Cómo crear una copia de seguridad air-gapped de tu cartera cripto

Qué significa realmente un air gap

Un air gap, en el sentido más estricto, es una separación física completa entre un dispositivo y cualquier red, incluidos Wi-Fi, Bluetooth, red celular y Ethernet por cable. El nombre proviene del literal aire entre un dispositivo y la conexión de red más cercana. Ningún dato entra ni sale excepto a través de medios físicos deliberados y controlados, como una unidad USB o un disco óptico.

Para la copia de seguridad de la frase semilla de una cartera cripto, un air gap significa que el dispositivo utilizado para cifrar y almacenar el respaldo nunca ha tocado internet y nunca lo hará. Esta es una postura de seguridad fundamentalmente diferente a desactivar el Wi-Fi mientras se escribe. Desactivar el Wi-Fi es una desconexión de red. Un air gap es una decisión arquitectónica permanente sobre un dispositivo dedicado.

La razón por la que esto importa específicamente para las frases semilla es la naturaleza de los datos. Tus 12 o 24 palabras BIP39 representan el control completo e irrevocable sobre tus fondos. Cualquier software en una máquina conectada (una extensión de navegador, un servicio de sincronización en segundo plano, un keylogger, una herramienta de capturas de pantalla automáticas) tiene la capacidad técnica de capturar y exfiltrar esos datos. Una máquina con air gap elimina toda la categoría de amenazas de exfiltración remota al eliminar completamente el vector de transmisión.

Las amenazas reales contra las que protege un air gap

Entender por qué un air gap es valioso requiere comprender qué ataques específicos previene. El panorama de amenazas para la exposición de frases semilla está dominado por algunas categorías de ataque que son notablemente comunes en la práctica.

Los keyloggers están entre los más extendidos. Tanto los keyloggers de hardware (pequeños dispositivos insertados entre un teclado y un ordenador) como los keyloggers de software instalados por malware registran cada pulsación de tecla en una máquina. Si escribes tu frase semilla en cualquier campo de un ordenador infectado, el keylogger la captura en milisegundos y la pone en cola para transmitirla la próxima vez que la máquina se conecte a internet. Una máquina que nunca se conecta a internet puede tener un keylogger instalado y este nunca podrá transmitir lo que captura.

Las herramientas de captura de pantalla automática representan un riesgo más sutil. Varias categorías de software toman capturas de pantalla periódicas en segundo plano: software de monitorización de empleados, ciertas aplicaciones de control parental, algunos servicios de copia de seguridad en la nube que capturan el estado de la pantalla, y diversas categorías de malware. Una frase semilla mostrada o escrita en pantalla en una máquina conectada puede ser capturada sin ninguna acción del usuario.

La sincronización en la nube es la amenaza más insidiosa porque está integrada en los sistemas operativos modernos y se presenta como una función. En Windows, los archivos guardados en las carpetas Escritorio o Documentos se sincronizan silenciosamente con OneDrive a menos que se deshabilite explícitamente. En macOS, iCloud Drive realiza la misma función. Cualquier frase semilla guardada como archivo de texto en una ubicación predeterminada de una máquina conectada se sube instantáneamente a un servidor remoto, donde puede ser accedida a través de las credenciales de la cuenta o una brecha del proveedor de nube. Muchos usuarios que creen tener una copia de seguridad solo local no la tienen.

Crear una copia de seguridad genuinamente air-gapped

El proceso comienza antes de que intervenga ninguna frase semilla. Adquiere un dispositivo dedicado (puede ser un portátil reacondicionado económico o una Raspberry Pi) y asegúrate de que nunca haya estado conectado a ninguna red. Si el dispositivo estuvo previamente conectado a una red, realiza una instalación limpia del sistema operativo desde medios sin conexión y no lo conectes nunca a una red posteriormente. Deshabilita el Wi-Fi a nivel de hardware si es posible, ya que muchos portátiles tienen un interruptor físico o se puede extraer la tarjeta. El objetivo es una máquina donde una conexión de red sea arquitectónicamente imposible, no simplemente deshabilitada por software.

Una vez preparada la máquina sin conexión, instala tu software de cifrado en ella usando una unidad USB que fue cargada en un ordenador limpio y de confianza y luego transferida. SeedCrypt está diseñado para funcionar completamente sin conexión (sin verificación de licencia, sin telemetría, sin llamadas de red de ningún tipo), lo que lo hace adecuado para este propósito. Transfiere el instalador mediante USB, instálalo en la máquina con air gap y luego reserva esa unidad USB. No debe reutilizarse para transferencias de datos en adelante.

Con la máquina sin conexión en funcionamiento y SeedCrypt instalado, puedes cifrar tu frase semilla con la confianza de que no existe ningún vector de exfiltración remota. Escribe la frase semilla, aplica cifrado AES-256-GCM con una contraseña segura y guarda el archivo de texto cifrado resultante. La salida cifrada es lo que transferirás y almacenarás; es seguro copiarlo ampliamente, porque sin la contraseña de descifrado es computacionalmente inútil.

