Frase Secreta: La Línea de Vida de Recuperación de tu Bóveda

Vaultaire genera una frase de recuperación personalizada de 9 palabras separadas, en lugar de un mnemotécnico BIP-39 de 12 o 24 palabras. PBKDF2-HMAC-SHA512 procesa la frase normalizada durante 800.000 iteraciones para derivar una clave de recuperación. Esa clave abre un sobre cifrado con AES-GCM que contiene la clave de la bóveda en local, o la clave de la bóveda y la clave de copia de seguridad al restaurar una copia de seguridad cifrada en iCloud.

¿Qué Es la Frase Secreta?

Cada bóveda de Vaultaire tiene una jerarquía de claves en capas. Tu patrón deriva una clave de bóveda, esa clave desbloquea el índice cifrado y el índice contiene una clave maestra aleatoria envuelta que cifra los archivos. Pero ¿qué pasa si olvidas tu patrón? ¿Y si pasan los meses y la memoria muscular se pierde? Sin una vía de recuperación aparte, la clave de la bóveda quedaría fuera de tu alcance.

Ahí entra la frase secreta. Cuando creas una bóveda, Vaultaire genera una frase gramatical de nueve palabras comunes en inglés, elegidas de varias listas según su función con aleatoriedad criptográficamente segura. Es un formato de recuperación propio, no BIP-39. Las palabras no codifican la clave de bóveda derivada del patrón. En su lugar, la frase normalizada se usa como entrada de PBKDF2, y la clave de recuperación resultante descifra un sobre que contiene la clave de la bóveda.

Piénsalo así: el patrón y la frase de recuperación son dos credenciales que abren envoltorios distintos alrededor del mismo material de acceso a la bóveda. El patrón es la credencial que usas cada día. La frase de recuperación abre el sobre de emergencia que guardas para el día en que falle la memoria muscular o un dispositivo nuevo tenga que encontrar una copia de seguridad cifrada.

Cómo Funciona la Frase Secreta

La frase secreta es una credencial aparte y, por tanto, otra vía para atacar o recuperar la bóveda. No es otra representación de la clave derivada del patrón. La frase deriva su propia clave de recuperación de 256 bits, y esa clave autentica y descifra un pequeño sobre que contiene la clave de la bóveda. Esta separación permite que la frase sea portátil, mientras que la clave local normal de la bóveda sigue vinculada a la sal del dispositivo guardada en Keychain.

Generación

Cuando creas una bóveda, Vaultaire elige palabras con aleatoriedad criptográficamente segura y las coloca en una de varias plantillas gramaticales. La frase generada suele tener 9 palabras separadas y pasa por el medidor de solidez de frases de la aplicación. También puedes usar una frase personalizada de al menos 6 palabras distintas si supera la validación. La frase se normaliza, pasa por 800.000 iteraciones de PBKDF2-HMAC-SHA512 y se usa para cifrar el sobre de recuperación portátil.

Visualización

Vaultaire muestra la frase al crear la bóveda y te pide que confirmes que la guardaste. También guarda la frase en una base de datos de recuperación cifrada con AES-GCM dentro de iOS Keychain, para poder mostrarla más tarde desde los ajustes de esa bóveda y publicar un manifiesto de recuperación cifrado cuando la copia de seguridad en iCloud está activada. Vaultaire no recibe la frase en ningún servidor de la empresa ni la incluye en la analítica.

Recuperación

Si olvidas tu patrón, abre Vaultaire y elige la opción de recuperación. En el dispositivo original, la base de datos de recuperación cifrada relaciona la frase con su sobre. Para restaurar una copia de seguridad cifrada en iCloud, un localizador determinista encuentra el manifiesto de recuperación a partir de la frase. En los dos casos, el descifrado autenticado AES-GCM verifica la clave derivada de la frase antes de liberar el material de acceso a la bóveda. Después puedes abrir la bóveda y definir un patrón nuevo.

Por Qué Existe la Frase Secreta

Vaultaire no tiene ningún servicio de cuentas que reciba tu patrón, tu frase de recuperación, la clave de la bóveda, la clave de copia de seguridad o el contenido legible de la bóveda. Las copias de seguridad cifradas están en tu base de datos privada de CloudKit, y Vaultaire no tiene ninguna clave de recuperación de proveedor aparte. Así desaparece el restablecimiento de contraseña gestionado por la empresa: el soporte no puede sustituir un patrón o una frase perdidos por una credencial de cuenta.

La frase secreta es la respuesta de Vaultaire a este compromiso. Te da una credencial legible para una copia cifrada del material de acceso a la bóveda sin darle a Vaultaire una clave de descifrado de proveedor. La frase se guarda en local, en datos protegidos de Keychain, y también conviene conservarla en un lugar que controles. Si no te queda ni el patrón ni una copia utilizable de la frase, Vaultaire no puede restablecer el cifrado desde una cuenta de la empresa.

Los patrones son potentes e intuitivos, pero dependen de la memoria muscular. La vida se interpone. Podrías no abrir una bóveda durante seis meses. Podrías cambiar de teléfono y perder la familiaridad física del gesto. Podrías tener una situación médica que afecte tu control motor fino. La frase secreta asegura que ninguno de estos escenarios signifique perder tus datos permanentemente.

