Donanım cüzdanları: cihazda imza, güvenli ekranlar ve çip…

Donanım cüzdanları açıklaması: özel anahtarlarınızı üreten ve saklayan, yalnızca imzalı işlemler çıkartan, bu nedenle tehlikeye atılmış bir bilgisayarın anahtarlarınızı kopyalayamayacağı amaçlı olarak tasarlanmış imzalama cihazlarıdır. Güvenlik sonucu, iki doğrulayabileceğiniz şeye bağlıdır: anahtarların cihazdan hiç çıkıp çıkmadığı ve cihazın ekranı ile çip mimarisinin hem kandırmayı hem de çıkarımı engelleyip engellemediği.

Anahtar Noktalar

• Bir donanım cüzdanıcihazda kripto varlıkları saklamaz. Cihazda, zincir üstü fonları kontrol eden özel anahtarları saklar.
• Temel koruma, yalnızca imzalı bir işlemin cihazdan çıkmasına izin veren, özel anahtarın bağlı bilgisayar veya telefona asla dokunmadığı cihaz içi işlem imzalamadır.
• Donanım cüzdanı güvenlik çip tasarımına göre değişir, Ledger yaygın tasarımları genel MCU'lar, “güvenli bellek” ve Güvenli Elemanlar ile Ortak Kriter güvencesi ile.
• Cihaz ekranı yürütme kontrol noktasıdır: “gördüğünüz şey imzaladığınız şeydir” bu, ana bilgisayar kötü amaçlı yazılımını engellemek ile yanlış bir işlemi onaylamak arasındaki farktır.

Donanım cüzdanları kripto anahtarlarını nasıl korur

Kripto sahipliği, bir özel anahtarın kontrolü anlamına gelir, bir cihazın sahipliği değil. Cihazın görevi, o özel anahtarın, aslında çoğu hırsızlığın gerçekleştiği internet bağlantılı ortamda, yani tarayıcılar, eklentiler, mobil uygulamalar ve bunların altındaki işletim sistemi gibi yerlerde asla ifşa edilmesini sağlamaktır. Bu nedenle temiz zihinsel model “imzalama makinesi”dir, “kasası” değil. Varlıklar zincir üzerinde yaşar ve donanım cüzdanı hareketi yetkilendirebilecek sırrı tutar.

Bu ayrım önemlidir çünkü ekranda “soğuk depolama” gerçekten ne anlama geldiğini değiştirir. Bir donanım cüzdanı bir dizüstü bilgisayara takılabilir ve yine de anlamlı bir şekilde daha güvenli olabilir.sıcak cüzdan, çünkü dizüstü bilgisayar asla özel anahtarı almaz.

Coin Bureau’nun karşılaştırması, anahtar farkını tam olarak burada çerçeveliyor: donanım cüzdanları anahtarları ayrı bir cihazda tutar ve içsel olarak imzalar, yalnızca yayınlanmak üzere imzalanmış işlemi geri döner.

İkinci koruma doğrulamadır, izolasyon değil. Ledger’ın güvenlik modeli, güvenli ekranın anahtarları tutan aynı güvenlik sınırı tarafından yönlendirildiğine büyük ölçüde dayanır, böylece cihaz gerçek hedefi adres ve ev sahibi enfekte olsa bile diğer işlem detaylarını gösterebilir. Bu, “gördüğünüz şey, imzaladığınız şeydir” özelliğidir.

Bilgisayarı veya telefonu güvenilmez bir ortam olarak değerlendirin ve donanım cüzdanı ekranını son yürütme onayı olarak ele alın.

Bu, kripto cüzdan türlerinin daha geniş bağlamının açıklanmasının faydalı olduğu yerdir. “Cüzdan” aşırı yüklenmiş bir dildir. Anlamlı ayrım, özel anahtarın genel bir ortamda (sıcak) var olup olmadığı veya çıkarılmaya ve manipülasyona dirençli olarak tasarlanmış bir amaç odaklı cihazın içinde kalıp kalmadığıdır (donanım).

Cihaz üzerindeki işlem imzalama akışı

Akış yüzeyde basit, ancak güvenlik her adımın nerede gerçekleştiğinden gelir. Normal bir gönderim, takas veya sözleşme etkileşimi, dizüstü bilgisayar veya telefondaki bir cüzdan uygulamasında başlar ve imzasız bir işlem hazırlar. O imzasız yük, yalnızca talimatlar içerir: hangi adrese gönderileceği, ne kadar, hangi ağ ve akıllı sözleşmeler, hangi işlev çağrısının onaylandığı.

