Sécurité des appareils
Les attaques de la chaîne d'approvisionnement peuvent survenir lors de la production, du transport, de la vente, de la réparation ou de la livraison d'équipements. Les attaquants peuvent remplacer les appareils ou les emballages, pré-initialiser les portefeuilles ou inciter les utilisateurs à utiliser de faux logiciels et matériels de récupération. Après avoir reçu l'appareil UKey, le risque doit être évalué de manière exhaustive à l'aide de plusieurs signaux tels que la source d'achat, l'inspection visuelle, l'initialisation indépendante et la vérification officielle.
Voyons d'abord la conclusion:Si l'appareil est livré avec un code PIN prédéfini, une phrase mnémonique pré-écrite, un lien de téléchargement provenant d'une source inconnue ou si les résultats de la vérification officielle sont anormaux, veuillez cesser de l'utiliser. N'entrez pas de phrases mnémoniques existantes dans des appareils, des pages Web, des clients ou des conversations du service client suspects, et ne transférez pas d'actifs vers des adresses gérées par l'appareil.
Quelles informations dois-je vérifier en premier après avoir reçu l'appareil ?
Vérifiez les canaux d'achat :Confirmez que la commande provient de UKey canaux officiels ou clairement autorisés, et évitez les équipements d'occasion, de revente ou d'échange privé provenant de sources inconnues.
Vérifiez l'emballage :Faites attention aux dommages, aux collages répétés, aux marques de colle anormales, aux emballages incohérents ou aux accessoires manquants. Lorsqu'une anomalie est découverte, prenez d'abord des photos et conservez les bons de commande et de logistique.
Vérifiez l'apparence de l'appareil :Vérifiez le modèle et les accessoires, et vérifiez s'il y a des signes de levier, de remplacement ou d'usure anormale sur le boîtier, les interfaces, les boutons, l'écran et les coutures.
Vérifiez les documents d'accompagnement :Méfiez-vous des cartes et des instructions qui vous obligent à visiter des sites Web inconnus, à scanner des codes QR inconnus, à télécharger des fichiers de groupe ou à utiliser des « codes d'activation » ou des « mnémoniques officiels ».
Si le sceau de l'emballage est intact, cela signifie simplement qu'il n'y a aucun signe évident d'altération. Les scellés peuvent être copiés et l'emballage peut être remplacé dans son intégralité, de sorte que l'inspection visuelle ne remplace pas la vérification du dispositif et l'initialisation autonome.
Lors de la première mise sous tension de l’appareil, dans quels cas faut-il s’arrêter immédiatement ?
Lors de la création d'un nouveau portefeuille, le code PIN doit être défini par l'utilisateur et la phrase mnémonique doit être générée et sauvegardée sur un appareil de confiance en suivant les procédures officielles. L'initialisation doit être arrêtée si l'une des conditions suivantes se produit :
L'appareil dispose d'un code PIN défini, ou le vendeur fournit un code PIN qui peut être utilisé directement ;
Il existe déjà des comptes de portefeuille ou des enregistrements de transactions après le démarrage ;
Le paquet est livré avec une phrase mnémonique pré-écrite ou imprimée ;
La page Web, le client ou le service client nécessite la saisie d'une phrase mnémonique pour terminer l'activation, la vérification ou la mise à niveau ;
Le logiciel nécessite le téléchargement de clients, de plug-ins ou de micrologiciels provenant de sources inconnues.
Ligne rouge de sécurité :UKey Le service client n'exige pas que les utilisateurs fournissent des expressions mnémoniques. Toute personne obtenant une phrase mnémonique complète pourra récupérer et contrôler le compte correspondant dans d'autres portefeuilles compatibles.
Utilisez le portail officiel pour terminer la vérification de l'appareil
Avant de saisir des données de récupération existantes ou de transférer des actifs, veuillez suivre le processus officiel pour vérifier l'appareil. Pour des étapes spécifiques, voirComment puis-je vérifier qu'un appareil UKey est authentique ?.
Une vérification réussie est un signal important, mais elle ne prouve pas à elle seule que l'emballage n'a jamais été ouvert, que tous les composants internes n'ont pas été modifiés ou que l'appareil ne présentera pas de problèmes de sécurité à l'avenir. Le numéro de série, le sceau ou le résultat de la vérification primaire doivent être jugés en même temps que la source d'achat, l'état de l'appareil et l'initialisation autonome.
Que faire si la vérification présente une anomalie ou si l’appareil a été hors de ma garde ?
Arrêter l'opération :Ne continuez pas l'initialisation, la signature, la mise à niveau ou la saisie d'une phrase mnémonique existante.
Conservez les preuves :Enregistrer les invites de vérification, photographier les emplacements anormaux de l'emballage et de l'équipement et enregistrer les informations de commande et de logistique ; ne divulguez pas publiquement les numéros de série complets ou les informations personnelles.
Vérifier l'entrée :Accédez manuellement au site Web officiel et au centre d'aide de UKey, sans utiliser les liens fournis dans les wrappers, les publicités, les messages privés ou les discussions de groupe.
Contacter le support officiel :Soumettez les informations sur l'appareil et les phénomènes anormaux via les canaux publics officiels et attendez la vérification ou le traitement après-vente.
Évaluez les risques de portefeuille existants :Si l'appareil suspect a été exposé à des phrases mnémoniques existantes ou a géré des actifs importants, veuillez considérer les données de récupération comme potentiellement exposées et suivre les instructions officielles pour créer un nouveau portefeuille et migrer les actifs sur un autre appareil de confiance.
Le fait qu’un appareil ait été hors de votre garde pendant le transport, une réparation, dans un espace partagé ou après une perte ne signifie pas nécessairement qu’il a été altéré, mais sa base de confiance initiale a changé. Avant que la vérification officielle ne soit terminée, il n'est pas approprié de continuer à l'utiliser comme dispositif de signature fiable pour des actifs importants.
Consignes de sécurité associées
Résumé
La vérification des risques liés à la chaîne d'approvisionnement ne peut pas reposer sur un seul sceau, numéro de série ou résultat de vérification. Il est plus fiable d'acheter auprès de sources fiables, de vérifier l'emballage et l'état de l'appareil, de rejeter les codes PIN prédéfinis et les phrases mnémoniques pré-écrites, Utilisez le portail de vérification officiel, arrêtez immédiatement l'opération et contactez l'assistance officielle lorsqu'une exception se produit.