de sleutel niet kan onttrekken. Dat is een wezenlijke verbetering, en enger dan mensen aannemen: hij beschermt de sleutel, niet de beslissing. Keur je op het schermpje van het apparaat een kwaadaardige transactie goed, dan ondertekent de hardware die getrouw.

Multisignature verdeelt de bevoegdheid zodat meerdere sleutels het eens moeten zijn. Dat neemt het enkele storingspunt weg en voegt coördinatielast toe, waardoor het beter past bij gedeeld geld en langetermijnbezit dan bij dagelijks gebruik. Een bewaarrekening besteedt dit alles uit aan een bedrijf, wat een legitiem antwoord is wanneer het alternatief een broze opstelling is die je niet kunt bedienen.

Ontwerp voor het gewone leven, niet alleen tegen aanvallers

Back-upplannen falen meestal op onopvallende manieren. Papier vergaat, wordt vochtig of gaat bij een verhuizing in de container. Een kluisje wordt ontoegankelijk. Een apparaat begeeft het en de eigenaar ontdekt dat de back-up nooit is getest. Een zorgvuldig verborgen zin is werkelijk verborgen — voor de eigenaar, vijf jaar later.

Een back-up moet dus twee tegengestelde bedreigingen tegelijk overleven: iemand die hem vindt, en jij die hem niet meer vindt. Sterk optimaliseren voor de een verergert meestal de ander. Twee duurzame offlinekopieën op twee gescheiden plaatsen onder eigen beheer is voor de meeste mensen een redelijk uitgangspunt, omdat het één ongeluk verdraagt zonder veel vindkansen te scheppen.

Leg de operationele details los van het geheim vast. Welke walletsoftware hem heeft aangemaakt, hoeveel woorden, of er een passphrase wordt gebruikt, welke netwerken erbij horen. Een herstelzin zonder context kan bijna even onbruikbaar zijn als geen zin, en die informatie is op zichzelf niet gevoelig.

Extra mechanismen voegen faalwijzen bij herstel toe

Elke extra bescherming is ook iets extra's dat onder druk mis kan gaan. Een passphrase bovenop een herstelzin verslaat iedereen die de woorden vindt — en vernietigt de toegang blijvend als je hem verkeerd onthoudt. Multisignature neemt één storingspunt weg en schept er verschillende nieuwe, die elk gedocumenteerd en onderhouden moeten worden.

Dit is geen pleidooi voor de eenvoudigst mogelijke opstelling. Het is een pleidooi om de complexiteit af te stemmen op wat je werkelijk kunt bedienen, ook op je slechtste dag, en om elk mechanisme dat je toevoegt te testen voordat het iets waardevols beschermt.

Oefen voordat je erop vertrouwt

Test het herstel met een lege wallet of een geverifieerd reserveapparaat. Bevestig dat de woorden kloppen, de volgorde juist is, het wallettype overeenkomt en een eventuele passphrase werkt. Een back-up die nooit is teruggezet, is een aanname, geen plan.

Oefen nooit terwijl je je scherm deelt, terwijl je instructies volgt van iemand die contact met je opnam, of op een apparaat waarover je twijfelt. En stop met het materiaal te hanteren zodra het proces bewezen is. Een back-up herhaaldelijk openen en herlezen schept blootstelling zonder veiligheid toe te voegen.

• Scheid dagelijks gebruik van langetermijnwaarde.
• Houd minstens twee offlinekopieën op gescheiden plaatsen onder eigen beheer.
• Bewaar wallettype en instructies los van het geheim zelf.
• Herstel één keer vanaf de back-up voordat het ertoe doet.
• Regel toegang voor een vertrouwd persoon zonder die vandaag lichtvaardig te verlenen.