Fejn għandek tittajpja l-frażi tal-irkupru ta’ kartiera?
Il-frażi tal-irkupru tappartjeni għall-fluss tal-irkupru tal-kartiera stess, mhux għal chat ta’ appoġġ jew magna virtwali mislufa. Segwi fejn jiddaħħal is-sigriet u min jista’ jħares.
L-irkupru ta’ kartiera jidher bħal xogħol ta’ ttipjar ta’ test u fil-verità huwa xogħol ta’ kustodja ta’ ċwievet. Il-frażi li tittajpja mhijiex password li tiġi vverifikata minn server; hija l-input ta’ funzjoni ta’ derivazzjoni li terġa’ tibni l-istess ċwievet privati li l-kartiera kellha qabel ma ntilfet. Kull ħaġa li f’dak il-mument tista’ taqra l-ittajpjar, il-clipboard jew il-memorja tal-proċess tista’ terġa’ tibnihom ukoll. Għalhekk it-tħejjija tfisser li tiddeċiedi fejn is-sigriet jista’ jeżisti, qabel ma jeżisti.
Segwi l-frażi mill-mezz sal-cavetta derivata
Mnemoniku bl-istil BIP-39 jiġi normalizzat, jiġi estiż b’PBKDF2-HMAC-SHA512 bl-użu ta’ frażi tal-password fakultattiva bħala melħ, u jinbidel f’żerriegħa li minnha l-kartiera tiddeniva ċ-ċwievet. Minn dan joħorġu direttament żewġ konsegwenzi. L-ewwel, il-frażi hija awtorità dejjiema u mhux kredenzjali tas-sessjoni, għalhekk m’hemm l-ebda reset min-naħa tas-server jekk taħrab. It-tieni, il-frażi tal-password fakultattiva tipparteċipa fid-derivazzjoni, u għalhekk irkupru li jidher li jipproduċi kartiera vojta normalment ifisser li ddaħħlet frażi tal-password ħażina, mhux frażi ħażina.
Kull pass wara n-normalizzazzjoni jseħħ ġewwa l-proċess li fih ittajpjajt. Dan huwa l-parti li l-biċċa l-kbira tal-gwidi tal-irkupru jħallu barra: il-wiċċ tal-espożizzjoni huwa l-passaġġ tal-input u l-memorja ta’ dak il-proċess, mhux in-netwerk bejnek u sit web.
Liema proċess huwa leġittimu jiddependi mill-kartiera. Apparat ta’ ħardwer għandu l-interface tal-irkupru tiegħu stess fuq l-apparat; kartiera tas-software għandha skrin tal-irkupru dokumentat fi build ivverifikat. L-ebda waħda mhi chat ta’ appoġġ, u l-ebda waħda mhi paġna li toffri li tivverifika frażi għalik.
Sistema mistiedna tiret il-fiduċja tal-host tagħha
Magna virtwali tħoss bħal kompjuter separat u mhijiex konfini tal-fiduċja indipendenti. Il-gwida NIST dwar il-virtwalizzazzjoni sħiħa tiddeskrivi d-dipendenza direttament: is-sigurtà tal-mistieden tiddependi mill-host u mill-hypervisor taħtu, u r-riżorsi kondiviżi bħall-clipboard jew l-integrazzjoni tal-folders iwessgħu l-kanal bejniethom. L-installazzjoni ta’ mistieden fuq magna li diġà tissuspetta ma toħloqx passaġġ tal-input ġdid.
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
Tnixxijiet prattiċi jsegwu l-istess linja. Clipboard kondiviż iġorr kull ma kkupjajt. Is-snapshots u l-fajls tal-istat sospiż jistgħu jaqbdu memorja li fiha l-frażi. Iż-żidiet tal-mistieden b’aċċess għas-sistema tal-fajls tal-host jagħtu lill-mistieden veduta tal-passaġġi tal-host u lill-host veduta tal-passaġġi tal-mistieden. Xejn minn dawn mhu attakk eżotiku; huma karatteristiċi li jagħmlu l-magna virtwali komda.
Il-konklużjoni onesta hija eqreb minn «magna virtwali mhix sigura». Magna virtwali tista’ tkun il-kontenitur it-tajjeb għax-xogħol meta l-host hija l-magna li tafda u tkun neħħejt il-karatteristiċi tal-kondiviżjoni. Ma tistax issalva host li ma tafdax.
X’ikopri tassew tunnel encrypted
VPN jipproteġi l-pakketti bejn żewġ punti tat-tarf. M’għandux fehma dwar min qed jaqra l-iskrin f’kull tarf, u ma jżommx proċess lokali milli josserva dak li tittajpja f’tieqa. Għalhekk tunnel huwa rilevanti meta l-ħsieb huwa l-passaġġ, u mhux rilevanti meta l-ħsieb huwa l-host.
Din id-distinzjoni hija importanti għax it-tnejn jinbiegħu flimkien. «Konnessjoni encrypted» tiddeskrivi t-transitu; «apparat afdat» jiddeskrivi l-punt tat-tarf. Proċedura tal-irkupru teħtieġ tweġiba separata għat-tnejn, u waħda biss minnhom tista’ tingħata minn servizz tan-netwerk.
Il-verifika ta’ dak li niżżilt tappartjeni għall-istess familja ta’ mistoqsijiet dwar il-punt tat-tarf. Verifika tal-hash u verifika tal-firma jistabbilixxu li l-arkivju jaqbel ma’ dak li ħareġ il-pubblikatur; ma jgħidu xejn dwar il-magna li se taħdem.
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtĦejji l-ambjent qabel ma jidher il-materjal
L-ordni hija aktar importanti mill-għodod. Iddeċiedi l-host, neħħi l-karatteristiċi tal-kondiviżjoni, skonnettja dak li m’għandux bżonn ikun konness, u biss imbagħad oħroġ ir-rekord tal-irkupru mill-ħażna tiegħu. Li tagħmilha bl-ordni maqluba jfisser li s-sigriet diġà fil-memorja waqt li għadek tiddeċiedi fejn għandu jmur.
Imbagħad żomm is-sigriet fil-fluss li jiddokumenta l-manifattur tal-kartiera. Idħlu fl-interface tal-irkupru tal-kartiera stess, fuq in-netwerk li l-kartiera tistenna, u approva biss operazzjonijiet li tista’ tivverifika fuq il-wiri afdat li l-kartiera tipprovdi. Dialog tad-desktop familjari mhuwiex prova li l-apparat se jawtorizza dak li jiddikjara d-dialog.
Jekk tissuspetta espożizzjoni, waqqaf milli ddaħħal materjal fuq dik is-sistema u mur f’ambjent li tista’ tafda indipendentement. L-għeluq tal-magna virtwali, il-bdil tal-password tal-VPN jew l-installazzjoni mill-ġdid tal-applikazzjoni tal-kartiera ma jdawwrux l-awtorità tal-kartiera; dan jagħmlu biss it-trasferiment tal-assi għal kartiera ġdida b’ċwievet iġġenerati mill-ġdid. Żomm il-frażi mhux maħduma barra minn kull konversazzjoni tal-appoġġ waqt li tikseb il-passi speċifiċi għall-kartiera, għax l-ebda proċess tal-appoġġ leġittimu ma jeħtiġha. Dik ir-regola waħda tipprevjeni aktar telf minn kull lista ta’ verifika tat-tħejjija.