Oradan sonra, sıra şudur:

1. Ana uygulama, imzasız bir işlem oluşturur ve bunu USB, Bluetooth veya başka bir taşıma aracı üzerinden donanım cüzdanına iletir. 2. Donanım cüzdanı, kritik alanları insan doğrulaması için kendi ekranında görüntüler. 3. Cihaz, içindeki özel anahtarı kullanarak işlemi dahili olarak imzalar. 4. Cihaz, yalnızca imzalanmış işlemi ana uygulamaya geri gönderir, bu da ardından işlemi ağa yayınlar.

Coin Bureau, anahtar güvenliği özelliği hakkında açıktır: özel anahtar internete, uygulamalara veya hatta bağlı bilgisayara veya telefona maruz kalmaz. Yalnızca imzalanmış işlem geri gelir.

“hava boşluğu” varyantı, farklı bir taşıma ile aynı mantığı taşır. USB veya Bluetooth gibi canlı bir veri bağlantısı yerine, hava boşluğu olan bir cihaz, imzasız işlemi içeri alabilir ve imzalanmış işlemi QR kodları kullanarak dışarı çıkarabilir. Güvenlik iddiası sihirli bir izolasyon değildir. İmzalama adımının hala ayrı bir cihazda gerçekleştiği ve kullanıcının hala cihaz ekranında neyin imzalandığını onaylaması gerektiğidir.

Tüccarlar ve aktif kullanıcılar için, bu kötü geçen haftalarda operasyonel bir avantajdır. Ana ortam sorgulanabilir olduğunda, bir donanım cüzdanı ikinci, bağımsız bir onay adımını zorunlu kılar. Bu, dolandırıcılıkları imkansız hale getirmez, ancak sıcak cüzdanların en kolay başarısızlık modunu engeller: sessiz anahtar çıkarımı.

İçerideki çipin önemi

Her donanım cüzdanı küçük bir bilgisayardır ve çip seçimi güvenlik sınırıdır. Ledger'ın analizi, gerçek saldırı direncine karşı pazarlama etiketlerine eşleştiği için faydalıdır: genel mikrodenetleyici birimleri (MCU'lar), “güvenli bellek” çipleri ve Güvenli Elemanlar. Tüm donanım cüzdanlarının özel anahtarları saklamak, uygulamaları çalıştırmak ve ekranları sürmek için çiplere ihtiyacı vardır. Soru, bu çiplerin saldırı altında sırları korumak için tasarlanıp tasarlanmadığıdır.

Ledger'ın genel MCU'lar hakkındaki eleştirisi açıktır: esnektirler ve günlük elektroniklerde yaygındırlar, ancak genellikle fiziksel saldırılara karşı dirençli değildirler ve voltaj ve saat hataları gibi ucuz tekniklere karşı savunmasız olabilirler.

Geçiş kelimeleri bu riskin bir kısmını azaltabilir, ancak Ledger bu takasın altını çizer: bir geçiş kelimesi zayıfsa tek bir başarısızlık noktası haline gelir ve güvenilir bir şekilde kaydedilip geri alınamayacak kadar karmaşık hale gelirse kendine zarar veren bir kayıp vektörü olur.

“Güvenli bellek”, orta bir zemin olarak konumlandırılmıştır. Ledger, bu çiplerin fiziksel saldırılara karşı önlemler içerebileceğini ancak üçüncü taraf güvenlik laboratuvarı sertifikasından gelen güvenceyi sağlamadığını belirtmektedir.

Ledger ayrıca, etiketden daha önemli olan bir mimari sorununa dikkat çekmektedir: bazı güvenli bellek tasarımları, Bitcoin imzalamak için ikinci bir çip gerektirir, bu da bileşenler arasında imzalama materyalinin hareket etmesi gerektiğinde saldırı yüzeyini oluşturur.

Güvenli bir eleman, Ledger'ın çerçevesinde yüksek güvence kategorisidir. Bunlar, genellikle pasaportlar ve kredi kartlarında kullanılan özel çiplerdir ve Common Criteria (CC) Değerlendirme Güvence Seviyeleri (EAL) altında değerlendirilirler. Ledger, EAL7+ seviyesine kadar yedi EAL seviyesini tanımlamaktadır; daha yüksek EAL, testten daha yüksek güvenceyi gösterir.

Ledger ayrıca ürün yelpazesinde kullanılan belirli sertifikaları belirtmektedir: Nano X, EAL5+ Güvenli Eleman kullanırken, Nano S Plus ve Stax EAL6+ kullanmaktadır.

