Dompet perangkat keras dan pemisahan akun

Master sumber EN · P03-L06 · needs_review

Hanya pembelajaran luring/hanya baca. Jangan pernah memberikan rahasia, kata sandi, atau kode autentikasi. Tanpa koneksi dompet, approval nyata, pencabutan izin langsung, tanda tangan transaksi, transfer, dana, atau perdagangan. Visual hanya berupa spesifikasi.

Memisahkan peran penandatanganan dapat mengurangi otoritas yang rutin terpapar, tetapi manfaat bergantung pada kemampuan aktual dan ketergantungan bersama. Perangkat keras bukan vonis keamanan universal.

Pisahkan kunci dari tindakan yang diminta

Dokumentasi produsen menjelaskan penandatanganan di dalam perangkat keras dan pemeriksaan tampilan tepercaya [HW]. Ini deskripsi mekanisme, bukan bukti bahwa setiap permintaan yang didukung aman atau sepenuhnya dapat dipahami. Menyimpan kunci dalam perangkat tidak menghilangkan konsekuensi otorisasi berbahaya yang diterima secara sadar atau keliru.

Rancang peran di atas kertas

Data latihan menggunakan peran watch-only, peran interaksi, dan peran penandatanganan cadangan. Daftar tugas yang diperlukan masing-masing: pemeriksaan publik, interaksi aplikasi, atau otorisasi sesekali. Jangan mengasumsikan peran dapat melakukan sesuatu hanya karena layarnya menampilkan saldo. Tidak ada akun yang dibuat dan tidak ada dana yang dipindahkan dalam latihan ini.

Bandingkan desain A, dengan dua peran penandatanganan berbagi satu kemampuan pemulihan, dan desain B, dengan kemampuan terpisah yang ditetapkan data latihan. Pemisahan label atau alamat tidak selalu memisahkan domain kegagalan. Jika kemampuan pemulihan bersama terpapar, kedua peran dalam data latihan bergantung pada rahasia sama. BIP-39 menjelaskan mekanisme derivasi pemulihan [BIP39]; bukan jaminan tentang derivasi atau independensi setiap dompet.

Sebutkan risiko tersisa

Bahkan dalam desain B, prompt tidak tepercaya dapat meminta izin berlebihan kepada peran interaksi. Peran cadangan juga dapat mengotorisasi efek berbahaya jika tinjauan gagal. Dukungan tampilan, asal-usul firmware/perangkat lunak, penanganan fisik, dan penanganan backup rahasia merupakan ketergantungan terpisah. Data latihan tidak memberikan penilaian produk nyata atau firmware saat ini.

Gunakan matriks ketergantungan, bukan klaim risiko nol. Jika kartu tidak menentukan apakah dua peran berbagi kemampuan pemulihan, tandai hubungan itu UNKNOWN. Jangan pernah meminta siswa memasukkan backup untuk menentukannya. Pernyataan arsitektur tersanitasi cukup untuk latihan kelas.

Nyatakan manfaat terbatas

OBSERVED: baris peran/kemampuan yang ditetapkan. INFERRED: bagaimana ketergantungan bersama yang dinyatakan memengaruhi model pemisahan. UNKNOWN: perangkat aktual, backup, dan perilaku operasional. INSUFFICIENT EVIDENCE: “perangkat keras menjamin keamanan”. Pemisahan merupakan desain alur kerja yang dievaluasi menurut asumsi, bukan panduan finansial pribadi atau instruksi mentransfer kepemilikan nyata.

• Watch-only: peran pengamatan tanpa kemampuan penandatanganan yang diberikan.
• Peran penandatanganan: fungsi otorisasi yang dibatasi kemampuan.
• Domain kegagalan: ketergantungan bersama yang dapat memengaruhi beberapa peran.
• Tampilan tepercaya: permukaan tinjauan lokal perangkat dengan batas dukungannya sendiri.

Desain kertas ILLUSTRATIVE. Peran WATCH/INTERACT/RESERVE. WATCH hanya memiliki penunjuk publik. Desain A: INTERACT dan RESERVE memakai placeholder RECOVERY-CAP-A sama yang ditetapkan. Desain B: kemampuan placeholder CAP-B/C berbeda, tanpa rahasia nyata. Keduanya mencakup langkah tinjauan perangkat; cakupan dekode/tampilan UNKNOWN. Tidak ada saldo atau akun nyata yang diberikan.

Graf peran dompet dengan hubungan bertipe menampilkan/mengotorisasi/pemulihan bersama. Desain A berbagi satu node ketergantungan rahasia; desain B memisahkannya menurut penetapan latihan. Tambahkan risiko prompt/tampilan/asal-usul tersisa pada keduanya, jangan pernah lencana hijau ‘dijamin aman’.

Penetapan peran dan perbedaan ketergantungan bersama yang ditetapkan dalam dua desain ilustratif.

Independensi akun nyata, kekebalan terhadap penandatanganan berbahaya, firmware aman, kebenaran pemulihan, atau jaminan perlindungan.

• Alamat berbeda diasumsikan memiliki rahasia independen.
• Perangkat keras diasumsikan mencegah setiap otorisasi berbahaya.
• Mengumpulkan backup untuk membuktikan pemisahan arsitektur.

Susun matriks peran/kemampuan untuk A/B dan daftar tiga risiko tersisa. Nilai kemampuan peran watch. Tulis pernyataan manfaat terbatas tanpa meminta rahasia atau meresepkan transfer nyata.

Kirim tabel dan kesimpulan terbatas menggunakan materi luring yang diberikan saja. Alokasi waktu editorial: belajar 12 menit, latihan 8 menit, koreksi/kuis 10 menit.

• Definisikan tugas sebelum label peran.
• Pisahkan tampilan dari otorisasi.
• Catat ketergantungan bersama tanpa rahasia.
• Daftar risiko tinjauan/asal-usul tersisa.
• Jaga manfaat bersyarat dan luring.

Pemisahan peran harus mengikuti kemampuan dan ketergantungan. Isolasi perangkat keras mendukung mekanisme keamanan tertentu sementara risiko otorisasi, backup, dan antarmuka tetap ada.

• Merancang alur pemisahan dan menyatakan risiko tersisa
• Merancang pemisahan peran tanpa memberikan kredensial.
• Mengidentifikasi risiko approval, pemulihan, dan antarmuka yang tersisa.

P03-L07 setelah meninjau prasyarat dan koreksi.

NONE dalam katalog otoritatif. Data luring yang diberikan cukup; tidak memerlukan pembelian produk atau operasi dompet.

• [HW] Dokumentasi dompet perangkat keras Trezor — Penandatanganan terisolasi perangkat dan tampilan tepercaya; penjelasan produsen, bukan jaminan keamanan.
• [BIP39] Spesifikasi seed mnemonic BIP-39 — Derivasi mnemonic menjadi seed dengan passphrase opsional; bukan autentikasi data latihan.

Dokumentasi menjelaskan mekanisme. Catatan historis mempertahankan kelas sumber yang dinyatakan. Pemeriksaan sumber bukan penerimaan editorial independen.