היכן יש להקליד את צירוף השחזור של הארנק?
צירוף השחזור שייך לתהליך השחזור של הארנק עצמו, לא לצ’אט תמיכה ולא למכונה וירטואלית שאולה. עקבו אחרי היכן הסוד מוקלד ומי יכול להסתכל.
שחזור ארנק נראה כמו משימת הקלדת טקסט ולמעשה הוא משימת משמורת מפתחות. הצירוף שאתם מקלידים אינו סיסמה שנבדקת בשרת; הוא הקלט לפונקציית גזירה שבונה מחדש את אותם מפתחות פרטיים שהיו לארנק לפני שאבד. כל דבר שיכול לקרוא באותו רגע את ההקשות, את לוח העריכה או את הזיכרון של התהליך יכול לבנות אותם מחדש גם כן. לכן היערכות פירושה להחליט היכן הסוד רשאי להתקיים, לפני שהוא מתקיים.
עקבו אחרי הצירוף מהמדיום ועד למפתח הנגזר
מנמוניקה בסגנון BIP-39 מנורמלת, נמתחת באמצעות PBKDF2-HMAC-SHA512 עם ביטוי סיסמה אופציונלי כמלח, והופכת לזרע שממנו הארנק גוזר מפתחות. מכאן נובעות ישירות שתי תוצאות. ראשית, הצירוף הוא סמכות מתמשכת ולא אישור התחברות, ולכן אין איפוס בצד השרת אם הוא דולף. שנית, ביטוי הסיסמה האופציונלי משתתף בגזירה, ולכן שחזור שנראה כאילו יצר ארנק ריק בדרך כלל אומר שהוקלד ביטוי סיסמה שגוי, ולא צירוף שגוי.
כל שלב אחרי הנרמול מתרחש בתוך התהליך שאליו הקלדתם. זה החלק שרוב מדריכי השחזור מדלגים עליו: שטח החשיפה הוא נתיב הקלט והזיכרון של אותו תהליך, ולא הרשת ביניכם לבין אתר.
איזה תהליך הוא לגיטימי תלוי בארנק. להתקן חומרה יש ממשק שחזור משלו על ההתקן; לארנק תוכנה יש מסך שחזור מתועד בגרסה מאומתת. אף אחד מהם אינו צ’אט תמיכה, ואף אחד מהם אינו עמוד שמציע לבדוק צירוף עבורכם.
מערכת אורחת יורשת את האמון של המארח שלה
מכונה וירטואלית מרגישה כמו מחשב נפרד ואינה גבול אמון עצמאי. הנחיות NIST לווירטואליזציה מלאה מתארות את התלות ישירות: אבטחת האורח תלויה במארח ובמיישם הווירטואליזציה שמתחתיו, ומשאבים משותפים כמו לוח העריכה או שילוב תיקיות מרחיבים את הערוץ ביניהם. התקנת אורח על מכונה שאתם כבר חושדים בה אינה יוצרת נתיב קלט חדש.
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
דליפות מעשיות הולכות באותו קו. לוח עריכה משותף נושא כל מה שהעתקתם. תמונות מצב וקובצי מצב מושהה עלולים ללכוד זיכרון שמכיל את הצירוף. תוספי אורח עם גישה למערכת הקבצים של המארח נותנים לאורח מבט על נתיבי המארח ולמארח מבט על נתיבי האורח. אף אחד מאלה אינו מתקפה אקזוטית; אלו תכונות שהופכות את המכונה הווירטואלית לנוחה.
המסקנה הישרה צרה יותר מ«מכונה וירטואלית אינה בטוחה». מכונה וירטואלית יכולה להיות המכל הנכון לעבודה כאשר המארח הוא המכונה שאתם סומכים עליה והסרתם את תכונות השיתוף. היא אינה יכולה להציל מארח שאינכם סומכים עליו.
מה מנהרה מוצפנת מכסה באמת
VPN מגנה על חבילות בין שתי נקודות קצה. אין לה דעה מי קורא את המסך באף אחד מהקצוות, והיא אינה מונעת מתהליך מקומי לצפות במה שאתם מקלידים בחלון. לכן מנהרה רלוונטית כשהדאגה היא הנתיב, ולא רלוונטית כשהדאגה היא המארח.
ההבחנה הזו חשובה מפני ששניהם נמכרים יחד. «חיבור מוצפן» מתאר את המעבר; «התקן מהימן» מתאר את נקודת הקצה. נוהל שחזור צריך תשובה נפרדת לשניהם, ורק אחד מהם יכול שירות רשת לספק.
אימות מה שהורדתם שייך לאותה משפחה של שאלות על נקודת הקצה. בדיקת האש ובדיקת חתימה קובעות שהארכיון תואם את מה שהמפרסם הוציא; הן אינן אומרות דבר על המכונה שתריץ אותו.
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtהכינו את הסביבה לפני שהחומר מופיע
הסדר חשוב יותר מהכלים. החליטו על המארח, הסירו את תכונות השיתוף, נתקו את מה שאינו צריך להיות מחובר, ורק אז הוציאו את רשומת השחזור מהאחסון שלה. עשייה בסדר ההפוך פירושה שהסוד כבר בזיכרון בזמן שאתם עדיין מחליטים לאן הוא צריך ללכת.
לאחר מכן החזיקו את הסוד בתהליך שמתעד יצרן הארנק. הקלידו אותו בממשק השחזור של הארנק עצמו, ברשת שהארנק מצפה לה, ואשרו רק פעולות שאתם יכולים לאמת על התצוגה המהימנה שהארנק מספק. תיבת דו־שיח מוכרת בשולחן העבודה אינה הוכחה שההתקן יאשר את מה שתיבת הדו־שיח טוענת.
אם אתם חושדים בחשיפה, הפסיקו להקליד חומר במערכת ההיא ועברו לסביבה שאתם יכולים לסמוך עליה באופן עצמאי. סגירת המכונה הווירטואלית, החלפת סיסמת VPN או התקנה מחדש של אפליקציית הארנק אינן מסובבות את הסמכות של הארנק; רק העברת הנכסים לארנק חדש עם מפתחות שנוצרו מחדש עושה זאת. החזיקו את הצירוף הגולמי מחוץ לכל שיחת תמיכה בזמן שאתם משיגים את השלבים הספציפיים לארנק, מפני שאף תהליך תמיכה לגיטימי אינו זקוק לו. הכלל האחד הזה מונע יותר הפסדים מכל רשימת הקשחה.