UKey perkėlimasTai pažangus saugaus ryšio komponentas, integruotas į UKey Wallet klientą, specialiai naudojamas programinės įrangos piniginės privatus raktas ir jautrių duomenų perkėlimui tarp skirtingų fizinių įrenginių kryžminiam šifravimui. Šiuo dokumentu siekiama išsamiau išnagrinėti daugiasluoksnį kriptografinės apsaugos mechanizmą ir saugaus ryšio protokolą, kuriuo grindžiamas šis komponentas.
Funkcijos apimties aprašymas:Dabartinė UKey perdavimo komponento versija yra atvira tik duomenų perkėlimui programinės įrangos piniginėse. Kadangi aparatinės įrangos piniginė apima sudėtingą sąveiką tarp pagrindinės fizinės saugos lusto (SE) ir izoliuotos vykdymo aplinkos, atitinkami aparatinės įrangos duomenų sąveikumo protokolai yra kuriami ir vertinami ir bus įdiegti būsimuose programinė įranga ir kliento atnaujinimuose.
1. Pagrindiniai saugumo principai ir architektūrinis pagrindas
„UKey Transfer“ saugos architektūra pagrįsta šiais trimis pagrindiniais techniniais principais:
Visiškai atviro kodo ir skaidriai audituotas:UKey laikosi decentralizuoto atvirojo kodo principo. Pagrindinis mūsų kliento programos ir perdavimo serverio šaltinio kodas buvo viešai paskelbtas oficialioje saugykloje, jį peržiūri pasaulinė tinklo saugumo bendruomenė ir kūrėjai, o saugumo teiginiai patvirtinami matematiniais ir kriptografiniais faktais.
Visiška šifravimo sistema (E2EE): Visi privatus raktas duomenys, kuriuos reikia perkelti, yra užšifruoti ir užkoduoti aukščiausiu lygiu siuntėjo įrenginio vietinėje atmintyje, o juos iššifruoti ir atkurti galima tik nurodytame imtuvo įrenginyje. Visoje duomenų perdavimo jungtyje joks trečiosios šalies mazgas, įskaitant oficialų serverį UKey, negali iššifruoti ar šnipinėti paprasto duomenų teksto.
Perdavimo serverio nulinių žinių įrodymas (nulinės žinios):UKey Oficialus serveris veikia tik kaip pagrindinė tinklo priemonė, skirta „signalizavimo perdavimui“ ir „srauto nukreipimui“ perkėlimo proceso metu. Serveris visiškai negali susisiekti, pasiekti ar žinoti jokios pagrindinės medžiagos ar verslo duomenų turinio.
2. Hibridinės kriptografijos raktų išvedimo mechanizmas
Siekdama atsispirti tikslinėms atakoms ekstremaliomis sąlygomis, UKey Transfer naudoja kelių šaltinių nevienalyčius duomenis, kad kartu gautų galutinį šifravimo raktą (rakto išvedimo funkcija, KDF). Norėdami iššifruoti duomenis, užpuolikas turi vienu metu pažeisti kelis fizinius ir kibernetinius gynybos aspektus.
1. Elipsinės kreivės dinaminis raktų keitimas (ECDHE)
Techniniai principai: Duomenų perkėlimo session pradžioje abiejuose galuose esantys įrenginiai tiesiogiai derasi, kad sugeneruotų laikiną, vienkartinį bendrinamą session raktą naudojant ECDHE algoritmą.
gynybinis pranašumas: turi išankstinę apsaugą (Forward Secrecy). Šis raktas sugeneruojamas visiškai lokaliai ir niekada neperduodamas aiškiu tekstu tinkle, todėl perdavimo serveriui jis nežinomas. Net jei ekranas yra piktybiškai įrašytas ir nutekinamas susiejimo kodas, perdavimo jungties duomenų negalima perimti ir iššifruoti.
2. Asimetriškas identifikavimo ir poravimo kodo maršrutas
Sistemos sugeneruotas ilgas susiejimo kodas logiškai padalintas į dvi dalis:
Maršruto ID (pirmosios 10 simbolių): siunčiamas tik į perdavimo serverį kaip viešojo ryšio ID, naudojamas dviejų tikslinių įrenginių, kuriems reikalingas rankos paspaudimas, vieta tinkle rasti.
Didelės entropijos rakto medžiaga (paskutinės 40 simbolių): kaip pagrindinė didelės entropijos vietinio rakto išvedimo „druska“,Visiškai nesiųsti į bet kurį išorinį tinklą ar serverį.
