Капчыкты калыбына келтирүү фразасын кайда теруу керек?
Калыбына келтирүү фразасы капчыктын өзүнүн калыбына келтирүү агымына таандык, колдоо чатына же карызга алынган виртуалдык машинага эмес. Сыр кайда киргизилерин жана ким көрө аларын көзөмөлдөңүз.
Капчыкты калыбына келтирүү текст киргизүү ишине окшошуп көрүнөт, бирок чындыгында ачкычтарды сактоо иши. Сиз терген фраза сервер текшере турган сырсөз эмес; ал капчык жоголгонго чейин ээ болгон ошол эле жеке ачкычтарды кайра кура турган туунду функциянын кириши. Ошол учурда баскыч басууларды, алмашуу буферди же процесстин эсин окуй алган нерсе аларды да кайра кура алат. Ошондуктан даярдык дегенибиз сыр кайда болушу мүмкүн экенин, ал пайда боло электе чечүү.
Фразаны алып жүрүүчүдөн туунду ачкычка чейин көзөмөлдөңүз
BIP-39 стилиндеги мнемоника нормалдаштырылат, туз катары милдеттүү эмес сырсөз фразасын колдонуп PBKDF2-HMAC-SHA512 аркылуу созулат жана капчык ачкычтарды туунду кылган урукка айланат. Андан түздөн-түз эки натыйжа келип чыгат. Биринчиден, фраза сессиялык күбөлүк эмес, туруктуу ыйгарым укук, ошондуктан ал сыртка чыкса сервер тараптан кайра орнотуу жок. Экинчиден, милдеттүү эмес сырсөз фразасы туундуга катышат, ошондуктан бош капчык жараткандай көрүнгөн калыбына келтирүү көбүнчө фраза эмес, туура эмес сырсөз фразасы киргизилгенин билдирет.
Нормалдаштыруудан кийинки ар бир кадам сиз терген процесстин ичинде өтөт. Көптөгөн калыбына келтирүү нускамалары ушул бөлүктү өткөрүп жиберет: таасир тийүү бети — кирүү жолу жана ошол процесстин эси, сиз менен сайттын ортосундагы тармак эмес.
Кайсы процесс мыйзамдуу экени капчыкка байланыштуу. Аппараттык түзмөктүн өзүндө өзүнүн калыбына келтирүү интерфейси бар; программалык капчыктын текшерилген курулушунда документтелген калыбына келтирүү экраны бар. Экөө тең колдоо чаты эмес жана экөө тең фразаны сиздин ордуңузга текшерүүнү сунуш кылган барак эмес.
Конок система өз хостунун ишенимин мураска алат
Виртуалдык машина өзүнчө компьютердей сезилет жана көз карандысыз ишеним чек арасы эмес. NIST'тин толук виртуалдаштыруу боюнча нускамасы бул көз карандылыкты түздөн-түз сүрөттөйт: коноктун коопсуздугу хостко жана анын астындагы гипервизорго көз каранды, ал эми алмашуу буферди же папка интеграциясы сыяктуу жалпы ресурстар алардын ортосундагы каналды кеңейтет. Сиз шектенген машинага конок орнотуу жаңы кирүү жолун жаратпайт.
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
Практикалык агымдар ошол эле сызыкты ээрчийт. Жалпы алмашуу буфер көчүргөнүңүздүн баарын алып жүрөт. Сүрөттөр жана токтотулган абалдын файлдары фразаны камтыган эсти кармай алат. Хосттун файлдык системасына кирүү укугу бар конок кошумчалары конокко хосттун жолдорун, ал эми хостко коноктун жолдорун көрсөтөт. Булардын эч бири экзотикалык чабуул эмес; бул виртуалдык машинаны ыңгайлуу кылган функциялар.
Адал тыянак «виртуалдык машина коопсуз эмес» дегенден кууш. Хост сиз ишенген машина болсо жана жалпылоо функцияларын алып салсаңыз, виртуалдык машина иш үчүн туура идиш болушу мүмкүн. Сиз ишенбеген хостту ал куткара албайт.
Шифрленген туннель чындыгында эмнени жабат
VPN эки чектик чекиттин ортосундагы пакеттерди коргойт. Анын кайсы тарапта экранды ким окуп жатканы тууралуу пикири жок жана локалдык процесстин терезеге эмне тергениңизди байкоосуна тоскоол болбойт. Ошондуктан тынчсыздануу жол тууралуу болсо туннель тиешелүү, ал эми тынчсыздануу хост тууралуу болсо тиешелүү эмес.
Бул айырма маанилүү, анткени экөө бирге сатылат. «Шифрленген байланыш» өтүүнү сүрөттөйт, «ишенимдүү түзмөк» чектик чекитти сүрөттөйт. Калыбына келтирүү жол-жобосу экөөнө тең өзүнчө жооп талап кылат жана алардын бирине гана тармактык кызмат жооп бере алат.
Жүктөп алганыңызды текшерүү чектик чекит тууралуу суроолордун ошол эле үй-бүлөсүнө таандык. Хэш текшерүү жана колтамга текшерүү архив чыгаруучу тарабынан чыгарылганына дал келерин аныктайт; алар аны иштете турган машина тууралуу эч нерсе айтпайт.
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtМатериал пайда боло электе чөйрөнү даярдаңыз
Тартип куралдардан маанилүүрөөк. Хостту чечиңиз, жалпылоо функцияларын алып салыңыз, туташтыруунун кереги жок нерсени ажыратыңыз, ошондон кийин гана калыбына келтирүү жазуусун сактоочусунан чыгарыңыз. Тескери тартипте кылуу сыр кайда барышы керектигин али чечип жатканда эле эсте болушун билдирет.
Андан кийин сырды капчык өндүрүүчүсү документтеген агымда кармаңыз. Аны капчыктын өзүнүн калыбына келтирүү интерфейсине, капчык күткөн тармакка киргизиңиз жана капчык сунуш кылган ишенимдүү дисплейде текшере алган аракеттерди гана бекитиңиз. Тааныш иш тактасынын диалогу түзмөктүн диалог айтканды уруксат кыларына далил эмес.
Эгер таасир тийүүгө шектенсеңиз, ошол системада материал киргизүүнү токтотуп, өз алдынча ишене алган чөйрөгө өтүңүз. Виртуалдык машинаны жабуу, VPN сырсөзүн өзгөртүү же капчык колдонмосун кайра орнотуу капчыктын ыйгарым укугун айландырбайт; муну жаңы жасалган ачкычтар менен жаңы капчыкка активдерди көчүрүү гана жасайт. Капчыкка тиешелүү кадамдарды алып жатканда чийки фразаны кандайдыр бир колдоо сүйлөшүүсүнөн тышкары кармаңыз, анткени эч бир мыйзамдуу колдоо процессине ал керек эмес. Ушул бир эреже кандайдыр бир бекемдетүү текшерүү тизмесинен да көп жоготууну болтурбайт.