Seguridad de la Frase Secreta

La frase secreta es una de las credenciales más delicadas de tu bóveda. Quien tenga la frase y los datos de recuperación locales correspondientes, o la copia de seguridad cifrada en iCloud, puede recuperar las claves de la bóveda y acceder a tus datos. Por eso Vaultaire mantiene cifrada su copia local dentro del almacenamiento de Keychain, y por eso debes proteger cualquier copia que hagas.

Se muestra al crear la bóveda y está disponible en los ajustes

Vaultaire muestra la frase al crear la bóveda para que hagas una copia independiente. La aplicación también puede cargar y mostrar la frase guardada desde los ajustes de la bóveda abierta. Esa comodidad cambia el modelo de amenazas: quien pueda desbloquear la bóveda y entrar en sus ajustes podría leer la frase, así que el código del iPhone, el patrón de Vaultaire y el control físico del dispositivo siguen importando.

Cifrada en local, no enviada a Vaultaire

La frase se guarda en una base de datos de recuperación cifrada, almacenada como elemento WhenUnlockedThisDeviceOnly de Keychain. Otra clave aleatoria de Keychain protege esa base de datos con AES-GCM. Cuando la copia de seguridad cifrada en iCloud está activada, Vaultaire sube un localizador determinista derivado de la frase y un manifiesto de recuperación cifrado con AES-GCM; la frase sin cifrar no va en ese registro. La frase queda fuera de la analítica y Vaultaire no la recibe.

Sin Recuperación Sin Ella

Si pierdes tu patrón y todas las copias utilizables de la frase secreta, Vaultaire no tiene un restablecimiento de cuenta ni una clave de proveedor que pueda descifrar la bóveda por ti. Que aún sea posible recuperarla en local depende de qué datos protegidos de Keychain y de la bóveda sigan en el dispositivo. Una copia de seguridad cifrada en iCloud sigue necesitando tu frase de recuperación o la clave de copia de seguridad derivada del patrón correspondiente.

Mejores Prácticas para tu Frase Secreta

Tu frase secreta es la copia de seguridad definitiva para tus datos más privados. Trátala en consecuencia.

Anótala en Papel

Usa un bolígrafo y papel. Escribe cada palabra claramente, en orden, numerada. El papel no puede ser hackeado remotamente. No puede ser comprometido por malware. No puede ser exfiltrado silenciosamente de un servicio en la nube. Un papel en un lugar seguro es la forma más resistente de almacenamiento de copia de seguridad jamás inventada.

Nunca la Almacenes Digitalmente

No guardes una copia sin proteger en una aplicación de notas, en tus capturas de pantalla o en una cuenta de correo. Cada copia digital de más es otro lugar donde la frase podría quedar expuesta por malware, una filtración de datos o una cuenta comprometida. Vaultaire ya guarda una copia local protegida para la recuperación y para mostrarla en los ajustes; cualquier otra copia debe protegerse según el riesgo de los datos que guarda.

Guárdala en un Lugar Seguro

Almacena el papel en algún lugar seguro y privado. Una caja fuerte en casa, una caja de seguridad bancaria o un cajón cerrado al que solo tú accedas. Considera las mismas precauciones que tomarías con un documento legal importante o un certificado de nacimiento. Si tienes múltiples bóvedas, etiqueta cada frase claramente para que sepas a qué bóveda pertenece.

Considera una Persona de Confianza

Si algo te sucede, ¿debería alguien poder acceder a tu bóveda? Si es así, podrías dar una copia de la frase a un familiar de confianza o incluirla en un sobre sellado con tus documentos de herencia. Esta es una decisión personal, pero vale la pena pensarlo antes de que la pregunta se vuelva urgente.

Cómo Funciona la Recuperación

El proceso de recuperación es directo, pero vale la pena entender qué sucede en cada paso para que sepas exactamente qué esperar.

Paso 1: Abre la Pantalla de Recuperación

Cuando abres Vaultaire y se te pide tu patrón, verás una opción de recuperación. Tócala, y la app presenta una interfaz de entrada de palabras donde puedes escribir o seleccionar cada palabra de tu frase secreta.

Paso 2: Introduce Tu Frase

Escribe la frase completa con las palabras en el mismo orden en que la guardaste. Vaultaire normaliza las mayúsculas y los espacios, pero las palabras y su orden importan porque son la entrada de PBKDF2. El formato generado es una frase de 9 palabras separadas, no una lista BIP-39, y una frase personalizada puede tener otro número de palabras.

Paso 3: Regeneración de la Clave

Cuando escribes la frase, Vaultaire la normaliza y ejecuta PBKDF2-HMAC-SHA512 durante 800.000 iteraciones con una sal determinista derivada de la frase. La misma frase normalizada produce la misma clave de recuperación de 256 bits en otro dispositivo. Después, AES-GCM verifica esa clave contra el sobre de recuperación local o el manifiesto de recuperación en la nube antes de aceptar ninguna clave de almacenamiento o de copia de seguridad.

Paso 4: Establece un Nuevo Patrón

Cuando la bóveda vuelve a estar accesible, Vaultaire puede definir un patrón nuevo. La clave maestra aleatoria de cifrado de archivos no cambia, pero el patrón nuevo deriva una clave de bóveda local nueva y una clave de copia de seguridad determinista nueva. Cambiar el patrón también genera una frase de recuperación y un sobre nuevos, así que guarda la frase nueva antes de salir del flujo.