3. Mišrus kelių šaltinių klavišų įpurškimas
Simetrinis raktas, galiausiai naudojamas privatus raktas duomenims užšifruoti, sukuriamas dėl šių veiksnių:
Vietinis aplinkos entropijos šaltinis: dabartiniai vartotojo įrenginio užrakinimo ekrano patvirtinimas kredencialai, vietinis pseudoatsitiktinis skaičius, nepriklausomai sugeneruotas šio session, visuotinai unikalus programos egzemplioriaus identifikatorius (UUID) ir integruotas programos raktas.
Debesų bendradarbiavimo entropijos šaltinis: nepriklausomas session ID ir serverio atsitiktinis skaičius, laikinai išduotas perdavimo serverio šiam ryšiui.
3. Aktyvios gynybos ir tapatybės tikrinimo protokolas
Be statinio kriptografinio šifravimo, sistema sąveikos lygmenyje taiko griežtus aktyviosios gynybos mechanizmus ir rankinius tikrinimo procesus.
1. Serverio pusės rizikos kontrolė ir brutalios jėgos krekingo prevencija
Užklausos normos ribojimas: Įdiekite griežtą dažnio apribojimą vieno įrenginio signalizacijos užklausoms tinklo lygmeniu (apribokite vieną užklausą kas 3 sekundes), iš esmės blokuodami aukšto dažnio nuskaitymą ir užtvindymo atakas.
Grandinės pertraukiklis (Session nutraukimas): Viršutinė poravimo kodo ryšio patvirtinimo trikčių riba yra griežtai nustatyta 10 kartų. Pasiekus slenkstį, sistema nedelsdama ir visam laikui anuliuos session ir susijusius pagrindinius išteklius.
2. Vietinis patvirtinimas ir dvipusis fizinis patikrinimas
Terminalo užrakto ekrano autentifikavimas: suaktyvinus privataus rakto eksportavimo arba gavimo procesą, sistema priverčia iškviesti sistemos lygio biometrinį (veido ID / jutiklinio ID) arba įrenginio užrakinimo ekrano slaptažodį. Neleiskite įrenginio fiziškai užgrobti kitų ir nepavogti turto, kai jis nėra Užrakinta.
6 bitų maišos santraukos patvirtinimo gynybos linija: Sėkmingai suporavus įrenginį, bet prieš pradedant duomenų perdavimą, siuntėjo ir gavėjo ekranuose vienu metu bus rodomas 6 skaitmenų skaičius patvirtinimo kodas, sugeneruotas pagal ryšio parametrus.Prieš perduodant patvirtinimas, vartotojai turi vizualiai patikrinti, ar numeriai abiejuose galuose yra visiškai vienodi.Šis dizainas yra didžiausia fizinė gynybos linija nuo žmogaus viduryje atakų (MITM).
3. Kredito panaikinimas ir prevencinis pertraukimas
vienkartinis galiojimas: visi susiejimo ryšio kodai yra vienkartiniai prieigos raktai ir bus sunaikinti iškart po sėkmingo patikrinimo arba pasibaigus session.
Neteisėto ryšio pirmumo panaikinimas: Jei užpuolikas perima susiejimo kodą ir bando iš anksto užmegzti klaidingą ryšį, kai teisėto vartotojo įrenginys (siuntėjas) inicijuoja tikrą prisijungimo užklausą, pagrindinė sistemos logika per prievartą pertrauks ir pašalins ankstesnę neteisėto ryšio būseną, užtikrindama, kad valdymas absoliučiai priklauso teisėtam fiziniam terminalui.
4. Išplėstinės saugos ir privataus diegimo parinktys
Dėl atvirojo kodo architektūros lankstumo, UKey leidžia vartotojams, turintiems ypatingų privatumo reikalavimų, priimti pažangius duomenų izoliavimo sprendimus:
Privataus perdavimo serverio diegimas: vartotojai gali įdiegti UKey perdavimo serverį savo valdomame privačiame debesyje arba vietiniame serveryje, ištraukdami oficialų atvirojo kodo serverio kodą. ir sukonfigūruokite jį kliente【Pasirinktinis serveris】, pasiekiant visiškai savarankišką ir valdomą signalizacijos maršrutą.
LAN fizinė izoliacija ir abipusis perdavimas (kuriamas): Ateities iteracijose UKey darbalaukis palaikys vietinio tinklo (LAN) signalizacijos perdavimo stotį. Iki to laiko mobilusis įrenginiai tame pačiame LAN gali užbaigti privatus raktas perkėlimą ir visiškai atsijungti nuo viešojo interneto ir pasiekti tikrą fizinio lygio tinklo izoliacijos perdavimą.