Modo ordenador público: usar CardanoWall en un dispositivo compartido

Puedes usar CardanoWall en un ordenador prestado o compartido, y el modo ordenador público hace que sea más seguro, pero solo de una manera muy concreta. El modo impide que la app escriba nada relacionado con tu identidad en el navegador, así que no queda ni rastro de tu sesión en la máquina cuando te marchas. Lo que no puede hacer es protegerte mientras sigues con la sesión abierta. Si el dispositivo está comprometido, el modo ordenador público no cambia eso.

Así que la regla es sencilla: trata un ordenador compartido como algo de mayor riesgo, activa el modo ordenador público y nunca pegues una semilla valiosa en un dispositivo que no controlas.

¿Qué es el modo ordenador público?

Es un modo de navegador que dura solo lo que dura la sesión y reduce al mínimo lo que se guarda; puedes activarlo al desbloquear o al crear una identidad.

Cuando el dispositivo no es tuyo, no quieres que CardanoWall deje atrás estado relacionado con tu identidad para la siguiente persona. El modo ordenador público es justamente el interruptor para eso. Está pensado para momentos como:

• el ordenador de una biblioteca o del centro de negocios de un hotel;
• una máquina de un espacio de coworking o de un congreso;
• una estación de trabajo compartida en una redacción;
• un portátil prestado;
• un dispositivo gestionado por una organización en la que no confías del todo.

El interruptor en sí, deliberadamente, no se guarda en ningún sitio. Conservar el dato «estoy en un ordenador público» sería una escritura en el almacenamiento del navegador —exactamente lo que el modo existe para evitar— y, en una máquina compartida, una recarga siempre debería volver al valor por defecto seguro: preguntar de nuevo.

¿Qué cambia el modo ordenador público?

Desactiva toda escritura relacionada con la identidad en el almacenamiento del navegador.

En un dispositivo que es tuyo y de confianza, CardanoWall guarda en caché ciertos datos de comodidad que no son secretos para que las sesiones futuras vayan más fluidas. Puede conservar una copia de tu bóveda cifrada en el navegador, de modo que una recarga solo necesite un toque de passkey en lugar de una petición de red, y puede conservar metadatos de configuración no secretos durante el alta para que una recarga accidental no rompa el proceso. Y algo importante: la copia de la bóveda que hay en el navegador es el mismo texto cifrado que guarda el servidor —cifrado con age y que solo pueden abrir tus passkeys—, no una copia en texto plano de tu semilla.

En el modo ordenador público, todas esas rutas quedan suprimidas: ninguna caché de la bóveda recordada, ningún atajo de desbloqueo local, ninguna fijación de versión y ningún espejo de los metadatos del alta. La barrera se sitúa en cada punto de paso al almacenamiento, así que ninguna parte de la app puede escribir por accidente algo que el modo debe retener.

Lo que permanece es el estado de desbloqueo en memoria. Mientras tienes la sesión abierta, tu semilla y las claves derivadas de ella viven solo en la memoria de la sesión. Sobreviven a la navegación dentro de la app mientras dure la pestaña; bloquear o cerrar sesión las borra en la medida de lo posible, y cerrar la pestaña o recargar desmonta la página por completo. Todo el objetivo es no dejar nada atrás. Para un panorama más completo de lo que el navegador conserva y lo que no, consulta qué guarda CardanoWall en el navegador.

¿Qué no cambia el modo ordenador público?

No convierte en confiable un ordenador que no lo es.

Esta es la parte que más importa. Un script malicioso dentro de tu sesión activa —procedente de una extensión de navegador hostil, de un fallo de cross-site-scripting almacenado en la página, de un keylogger o de software de acceso remoto— puede leer lo que escribes y lo que la app guarda en memoria mientras estás desbloqueado. Eso incluye tu semilla de identidad si la pegas, y tus claves privadas mientras la identidad está activa.

CardanoWall reduce este riesgo con una política de seguridad de contenido estricta, scripts mínimos y la norma de que el desbloqueo y el descifrado solo ocurren ante una acción explícita por tu parte, nunca de forma automática. Esas medidas bajan las probabilidades, pero no pueden eliminar a un atacante que ya está ejecutando código en tu sesión. Es un límite inherente a cualquier criptografía entregada por el navegador, no una carencia propia de CardanoWall. El modo ordenador público reduce lo que queda atrás; no derrota una vulneración activa.

¿Debería pegar mi semilla de identidad en un ordenador público?

Solo si la exposición es aceptable, y para una identidad valiosa la respuesta honesta es no.

La semilla de identidad es la raíz de tu identidad Label 309. Cualquiera que la capture puede firmar como tú y descifrar todos los registros sellados dirigidos a esa identidad, pasados y futuros. Escribirla en un dispositivo que no controlas es, por tanto, una decisión seria, no algo rutinario.

Para una identidad de poco valor o un acceso de emergencia real, quizá aceptes ese riesgo durante una sesión breve. Para cualquier cosa que importe, usa tu propio dispositivo de confianza. El modo ordenador público es mejor que el modo normal en una máquina compartida, pero no hace nada por eliminar el peligro de fondo de introducir un secreto en un ordenador que no es tuyo.

