Čuvanje seed fraze i dvostruka provjera

Cilj lekcijeNakon ove lekcije znaš gdje se seed fraza smije čuvati, koja je vrsta dvostruke provjere najjača i kako složiti obranu računa na mjenjačnici.

U kriptoimovini većinu krađa ne omogući razbijena matematika, nego ukradena fraza, lozinka ili potpis. Napadač najčešće ne provaljuje, nego nagovara ili pronalazi ono što je loše spremljeno. Zato obrana počinje navikama.

Seed fraza: pravila bez iznimke

Zapiši je rukom na papir ili u metalnu pločicu, točnim redoslijedom i točnim riječima.
Ne fotografiraj je, ne spremaj u bilješke, e-poštu, oblak ni poruke. Sve što se sinkronizira može procuriti.
Čuvaj je na mjestu zaštićenom od pogleda, vatre i vode. Za veće iznose razmotri drugu kopiju na drugoj lokaciji.
Nikad je ne upisuj na internetsku stranicu ni u aplikaciju koja nije tvoj novčanik pri namjernoj obnovi.
Nitko pošten ne traži tvoju frazu: ni podrška, ni proizvođač, ni „tehničar za povrat sredstava”.

Provjeri da kopija zaista radi. Pošalji mali iznos u novi novčanik, izbriši ga s uređaja, obnovi ga iz papira i provjeri prikazuje li se ista adresa. Bolje je to otkriti na 20 € nego na štednji. Neki novčanici nude i dodatnu lozinku uz frazu (passphrase). Povećava zaštitu, ali ako je zaboraviš, sredstva su nedostupna, pa nije nužna za početak.

Dvostruka provjera (2FA)

Dvostruka provjera traži nešto što znaš, lozinku, i nešto što imaš, uređaj. Nije svaka jednako jaka:

SMS je najslabiji. Napadač može nagovoriti operatera da prenese tvoj broj na drugu SIM karticu (SIM swap) i primati tvoje kodove.
Aplikacija za autentifikaciju stvara novi kod svakih 30 sekundi na uređaju. Jača je od SMS-a, ali te prevarant i dalje može nagovoriti da kod upišeš na lažnu stranicu.
Hardverski ključ ili pristupni ključ (passkey) vezan je uz pravu adresu stranice, pa dobro odolijeva lažnim stranicama. Ako ga mjenjačnica podržava, to je najjača od ovih mogućnosti.

Račun na mjenjačnici: šest koraka

Otvori posebnu adresu e-pošte za financije i zaštiti je dvostrukom provjerom. Ona je ključ za obnovu svega ostalog.
Koristi jedinstvenu, dugu lozinku iz upravitelja lozinki.
Uključi aplikaciju ili ključ za prijavu i za isplate.
Uključi popis dopuštenih adresa za isplatu (whitelist), ako postoji.
Uključi sigurnosni kod koji se pojavljuje u pravim porukama mjenjačnice (anti-phishing code), ako postoji.
Povremeno pregledaj prijavljene uređaje, aktivne sesije i API ključeve.

Zapamti

Seed frazu drži izvan interneta i nikome je ne pokazuj.
Isprobaj obnovu na malom iznosu dok još možeš otkriti grešku.
SMS je najslabiji oblik dvostruke provjere, a hardverski ključ ili pristupni ključ najjači.
E-pošta je temelj sigurnosti računa, pa je štiti najjače.
Popis dopuštenih adresa ograničava štetu ako netko i uđe u račun.