Kripto cüzdan türleri: Para saklama değil, imza süreci

Kripto cüzdan türlerinin açıklanması, bir işlem imzalandığında özel anahtarın nerede bulunduğu sorusuna dayanır. Diğer her etiket (mobil, tarayıcı uzantısı, masaüstü, donanım, soğuk depolama) bu imzalama iş akışının ve saldırı yüzeyinin üzerine yerleştirilmiş bir UI seçimidir.

Ana Noktalar

• Bir kripto cüzdanı, bir hesabı imzalayarak kontrol etme aracı olup, 'jetonları depolayan' bir konteyner değildir.
• Önemli olan ilk ayrım sıcak cüzdanlar (internet bağlantılı) ile donanım ve soğuk depolama (çevrimdışı anahtar saklama) arasındadır.
• Ethereum, cüzdan uygulamalarını değiştirmek fonları taşımaz çünkü cüzdan, aynı anahtarlar tarafından kontrol edilen aynı hesaba açılan bir penceredir.
• Üzerinde Bitcoin, cüzdan özellikleri gibi multisig, adres formatları (bc1 vs eski), ve ücret araçları (RBF/CPFP) ağ yoğunlaştığında işlem sonuçlarını değiştirebilir.

Kripto cüzdanlarının anahtarlarla ilişkisi

Bir cüzdan oturumu kısa bir dizidir: cüzdan bir hesabın bakiyelerini ve geçmişini okur, bir işlem veya mesaj oluşturur ve ardından bir imza üretir.özel anahtar. O imza, ağın hesap sahibinin işlemi yetkilendirdiğine dair kanıt olarak kabul ettiği şeydir.

Ethereum'un belgeleri cüzdanları, kullanıcıların uygulamalara giriş yapmalarını, bakiyeleri okumalarını, işlemler göndermelerini ve kimliklerini doğrulamalarını sağlayan uygulamalar olarak çerçeveliyor; bu, günlük olarak ekranda görünenlerin temiz bir tanımıdır.

Mekanikler, "hesap" ile "cüzdan" ayrıldığında ancak anlam kazanır. Ethereum'da bir hesap, bir genel ve bir özel anahtar çiftidir. Genel anahtar, paylaşılabilecek bir adres türetmek için kullanılırken, özel anahtar imza attığı için gizli kalmalıdır. Cüzdan, bu anahtarları kullanan arayüzdür. Bu nedenle Ethereum, cüzdan sağlayıcılarının fonların saklanmasında yetkili olmadığını da vurgular. Onlar bir pencere ve araçlar sağlarlar ve kullanıcılar cüzdan sağlayıcılarını taşımadan değiştirebilirler.varlıklar.

Bu, çoğu cüzdan türü kılavuzunun insanları yaraladığı ilk yerdir. Eğer cüzdan sadece bir pencereyse, o zaman gerçek saklama, arkasındaki kurtarma materyalidir. Ethereum, müşteri desteği olmadığını ve cüzdanların genellikle bir kurtarma ifadesi sağladığını uyarıyor; bu ifade yazılmalı ve güvenli bir yerde saklanmalıdır çünkü tek kurtarma yöntemidir. Cihazı kaybederseniz ve kurtarma ifadesini kaybederseniz, cüzdanın "tipi" önemli olmayı durdurur.

Cüzdan güvenliği için faydalı zihinsel model "hangi uygulama en iyi görünüyor" değil. Şudur: özel anahtar nerede üretiliyor, nereye erişilebilir ve hangi olaylar imza atmasına neden oluyor. Bu çerçeve, cüzdan türlerinin açıklandığı taksonominin geri kalanını jargon gibi değil, risk mimarisi gibi hissettirmesini sağlıyor.

