Bạn nên nhập cụm từ khôi phục ví ở đâu?
Cụm từ khôi phục thuộc luồng phục hồi của chính chiếc ví, không phải một cuộc trò chuyện hỗ trợ hay một máy ảo đi mượn. Hãy lần theo nơi bí mật được nhập vào và ai có thể nhìn thấy.
Khôi phục ví trông giống một việc gõ văn bản nhưng thực chất là việc trông giữ khóa. Cụm từ bạn nhập không phải mật khẩu do máy chủ kiểm tra; nó là đầu vào của một hàm dẫn xuất dựng lại đúng những khóa riêng mà chiếc ví từng có trước khi bị mất. Bất cứ thứ gì đọc được lúc đó các lần gõ phím, bộ nhớ tạm hay bộ nhớ của tiến trình đều có thể dựng lại chúng. Vì vậy chuẩn bị nghĩa là quyết định nơi bí mật được phép tồn tại, trước khi nó tồn tại.
Lần theo cụm từ từ phương tiện đến khóa được dẫn xuất
Một cụm ghi nhớ kiểu BIP-39 được chuẩn hóa, được kéo giãn bằng PBKDF2-HMAC-SHA512 với một cụm mật khẩu tùy chọn làm muối, rồi chuyển thành hạt giống để ví dẫn xuất khóa. Từ đó trực tiếp suy ra hai hệ quả. Thứ nhất, cụm từ là thẩm quyền lâu dài chứ không phải thông tin đăng nhập của phiên, nên không có việc đặt lại từ phía máy chủ nếu nó lộ ra. Thứ hai, cụm mật khẩu tùy chọn tham gia vào quá trình dẫn xuất, và đó là lý do một lần phục hồi có vẻ tạo ra ví trống thường có nghĩa là đã nhập sai cụm mật khẩu, chứ không phải sai cụm từ.
Mọi bước sau khi chuẩn hóa đều diễn ra bên trong tiến trình mà bạn đã gõ vào. Đây là phần mà hầu hết hướng dẫn phục hồi bỏ qua: bề mặt phơi nhiễm là đường nhập và bộ nhớ của tiến trình đó, không phải mạng giữa bạn và một trang web.
Tiến trình nào là hợp lệ tùy thuộc vào chiếc ví. Thiết bị phần cứng có giao diện phục hồi riêng trên chính thiết bị; ví phần mềm có màn hình phục hồi được ghi tài liệu trong một bản dựng đã xác minh. Không cái nào là cuộc trò chuyện hỗ trợ, và không cái nào là trang đề nghị kiểm tra cụm từ thay bạn.
Hệ thống khách thừa hưởng sự tin cậy của máy chủ của nó
Máy ảo cho cảm giác như một máy tính riêng và không phải ranh giới tin cậy độc lập. Hướng dẫn của NIST về ảo hóa hoàn toàn mô tả sự phụ thuộc này trực tiếp: an toàn của khách phụ thuộc vào máy chủ và lớp ảo hóa bên dưới, còn các tài nguyên chia sẻ như bộ nhớ tạm hay tích hợp thư mục mở rộng kênh giữa chúng. Cài một hệ khách trên chiếc máy mà bạn đã nghi ngờ không tạo ra đường nhập mới.
| Control | What it addresses | What it leaves exposed |
|---|---|---|
| Verified wallet build | Running the code the publisher actually signed | Everything the running process can read once it starts |
| Live-boot environment, no persistent disk | Secrets left in swap, caches or a saved session | The firmware, the keyboard and the display path |
| Full-disk encryption on the host | Recovery material at rest after shutdown | The same material while the machine is unlocked |
| Tunnel to a trusted exit | Who can observe traffic in transit | Local processes, screen capture and input hooks |
Rò rỉ trên thực tế đi theo cùng một hướng. Bộ nhớ tạm chia sẻ mang theo mọi thứ bạn đã sao chép. Ảnh chụp nhanh và tệp trạng thái tạm dừng có thể bắt được bộ nhớ chứa cụm từ. Các tiện ích bổ sung cho khách có quyền truy cập hệ thống tệp của máy chủ cho khách thấy đường dẫn của máy chủ và cho máy chủ thấy đường dẫn của khách. Không điều nào trong số này là tấn công kỳ lạ; chúng là những tính năng khiến máy ảo trở nên tiện dụng.
Kết luận trung thực hẹp hơn câu «máy ảo không an toàn». Máy ảo có thể là vật chứa đúng cho công việc khi máy chủ là chiếc máy bạn tin cậy và bạn đã gỡ bỏ các tính năng chia sẻ. Nó không thể cứu một máy chủ mà bạn không tin cậy.
Đường hầm mã hóa thực sự bao phủ những gì
VPN bảo vệ các gói tin giữa hai điểm cuối. Nó không có ý kiến về việc ai đang đọc màn hình ở bất kỳ đầu nào, và nó không ngăn một tiến trình cục bộ quan sát những gì bạn gõ vào cửa sổ. Vì vậy đường hầm phù hợp khi mối lo là đường truyền, và không phù hợp khi mối lo là máy chủ.
Sự phân biệt này quan trọng vì hai thứ được bán cùng nhau. «Kết nối mã hóa» mô tả việc truyền tải; «thiết bị tin cậy» mô tả điểm cuối. Một quy trình phục hồi cần câu trả lời riêng cho cả hai, và chỉ một trong hai có thể do một dịch vụ mạng đưa ra.
Việc xác minh thứ bạn đã tải về thuộc cùng một nhóm câu hỏi về điểm cuối. Kiểm tra mã băm và kiểm tra chữ ký xác lập rằng tệp lưu trữ khớp với thứ nhà phát hành đã phát hành; chúng không nói gì về chiếc máy sẽ chạy nó.
sha256sum -c SHA256SUMS.txt
gpg --verify SHA256SUMS.txt.sig SHA256SUMS.txtChuẩn bị môi trường trước khi vật liệu xuất hiện
Thứ tự quan trọng hơn công cụ. Hãy quyết định máy chủ, gỡ bỏ các tính năng chia sẻ, ngắt kết nối những gì không cần kết nối, và chỉ sau đó mới lấy bản ghi phục hồi ra khỏi nơi cất giữ. Làm theo thứ tự ngược lại nghĩa là bí mật đã nằm trong bộ nhớ trong khi bạn còn đang quyết định nó nên đi đâu.
Sau đó hãy giữ bí mật trong luồng mà nhà sản xuất ví ghi tài liệu. Nhập nó vào giao diện phục hồi của chính chiếc ví, trên mạng mà ví mong đợi, và chỉ phê duyệt những thao tác bạn có thể xác minh trên màn hình tin cậy do ví cung cấp. Một hộp thoại quen thuộc trên màn hình nền không phải bằng chứng rằng thiết bị sẽ cho phép điều mà hộp thoại khẳng định.
Nếu nghi ngờ đã bị phơi nhiễm, hãy ngừng nhập vật liệu trên hệ thống đó và chuyển sang một môi trường mà bạn có thể tin cậy một cách độc lập. Đóng máy ảo, đổi mật khẩu VPN hay cài lại ứng dụng ví không xoay vòng thẩm quyền của ví; chỉ việc chuyển tài sản sang một chiếc ví mới với khóa được tạo mới mới làm được điều đó. Giữ cụm từ thô ngoài mọi cuộc trò chuyện hỗ trợ trong khi bạn lấy các bước dành riêng cho ví, vì không quy trình hỗ trợ hợp pháp nào cần đến nó. Chỉ một quy tắc đó ngăn được nhiều mất mát hơn bất kỳ danh sách kiểm tra gia cố nào.