Donanım cüzdanlarının azalttığı tehditler ve azaltmadığı tehditler

Temiz kazanç, ana cihazın uzaktan ele geçirilmesidir. Eğer kötü amaçlı yazılım, bir tarayıcı cüzdanı çalıştıran bir dizüstü bilgisayara bulaşırsa, saldırganın en iyi sonucu genellikle anahtarları veya tohum ifadelerini çıkarmak ve kullanıcının fark etmesine gerek kalmadan fonları boşaltmaktır. Donanım cüzdanları bu yolu kapatır çünkü özel anahtarın ana cihazda hiç var olması gerekmez ve imzalama işlemi cihazın içinde gerçekleşir.

Bu nedenle, donanım cüzdanları ekosistem genelindeki kötü amaçlı yazılım olayları sırasında en iyi görünme eğilimindedir. CCN'nin büyük ölçekli bir JavaScript/NPM tedarik zinciri olayını kapsayan haberleri, donanım cüzdanı olmayan kullanıcıları zincir içi işlemleri duraklatmaya çağıran yorumlar içermektedir. Buradaki nokta, her cüzdanın boşaltıldığı değildi.

Yazılım tedarik zinciri yanarken, sıcak cüzdan ortamları bu riski hemen devralırken, bir donanım cüzdanı hala cihaz içinde bir imza adımı zorunlu kılar.

İkinci kategori, çip tasarımının önemli olduğu fiziksel ve laboratuvar tarzı saldırılardır. Ledger, Güvenli Elemanların dirençli olması için inşa edildiği üç saldırı ailesini listelemektedir: yan kanal saldırıları (elektromanyetik radyasyon veya güç kullanımı yoluyla sırları çıkarma), hata saldırıları (lazer hata enjeksiyonu, voltaj bozulması, sıcaklık manipülasyonu) ve yazılım saldırıları (işletim sistemini veya gömülü uygulamaları manipüle etme girişimleri). Ledger'ın iddiası, Güvenli Elemanların bir kez programlandıktan sonra yeniden programlamaya dirençli olduğudur; bu, sertifikasyonun neden önemli olduğunun bir parçasıdır.

Donanım cüzdanlarının çözmediği şey niyettir. Kullanıcı, cihaz ekranı dikkatlice kontrol edilmediği takdirde kötü bir işlemi onaylayabilir. Adres zehirlenmesi, bunun operasyonel olarak nasıl başarısız olduğunun klasik örneğidir: saldırgan, kullanıcıyı yanlış bir adrese göndermeye kandırırsa özel anahtara ihtiyaç duymaz. Cihaz yalnızca imzalanan şeyi gösterebilir. O, o hedefin kullanıcının kastettiği yer olup olmadığını karar veremez.

İşte burada donanım cüzdanı en iyi uygulamaları bir kontrol listesinden çıkıp uygulama disiplini haline gelir. Cihazda gösterilen adres, miktar veya ağ, kullanıcının niyetiyle eşleşmiyorsa, doğru eylem reddetmek ve ana cihazın ele geçirildiğini veya iş akışının manipüle edildiğini varsaymaktır.

Donanım ve yazılım cüzdanları arasında seçim yapmak

Maliyet ve sürtünme, dürüst ticaretlerdir. Coin Bureau, tipik donanım cüzdanı fiyatlandırmasını bir kerelik satın alma olarak belirtmektedir; örnekler 59–200 $+ aralığındadır, oysa yazılım cüzdanları genellikle ağ ücretleri dışında ücretsizdir.

Bu fiyat farkı, birçok kullanıcının hibrit bir kurulum yapmasının nedenidir: küçük, sık etkileşimler için bir yazılım cüzdanı ve daha büyük bakiyeler veya daha yüksek riskli işlemleri imzalamak için bir donanım cüzdanı.

En iyi donanım cüzdanı sorusu genellikle evrensel bir yanıt varmış gibi sorulur. Ancak yoktur, çünkü tehdit modelleri farklıdır. Uzaktan kötü amaçlı yazılım ve kimlik avı konusunda endişeli olan biri, anahtarı ev sahibi cihazdan uzak tutan ve cihaz üzerinde onay gerektiren herhangi bir tasarımdan en fazla faydayı sağlar.

Fiziksel erişim, cihaz hırsızlığı veya karmaşık çıkarım girişimleri konusunda endişeli olan biri, çip güvenliği, müdahale direnci ve güvenli ekranın anahtarlarla aynı güven sınırında olup olmadığına çok daha fazla önem vermelidir.

