Kurtarma ifadesi, özel anahtar, xpub: her biri gerçekte ne yapabilir
Kripto cüzdanlar size gizli görünen birkaç tür malzeme verir ve bunlar eşit derecede tehlikeli değildir. Bazıları sahip olduğunuz her şeyi harcayabilir. Bazıları yalnızca izleyebilir. Bazıları tek başına ikisini de yapamaz.
Güvenlik hatalarının çoğu, bunları birbirinin yerine geçebilir saymaktan doğar: zararsız bir diziyi hazine gibi korumak ya da tehlikeli birini kibarca isteyen bir web sitesine yapıştırmak. Çaresi, her birinin tam olarak ne yapabildiğini bilmektir.
Kurtarma ifadesi: her şey, sonsuza dek
Kurtarma ifadeniz — 12 ya da 24 sözcük — köktür. Bir cüzdan ondan, kullanacağı her zincir ve her hesap için her özel anahtarı belirlenimci biçimde türetir.
Bu onu sahip olduğunuz en güçlü şey yapar. O sözcüklere sahip olan herkes cüzdanınızı kendi cihazında yeniden kurabilir ve denetlediği her parayı bugün ya da on yıl sonra harcayabilir. Üstünde parola, ikinci etken ya da bunu geri alabilecek bir destek masası yoktur.
Aynı zamanda kurtarmak için ihtiyacınız olan tek şeyin ifade olduğu anlamına gelir. Tüm cihazlarınızı kaybedin, sözcükleri saklayın; hiçbir şey kaybetmemiş olursunuz. Bir cüzdanı geri yüklemek için gerçekte neye ihtiyacınız olduğu bu tek kâğıda iner — ve tam da bu yüzden cüzdanın kendisi dışında hiçbir yere yazılmamalıdır.
Kural: meşru hiç kimse kurtarma ifadenizi istemez. Ne destek, ne bir “eşitleme” aracı, ne de bir doğrulama formu.
Özel anahtarlar: her biri bir kilit
Özel anahtar, ifadeden türetilir ve belirli bir adresi ya da bazı şemalarda bir hesabı denetler. İmzaları gerçekte üreten odur.
Tek bir özel anahtarın sızması, o anahtarın denetlediğini kaybettirir; her şeyi değil. Bu, ifadenin sızmasından daha dardır ama o fonlar için yine de tam kayıptır — ve pek çok cüzdan adres başına özel anahtar dışa aktarmaya izin verdiğinden, özensiz bir dışa aktarım tek tek adreslerin boşaltılmasının yaygın bir yoludur.
Neredeyse hiçbir zaman bir özel anahtarla doğrudan uğraşmanız gerekmez. Bir araç sizden birini yapıştırmanızı isterse, ifadenizi istemesiyle aynı kuşkuyla yaklaşın.
Genişletilmiş açık anahtar: her şeyi gör, hiçbir şey harcama
Genişletilmiş açık anahtar ya da xpub, ifadeden hesap düzeyinde türetilir. O hesabın her açık adresini üretebilir — ama hiçbir özel anahtarı üretemez.
Yani bir xpub tek bir parayı bile kıpırdatamaz. Yapabildiği şey görmektir: hesabın kullandığı ya da kullanacağı her adresi, dolayısıyla hesabın tüm bakiyesini ve geçmişini. Birine xpub vermek, ona o hesaba kalıcı bir pencere açmaktır; bu yüzden fonlarınız için zararsız olsa da zincir üstü gizlilik açısından önemlidir.
Hatırlanmaya değer ayrımın tamamı şudur:
İfade ve özel anahtarlar harcayabilir. Bir xpub yalnızca izleyebilir.
Salt okunur araçlar, muhasebe yazılımları ve portföy izleyicileri xpub’ları meşru biçimde kullanır. Makul bir xpub talebi alarm işareti değildir. İfade ya da özel anahtar talebi ise her zaman öyledir.
Çoklu imzanın hesabı değiştirdiği yer
Yukarıdakilerin hepsi tek anahtarlı bir cüzdanı anlatır. Çoklu imza, tek bir sırrın değerini değiştirir.
SSP’de paranız 2-of-2 bir çoklu imzadadır: bir anahtar tarayıcı eklentinizde, biri telefonunuzda, her biri kendi ifadesinden türetilmiş. Harcamak ikisinin de imzasını gerektirir. Dolayısıyla tek başına sızmış bir ifade paranızı kıpırdatamaz — saldırgana hâlâ diğer cihazın anahtarı eksiktir. İki-of-iki çoklu imzanın satın aldığı gerçek koruma budur: hiçbir tekil sır bir maymuncuk değildir.
Bu, sızmış bir ifadeyi zararsız kılmaz. Anlık bir kaybı, harekete geçmek için zamanınız olan bir uyarıya dönüştürür — ve doğru tepki hâlâ o ifadeyi yanmış saymak ve parayı yeni bir kuruluma taşımaktır.
Çoklu imzada xpub’ın hikâyesi de aynıdır. SSP adresleri bir BIP-48 yolu boyunca türetir, m/48'/coin'/account'/script_type'/change/index, ve her cihaz ortak adresleri kurabilmek için öbür tarafın bir xpub’ını tutar. Bu xpub’lar her tarafın hesabı görmesini sağlar; hiçbiri kimsenin harcamasına izin vermez.
Pratik bir kopya kâğıdı
Kurtarma ifadesi. Her şeyi harcar, sonsuza dek. Çevrimdışı saklayın, cüzdan dışında hiçbir yere yazmayın, hiçbir nedenle kimseyle paylaşmayın.
Özel anahtar. Denetlediğini harcar. Nedenini tam bilmiyorsanız dışa aktarmayın; asla bir web sitesine yapıştırmayın.
xpub. Hiçbir şey harcamaz, hesaptaki her şeyi açığa çıkarır. Yalnızca tüm geçmişinizi emanet edeceğiniz araçlarla paylaşın.
Adresler. Tasarım gereği açıktır. Rahatça paylaşın — size böyle ödeme yapılır — ama birini yeniden kullanmanın ödemelerinizi birbirine bağladığını unutmayın.
İmzalanmış işlemler ve iletiler. Belirli bir eylem için tek seferlik yetki. Kullanıldıktan sonra zararsızdır; yalnızca okumadığınız bir şeyi imzaladıysanız tehlikelidir.
Sorulacak tek soru
Bir şey sizden cüzdan malzemesi istediğinde kendinize sorun: bu harcayabilir mi, yoksa yalnızca izleyebilir mi?
Harcayabiliyorsa paylaşmanın yanıtı hayırdır ve talebin kendisi size kiminle uğraştığınızı söyler. Yalnızca izleyebiliyorsa soru, o tarafın o hesaptaki her şeyi görmesinden rahatsız olup olmadığınıza dönüşür. Kendi saklamadaki kaçınılabilir kayıpların neredeyse hepsi o ilk soruyu yanlış yanıtlamaktan doğar.
