Anahtarlarınız nerede durur, kim ulaşabilir?

Anahtarlarınız telefonunuzda üretilir

Bir cüzdan oluşturduğunuzda OB Wallet kurtarma ifadenizi telefonda üretir. Uygulamadaki her adres, EVM zincirlerinde, Bitcoin, Tron, Solana ve TON'da, bu tek ifadeden türetilir.

Sunucularımızda bir kopyası yoktur. Kopyayı tutacak bir hesap da yoktur: e-posta, telefon numarası, kayıt yok.

Telefonun donanımda tuttuğu bir anahtarla şifrelenir

Kurtarma ifadesi hiçbir yerde düz metin olarak saklanmaz. Android Keystore'da duran bir anahtarla, XChaCha20-Poly1305 ile şifrelenir: telefonda StrongBox güvenlik çipi varsa onun içinde, yoksa telefonun güvenli yürütme ortamında (TEE). Bu anahtar donanımdan dışarı kopyalanamaz.

Bu anahtar telefonunuzun ekran kilidine bağlıdır: Android onu ancak siz olduğunuzu kanıtladıktan sonra kullandırır; çalınan telefon bir cüzdan değil, işe yaramaz bir cihazdır. Tahmin edilen bir parola ile kasa arasında bellek-yoğun bir işlev (Argon2) durur; parolaları art arda denemek değmeyecek kadar pahalıdır. Telefonun dosyalarını kopyalayan biri yalnızca şifreli veri elde eder.

İşlemler cihazda imzalanır

Anahtarlar telefonda, Rust ile yazılmış küçük bir çekirdekte türetilir ve işlemler orada imzalanır. Anahtar donanımdan yalnızca bu çekirdeğe gider: uygulamanın ekranlarından hiç geçmez ve çekirdek işi biter bitmez onu bellekten siler.

Çekirdek Apache-2.0 lisanslıdır ve herkesin denetleyebilmesi için yayımlanacak. Yayımlanana kadar bu sayfa onu anlatır; henüz sizin kontrol edebileceğiniz bir kanıt değildir.

Yaygın dolandırıcılıklara karşı korumalar

Benzer adresler: dolandırıcılar, ödeme yaptığınız adreslerle aynı başlayıp biten adresleri geçmişinize yerleştirir. Onay ekranında adres, kayıtlı bir kişiye ya da ödeme yaptığınız bir adrese başı ve sonuyla benzeyip ortası farklıysa OB Wallet sizi uyarır. Herhangi bir Tron ya da Ethereum adresini web'de de kontrol edebilirsiniz: /check.

Uygulama ekran görüntüsü almayı ve ekran kaydını engeller; kurtarma ifadeniz yanlışlıkla fotoğraf arşivine ya da bulut yedeğine düşmez.

Neyi yapamayız

Ne anahtar ne para tutarız; bu yüzden paranızı donduramayız, cüzdanınızı kapatamayız, bir gönderimi durduramayız. Aynı sebeple kaybolan bir kurtarma ifadesini de geri getiremeyiz. İfadeyi yazın ve güvenli bir yerde saklayın: ifadeyle cüzdanı yeni bir telefona geri yüklersiniz; ifade olmadan kimse yükleyemez.

Kartla alımları lisanslı ödeme sağlayıcıları kendi şartları altında yapar; sattıkları kripto doğrudan sizin adresinize gelir.

Güvenlik açığı bildirin

ob@obolium.com adresine "Security disclosure" konusuyla yazın. Ne bulduğunuzu, nasıl tekrarlanacağını ve hangi uygulama sürümünü kullandığınızı yazın; yayımlamadan önce düzeltmemiz için makul bir süre tanıyın. İletişim bilgilerimiz /.well-known/security.txt adresinde de var.