Como armazenar chaves privadas | Práticas recomendadas

Índice de conteúdo

• Como armazenar chaves privadas com segurança?
• Como proteger uma chave privada?
• O que acontece quando uma chave privada é comprometida?
• O que fazer se você perdeu sua chave privada?
• Conclusão sobre a segurança da chave privada
• Perguntas frequentes

Aqui estão as principais práticas para escolher a melhor maneira de armazenar chaves privadas:

As carteiras de hardware são dispositivos especiais criados para manter suas chaves de criptomoeda seguras. Elas são separadas do seu computador ou telefone, que podem ser hackeados.

Essas carteiras são muito seguras porque as chaves permanecem no dispositivo. Quando você faz uma transação, ela também é assinada no dispositivo.

Opcionalmente, você pode escolher entre estes dispositivos:

• KeepKey é um dispositivo que cria e armazena chaves privadas para sua criptomoeda. Ele também ajuda a enviá-las para outras pessoas. Ele tem uma tela grande que facilita a verificação de suas transações. Essa carteira rígida suporta muitas criptomoedas diferentes.
• Coldcard concentra-se principalmente na segurança do Bitcoin. Parece uma pequena calculadora com uma tela OLED e botões laterais. Possui recursos avançados de segurança, como um chip de elemento seguro, e não precisa de conexão com um computador).
• BitBox02 é compatível com várias criptomoedas. Ele apresenta conexões USB-C e A e tem um controle deslizante de toque para interação com o usuário. O dispositivo também é muito simples e fácil de usar.
• Keystone não precisa se conectar à Internet ou a qualquer dispositivo para funcionar. Ele usa códigos QR para assinar transações de forma segura.
• SafePal S é uma carteira de hardware acessível suportada pela Binance. Ela oferece uma solução de segurança com uma câmera para escanear códigos QR. Também é compatível com dispositivos móveis, permitindo que os usuários gerenciem seus ativos.

As empresas geralmente usam carteiras que precisam da concordância de mais de uma pessoa antes de gastar dinheiro. Essas carteiras são chamadas de carteiras com várias assinaturas. Elas ajudam a garantir que mais de uma pessoa verifique e aprove cada pagamento.

• Em um fundo familiar, um multisig significa que alguns membros da família devem concordar antes de usar ou colocar dinheiro em algo. Isso impede que uma pessoa faça mau uso do trust.
• Ao comprar e vender, uma carteira multisig atua como um intermediário. O comprador, o vendedor e o intermediário devem concordar em movimentar os fundos. Isso garante que todos cumpram o acordo antes que qualquer dinheiro mude de mãos.
• Para uma empresa, uma carteira multisig permite que a diretoria concorde em conjunto com as escolhas de grandes quantias de dinheiro. Dessa forma, todos devem dizer sim para gastar muito ou fazer grandes investimentos.
• As bolsas de criptomoedas usam carteiras multisig para manter a maior parte do dinheiro dos clientes em segurança. Elas precisam que vários funcionários digam sim antes que o dinheiro possa ser movimentado. Isso reduz a chance de alguém roubar ou pegar o dinheiro sem permissão.

Para armazenar com segurança chaves privadas em um sistema de arquivos local, criptografe o arquivo de chaves com uma senha forte e mantenha a mídia de armazenamento off-line em um local seguro.

Criptografia de disco completo

A criptografia completa de disco com BitLocker (Windows), FileVault (macOS) ou LUKS (Linux) protege todo o conteúdo da unidade, inclusive as chaves privadas. O acesso físico ao dispositivo não comprometerá os dados sem a chave de criptografia.

Permissões do sistema de arquivos

A definição de permissões de arquivo adequadas é fundamental. Em sistemas do tipo Unix, você pode usar o `chmod` para restringir o acesso ao arquivo da chave privada, de modo que somente o proprietário possa lê-lo (modo 600).

Módulos de segurança de hardware (HSMs)

Para chaves extremamente confidenciais, você pode usar um módulo de segurança de hardware. Os HSMs são dispositivos físicos projetados para gerenciar chaves digitais. Eles são e também são resistentes a violações.

Ao tomar essas medidas, sua empresa pode se proteger de pessoas que possam querer usar indevidamente as chaves ou compartilhá-las acidentalmente:

Controle de acesso baseado em função (RBAC)

As organizações geralmente usam o RBAC para atribuir permissões aos usuários com base em sua função na organização. Isso garante que somente usuários autorizados possam acessar determinados dados ou sistemas. Isso ajuda a proteger chaves privadas e outras informações confidenciais.

