Безопасность устройства
Атаки на цепочку поставок могут происходить во время производства, транспортировки, продажи, ремонта или доставки оборудования. Злоумышленники могут заменить устройства или упаковку, предварительно инициализировать кошельки или побудить пользователей использовать поддельное программное обеспечение и материалы для восстановления. После получения устройства UKey риск должен быть всесторонне оценен с помощью множества сигналов, таких как источник покупки, визуальный осмотр, независимая инициализация и официальная проверка.
Сначала посмотрим на вывод:Если устройство поставляется с предустановленным PIN-кодом, заранее написанной мнемонической фразой, ссылкой для скачивания из неизвестного источника или официальные результаты проверки ненормальны, прекратите его использование. Не вводите существующие мнемонические фразы в подозрительные устройства, веб-страницы, клиенты или разговоры со службой поддержки, а также не передавайте активы на адреса, управляемые устройством.
Какую информацию следует проверить в первую очередь после получения устройства?
Проверьте каналы закупок:Убедитесь, что заказы поступают из официальных или явно авторизованных каналов UKey, и избегайте использования подержанного, перепродаваемого или частного оборудования из неизвестных источников.
Проверьте упаковку:Обратите внимание на повреждения, повторную наклейку, ненормальные следы клея, несоответствующую упаковку или отсутствие аксессуаров. При обнаружении отклонения сначала сделайте фотографии и сохраните заказ и логистические ваучеры.
Проверьте внешний вид устройства:Проверьте модель и аксессуары, а также проверьте, нет ли на корпусе, интерфейсах, кнопках, экране и швах признаков подглядывания, замены или ненормального износа.
Ознакомьтесь с сопроводительными материалами:Остерегайтесь карточек и инструкций с просьбой посетить незнакомые веб-сайты, отсканировать неизвестные QR-коды, загрузить групповые файлы или использовать «коды активации» или «официальные мнемоники».
Если пломба упаковки цела, это означает лишь отсутствие явных признаков фальсификации. Пломбы могут быть скопированы, а упаковка может быть заменена полностью, поэтому визуальный осмотр не заменяет проверку устройства и автономную инициализацию.
В каких случаях при первом включении устройства следует немедленно остановиться?
При создании нового кошелька ПИН-код должен быть установлен пользователем, а мнемоническая фраза должна быть сгенерирована и сохранена на доверенном устройстве в соответствии с официальными процедурами. Инициализацию следует прекратить при возникновении любого из следующих условий:
На устройстве установлен ПИН-код, либо продавец предоставляет готовый ПИН-код;
После загрузки уже есть учетные записи кошельков или записи транзакций;
В комплект поставки входит заранее написанная или распечатанная мнемоническая фраза;
Веб-страница, клиент или служба поддержки клиентов требуют ввода мнемонической фразы для завершения активации, проверки или обновления;
Программное обеспечение требует загрузки клиентов, плагинов или прошивки из неизвестных источников.
Красная линия безопасности:UKey Служба поддержки клиентов не требует от пользователей предоставления мнемонических фраз. Любой, кто получит полную мнемоническую фразу, сможет восстановить и контролировать соответствующую учетную запись в других совместимых кошельках.
Используйте официальный портал для завершения проверки устройства
Прежде чем вводить существующие данные для восстановления или передавать ресурсы, выполните официальную процедуру проверки устройства. Конкретные шаги см.Как проверить подлинность устройства UKey?.
Пройденная проверка является важным сигналом, но она не является доказательством того, что упаковка никогда не открывалась, что все внутренние компоненты не подвергались изменениям или что устройство не будет иметь проблем с безопасностью в будущем. Серийный номер, печать или результат первичной проверки следует оценивать вместе с источником покупки, состоянием устройства и автономной инициализацией.
Что делать, если проверка выявила отклонения или устройство оставалось без моего присмотра?
Остановить операцию:Не продолжайте инициализацию, подписание, обновление или ввод существующей мнемонической фразы.
Храните доказательства:Записывайте запросы на проверку, фотографируйте упаковку и местонахождение оборудования, а также сохраняйте информацию о заказе и логистике; не разглашайте полные серийные номера или личную информацию.
Проверить вход:Войдите на официальный сайт UKey и в справочный центр вручную, не используя ссылки, представленные в обертках, объявлениях, личных сообщениях или групповых чатах.
Обратитесь в официальную поддержку:Отправьте информацию об устройстве и аномальных явлениях по официальным общедоступным каналам и дождитесь проверки или послепродажной обработки.
Оцените существующие риски кошелька:Если подозрительное устройство подвергалось воздействию существующих мнемонических фраз или управляло важными активами, считайте, что данные для восстановления потенциально уязвимы, и следуйте официальным инструкциям по созданию нового кошелька и переносу активов на другое доверенное устройство.
То, что устройство во время транспортировки, ремонта, нахождения в общем помещении или после потери оставалось без вашего присмотра, не обязательно означает, что его подменили или модифицировали, однако первоначальная основа доверия изменилась. До завершения официальной проверки нецелесообразно продолжать использовать его в качестве доверенного устройства подписи для важных активов.
Сопутствующие инструкции по безопасности
Резюме
Проверка рисков цепочки поставок не может опираться на одну печать, серийный номер или результат проверки. Надежнее покупать в проверенных источниках, проверять упаковку и состояние устройства, отклонять предустановленные PIN-коды и заранее написанные мнемонические фразы, Используйте официальный портал проверки и немедленно прекращайте работу и обращайтесь в официальную службу поддержки при возникновении исключения.