Transfer UKeyEste o componentă avansată de comunicație securizată încorporată în clientul UKey Wallet, utilizată special pentru migrarea de criptare cross-end a portofelului software cheie privată și a datelor sensibile între diferite dispozitive fizice. Acest document își propune să detalieze mecanismul de apărare criptografic multi-strat și protocolul de comunicare sigură care stau la baza acestei componente.
Descrierea domeniului de aplicare a funcției:Versiunea actuală a componentei UKey Transfer este deschisă numai pentru migrarea datelor în portofelele software. Deoarece portofel hardware implică interacțiuni complexe între cipul de securitate fizică (SE) subiacent și mediul de execuție izolat, protocoalele relevante de interoperabilitate a datelor din partea hardware sunt în curs de dezvoltare și evaluare și vor fi implementate în viitoarele actualizări ale firmware și ale clientului.
1. Principii de bază de securitate și fundație arhitecturală
Arhitectura de securitate a UKey Transfer se bazează pe următoarele trei principii tehnice de bază:
Complet open source și auditat transparent:UKey aderă la principiul open source descentralizat. Codul sursă de bază al aplicației și serverului nostru client a fost făcut public în depozitul oficial și este supus revizuirii codului de către comunitatea globală de securitate a rețelei și dezvoltatori, iar afirmațiile de securitate sunt verificate cu date matematice și criptografice.
Sistem de criptare end-to-end (E2EE): Toate datele cheie privată care urmează să fie migrate sunt criptate și încapsulate la cel mai înalt nivel în memoria locală a dispozitivului expeditor și pot fi decriptate și restaurate numai local pe dispozitivul receptor desemnat. În întreaga legătură de transmisie a datelor, orice nod terță parte, inclusiv serverul oficial UKey, nu poate decripta sau spiona textul simplu al datelor.
Dovada de cunoștințe zero a serverului de retransmisie (Zero-Knowledge):UKey Serverul oficial acționează doar ca facilitate de rețea de bază pentru „releul de semnalizare” și „direcționarea traficului” în timpul procesului de migrare. Serverul nu poate contacta, accesa sau cunoaște orice material cheie sau conținut de date comerciale.
2. Mecanism de derivare a cheilor de criptografie hibridă
Pentru a rezista atacurilor țintite în condiții extreme, UKey Transfer utilizează date eterogene multi-surse pentru a obține împreună cheia finală de criptare (Key Derivation Function, KDF). Pentru a decripta datele, un atacator trebuie să compromită simultan mai multe dimensiuni fizice și cibernetice ale apărării.
1. Schimb dinamic de chei cu curbă eliptică (ECDHE)
Principii tehnice: La începutul migrării datelor session, dispozitivele de la ambele capete negociază direct pentru a genera o cheie session temporară, unică, partajată prin algoritmul ECDHE.
avantaj defensiv: Are securitate directă (Forward Secrecy). Această cheie este generată în întregime local și nu este niciodată transmisă în text clar prin rețea, ceea ce o face necunoscută serverului de retransmisie. Chiar dacă ecranul este înregistrat cu răutate și codul de asociere este scurs, datele din legătura de transmisie nu pot fi interceptate și decriptate.
2. Identificarea asimetrică și rutarea codului de împerechere
Codul lung de asociere generat de sistem este împărțit logic în două părți:
ID traseu (primele 10 caractere): trimis doar la serverul de retransmisie ca ID de conexiune publică, folosit pentru a localiza două dispozitive țintă în rețea care necesită o strângere de mână.
Material cheie cu entropie mare (ultimele 40 de caractere): Ca „sare” de bază cu entropie ridicată a derivării cheilor locale,Absolut nusă fie trimis la orice rețea sau server extern.
3. Injectare mixtă de chei multi-surse
Cheia simetrică utilizată în cele din urmă pentru a cripta datele cheie privată este generată de următorii factori:
Sursa de entropie a mediului local: Acreditările actuale aprobare ale ecranului de blocare ale dispozitivului utilizatorului, numărul local pseudo-aleatoriu generat independent de acest session, identificatorul unic global (UUID) al instanței aplicației și cheia de bază a aplicației încorporate.
Sursă de entropie colaborativă în cloud: ID-ul independent session și numărul aleatoriu pe partea de server emise temporar de serverul de retransmisie pentru această conexiune.
3. Protocolul de apărare activă și verificare a identității
Pe lângă criptarea criptografică statică, sistemul implementează mecanisme stricte de apărare activă și procese manuale de verificare la nivelul de interacțiune.
1. Controlul riscurilor la nivelul serverului și prevenirea fisurii prin forță brută
Solicitați limitarea ratei: Implementați limitarea strictă a frecvenței la solicitările de semnalizare a unui singur dispozitiv la nivel de rețea (limitată la o singură solicitare la fiecare 3 secunde), blocând fundamental scanarea de înaltă frecvență și atacurile de inundații.
Întrerupător (terminare Session): Limita superioară a eșecurilor de verificare a conexiunii pentru codul de asociere este setată în mod greu la 10 ori. Odată atins pragul, sistemul va invalida imediat și definitiv session și resursele cheie asociate.
2. aprobare local și verificare fizică bidirecțională
Autentificare ecran de blocare a terminalului: La declanșarea procesului de export sau de primire a cheii private, sistemul forțează apelarea parolei biometrice la nivel de sistem (Face ID/Touch ID) sau a parolei ecranului de blocare a dispozitivului. Preveniți dispozitivul să fie deturnat fizic de către alții și să fure active atunci când nu este Blocat.
Linia de apărare pentru verificarea rezumatului hash pe 6 biți: După ce dispozitivul este asociat cu succes, dar înainte de a începe transmisia de date, ecranele expeditorului și receptorului vor afișa simultan numărul de 6 cifre cod de verificare generat de parametrii de legătură.Utilizatorii trebuie să verifice vizual dacă numerele de la ambele capete sunt complet consecvente înainte de a transmite aprobare.Acest design este linia fizică supremă de apărare împotriva atacurilor „man-in-the-middle” (MITM).
3. Invalidarea acreditării și întreruperea preventivă
valabilitate unică: Toate codurile de conexiune de asociere sunt simboluri unice și vor fi distruse imediat după verificarea cu succes sau după încheierea session.
Eliminarea preempționării conexiunii ilegale: Dacă un atacator interceptează codul de împerechere și încearcă să stabilească o conexiune falsă în prealabil, atunci când dispozitivul utilizatorului legitim (expeditorul) inițiază o cerere reală de conectare, logica subiacentă a sistemului va întrerupe direct forțat și va elimina starea anterioară de conexiune ilegală, asigurându-se că controlul aparține în mod absolut terminalului fizic legitim.
4. Opțiuni avansate de securitate și implementare privată
Datorită flexibilității arhitecturii open source, UKey permite utilizatorilor cu cerințe extreme de confidențialitate să adopte soluții avansate de izolare a datelor:
Implementarea unui server de releu privat: Utilizatorii pot implementa serverul de transfer UKey pe propriul lor cloud privat controlabil sau pe un server local prin extragerea codului oficial de server open source. și configurați-l în client【Server personalizat】, realizând rutarea semnalizării complet autonomă și controlabilă.
Izolare fizică LAN și transmisie reciprocă (în curs de dezvoltare): În iterațiile viitoare, UKey desktop va accepta servirea ca stație releu de semnalizare pentru o rețea locală (LAN). Până atunci, dispozitivele mobil din aceeași rețea LAN pot finaliza migrarea cheie privată în timp ce se deconectează complet de la Internetul public, realizând o adevărată transmisie de izolare a rețelei la nivel fizic.