Restrições de acesso baseadas em tempo

O acesso às chaves privadas pode ser restrito por um período específico. Assim, os usuários só podem acessar as chaves durante o horário de trabalho. Isso minimiza a oportunidade de acesso não autorizado fora do horário de expediente.

Controle de acesso obrigatório (MAC)

Em alguns lugares, como nas forças armadas ou no governo, eles decidem cuidadosamente quem pode ver determinadas informações. Eles analisam que tipo de segredos alguém pode conhecer e combinam isso com o grau de sigilo das informações. Isso é para manter em segurança coisas realmente importantes, como códigos secretos.

Monitoramento de verificação significa que você verifica com frequência os registros de transações e os endereços das carteiras digitais. Isso serve para garantir que todas as transações estejam corretas e que não haja acesso indesejado.

Autenticação multifator (MFA)

MFA (Multi-Factor Authentication) exige que os usuários forneçam várias provas de identidade, como uma senha e uma impressão digital, para acessar um sistema. Isso torna muito mais difícil a entrada de pessoas não autorizadas, pois elas precisam concluir várias etapas de segurança.

Alertas em tempo real

Os sistemas podem enviar alertas instantâneos para avisar sobre atividades incomuns, como transações de novos dispositivos ou locais, solicitando a verificação do proprietário.

Requisitos de conformidade

Em alguns setores, como o processamento de pagamentos, a regulamentação exige que as empresas rastreiem o acesso a redes e dados confidenciais, como o PCI DSS faz com as informações do titular do cartão.

Gerenciamento de registros

O monitoramento de verificação coleta e examina os registros de diferentes sistemas para rastrear eventos de segurança. As ferramentas SIEM reúnem esses registros para fornecer uma visão completa do status de segurança de uma organização.

É importante manter todo o seu software atualizado. Isso inclui os aplicativos que você usa para gerenciar seu dinheiro e suas chaves. As atualizações ajudam a corrigir falhas de segurança e impedem a entrada de hackers.

• Manter seu software atualizado é importante. Isso ajuda a manter seu computador protegido contra ataques. Por exemplo, em 2017, um programa ruim chamado WannaCry atacou computadores Windows antigos. Mas os computadores com as atualizações mais recentes estavam seguros.
• As atualizações também podem adicionar novos recursos e melhorar a execução de seu software. Navegadores da Web como o Google Chrome e o Mozilla Firefox recebem atualizações que os tornam mais seguros e funcionam melhor.
• Algumas empresas precisam seguir regras para manter as informações seguras. Essas regras, como o GDPR na Europa ou o HIPAA nos EUA, podem mudar. A atualização do software pode ajudar as empresas a seguir essas regras.
• Quando você usa muitos programas diferentes juntos, é importante atualizar todos eles. Caso contrário, pode haver problemas ou riscos de segurança. Por exemplo, em uma rede blockchain, a atualização de todos os computadores mantém a rede segura e funcionando corretamente.

Os ataques de phishing enganam as pessoas para que forneçam suas chaves privadas. É importante ensinar aos usuários como identificar esses golpes e lembrá-los de não compartilhar suas chaves on-line ou por meio de mensagens. O uso de bons filtros de e-mail e de medidas de segurança pode reduzir os riscos de phishing.

• Uso de autenticação multifator (MFA)

A habilitação da autenticação multifator (MFA) em todas as contas pode proteger contra phishing, adicionando etapas extras, como um código ou impressão digital, para fazer login. Isso torna mais difícil para os hackers acessarem contas com apenas uma senha e um nome de usuário roubados.

• Treinamento de simulação de phishing

As empresas treinam os funcionários em segurança cibernética enviando e-mails falsos de golpes para ver como eles respondem e determinar se precisam de mais treinamento.

• Tecnologias antiphishing atualizadas

As empresas de tecnologia continuam criando ferramentas melhores para impedir o phishing. Essas ferramentas podem avisá-lo sobre sites perigosos, filtrar e-mails ruins e usar tecnologia inteligente para detectar novas ameaças. Todos devem atualizar essas ferramentas com frequência para se manterem seguros.

• Autenticação, relatório e conformidade de mensagens baseadas em domínio (DMARC)

O DMARC é uma ferramenta que evita a falsificação de e-mails, verificando os e-mails com testes SPF e DKIM. Se um e-mail não passar nesses testes, o DMARC instrui o provedor de e-mail a lidar com ele, ajudando a bloquear e-mails falsos.

Sempre use uma conexão segura e criptografada, como uma VPN, para acessar a carteira e fazer transações. Nunca use Wi-Fi público.

