ওয়ালেট রিকভারি ফ্রেজ কোথায় টাইপ করা উচিত?
রিকভারি ফ্রেজের জায়গা ওয়ালেটের নিজের রিস্টোর প্রবাহে, সাপোর্ট চ্যাটে বা ধার করা ভার্চুয়াল মেশিনে নয়। গোপনটি কোথায় ঢোকানো হয় এবং কে দেখতে পারে তা অনুসরণ করুন।
ওয়ালেট রিকভারি দেখতে টেক্সট লেখার কাজ মনে হলেও আসলে এটি কী-সংরক্ষণের কাজ। আপনি যে ফ্রেজ টাইপ করেন তা সার্ভার-যাচাই করা পাসওয়ার্ড নয়; এটি একটি ডেরিভেশন ফাংশনের ইনপুট, যা ওয়ালেট হারানোর আগে যে প্রাইভেট কীগুলো ছিল সেগুলোই পুনর্গঠন করে। ওই মুহূর্তে কিস্ট্রোক, ক্লিপবোর্ড বা প্রসেসের মেমোরি পড়তে পারে এমন কিছুও সেগুলো পুনর্গঠন করতে পারে। তাই প্রস্তুতির অর্থ হলো গোপনটি কোথায় থাকতে পারবে তা ঠিক করা, তার অস্তিত্বের আগেই।
মাধ্যম থেকে ডেরাইভ করা কী পর্যন্ত ফ্রেজটি অনুসরণ করুন
BIP-39 ধরনের একটি নেমোনিক নরমালাইজ করা হয়, ঐচ্ছিক পাসফ্রেজকে লবণ হিসেবে ব্যবহার করে PBKDF2-HMAC-SHA512 দিয়ে প্রসারিত করা হয়, এবং একটি সিডে রূপান্তরিত হয়, যেখান থেকে ওয়ালেট কী ডেরাইভ করে। এ থেকে সরাসরি দুটি পরিণতি আসে। প্রথমত, ফ্রেজ হলো স্থায়ী কর্তৃত্ব, সেশন ক্রেডেনশিয়াল নয়, তাই তা ফাঁস হলে সার্ভার-সাইড রিসেট নেই। দ্বিতীয়ত, ঐচ্ছিক পাসফ্রেজ ডেরিভেশনে অংশ নেয়, তাই যে রিস্টোর খালি ওয়ালেট তৈরি করছে বলে মনে হয়, সাধারণত তার অর্থ ভুল ফ্রেজ নয়, বরং ভুল পাসফ্রেজ ঢোকানো হয়েছে।
নরমালাইজেশনের পরের প্রতিটি ধাপ আপনি যে প্রসেসে টাইপ করেছেন তার ভিতরেই ঘটে। রিকভারি নির্দেশিকার বেশিরভাগই এই অংশটি বাদ দেয়: এক্সপোজারের পৃষ্ঠ হলো ইনপুট পথ এবং ওই প্রসেসের মেমোরি, আপনি ও একটি ওয়েবসাইটের মধ্যকার নেটওয়ার্ক নয়।
কোন প্রসেস বৈধ তা ওয়ালেটের উপর নির্ভর করে। হার্ডওয়্যার ডিভাইসের নিজস্ব অন-ডিভাইস রিকভারি ইন্টারফেস থাকে; সফটওয়্যার ওয়ালেটের যাচাই করা বিল্ডে নথিভুক্ত রিস্টোর স্ক্রিন থাকে। কোনোটিই সাপোর্ট চ্যাট নয়, আর কোনোটিই এমন পৃষ্ঠা নয় যা আপনার হয়ে ফ্রেজ যাচাই করার প্রস্তাব দেয়।
গেস্ট সিস্টেম তার হোস্টের আস্থা উত্তরাধিকার করে
ভার্চুয়াল মেশিন আলাদা কম্পিউটারের মতো মনে হয়, কিন্তু এটি স্বাধীন আস্থার সীমানা নয়। পূর্ণ ভার্চুয়ালাইজেশন বিষয়ে NIST-এর নির্দেশনা এই নির্ভরতা সরাসরি বর্ণনা করে: গেস্টের নিরাপত্তা হোস্ট এবং তার নিচের হাইপারভাইজারের উপর নির্ভর করে, আর ক্লিপবোর্ড বা ফোল্ডার ইন্টিগ্রেশনের মতো ভাগ করা রিসোর্স তাদের মধ্যকার চ্যানেল প্রশস্ত করে। আপনি ইতিমধ্যে যে মেশিনে সন্দেহ করেন সেখানে গেস্ট ইনস্টল করলে নতুন ইনপুট পথ তৈরি হয় না।
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