Sıcak cüzdanlar vs çevrimdışı depolama

Anahtar saklama ayrımı ilk günde ikili: özel anahtar internet bağlantılı bir ortamla hiç temas ediyor mu. Kaspersky, cüzdan kategorilerini her zaman çevrimiçi olan sıcak cüzdanlar ile çevrimdışı olan soğuk veya donanım cüzdanları olarak gruplandırıyor. Çevrimiçi taraf kullanışlı ve hızlıdır, ayrıca imza atma ortamı bağlı olduğu için hackleme ve oltalama saldırılarına daha fazla maruz kalır.

Sıcak cüzdanlar genellikle yazılımdır. Bir mobil uygulama, bir tarayıcı cüzdanı, bir tarayıcı uzantısı veya bir masaüstü uygulaması olarak var olabilirler. Arayüz farklılıkları iş akışı için önemlidir, ancak güvenlik durumu, cihazın çevrimiçi olması ve rutin olarak imza atması istendiği gerçeğiyle belirlenir. Bu nedenle "masaüstü tarayıcıdan daha güvenlidir" ifadesi zayıf bir kısayoldur.

Bitcoin.org, masaüstü cüzdanların kötü amaçlı yazılımlara maruz kalabileceği bir ortamda çalışabileceğini vurgular. Risk, form faktöründen değil, ortamdan kaynaklanmaktadır.

Donanım cüzdanları özel anahtarı fiziksel bir cihaza taşır. Kaspersky, donanım cüzdanlarını özel anahtarları depolayan ve işlemleri, blok zincirleri arasında akıllı sözleşme etkileşimlerini doğrulayabilen USB benzeri cihazlar olarak tanımlar. Bu son cümle, yalnızca "donanım çevrimdışı eşittir" diyenler için önemli bir nüanstır.

Bir donanım cüzdanı, kullanıcı önüne konulanı imzalarsa kötü bir akıllı sözleşme çağrısını onaylamak için hala kullanılabilir.

Soğuk depolama, "bir donanım cüzdanı kullanmak"tan daha katı bir çalışma modudur. Kaspersky, soğuk depolama cüzdanlarını tamamen internetten bağlantısız olan ve Web3 ile etkileşime girmeyen özel bir donanım cüzdanı türü olarak ayırır.

İşlemleri gerçekleştirmek için aktif bir cüzdanla birlikte çalışabilirler; bu, birçok kullanıcının sonunda sahip olduğu temiz iki cüzdan kurulumudur: sık imza atmak için aktif bir sıcak cüzdan ve rezervler için bir soğuk kurulum.

Burada iç taksonomi önemlidir çünkü okuyucular, donanım cüzdanları gibi bitişik kategorilerin yanı sıra mpc cüzdanları ve çoklu imza cüzdanları gibi daha yeni anahtar yönetim modellerinin açıklandığını görecekler. Bunlar sadece pazarlama etiketleri değildir. Kimlerin imza atabileceğini, kaç onayın gerektiğini ve "kurtarma"nın ne anlama geldiğini değiştirir.

Görmeyi beklediğiniz yaygın cüzdan arayüzleri

Ethereum'un cüzdan sayfası, çoğu kullanıcının karşılaştığı arayüzleri listeler: fiziksel donanım cüzdanları, mobil uygulamalar, tarayıcı cüzdanları, tarayıcı uzantısı cüzdanları ve masaüstü uygulamaları. Bunlar dağıtım kanalları ve UX seçimleridir. Güvenlik sorusu hala anahtarın nerede bulunduğu ve cüzdanın neyi imzalamaya yetkili olduğu, ancak arayüz, bir kullanıcının ne sıklıkla imza atmaya teşvik edildiğini belirler.

Tarayıcı uzantısı cüzdanları, Ethereum'da varsayılan olarak dapp'ler için bir giriş olarak çift işlev görür. Bu kullanım kolaylığı aynı zamanda bir maruz kalma durumudur. Uygulamalara sürekli bağlı olan bir cüzdan, sürekli onaylar için istenir ve kullanıcı, imzalamak istemediği bir şeyi imzalamak için bir tıklama mesafesindedir. Mobil cüzdanlar, aynı davranışı daha küçük bir ekrana ve farklı bir oltalama yüzeyine sıkıştırır.