• Ataques do tipo Man-in-the-Middle

O Wi-Fi público é fácil de ser invadido. Os hackers podem roubar suas informações, como senhas, quando você a utiliza. Se você usar uma conexão de Internet mais segura que codifique seus dados, será mais difícil para eles fazerem isso.

• Descarte de SSL

Use HTTPS para transferência segura de dados on-line. Em redes não seguras, os hackers podem acessar e alterar seus dados. Considere ferramentas para proteger sua conexão.

• Wi-Fi Sniffing

As ferramentas de “sniffing” de Wi-Fi podem capturar dados em redes públicas. As redes seguras usam criptografia WPA2 ou WPA3 para se protegerem contra isso.

• Hotspots de Wi-Fi desonestos

Tenha cuidado com o Wi-Fi público. Verifique as redes antes de se conectar, evite Wi-Fi suspeito e use uma VPN para proteger seus dados.

Proteger sua chave privada envolve armazenamento seguro e algumas práticas de manuseio seguro. Tenha em mente estas dicas:

Nunca a compartilhe

Mantenha sua chave privada em segredo. Ela é como a chave de um cofre – somente você deve usá-la.

Use senhas fortes

Se sua chave privada tiver uma senha, certifique-se de que ela seja forte e exclusiva. Considere a possibilidade de usar um gerenciador de senhas para gerar e armazenar senhas complexas.

Atualize o software de segurança

Mantenha qualquer software de segurança, inclusive programas antivírus e antimalware, atualizado. Isso protegerá contra novas ameaças que podem ter como alvo suas chaves privadas.

Ser cauteloso on-line

Ataques de phishing e malware são táticas comuns para roubar chaves privadas. Sempre verifique a autenticidade de sites e e-mails antes de interagir com eles. Além disso, evite fazer download de arquivos de fontes não confiáveis.

Carteiras com várias assinaturas

Para obter segurança adicional, especialmente em transações de alto valor, considere o uso de carteiras com várias assinaturas. Elas exigem mais de uma chave privada para autorizar uma transação.

Quando alguém se apodera de sua chave privada, que é como um código secreto, isso pode causar problemas. Se for para sua carteira de criptomoedas, eles podem roubar suas moedas.

Se for para o seu e-mail, eles podem ler e enviar mensagens fingindo ser você. Se a chave do servidor de uma empresa for roubada, o ladrão poderá encontrar e obter informações secretas. Isso pode causar grandes problemas.

Para proteger suas chaves privadas, você deve usar dispositivos de segurança especiais. Mantenha-as fora da Internet quando puder. Alguns dispositivos modernos têm áreas seguras para armazenar essas chaves. Você também pode mantê-las em um gerenciador de senhas— um cofre digital que é bloqueado com uma senha.

Certifique-se de fazer backup de suas chaves, para que você tenha uma cópia se algo der errado. Permita que somente pessoas confiáveis acessem suas chaves. E troque suas chaves regularmente para se manter mais seguro.

Infelizmente, se você a perdeu e não tem um backup, a situação geralmente é irrecuperável, pois as chaves privadas são projetadas para serem quase impossíveis de regenerar ou adivinhar.

Aqui está o que você pode fazer:

• A primeira etapa é verificar se você armazenou um backup da sua chave privada em algum lugar. Pode ser uma cópia física, uma unidade USB ou qualquer outro método de backup seguro que você tenha usado.
• Se você estiver usando uma carteira ou um serviço que forneça uma frase de recuperação ou frase-semente, talvez seja possível restaurar suas chaves privadas usando essa frase. Siga cuidadosamente as instruções do provedor de serviços para tentar a recuperação.
• Se sua chave privada estava associada a uma conta em uma bolsa ou a um serviço de carteira gerenciada, entre em contato com o suporte ao cliente. Embora eles não possam regenerar sua chave privada, podem ter protocolos para ajudá-lo a recuperar o acesso à sua conta.
• Se você usou todas as opções e não conseguiu recuperar a chave privada, talvez tenha que aceitar a perda. Essa situação é difícil, mas mostra como é importante proteger suas chaves privadas

As chaves privadas são muito importantes para manter sua criptomoeda segura. Ao planejar como armazenar chaves privadas de forma segura, use carteiras de hardware. Em comparação com as carteiras virtuais, elas são a opção mais segura. Portanto, use dicas profissionais sobre como escolhê-las.

Sempre guarde suas chaves privadas para você. Certifique-se de usar senhas que sejam difíceis de adivinhar. Além disso, mantenha sempre atualizado o software de proteção do seu computador. Se outra pessoa obtiver sua chave, isso pode ser muito ruim.

E se você perder sua chave, geralmente é difícil recuperá-la. É por isso que você deve sempre ter um backup e ter cuidado ao usar a Internet.