Hardware-Wallets und Kontentrennung

EN-Quellmaster · P03-L06 · needs_review

Nur Studium ohne Netzwerkverbindung und mit reinem Lesezugriff. Niemals Geheimnisse, Passwörter oder Authentifizierungscodes bereitstellen. Keine Wallet-Verbindung, echte Freigabe, Live-Widerruf, Transaktionssignatur, Übertragung, Gelder oder Handel. Visuelle Elemente sind nur Spezifikationen.

Signaturrollen zu trennen kann verringern, wie viel Autorität regelmäßig exponiert wird; der Nutzen hängt aber von tatsächlichen Fähigkeiten und gemeinsamen Abhängigkeiten ab. Ein Hardwaregerät ist kein universelles Sicherheitsurteil.

Schlüssel von der angefragten Aktion trennen

Die Herstellerdokumentation beschreibt Signieren innerhalb von Hardware und Prüfen einer vertrauenswürdigen Anzeige [HW]. Dies ist eine Mechanismusbeschreibung, kein Beweis, dass jede unterstützte Anfrage sicher oder vollständig verständlich ist. Schlüssel innerhalb eines Geräts zu halten beseitigt nicht die Folgen einer schädlichen Autorisierung, die bewusst oder irrtümlich akzeptiert wird.

Die Rollen auf Papier entwerfen

Die Übungsdaten verwenden eine reine Beobachtungsrolle, eine Interaktionsrolle und eine Reserve-Signaturrolle. Auflisten, welche Aufgaben jede braucht: öffentliche Prüfung, Anwendungsinteraktion oder seltene Autorisierung. Nicht annehmen, eine Rolle könne etwas tun, nur weil ihr Bildschirm einen Saldo zeigt. In dieser Übung werden keine Konten erstellt und keine Gelder bewegt.

Design A, bei dem zwei Signaturrollen eine Wiederherstellungsfähigkeit teilen, mit Design B vergleichen, bei dem die Übungsdaten getrennte Fähigkeiten vorgeben. Die Trennung von Beschriftungen oder Adressen trennt nicht notwendigerweise Ausfallbereiche. Wird eine gemeinsame Wiederherstellungsfähigkeit offengelegt, hängen beide Übungsrollen vom selben Geheimnis ab. BIP-39 erklärt einen Mechanismus der Wiederherstellungsableitung [BIP39]; dies ist keine Garantie für die Ableitung oder Unabhängigkeit jeder Wallet.

Verbleibende Risiken benennen

Selbst in Design B kann eine nicht vertrauenswürdige Aufforderung von der Interaktionsrolle übermäßige Berechtigungen verlangen. Auch die Reserverolle kann bei versagender Prüfung schädliche Wirkungen autorisieren. Anzeigeunterstützung, Firmware-/Softwareherkunft, physischer Umgang und vertraulicher Umgang mit Backups sind getrennte Abhängigkeiten. Die Übungsdaten liefern keine Bewertung eines realen Produkts oder aktueller Firmware.

Eine Abhängigkeitsmatrix statt einer Behauptung von Nullrisiko verwenden. Gibt die Karte nicht an, ob zwei Rollen eine Wiederherstellungsfähigkeit teilen, diese Beziehung UNKNOWN markieren. Niemals Lernende bitten, zur Feststellung ein Backup einzugeben. Eine bereinigte Architekturaussage genügt für die Unterrichtsübung.

Den begrenzten Nutzen nennen

OBSERVED: vorgegebene Rollen-/Fähigkeitszeilen. INFERRED: wie die angegebene gemeinsame Abhängigkeit das Trennungsmodell beeinflusst. UNKNOWN: tatsächliche Geräte, Backups und Betriebsverhalten. INSUFFICIENT EVIDENCE: «Hardware garantiert Sicherheit». Trennung ist ein unter Annahmen zu bewertender Arbeitsablauf, keine persönliche Finanzberatung oder Anweisung zur Übertragung realer Bestände.

