La llave de resguardo y el rescate de cuenta

La bóveda de shhost cifra cada carpeta con una clave propia (la DEK), envuelta de cuatro maneras distintas: con la contraseña maestra, con un código de recuperación de 24 caracteres que se entrega al crear la cuenta, con una passkey compatible con WebAuthn PRF, y con una copia de resguardo que opera la empresa. Esta última existe para un caso concreto: un cliente que pierde su contraseña sin tener a mano el código de recuperación ni una passkey configurada, y que de otro modo perdería el acceso a todo lo que guardó, sin remedio.

La copia de resguardo se genera fuera de línea, en un par de llaves cifradas con age o GPG. Ese material se reparte físicamente en tres pendrives, y la frase que permite reconstruirlo está partida en cinco fragmentos bajo el esquema SLIP-39, de los cuales alcanzan tres cualquiera para recomponerla. No vive en ningún servidor conectado a internet.

Un rescate de cuenta no se activa solo: lo pide el cliente y lo confirma con cuatro verificaciones a la vez —un enlace enviado por email, una confirmación por WhatsApp, la respuesta a una pregunta de seguridad elegida al crear la cuenta, y un código que surge de un cobro menor a la tarjeta registrada—, y solo se habilita después de una demora durante la cual se avisa al cliente, para que pueda cancelarlo si no lo pidió él. El rescate tiene un cargo en el plan Free; en los planes pagos no tiene costo.