Ledger ile Trezor tartışmalarının burada dağınık hale gelme eğiliminde olduğu yer burasıdır. Coin Bureau, Trezor'un açık kaynak güvenliği etrafındaki konumunu vurgularken, birden fazla önde gelen markayı listelemektedir, Ledger ise Güvenli Elemanlar ve Ortak Kriter güvencelemelerini vurgular. Bunlar farklı felsefeler ve farklı iddialardır.

Kullanışlı değerlendirme lensi, satıcılar arasında tutarlıdır: Anahtarlar nerede üretiliyor ve saklanıyor, hangi çip sınırı onları koruyor ve imza atmadan önce cihaz ekranında tam olarak ne gösteriliyor.

Son olarak, bağlantı seçimleri iş akışını, temel modeli değiştirmekten daha fazla değiştirir. USB ve Bluetooth cihazları hâlâ cihaz üzerinde imza atmaya dayanır. Hava boşluğu tasarımları, QR kodları kullanarak canlı bir bağlantıya olan bağımlılığı azaltır, ancak yine de aynı insan doğrulama adımını gerektirir.

Açıklanan kripto cüzdan türlerinin daha geniş haritasında, bir donanım cüzdanı anahtar maruziyetini en aza indirmek için tasarlanmış bir araçtır, kullanıcının yanlış bir şeyi yetkilendirebileceği her yolu ortadan kaldırmak için değil.

İnsanları mahveden yaygın yanlış anlamalar

En pahalı yanlış anlama, bir donanım cüzdanının "kriptoyu sakladığını" düşünmektir. Ledger, donanım cüzdanlarının kripto saklamadığını, özel anahtarları sakladığını açıkça belirtmektedir. Fonlar zincir üzerindedir. Cihaz, yetkilendirme için kontrol yüzeyidir.

İkinci yanlış anlama, "donanım cüzdanı" terimini tek bir güvenlik katmanı olarak ele almaktır. Ledger'ın kendi taksonomisi bu noktayı ortaya koymaktadır: MCU tabanlı tasarımlar, güvenli bellek tasarımları ve güvenli eleman tasarımları fiziksel çıkarıma karşı eşdeğer değildir. Bir kategori içinde bile, mimari detaylar önemlidir.

Ledger, bazı güvenli bellek yaklaşımlarının Bitcoin imzası için ikinci bir çipe ihtiyaç duyduğunu belirtmektedir; bu, hassas materyalin bileşenler arasında geçiş yaparken risk oluşturur.

Üçüncü yanlış anlama, cihazın dolandırıcılıkları gereksiz kıldığını düşünmektir. Bir donanım cüzdanı sessiz anahtar hırsızlığını engeller, ancak yanlış bir işlemi imzalayan bir kullanıcıyı kurtaramaz. Güvenli ekran yalnızca kullanıldığında faydalıdır. Cihaz, hedeflenen karşı tarafla eşleşmeyen bir varış adresi gösteriyorsa, yine de onaylamak, bir borsa üzerinde yanlış bir sipariş vermekle aynıdır.

Son yanlış anlama, "soğuk depolama" veya "hava boşluğu" gibi popüler kelimelere aşırı önem vermek ve doğrulama yolunu göz ardı etmektir. "Çevrimdışı" kısaltmadır. Somut soru, özel anahtarın cihazdan hiç çıkıp çıkmadığı ve cihazın ana bilgisayardan bağımsız olarak gerçek işlem niyetini gösterip gösteremeyeceğidir. Bu, tehlikeye atılmış bir dizüstü bilgisayarın rahatsız edici olması ile ölümcül olması arasındaki farktır.

Sonuç

Birinin bir donanım cüzdanı satın alıp ardından eşlik eden uygulamayı güvenilir nesne olarak ele aldığını izledim; bu, tüm güvenlik modelini tersine çevirir. Cihaz, güvenilir ekran ve imzalayıcıdır. Dizüstü bilgisayar, şüpheli bir mekandır. Cihazdaki adres veya ağ, niyet edilenle eşleşmiyorsa, tek doğru yanıt reddetmek ve yukarıda bir şeylerin yanlış olduğunu varsaymaktır.

Yazılım tedarik zinciri korkuları sırasında "offline" kelimesinin bir rahatlık ifadesi olarak kullanıldığını da gördüm. 2025-09-09 NPM olayıyla ilgili CCN yazısı doğru bir içgörü yakaladı: sıcak cüzdan ortamı kirlenirse, bir cihazda imza adımını zorlamak patlama alanını küçültür. Kenar, mistisizm değildir. Bugün bilgisayarınızda çalışan herhangi bir şeye özel anahtarınızı vermeyi reddeden bir imza makinesidir.

Kaynaklar

• Ledger
• Coin Bureau
• CCN
• Ledger