Masaüstü cüzdanlar güçlü olabilir ve bitcoin.org'un ortam uyarısı, "güçlü" ifadesinin genellikle "kötü amaçlı yazılımların bir yer edinmesi için daha fazla yol" anlamına geldiğini hatırlatır.

Donanım cüzdanları, bu arayüzlerin üzerinde bir imzalama modülü olarak yer alır. Birçok kurulum, işlem oluşturucu olarak bir masaüstü veya uzantı cüzdanı ve imzalayıcı olarak bir donanım cihazı kullanır. Bitcoin.org, Sparrow'un popüler donanım cüzdanlarıyla etkileşim kurabileceğini belirtir; bu, görünürlük ve yapı için yazılım, anahtar saklama için donanım şeklinde bir modeldir.

Modern arayüz katmanı ayrıca akıllı sözleşme cüzdanlarını ve hesap soyutlamasını içerir. Akıllı sözleşme cüzdanı, hesap modelini "bir özel anahtar her şeyi kontrol eder" den "bir sözleşme, yetkilendirme olarak neyin geçerli olduğunu belirleyen kuralları uygular" a değiştirir. Hesap soyutlaması, bu kuralların yerel hissettirilmesini sağlayan daha geniş bir yönelimdir; farklı şekillerde ücret ödemek veya alternatif kimlik doğrulama kullanmak gibi.

İşte burada tohum olmadan ve sosyal kurtarma cüzdanları devreye girer. Bu cüzdanlar, tek bir tohum ifadesi arızası modunu bir kurtarma süreci ile değiştirmeyi hedefler, ancak değişim, kurtarma tasarımındaki politika ve güven olur.

Cüzdan türlerinin açıklanması, arayüzün son adım olarak ele alındığında daha net hale gelir, ilk adım olarak değil. Geçerli sıralama şudur: anahtar saklama modeli, ardından imzalama yüzeyi, ardından kullanım kolaylığı özellikleri.

Bitcoin cüzdan özellikleri davranışı değiştirir.

Bitcoin cüzdanları, işlem oluşturma ve ücret yönetiminin kullanıcının sonucu ile ilgili olduğu için farklı bir seçim seti zorunlu kılar; bu sadece arka planda bir detay değildir.

Bitcoin.org'un Sparrow listesi, önemli olan düğmeleri adlandırdığı için iyi bir somut örnektir: Sparrow, tek ve çoklu imza script türlerini destekler, bir Electrum sunucusuna veya Bitcoin Core'a bağlanır, popüler donanım cüzdanlarıyla etkileşimde bulunur ve tam coin ve ücret kontrolü sağlar.

Çoklu imza, Bitcoin'de bir moda kelime değildir. Bitcoin.org, çoklu imzayı, bir işlemi yetkilendirmek için birden fazla anahtar gerektiren bir durum olarak tanımlar; bu, sorumluluğu ve kontrolü birden fazla taraf arasında bölebilir. Bu, tek cihazlı tek tohum arıza modunu ortadan kaldırdığı için davranışı değiştirir. Ayrıca operasyonel sürtünmeyi de değiştirir. Çoklu imza kurulumu, zamanın önemli olduğu durumlarda yalnızca imzalama iş akışına bağlı olarak kullanılabilir.

Adres formatları, pratik bir kısıtlama olarak ortaya çıkan bir diğer "tip"tir. Bitcoin.org, Sparrow'un SegWit ve Bech32 (bc1) adreslerini desteklediğini ve ayrıca 1 veya 3 ile başlayan eski adresleri de desteklediğini belirtir. Bu önemlidir çünkü bazı hizmetler hala her formatı desteklememekte ve SegWit, blok alanını daha verimli kullandığı için bu, ücretlerle bağlantılıdır.

