Tipos de carteira e desenho da recuperação

Escolha pela tarefa, não pela reputação

Uma carteira de software em um celular ou navegador é conveniente e vive no mesmo ambiente que suas mensagens, downloads e links. Isso a torna muito adequada para aprender e para interagir com aplicativos com frequência, e pouco adequada para guardar um saldo grande por anos.

Uma carteira de hardware mantém a assinatura em um dispositivo separado, de modo que malware no computador não consegue extrair a chave. É uma melhoria significativa, e mais estreita do que se supõe: ela protege a chave, não a decisão. Se você aprovar uma transação maliciosa na tela do dispositivo, o hardware a assina fielmente.

A multiassinatura distribui autoridade de forma que várias chaves precisem concordar. Ela remove o ponto único de falha e acrescenta um ônus de coordenação, por isso combina mais com fundos compartilhados e posições de longo prazo do que com uso diário. Uma conta custodiada terceiriza tudo isso a uma empresa, o que é uma resposta legítima quando a alternativa é um arranjo frágil que você não consegue operar.

Desenhe para a vida comum, não só para atacantes

Planos de backup costumam falhar de maneiras nada extraordinárias. O papel se degrada, umedece ou é jogado fora numa mudança. Um cofre de banco se torna inacessível. Um dispositivo morre e o dono descobre que o backup nunca foi testado. Uma frase cuidadosamente escondida está genuinamente escondida — do próprio dono, cinco anos depois.

Então um backup precisa sobreviver a duas ameaças opostas ao mesmo tempo: alguém encontrá-lo e você não conseguir encontrá-lo. Otimizar demais para uma normalmente piora a outra. Duas cópias duráveis fora de linha em locais controlados separados é um padrão razoável para a maioria das pessoas porque tolera um acidente sem criar muitas oportunidades de descoberta.

Registre os detalhes operacionais separadamente do segredo. Qual software de carteira o criou, quantas palavras, se há uma senha adicional, quais redes estão envolvidas. Uma frase sem contexto pode ser quase tão inutilizável quanto nenhuma frase, e essa informação não é sensível por si só.

Mecanismos extras acrescentam modos de falha na recuperação

Cada proteção adicional também é mais uma coisa que pode dar errado sob pressão. Uma senha sobre a frase de recuperação derrota quem encontrar as palavras — e destrói o acesso permanentemente se você lembrar errado. A multiassinatura remove um ponto único de falha e cria vários novos, cada um deles a ser documentado e mantido.

Isso não é um argumento pelo arranjo mais simples possível. É um argumento por combinar a complexidade com o que você realmente consegue operar, inclusive no seu pior dia, e por testar cada mecanismo que você acrescenta antes que ele proteja algo valioso.

Ensaie antes de depender

Teste a recuperação com uma carteira vazia ou um dispositivo reserva verificado. Confirme que as palavras estão corretas, a ordem certa, o tipo de carteira compatível e qualquer senha adicional funcionando. Um backup que nunca foi restaurado é uma suposição, não um plano.

Nunca ensaie compartilhando tela, seguindo instruções de alguém que entrou em contato com você, ou em um dispositivo do qual você não tem certeza. E, uma vez comprovado o processo, pare de manusear o material. Abrir e reler um backup repetidamente cria exposição sem acrescentar segurança.

• Separe a atividade diária do valor de longo prazo.
• Mantenha ao menos duas cópias fora de linha em locais controlados separados.
• Guarde o tipo de carteira e as instruções longe do próprio segredo.
• Restaure uma vez a partir do backup antes que isso importe.
• Planeje o acesso de uma pessoa de confiança sem concedê-lo casualmente hoje.