Әмиянды қалпына келтіру фразасын қайда терген жөн?
Қалпына келтіру фразасы әмиянның өз қалпына келтіру ағынына тиесілі, қолдау чатына немесе жалға алынған виртуалды машинаға емес. Құпияның қайда енгізілетінін және кімнің көре алатынын қадағалаңыз.
Әмиянды қалпына келтіру мәтін енгізу міндетіне ұқсайды, бірақ шын мәнінде кілттерді сақтау міндеті. Сіз теретін фраза сервер тексеретін құпиясөз емес; ол әмиян жоғалмай тұрып иеленген сол жеке кілттерді қайта құратын туынды функцияның кірісі. Сол сәтте перне басуларды, алмасу буферін немесе процестің жадын оқи алатын кез келген нәрсе оларды да қайта құра алады. Сондықтан дайындық дегеніміз құпия қайда бола алатынын, ол пайда болмай тұрып шешу.
Фразаны тасымалдаушыдан туынды кілтке дейін қадағалаңыз
BIP-39 үлгісіндегі мнемоника нормалданады, тұз ретінде міндетті емес құпиясөз фразасын пайдаланып PBKDF2-HMAC-SHA512 арқылы созылады және әмиян кілттерді туындататын тұқымға айналады. Одан бірден екі салдар шығады. Біріншіден, фраза сессиялық куәлік емес, тұрақты өкілеттік, сондықтан ол сыртқа шықса, сервер жағында қалпына келтіру жоқ. Екіншіден, міндетті емес құпиясөз фразасы туындыға қатысады, сондықтан бос әмиян жасағандай көрінетін қалпына келтіру әдетте фраза емес, қате құпиясөз фразасы енгізілгенін білдіреді.
Нормалдаудан кейінгі әрбір қадам сіз терген процестің ішінде өтеді. Көптеген қалпына келтіру нұсқаулықтары дәл осы бөлікті өткізіп жібереді: әсер ету беті — кіріс жолы мен сол процестің жады, сіз бен сайт арасындағы желі емес.
Қай процесс заңды екені әмиянға байланысты. Аппараттық құрылғының өз қалпына келтіру интерфейсі құрылғының өзінде бар; бағдарламалық әмиянның тексерілген құрастырмасында құжатталған қалпына келтіру экраны бар. Екеуі де қолдау чаты емес және екеуі де фразаны сіздің орныңызға тексеруді ұсынатын бет емес.
Қонақ жүйе өз хостының сенімін мұраға алады
Виртуалды машина бөлек компьютер сияқты сезіледі және тәуелсіз сенім шекарасы емес. NIST-тің толық виртуалдау туралы нұсқаулығы бұл тәуелділікті тікелей сипаттайды: қонақтың қауіпсіздігі хостқа және оның астындағы гипервизорға тәуелді, ал алмасу буфері немесе қалта интеграциясы сияқты ортақ ресурстар олардың арасындағы арнаны кеңейтеді. Сіз күдіктенетін машинаға қонақ орнату жаңа кіріс жолын жасамайды.
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
Практикалық ағып кетулер сол сызықты ұстанады. Ортақ алмасу буфері көшіргеннің бәрін тасымалдайды. Суреттер мен кідіртілген күй файлдары фраза бар жадты түсіре алады. Хосттың файлдық жүйесіне қатынасы бар қонақ қосымшалары қонаққа хост жолдарының, ал хостқа қонақ жолдарының көрінісін береді. Бұлардың ешқайсысы экзотикалық шабуыл емес; бұл виртуалды машинаны қолайлы ететін мүмкіндіктер.
Адал қорытынды «виртуалды машина қауіпсіз емес» дегеннен тар. Хост сіз сенетін машина болса және ортақтасу мүмкіндіктерін алып тастасаңыз, виртуалды машина жұмыс үшін дұрыс ыдыс болуы мүмкін. Ол сіз сенбейтін хостты құтқара алмайды.
Шифрланған туннель шын мәнінде нені жабады
VPN екі шеткі нүкте арасындағы пакеттерді қорғайды. Оның кез келген жақта экранды кім оқитыны туралы пікірі жоқ және жергілікті процестің терезеге не теретінін бақылауына кедергі болмайды. Сондықтан алаңдаушылық жол туралы болса, туннель өзекті, ал алаңдаушылық хост туралы болса, өзекті емес.
Бұл айырмашылық маңызды, өйткені екеуі бірге сатылады. «Шифрланған қосылым» өтуді сипаттайды, «сенімді құрылғы» шеткі нүктені сипаттайды. Қалпына келтіру рәсімі екеуіне бөлек жауап қажет етеді және олардың тек біреуіне ғана желілік қызмет жауап бере алады.
Жүктегеніңізді тексеру шеткі нүкте туралы сұрақтардың сол отбасына жатады. Хэш тексеруі мен қолтаңба тексеруі мұрағаттың баспагер шығарғанына сәйкес келетінін анықтайды; олар оны іске қосатын машина туралы ештеңе айтпайды.
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtМатериал пайда болмай тұрып ортаны дайындаңыз
Рет құралдардан маңыздырақ. Хостты шешіңіз, ортақтасу мүмкіндіктерін алып тастаңыз, қосудың қажеті жоқ нәрсені ажыратыңыз, содан кейін ғана қалпына келтіру жазбасын сақтау орнынан шығарыңыз. Кері ретпен жасау құпия қайда баруы керегін әлі шешіп жатқанда оның жадыда болуын білдіреді.
Содан кейін құпияны әмиян өндірушісі құжаттайтын ағында ұстаңыз. Оны әмиянның өз қалпына келтіру интерфейсіне, әмиян күтетін желіде енгізіңіз және тек әмиян ұсынатын сенімді дисплейде тексере алатын әрекеттерді ғана мақұлдаңыз. Таныс жұмыс үстелінің диалогы құрылғының диалог айтқанын рұқсат ететініне дәлел емес.
Егер әсер етуге күдіктенсеңіз, сол жүйеде материал енгізуді тоқтатып, өз бетінше сенуге болатын ортаға көшіңіз. Виртуалды машинаны жабу, VPN құпиясөзін өзгерту немесе әмиян қолданбасын қайта орнату әмиянның өкілеттігін айналдырмайды; мұны тек активтерді жаңадан жасалған кілттермен жаңа әмиянға көшіру жасайды. Әмиянға тән қадамдарды алып жатқанда шикі фразаны кез келген қолдау әңгімесінің сыртында ұстаңыз, өйткені ол ешбір заңды қолдау процесіне қажет емес. Осы бір ереже кез келген қатайту тізімінен де көп шығынды болдырмайды.