Нет, серьёзно. Мастер-пароль от 1Password – у него. Root-доступ к продакшену – у него. Recovery codes от корпоративного Google – тоже у него. Знакомо?

Я видел как компании теряли доступ к собственной инфраструктуре. Не из-за хакеров. Просто человек уволился, уехал, заболел. И всё – стоим, ждём, паникуем.

Классический ответ – «давайте положим всё в сейф». Отлично. Теперь у вас одна точка отказа в виде сейфа. Или в виде того, кто знает код от сейфа. Проблема не решена, а перемещена.

Алгоритм Шамира (того же, чей инициал S в шифровании RSA)

Есть математически красивое решение — https://ru.wikipedia.org/wiki/Схема_разделения_секрета_Шамира

Берёте секрет, разбиваете, например, на 5 частей. Для восстановления нужны любые 3. Не две, не одна – именно три. Это не шифрование с паролем, а доказуемая криптографическая схема. Имея две части из трёх, вы не узнаете о секрете ровным счётом ничего.

И вот что важно: после разделения секрет не хранится нигде. Ни у кого нет пароля – значит, никто не может его потерять, забыть или отдать под давлением. Нечего украсть, нечего подсмотреть, нечего вытянуть фишингом. Поверхность атаки стремится к нулю. При этом доступ никуда не делся – нужное количество людей всегда его восстановит.

Где это спасает

Корпоративный доступ Раздали части: CTO, CFO, тимлиду, в банковскую ячейку, на холодный носитель. Кто-то уволился – не страшно. Потеряли одну часть — не критично. Но три доверенных человека всегда восстановят доступ.

Криптокошелёк Seed-фраза — это буквально ваши деньги. Записать на бумажку и положить в ящик стола? Один пожар — и всё. Зашифровать паролем? Теперь нужно безопасно хранить ещё и пароль. Разделяете seed на части, раскладываете в разные физические локации. Можно сделать больше копий, чем нужно для восстановления — потеря одной или нескольких ничего не стоит.

Цифровое наследство Неприятная тема, но важная. Крипта, архивы, доступы — всё это не передаётся по наследству автоматически. Разделите ключи между доверенными людьми. По отдельности части бесполезны — никто не получит доступ раньше времени. Но когда понадобится — соберут нужное количество и восстановят.

SecretShards.com

Я сделал для этого инструмент — SecretShards https://secretshards.com. Задаёте порог, вводите секрет, получаете части. Всё работает прямо в браузере, на сервер ничего не отправляется. Нет ни аналитики, ни внешних зависимостей, а код открыт.

Почему это надёжно на десятилетия

Ему не нужен сервер, аккаунт или подписка. Это одна HTML-страница с открытым кодом. Скачиваете файл, кладёте на флешку – и через 50 лет он откроется в любом браузере и соберёт ваш секрет обратно. Никакой компании, которая может закрыться. Никакого облака, которое может отключиться.

Попробуйте и расскажите свой сценарий использования!