أين يُفترض أن تكتب عبارة استرداد المحفظة؟
عبارة الاسترداد مكانها التدفّق الخاص باستعادة المحفظة، لا محادثة دعم ولا جهاز ظاهري مستعار. تتبّع أين تُدخل العبارة السرّية ومن يمكنه المشاهدة.
استعادة المحفظة تبدو مهمة كتابة نص، لكنها في الحقيقة مهمة حفظ مفاتيح. العبارة التي تكتبها ليست كلمة مرور يتحقق منها خادم؛ إنها المدخل إلى دالة اشتقاق تعيد بناء المفاتيح الخاصة نفسها التي كانت لدى المحفظة قبل ضياعها. وأي شيء يستطيع قراءة ضربات المفاتيح أو الحافظة أو ذاكرة العملية في تلك اللحظة يستطيع إعادة بنائها أيضًا. لذا فالتحضير يعني تحديد أين يُسمح للسرّ بأن يوجد، قبل أن يوجد.
تتبّع العبارة من الوسيط إلى المفتاح المشتق
تُطبَّع عبارة تذكيرية على نمط BIP-39، وتُمدّ بـ PBKDF2-HMAC-SHA512 مع عبارة مرور اختيارية كملح، ثم تُحوَّل إلى بذرة تشتق منها المحفظة مفاتيحها. وتترتب على ذلك نتيجتان مباشرتان. أولًا، العبارة سلطة دائمة لا بيانات اعتماد لجلسة، فلا وجود لإعادة تعيين من جهة الخادم إن تسرّبت. ثانيًا، تشارك عبارة المرور الاختيارية في الاشتقاق، ولهذا فإن استعادة تبدو كأنها تنتج محفظة فارغة تعني عادةً إدخال عبارة مرور خاطئة لا عبارة خاطئة.
كل خطوة بعد التطبيع تحدث داخل العملية التي كتبت فيها. وهذا هو الجزء الذي تتخطاه معظم أدلة الاستعادة: سطح التعرّض هو مسار الإدخال وذاكرة تلك العملية، لا الشبكة بينك وبين موقع ويب.
أي عملية تكون مشروعة يعتمد على المحفظة. فجهاز العتاد لديه واجهة استعادة خاصة به على الجهاز؛ والمحفظة البرمجية لديها شاشة استعادة موثقة في إصدار بنائي متحقَّق منه. وليست أي منهما محادثة دعم، ولا صفحة تعرض أن تفحص عبارة نيابة عنك.
النظام الضيف يرث ثقة مضيفه
الجهاز الظاهري يبدو حاسوبًا منفصلًا، لكنه ليس حدًّا مستقلًّا للثقة. ويصف إرشاد NIST بشأن الافتراضية الكاملة هذا الاعتماد مباشرةً: أمن الضيف يعتمد على المضيف والمراقي تحته، والموارد المشتركة مثل الحافظة أو دمج المجلدات توسّع القناة بينهما. وتثبيت ضيف على جهاز تشك فيه أصلًا لا ينشئ مسار إدخال جديدًا.
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
التسريبات العملية تسير على المنوال نفسه. الحافظة المشتركة تحمل كل ما نسخته. ولقطات الحالة وملفات الحالة المعلّقة قد تلتقط ذاكرة تحتوي العبارة. وإضافات الضيف ذات الوصول إلى نظام ملفات المضيف تمنح الضيف رؤية لمسارات المضيف وتمنح المضيف رؤية لمسارات الضيف. ولا شيء من هذا هجمات غريبة؛ إنها ميزات تجعل الجهاز الظاهري مريحًا.
الخلاصة الصادقة أضيق من «الجهاز الظاهري غير آمن». فقد يكون الجهاز الظاهري الوعاء الصحيح للعمل عندما يكون المضيف الجهاز الذي تثق به وتكون قد أزلت ميزات المشاركة. لكنه لا يستطيع إنقاذ مضيف لا تثق به.
ما يغطيه النفق المشفّر فعلاً
الشبكة الخاصة الافتراضية تحمي الحزم بين طرفين. وليس لها رأي في من يقرأ الشاشة عند أي من الطرفين، ولا تمنع عملية محلية من مراقبة ما تكتبه في نافذة. لذا فالنفق ذو صلة عندما يكون الشاغل هو المسار، وغير ذي صلة عندما يكون الشاغل هو المضيف.
هذا التمييز مهم لأن الاثنين يُباعان معًا. «اتصال مشفّر» يصف العبور؛ «جهاز موثوق» يصف الطرف. وإجراء الاستعادة يحتاج إلى إجابة عن الاثنين كلًا على حدة، وواحدة فقط منهما يمكن لخدمة شبكية أن تجيب عنها.
التحقق مما نزّلته ينتمي إلى العائلة نفسها من أسئلة الطرف. ففحص البصمة وفحص التوقيع يثبتان أن الأرشيف يطابق ما أصدره الناشر؛ ولا يقولان شيئًا عن الجهاز الذي سيشغّله.
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtجهّز البيئة قبل أن تظهر المادة
الترتيب أهم من الأدوات. حدّد المضيف، وأزل ميزات المشاركة، وافصل ما لا حاجة لوصله، وعندها فقط أخرج سجل الاستعادة من مخزنه. أما فعل ذلك بالترتيب المعاكس فيعني أن السرّ صار في الذاكرة وأنت لا تزال تقرر أين يجب أن يذهب.
ثم أبقِ السرّ في التدفّق الذي توثّقه جهة تصنيع المحفظة. أدخله في واجهة الاستعادة الخاصة بالمحفظة، على الشبكة التي تتوقعها المحفظة، ولا توافق إلا على عمليات تستطيع التحقق منها على الشاشة الموثوقة التي توفرها المحفظة. ونافذة سطح مكتب مألوفة ليست دليلًا على أن الجهاز سيأذن بما تدّعيه النافذة.
إن شككت في تعرّض السرّ، فتوقف عن إدخال أي مادة على ذلك النظام وانتقل إلى بيئة تستطيع الثقة بها باستقلال. إغلاق الجهاز الظاهري أو تغيير كلمة مرور الشبكة الخاصة الافتراضية أو إعادة تثبيت تطبيق المحفظة لا يغيّر سلطة المحفظة؛ الطريقة الوحيدة لذلك هي نقل الأصول إلى محفظة جديدة بمفاتيح مولّدة حديثًا. وأبقِ العبارة الخام خارج أي محادثة دعم بينما تحصل على الخطوات الخاصة بالمحفظة، لأن أية عملية دعم مشروعة لا تحتاج إليها. وهذه القاعدة الواحدة تمنع خسائر أكثر من أي قائمة تقوية.