¿Y los passkeys en un dispositivo compartido?

Depende de si el passkey está disponible allí, y aun así el riesgo del dispositivo no desaparece.

Si tu passkey sincronizado llega al dispositivo a través de tu propia cuenta de proveedor de passkeys, quizá puedas desbloquear sin pegar la semilla en absoluto, lo que elimina la exposición de teclear la semilla. Eso es una mejora real. Pero la sesión desbloqueada sigue teniendo tus claves privadas derivadas en memoria, y el dispositivo puede seguir sin ser de confianza. Un entorno local hostil puede limitarse a atacar la sesión en curso en lugar de la semilla que nunca tecleaste.

Los passkeys sincronizados, además, heredan el modelo de seguridad y de recuperación de quien los proporciona, mientras que una clave de hardware tiene compromisos distintos; passkeys sincronizados frente a claves de hardware trata esa elección. En cualquier caso, para identidades sensibles, desbloquea solo en un dispositivo que controles. Más sobre cómo protegen los passkeys la bóveda: cómo los passkeys protegen tu bóveda de identidad.

¿Cuándo resulta realmente útil el modo ordenador público?

Es más útil para tareas de bajo riesgo en las que el objetivo es, sencillamente, no dejar residuos.

Encaja bien en casos como:

• abrir y revisar el enlace de una prueba;
• ver metadatos públicos de una prueba en la cadena;
• verificar localmente el hash de un archivo no sensible;
• leer información de cuenta no sensible;
• una sesión breve con una identidad deliberadamente de bajo riesgo;
• un acceso de emergencia cuando no tienes a mano un dispositivo de confianza.

Encaja mal en cualquier cosa que exponga secretos o haga cambios duraderos:

• revelar una semilla de identidad;
• descifrar registros sellados sensibles;
• firmar registros que importan;
• gestionar identidades compartidas o de equipo;
• añadir passkeys;
• cambiar ajustes de recuperación o de seguridad.

¿Qué debería hacer antes de dejar un ordenador compartido?

Termina la sesión de forma deliberada en lugar de limitarte a bajar la tapa.

Antes de marcharte:

• bloquea la identidad;
• cierra sesión;
• cierra la pestaña y la ventana del navegador;
• evita descargar archivos descifrados, y borra cualquiera que sí hayas creado;
• vacía el portapapeles si copiaste en él algún secreto;
• no dejes que el navegador guarde contraseñas ni passkeys en el dispositivo.

Una ventana privada o de incógnito es una capa adicional útil, porque descarta su propio almacenamiento al cerrarse, pero no la confundas con una barrera de seguridad frente al malware: no lo es.

¿Y si ya usé un dispositivo arriesgado?

Decide si tu semilla pudo quedar expuesta y responde a eso, no a una inquietud vaga.

Si solo viste registros públicos, normalmente hay poco que hacer. Pero si desbloqueaste una identidad, pegaste o revelaste una semilla, o descifraste archivos sensibles en un dispositivo del que no puedes responder, tómate la posibilidad en serio.

Si no puedes descartar que la semilla quedara expuesta, trata la identidad como comprometida. No hay forma de reiniciar una semilla filtrada: la respuesta es pasar a una nueva.

• crea una nueva identidad;
• publica y comparte las nuevas claves públicas por un canal aparte;
• desactiva la identidad antigua en CardanoWall;
• deja de usar las antiguas direcciones de recepción;
• cuando ayude, publica un registro de sustitución que apunte a la nueva identidad.

Fíjate en la asimetría: eliminar un passkey vuelve a cifrar tu bóveda hacia los factores restantes y borra el texto cifrado antiguo, de modo que un passkey eliminado ya no puede abrir la bóveda actual; pero eso solo ayuda si la propia semilla nunca quedó expuesta. Una semilla filtrada es una vulneración total, y eliminar un passkey no la deshace. La mecánica de retirar una identidad se trata en identidades activas, desactivadas y eliminadas.

La versión corta

El modo ordenador público hace bien una sola cosa: evita que CardanoWall deje estado relacionado con tu identidad en el navegador de un dispositivo que no es tuyo. Actívalo en ordenadores compartidos. No lo confundas con una protección frente a una máquina que ya está comprometida.

Si la identidad importa, usa un dispositivo en el que confíes. Y la sesión más segura en un ordenador compartido sigue siendo aquella en la que nunca pegas tu semilla y nunca desbloqueas una identidad valiosa. Para la cuestión más amplia de qué puede observar el servicio y qué no, consulta qué puede ver CardanoWall.

Lecturas adicionales

• Tu identidad es una semilla
• Qué guarda CardanoWall en el navegador
• Cómo protegen los passkeys tu bóveda de identidad
• Passkeys sincronizados frente a claves de hardware
• Por qué las claves nunca salen del dispositivo
• Label 309, el estándar abierto detrás de las identidades y las pruebas de CardanoWall.