ব্যবহারিক ফাঁস একই পথ অনুসরণ করে। ভাগ করা ক্লিপবোর্ড আপনার কপি করা সবকিছু বহন করে। স্ন্যাপশট এবং স্থগিত-অবস্থার ফাইল ফ্রেজযুক্ত মেমোরি ধারণ করতে পারে। হোস্ট ফাইলসিস্টেমে প্রবেশাধিকারসহ গেস্ট অ্যাডিশন গেস্টকে হোস্টের পথ দেখায় এবং হোস্টকে গেস্টের পথ দেখায়। এর কোনোটিই অদ্ভুত আক্রমণ নয়; এগুলোই ভার্চুয়াল মেশিনকে সুবিধাজনক করে তোলে।
সৎ উপসংহারটি «ভার্চুয়াল মেশিন অনিরাপদ»-এর চেয়ে সংকীর্ণ। হোস্ট যখন আপনার আস্থাভাজন মেশিন এবং আপনি শেয়ারিং সুবিধাগুলো সরিয়ে ফেলেছেন, তখন ভার্চুয়াল মেশিন কাজটির জন্য সঠিক পাত্র হতে পারে। কিন্তু যে হোস্টে আপনি আস্থা রাখেন না, তাকে এটি রক্ষা করতে পারে না।
এনক্রিপ্টেড টানেল আসলে কী ঢাকে
VPN দুই প্রান্তের মধ্যে প্যাকেট রক্ষা করে। উভয় প্রান্তে কে স্ক্রিন পড়ছে তা নিয়ে এর কোনো মত নেই, আর আপনি জানালায় কী টাইপ করছেন তা স্থানীয় প্রসেসের দেখায় বাধা দেয় না। অতএব উদ্বেগ যখন পথ নিয়ে, তখন টানেল প্রাসঙ্গিক; আর উদ্বেগ যখন হোস্ট নিয়ে, তখন তা অপ্রাসঙ্গিক।
এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ দুটোই একসাথে বিক্রি হয়। «এনক্রিপ্টেড সংযোগ» ট্রানজিট বর্ণনা করে; «বিশ্বস্ত ডিভাইস» প্রান্তটি বর্ণনা করে। রিকভারি প্রক্রিয়ার জন্য দুটোরই আলাদা উত্তর দরকার, এবং নেটওয়ার্ক সেবা তাদের একটিরই উত্তর দিতে পারে।
আপনি যা ডাউনলোড করেছেন তা যাচাই করা একই ধরনের প্রান্ত-সংক্রান্ত প্রশ্নের অংশ। হ্যাশ যাচাই ও সিগনেচার যাচাই প্রতিষ্ঠা করে যে আর্কাইভ প্রকাশকের প্রকাশিতটির সাথে মেলে; এটি যে মেশিনে চালানো হবে সে সম্পর্কে কিছুই বলে না।
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtউপাদান আবির্ভূত হওয়ার আগেই পরিবেশ প্রস্তুত করুন
টুলের চেয়ে ক্রম বেশি গুরুত্বপূর্ণ। হোস্ট ঠিক করুন, শেয়ারিং সুবিধা সরান, যা সংযুক্ত থাকার দরকার নেই তা বিচ্ছিন্ন করুন, এবং তবেই রিকভারি রেকর্ডটি তার সংরক্ষণ থেকে বের করুন। উল্টো ক্রমে করলে গোপনটি ইতিমধ্যে মেমোরিতে থাকে, যখন আপনি এখনো ঠিক করছেন এটি কোথায় যাবে।
তারপর গোপনটি ওয়ালেট প্রস্তুতকারকের নথিভুক্ত প্রবাহে রাখুন। ওয়ালেটের নিজের রিস্টোর ইন্টারফেসে, ওয়ালেট যে নেটওয়ার্ক প্রত্যাশা করে সেখানে এটি ঢোকান, এবং কেবল এমন কাজ অনুমোদন করুন যা ওয়ালেটের দেওয়া বিশ্বস্ত ডিসপ্লেতে যাচাই করতে পারেন। পরিচিত ডেস্কটপ ডায়ালগ এই প্রমাণ নয় যে ডিভাইসটি ডায়ালগের দাবি অনুমোদন করবে।
যদি এক্সপোজারের সন্দেহ হয়, ওই সিস্টেমে উপাদান ঢোকানো বন্ধ করুন এবং স্বাধীনভাবে বিশ্বাসযোগ্য পরিবেশে যান। ভার্চুয়াল মেশিন বন্ধ করা, VPN পাসওয়ার্ড বদলানো বা ওয়ালেট অ্যাপ পুনঃইনস্টল করা ওয়ালেটের কর্তৃত্ব ঘোরায় না; কেবল নতুন তৈরি কীসহ নতুন ওয়ালেটে সম্পদ সরানো তা করে। ওয়ালেট-নির্দিষ্ট ধাপগুলো পাওয়ার সময় কাঁচা ফ্রেজটি যেকোনো সাপোর্ট আলাপের বাইরে রাখুন, কারণ কোনো বৈধ সাপোর্ট প্রক্রিয়ারই এটি দরকার নেই। এই একটি নিয়ম যেকোনো হার্ডেনিং চেকলিস্টের চেয়ে বেশি ক্ষতি ঠেকায়।