@selimkolcakCüzdan güvenliği: donanım cüzdan, çoklu imza ve kurtarma planı üzerine pratik notlar
Bu alanda yaşanan kayıpların büyük kısmı protokol hatası değil, kullanıcı tarafındaki güvenlik zaafı. Kendi kurduğum düzeni ve çevremde gördüğüm hataları yazayım.
Temel ayrım: anahtarlar sizde mi başkasında mı. Bir platformda tutuyorsanız o platformun güvenliğine ve sürekliliğine bağlısınız. Kendi cüzdanınızda tutuyorsanız sorumluluk tamamen sizde ve kaybederseniz geri dönüşü yok.
Donanım cüzdan. İşlem imzalama işlemi cihazın içinde yapılıyor, özel anahtar bilgisayara çıkmıyor. Bilgisayarınız zararlı yazılım kapsa bile imzalama için fiziksel onay gerekiyor. Burada kritik nokta, ekranda ne imzaladığınızı okumak. İnsanlar cihazda onay tuşuna refleksle basıyor ve ekrandaki adresi kontrol etmiyor; en yaygın kayıp sebeplerinden biri bu.
Kurtarma kelimeleri. Bu kelimeler cüzdanın kendisi. Fotoğrafını çekmeyin, bulut depolamaya koymayın, mesajla göndermeyin, bir not uygulamasına yazmayın. Kağıda veya metal plakaya yazıp fiziksel olarak güvenli bir yerde saklamak hala en sağlam yöntem. Yangın ve su riskini düşünün.
Çoklu imza. Bir işlemin gerçekleşmesi için birden fazla anahtarın onayı gereken yapı. Kurumsal kullanımda ve yüksek değerli varlıklarda neredeyse zorunlu. Ekip olarak kullanıyorsanız, imzacıların farklı kişiler ve farklı cihazlar olması gerekiyor; üç anahtarı da aynı kişinin aynı çekmecesinde tutmak çoklu imzanın amacını bozuyor.
Kurtarma planı. Size bir şey olursa yakınlarınız bu varlıklara nasıl erişecek? Bu, kimsenin konuşmak istemediği ama en önemli konulardan biri. Çözümler var: parçalanmış yedekleme, noter nezdinde düzenlemeler, çoklu imzada bir anahtarın güvenilir bir kişide olması. Hangi yolu seçerseniz seçin, planın yazılı ve anlaşılır olması lazım.
Günlük kullanım cüzdanı ayrımı. Ben iki cüzdan kullanıyorum: günlük işlemler için küçük bakiyeli bir cüzdan, uzun süreli saklama için ayrı bir cüzdan. Günlük cüzdanla tanımadığım sözleşmelerle etkileşime giriyorum, ana cüzdanla asla.
İzin iptali. Bir uygulamaya verdiğiniz harcama izinleri, siz iptal etmediğiniz sürece devam ediyor. Düzenli olarak izinlerinizi gözden geçirip kullanmadıklarınızı iptal edin. Bu, çok sayıda kaybı önleyen basit bir alışkanlık.
Sosyal mühendislik. Kimse sizden kurtarma kelimelerinizi istemez. Destek ekibi, geliştirici, yönetici hiç kimse. Bu kuralın istisnası yok.
Sizin güvenlik düzeniniz nasıl, çoklu imza kullanan var mı?
Temel ayrım: anahtarlar sizde mi başkasında mı. Bir platformda tutuyorsanız o platformun güvenliğine ve sürekliliğine bağlısınız. Kendi cüzdanınızda tutuyorsanız sorumluluk tamamen sizde ve kaybederseniz geri dönüşü yok.
Donanım cüzdan. İşlem imzalama işlemi cihazın içinde yapılıyor, özel anahtar bilgisayara çıkmıyor. Bilgisayarınız zararlı yazılım kapsa bile imzalama için fiziksel onay gerekiyor. Burada kritik nokta, ekranda ne imzaladığınızı okumak. İnsanlar cihazda onay tuşuna refleksle basıyor ve ekrandaki adresi kontrol etmiyor; en yaygın kayıp sebeplerinden biri bu.
Kurtarma kelimeleri. Bu kelimeler cüzdanın kendisi. Fotoğrafını çekmeyin, bulut depolamaya koymayın, mesajla göndermeyin, bir not uygulamasına yazmayın. Kağıda veya metal plakaya yazıp fiziksel olarak güvenli bir yerde saklamak hala en sağlam yöntem. Yangın ve su riskini düşünün.
Çoklu imza. Bir işlemin gerçekleşmesi için birden fazla anahtarın onayı gereken yapı. Kurumsal kullanımda ve yüksek değerli varlıklarda neredeyse zorunlu. Ekip olarak kullanıyorsanız, imzacıların farklı kişiler ve farklı cihazlar olması gerekiyor; üç anahtarı da aynı kişinin aynı çekmecesinde tutmak çoklu imzanın amacını bozuyor.
Kurtarma planı. Size bir şey olursa yakınlarınız bu varlıklara nasıl erişecek? Bu, kimsenin konuşmak istemediği ama en önemli konulardan biri. Çözümler var: parçalanmış yedekleme, noter nezdinde düzenlemeler, çoklu imzada bir anahtarın güvenilir bir kişide olması. Hangi yolu seçerseniz seçin, planın yazılı ve anlaşılır olması lazım.
Günlük kullanım cüzdanı ayrımı. Ben iki cüzdan kullanıyorum: günlük işlemler için küçük bakiyeli bir cüzdan, uzun süreli saklama için ayrı bir cüzdan. Günlük cüzdanla tanımadığım sözleşmelerle etkileşime giriyorum, ana cüzdanla asla.
İzin iptali. Bir uygulamaya verdiğiniz harcama izinleri, siz iptal etmediğiniz sürece devam ediyor. Düzenli olarak izinlerinizi gözden geçirip kullanmadıklarınızı iptal edin. Bu, çok sayıda kaybı önleyen basit bir alışkanlık.
Sosyal mühendislik. Kimse sizden kurtarma kelimelerinizi istemez. Destek ekibi, geliştirici, yönetici hiç kimse. Bu kuralın istisnası yok.
Sizin güvenlik düzeniniz nasıl, çoklu imza kullanan var mı?
7 6 yorum