• Watch-only: Beobachtungsrolle ohne bereitgestellte Signaturfähigkeit.
• Signaturrolle: an eine Fähigkeit gebundene Autorisierungsfunktion.
• Ausfallbereich: gemeinsame Abhängigkeit, die mehrere Rollen betreffen kann.
• Vertrauenswürdige Anzeige: gerätelokale Prüffläche mit eigenen Unterstützungsgrenzen.

ILLUSTRATIVE Papierentwürfe. Rollen WATCH/INTERACT/RESERVE. WATCH hat nur öffentliche Lokatoren. Design A: INTERACT und RESERVE verwenden denselben vorgegebenen Platzhalter RECOVERY-CAP-A. Design B: verschiedene Platzhalterfähigkeiten CAP-B/C, keine echten Geheimnisse. Beide enthalten einen Geräteprüfschritt; Dekodierungs-/Anzeigeabdeckung UNKNOWN. Keine Salden oder realen Konten vorgegeben.

Wallet-Rollengraph mit typisierten Anzeige-/Autorisierungs-/gemeinsamen Wiederherstellungskanten. Design A teilt einen Knoten vertraulicher Abhängigkeit; Design B trennt ihn nach Vorgabe. Verbleibende Aufforderungs-/Anzeige-/Herkunftsrisiken bei beiden ergänzen, niemals ein grünes «garantiert sicher»-Badge.

Rollenzuweisungen und Unterschiede gemeinsamer Abhängigkeiten, vorgegeben in zwei illustrativen Designs.

Unabhängigkeit realer Konten, Immunität gegen schädliches Signieren, sichere Firmware, korrekte Wiederherstellung oder garantierten Schutz.

• Bei verschiedenen Adressen unabhängige Geheimnisse annehmen.
• Annehmen, Hardware verhindere jede schädliche Autorisierung.
• Backups sammeln, um architektonische Trennung zu beweisen.

Eine Rollen-/Fähigkeitsmatrix für A/B erstellen und drei verbleibende Risiken auflisten. Prüfen, was die Beobachtungsrolle tun kann. Einen begrenzten Nutzensatz schreiben, ohne Geheimnisse anzufordern oder reale Übertragungen vorzuschreiben.

Eine Tabelle und begrenzte Schlussfolgerung nur anhand des bereitgestellten Materials ohne Netzwerkverbindung einreichen. Redaktionelle Zeiteinteilung: Studium 12 min, Übung 8 min, Korrektur/Quiz 10 min.

• Aufgaben vor Rollenbeschriftungen definieren.
• Anzeige von Autorisierung trennen.
• Gemeinsame Abhängigkeiten ohne Geheimnisse erfassen.
• Verbleibende Prüf-/Herkunftsrisiken auflisten.
• Nutzen bedingt und ohne Netzwerkinteraktion halten.

Rollentrennung muss Fähigkeiten und Abhängigkeiten folgen. Hardwareisolierung stützt einen bestimmten Sicherheitsmechanismus, während Autorisierungs-, Backup- und Schnittstellenrisiken bleiben.

• Einen Trennungsablauf entwerfen und seine verbleibenden Risiken nennen
• Rollentrennung entwerfen, ohne Zugangsdaten bereitzustellen.
• Verbleibende Freigabe-, Wiederherstellungs- und Schnittstellenrisiken identifizieren.

P03-L07 nach Prüfung der Voraussetzungen und der Korrektur.

NONE im maßgeblichen Katalog. Bereitgestellte Daten ohne Netzwerkverbindung genügen; kein Produktkauf und kein Wallet-Vorgang erforderlich.

• [HW] Trezor-Hardware-Wallet-Dokumentation — Geräteisoliertes Signieren und vertrauenswürdige Anzeige; Herstellererklärung, keine Sicherheitsgarantie.
• [BIP39] BIP-39-Spezifikation für mnemonisches Seed-Material — Ableitung vom Mnemonic zum Seed mit optionaler Passphrase; keine Übungsdatenauthentifizierung.

Dokumentation erklärt Mechanismen. Historische Datensätze behalten ihre angegebene Quellenklasse. Quellenprüfung ist keine unabhängige redaktionelle Abnahme.