Para el paso de transferencia, usa una unidad USB dedicada que designes exclusivamente para este propósito. Copia el archivo de texto cifrado en ella. Esta unidad USB ahora contiene tu copia de seguridad cifrada y puede almacenarse de forma segura en una ubicación física: una caja fuerte ignífuga, una caja de seguridad bancaria, o una ubicación secundaria de confianza. Dado que el contenido está cifrado, la seguridad física de la unidad USB determina la comodidad de acceso, no la seguridad de tus fondos. Se deben hacer múltiples copias y distribuirlas en ubicaciones independientes.

La unidad USB de transferencia ocupa un papel crítico en la arquitectura del air gap. Una vez que ha transportado datos desde la máquina sin conexión a su ubicación de almacenamiento, no debe reconectarse a ningún ordenador conectado a internet a menos que estés haciendo una copia deliberada y verificada. Cada vez que una unidad USB cruza la frontera entre una máquina en línea y una sin conexión, es un vector potencial para que el malware salte el air gap, una técnica conocida como puente de air gap por USB. Mantén la USB de transferencia dedicada a su propósito.

Errores que rompen el air gap sin que lo sepas

La forma más común en que falla un air gap es a través de una unidad USB utilizada para múltiples propósitos. Una unidad usada para transferir archivos en el trabajo, llevar documentos personales o conectarse a varias máquinas en casa no es un medio de transferencia de air gap dedicado; es un portador potencial de malware. Stuxnet, el ataque de air gap más famoso de la historia, se propagó precisamente de esta manera, a través de unidades USB compartidas entre sistemas industriales aislados y ordenadores de uso general. La solución es simple: una unidad USB dedicada, usada solo para la transferencia de la copia de seguridad de la frase semilla, almacenada junto con la copia de seguridad cifrada.

Otro fallo silencioso del air gap es una máquina sin conexión que estuvo previamente en línea y nunca tuvo su sistema operativo reinstalado. El software ya presente en la máquina, incluido cualquier malware que llegó antes de que la máquina fuera aislada, persiste indefinidamente. Una máquina con air gap es tan confiable como su historial de instalación. Si hay alguna duda sobre qué software había en la máquina antes del aislamiento, una instalación limpia del SO es obligatoria antes de manejar cualquier frase semilla en ella.

La sincronización en la nube que no fue completamente deshabilitada antes de usar la máquina es un tercer modo de fallo común. En una máquina que estuvo previamente conectada, los servicios de sincronización en la nube pueden haber capturado archivos en la breve ventana antes de que se deshabilitara la red. Deshabilitar un servicio de sincronización a posteriori no elimina lo que ya se subió. Si tu frase semilla fue escrita o guardada alguna vez en una máquina con sincronización en la nube activa, aunque sea por segundos, debe tratarse como potencialmente comprometida y la cartera debe rotarse a una frase semilla nueva.

Por último, tomar el archivo de salida cifrado y abrirlo o copiarlo inmediatamente en una máquina conectada por comodidad anula el propósito. El texto cifrado debe transferirse a la USB de almacenamiento dedicado y almacenarse físicamente. Si necesitas verificar la copia de seguridad, hazlo en la propia máquina con air gap, donde el descifrado ocurre en un entorno aislado sin ruta de transmisión.

La relación entre los air gaps y el cifrado

Un air gap y el cifrado abordan diferentes partes del modelo de amenazas y funcionan mejor juntos. Un air gap previene la exfiltración remota durante el proceso de cifrado y creación del respaldo. El cifrado protege el respaldo después de que sale de la máquina con air gap. Ninguno es suficiente por sí solo.

Una máquina perfectamente aislada con una copia de seguridad no cifrada produce una unidad USB que, si se encuentra físicamente, da al descubridor acceso completo a tus fondos. El air gap protegió el proceso de creación pero dejó la salida desprotegida. Por el contrario, un cifrado fuerte aplicado en una máquina conectada protege el archivo de copia de seguridad pero no evita que un keylogger capture la frase semilla antes de que se cifrara. Ambas protecciones son necesarias tanto para la fase de creación como para la de almacenamiento del ciclo de vida del respaldo.

Lee nuestra guía sobre respaldo en papel vs respaldo cifrado para entender por qué el cifrado es el fundamento correcto independientemente de tu enfoque de air gap, y nuestro tutorial completo de cifrado para los pasos exactos para aplicar cifrado AES-256-GCM a tu frase semilla en una máquina sin conexión.

Conclusión

Un verdadero air gap para la copia de seguridad de la frase semilla requiere un dispositivo sin conexión dedicado que nunca haya tocado una red, software de cifrado que opere completamente de forma local, una unidad USB dedicada usada solo para este propósito, y almacenamiento físico en una o más ubicaciones seguras e independientes. La mayoría de las implementaciones que se dicen air-gapped fallan en al menos uno de estos criterios, generalmente el requisito de USB dedicado o el historial de instalación de la máquina sin conexión.

El estándar de cuidado es sencillo una vez que entiendes contra qué se defiende cada paso. Los keyloggers y el malware de capturas de pantalla son derrotados por la máquina sin conexión. La sincronización en la nube es derrotada por la máquina que nunca tiene acceso a la red. El robo físico de la USB es derrotado por el cifrado. Juntas, estas medidas producen una copia de seguridad que es simultáneamente resistente al ataque remoto y segura para almacenar en múltiples ubicaciones sin aumentar el riesgo de exposición.