Как выделить отдельное устройство под криптооперации и разграничить доступ

Выделить отдельное устройство под криптооперации и разграничить доступ — это два решения разного веса. Разграничение внутри приложения и разными парольными фразами делит учёт, но не создаёт границы изоляции: код, память и хранилище остаются общими. Настоящая граница появляется там, где меняется вычислительное основание — отдельный профиль операционной системы или отдельный аппарат. Выбирать уровень нужно по классу угрозы, а не по удобству интерфейса.

Как выглядит мнимое разграничение со стороны владельца

Картина типовая. Человек создаёт в одном приложении три кошелька: повседневный, накопительный и «на всякий случай». Названия разные, значки разные, суммы разные. Ощущение разграничения полное.

Техническая картина другая. Все три кошелька обслуживает один процесс, их ключи лежат в одном хранилище приложения и расшифровываются одинаковым способом, поэтому вредоносный код, получивший права в этом окружении, увидит содержимое всех трёх одновременно и без дополнительных усилий. Разделение существует на экране, а не в системе.

Схожим образом работает разграничение парольными фразами. Из одной мнемоники получаются разные деревья адресов, и это полезно для учёта. Но фраза вводится на том же устройстве и обрабатывается тем же кодом, поэтому компрометация аппарата снимает оба кошелька за один заход, сколько бы слотов владелец ни завёл.

Признаки, по которым распознаётся граница учёта вместо границы изоляции

• Переключение между кошельками делается внутри одного приложения без повторного ввода системного пароля.
• Секреты обоих кошельков хранятся в одном каталоге приложения и доступны одному процессу.
• Парольная фраза вводится на том же аппарате, где лежит мнемоника.
• Второй фактор биржевого аккаунта стоит на том же устройстве, где подписываются транзакции.
• Резервная копия устройства содержит данные всех кошельков разом.

Любой из признаков означает одно. Вы получили удобный учёт. Изоляции не получили.

Как выделить отдельное устройство под криптооперации и разграничить доступ: четыре уровня

Таблица читается снизу вверх. Четвёртый уровень даёт настоящую границу, третий даёт правдоподобное отрицание, второй даёт частичную изоляцию в пределах одной системы, а первый не даёт ничего, кроме порядка в интерфейсе.

Проверка за 60 секунд: что открыть и на что смотреть

1. Откройте список пользователей или профилей устройства. Если профиль один, границы второго уровня нет.
2. Посмотрите, требует ли переключение кошелька системной аутентификации. Нет запроса — общее хранилище.
3. Проверьте, где вводится парольная фраза. Тот же аппарат означает общий риск.
4. Откройте настройки резервного копирования и посмотрите, что входит в копию устройства.
5. Сверьте, где стоит второй фактор сервисных аккаунтов относительно подписывающего ключа.

Два документа складываются в один вывод. Фраза меняет дерево адресов, а не основание доверия. Основание меняет только железо.

Пошаговые действия, если разграничение оказалось мнимым

Паника не нужна, нужна последовательность. Первое: определите, какие кошельки обслуживались одним и тем же окружением, и считайте их единой группой риска, независимо от того, насколько разными были их названия в интерфейсе. Второе: заведите отдельный аппарат под подпись и создайте на нём новое дерево ключей, не переносите старое. Третье: переведите на него тот остаток, который должен быть изолирован. Четвёртое: оставьте на прежнем устройстве лишь повседневные суммы, утрата которых не меняет вашей жизни и не требует разбирательств с привлечением посторонних людей.

Старое устройство при этом не сбрасывают сразу: его держат в стороне до окончания всех переводов, чтобы сохранить доступ к истории операций и к адресам, которые ещё могут понадобиться. Как проследить путь средств, если часть их уже ушла, мы разбирали в материале о том, как проследить движение украденных средств и оценить остаточный риск.

Как закрыть дыру, чтобы не повторилось

Рабочая схема состоит из трёх контуров. Повседневный: обычный телефон, небольшие суммы, быстрые операции. Рабочий контур — отдельный аппарат под подпись, без сторонних приложений и без почты, где экран устройства читается внимательно перед каждым подтверждением операции. Холодный контур — аппарат, который включается ради редких операций и хранится отдельно от резервных копий, чтобы утрата одного места не означала утраты обоих.

Парольные фразы встраиваются в эту схему как дополнение, а не как замена. Они удобны для учёта внутри одного контура и бесполезны как способ отделить холодный остаток от повседневного, потому что граница при этом остаётся в том же окружении. Что читать на экране до подтверждения подписи, мы описывали в разборе о том, как распознать вредоносную подпись транзакции.

Чек-лист

• Остатки распределены по контурам: повседневный, рабочий, холодный.
• Подпись холодного контура выполняется на отдельном аппарате.
• Разграничение внутри приложения не считается изоляцией.
• Парольная фраза применяется для учёта, а не вместо отдельного устройства.
• Второй фактор сервисных аккаунтов стоит не на подписывающем аппарате.
• Резервная копия устройства не содержит данных всех кошельков разом.
• Для каждого контура записано, какой класс угроз он останавливает.

Частые вопросы