Ücret araçları, cüzdan seçiminin akademik olmaktan çıktığı yerdir. Bitcoin.org, Sparrow'un, fonlar gönderildikten sonra RBF veya CPFP kullanarak ücretleri değiştirmeyi desteklediğini ve mevcut ağ koşullarına dayalı ücret önerileri sağladığını belirtir. Ücretler yükseldiğinde ve bir işlem takıldığında, RBF veya CPFP olmayan bir cüzdan, rutin bir gönderimi bekleme oyununa dönüştürür.

Bu aynı zamanda "farklı kripto cüzdanları"nın "farklı uygulamalar" anlamını kaybettiği ve "farklı işlem sonuçları" anlamına gelmeye başladığı yerdir. Bitcoin Core'a bağlanabilen bir cüzdan ile rastgele bir sunucuya bağlanabilen bir cüzdan, bir doğrulama ve güven kararıdır. Bitcoin.org, Sparrow'u bir listeden rastgele bir sunucuya bağlanacak şekilde açıkça çerçeveler; bu, tam bir düğüm çalıştırmaya kıyasla bazı üçüncü taraf güvenini ima eder.

Önemli olan güvenlik alışkanlıkları

İlk güvenlik alışkanlığı, sorumluluk modelini kabul etmektir. Ethereum'un belgeleri, kripto para birimlerinde müşteri desteği olmadığını ve kullanıcıların anahtarları güvende tutmaktan sorumlu olduğunu açıkça belirtmektedir. Bu bir slogan değildir. Bu, başarısızlık modları hakkında bir ifadedir: eğer seed phrase kaybolursa, kurtarma da kaybolur.

Seed phrase yönetimi bunun merkezindedir. Ethereum, seed phrase'in cüzdanı kurtarmanın tek yolu olduğunu ve bilgisayarda saklanmaması gerektiğini uyarıyor. Bu tek talimat, mobil ile masaüstü arasındaki çoğu tartışmadan daha önemlidir. Ayrıca cüzdan seçimini bir kurtarma planı olarak yeniden çerçeveliyor. Yarın bir telefon veya dizüstü bilgisayar kaybetmek fonları sıkışmış bırakacaksa, kurulum eksiktir.

Cihaz riski ikinci alışkanlıktır. Bitcoin.org, masaüstü cüzdanların savunmasız bir ortamda çalışabileceğini işaret ediyor ve bilgisayarı güvence altına almak, güçlü bir şifre kullanmak, fonların çoğunu soğuk depolamaya taşımak veya iki faktörlü kimlik doğrulamayı etkinleştirmek gibi önlemler öneriyor. Burada mesele, masaüstünün kötü olması değildir. Mesele, kötü amaçlı yazılım riskinin ortamın bir özelliği olmasıdır.

İki cüzdan mimarisi, cüzdan güvenliği için temiz bir varsayılandır. Günlük imza ve dapp bağlantıları için küçük bakiyeli bir sıcak cüzdan bulundurun ve rezervleri donanım veya soğuk depolamada saklayın. Kaspersky'nin çerçevesi, bunun neden işe yaradığını destekliyor: sıcak cüzdanlar çevrimiçi ve daha fazla maruz kalırken, soğuk depolama tamamen bağlantısızdır ve işlemler gerektiğinde aktif bir cüzdanla birlikte kullanılabilir.

Son olarak, gelişmiş kontrol özellikleri, nerd seçenekleri değil, davranış değiştiren araçlar olarak ele alınmalıdır. Multisig, tek bir başarısızlık noktasını ortadan kaldırabilir. MPC ve multisig farklı tasarımlardır, ancak her ikisi de yetkilendirebilecek kişiyi değiştirmeyi amaçlar. Bu nedenle, mpc cüzdanları ve multisig cüzdanları, sıcak ile soğuk arasındaki aynı karar ağacında yer almalıdır, ayrı bir 'gelişmiş' kutuda değil.

Cüzdan seçiminde yanlış anlamalara neden olan yaygın yanlış anlamalar

“Cüzdanlar madeni paraları saklar” yanılgısı en fazla karışıklığa neden olan yanlış anlamadır. Ethereum'un cüzdan sayfası, cüzdanları kullanıcıların imza atmasına, bakiyeleri okumasına, işlemler göndermesine ve kimlik doğrulamasına izin veren uygulamalar olarak tanımlar. Varlıklar zincir üzerinde kaydedilir. Cüzdan, imzalama ve görüntüleme aracıdır.

“Donanım cüzdanı eşittir soğuk depolama” ikinci pahalı yanlış anlamadır. Kaspersky, donanım cüzdanlarını, akıllı sözleşme etkileşimleri dahil olmak üzere işlemleri doğrulayan cihazlar olarak tanımlar. Kaspersky ayrıca soğuk depolamayı tamamen bağlantısız ve Web3 ile etkileşime girmeyen veya akıllı sözleşmeleri yürütmeyen bir şekilde ayırır.

Bunlar farklı çalışma modlarıdır ve bunları karıştırmak, insanların donanım cüzdanını bir kasaymış gibi kullanmalarına neden olurken, yine de sık sık dapp onaylarını imzalamalarına yol açar.

“Masaüstü cüzdanlar otomatik olarak tarayıcı veya mobil cüzdanlardan daha güvenlidir” üçüncü bir tuzaktır. Bitcoin.org, masaüstü cüzdanların kötü amaçlı yazılıma maruz kalabileceği savunmasız bir ortamda çalışabileceğini açıkça uyarıyor. Bir masaüstü cüzdan mükemmel olabilir, ancak bu ücretsiz bir güvenlik yükseltmesi değildir.

“Cüzdan uygulamalarını değiştirmek fonları taşır” yaygın bir Ethereum yanlış anlamasıdır. Ethereum'un belgeleri, cüzdan sağlayıcılarının mülkiyete sahip olmadığını ve kullanıcıların sağlayıcıları değiştirebileceğini belirtmektedir. Aynı seed phrase veya özel anahtar içe aktarıldığında, hesap aynıdır. Cüzdan sadece farklı bir penceredir.

Cüzdanın iyi bir kullanıcı deneyimine sahip olması durumunda "Kurtarma isteğe bağlıdır" son yanlış anlamadır. Seed ifadesinin tek kurtarma yöntemi olduğuna dair Ethereum'un uyarısı, tüm oyunun kendisidir. Seedsiz ve sosyal kurtarma cüzdanları bu kullanıcı deneyimini değiştirmeye çalışıyor, ancak kullanıcı yine de kurtarma mekanizmasının ne olduğunu ve kimin tetikleyebileceğini anlamalıdır.

Alıntı

İnsanların "cüzdan türü"nü bir alışveriş kategorisi gibi ele aldığını ve sonra sıkıcı kısımla: imza ve kurtarma ile karşılaştığını izledim. En temiz zihinsel model, cüzdanınızın imza iş akışınız olduğudur. Özel anahtara internet bağlantılı bir cihazdan ulaşılabiliyorsa, hedef alınacağını varsayın ve bakiyeyi buna göre ayarlayın.

Ayrıca donanım cüzdanı karışıklığını yakından gördüm. Birisi bir cihaz satın alıyor, ona "soğuk depolama" diyor, ardından bir hafta boyunca imzaları cihaza yönlendiren bir uzantı cüzdanında dapp onayları arasında tıklıyor. Bu soğuk depolama değildir. Soğuk depolama, Kaspersky'nin tanımladığı moddur: tamamen bağlantısız, Web3 yapmıyor.

Para tasarrufu sağlamak için cüzdan türünü neye imza atması gerektiği ile eşleştirmek ve ardından kurtarma planını bu gerçeklik etrafında inşa etmek en iyi yoldur.

Kaynaklar

• ethereum.org
• Kaspersky
• bitcoin.org