Лепшыя практыкі бяспекі

Гэты дапаможнік ахоплівае асноўныя практыкі бяспекі для абароны вашага кашалька TALER і актываў.

Разуменне wallet.dat - крыніца праўды вашага кашалька

Што такое wallet.dat?

Файл wallet.dat - гэта адзіная крыніца праўды для вашага кашалька TALER. Гэты файл базы дадзеных Berkeley DB змяшчае ўсё неабходнае для доступу і выдатку вашых манет:

Крытычныя дадзеныя, якія захоўваюцца:

• Прыватныя ключы: Крыптаграфічныя ключы, якія кантралююць вашы манеты TALER
• HD Wallet Seed: Галоўнае зерне для ієрархічнага дэтэрмінаванага вывядзення ключоў
• Гісторыя транзакцый: Поўны запіс усіх транзакцый кашалька
• Адрасная кніга: Захаваныя адрасы з меткамі
• Метададзеныя ключоў: Час стварэння, шляхі вывядзення, асацыяцыі ключоў
• Галоўны ключ шыфравання: Зашыфраваны ключавы матэрыял (калі кашалёк зашыфраваны)

Размяшчэнне файла:

• Windows: %APPDATA%\TALER\wallet.dat
• macOS: ~/Taler/wallet.dat
• Linux: ~/.taler/wallet.dat

Чаму wallet.dat крытычна важны

Калі вы страціце wallet.dat, вы страціце свае манеты назаўсёды.

• Няма аднаўлення “забыў пароль”
• Ніякая кампанія або ўлада не можа аднавіць доступ
• Транзакцыі блокчэйна незваротныя
• Вашы манеты = Ваша адказнасць

Файл wallet.dat - гэта адначасова ваш найбуйнейшы актыў і ваша найбуйнейшая ўразлівасць.

Стан бяспекі па змаўчанні

Кашалёк НЕ зашыфраваны па змаўчанні

Важна: Калі вы ўпершыню ствараеце кашалёк TALER, ён цалкам незашыфраваны.

Гэта азначае:

• Прыватныя ключы захоўваюцца ў адкрытым тэксце унутры wallet.dat
• Любы, хто мае доступ да вашага кампутара, можа скапіяваць wallet.dat
• Калі wallet.dat скрадзены, вашы манеты могуць быць выдаткаваны адразу
• Для адпраўкі транзакцый не патрабуецца пароль

Патрабуецца дзеянне: Вы павінны ўручную зашыфраваць свой кашалёк для яго абароны.

Шыфраванне вашага кашалька

Як зашыфраваць свой кашалёк

Выкарыстоўваючы GUI taler-qt:

1. Адкрыйце кашалёк taler-qt
2. Перайдзіце ў меню Settings
3. Абярыце “Encrypt Wallet”
4. Увядзіце моцны пароль (глядзіце патрабаванні ніжэй)
5. Пацвердзіце пароль
6. Пачакайце завяршэння працэсу шыфравання

Кашалёк:

• Згенеруе выпадковы 32-байтны галоўны ключ
• Вывядзе ключ шыфравання з вашага пароля з дапамогай SHA-512
• Зашыфруе ўсе прыватныя ключы з дапамогай AES-256-CBC
• Выканае поўную перазапіс базы дадзеных для выдалення незашыфраваных дадзеных
• Згенеруе новае HD зерне для будучага вывядзення ключоў

Выкарыстоўваючы каманднy радок:

taler-cli encryptwallet "ваш-моцны-пароль-тут"

Тэхнічныя дэталі шыфравання

Алгарытм: AES-256-CBC (Advanced Encryption Standard, 256-бітны ключ, рэжым Cipher Block Chaining)

Вывядзенне ключа:

• Метад: Вывядзенне ключа на аснове SHA-512
• Ітэрацыі: Адаптыўныя (мінімум 25,000, звычайна ~100,000+)
• Соль: 8 выпадковых байтаў на галоўны ключ
• Аптымізавана па прадукцыйнасці да прыкладна 0.1 секунды на разблакіроўку

Функцыі бяспекі:

• Галоўны ключ зашыфраваны ключом, вытворным з пароля
• Кожны прыватны ключ зашыфраваны галоўным ключом
• База дадзеных цалкам перазапісваецца для ліквідацыі слабіны прасторы
• Бяспечная апрацоўка памяці з аўтаматычным ачышчэннем памяці
• Вектары ініцыялізацыі вытворныя з ключавога матэрыялу

Выбар моцнага пароля

Патрабаванні да пароля:

• Мінімум: 1 сімвал (тэхнічна)
• Рэкамендуецца: 20+ сімвалаў з высокай энтрапіяй
• Лепшая практыка: Выкарыстоўвайце генератар парольных фразаў або метад Diceware

Рэкамендацыі па паролю:

• ✓ Выкарыстоўвайце доўгую, выпадковую камбінацыю слоў
• ✓ Уключайце лічбы, сімвалы, вялікія і малыя літары
• ✓ Зрабіце яго запамінальным, але непрадказальным
• ✓ Не выкарыстоўвайце асабістую інфармацыю (імёны, дні нараджэння)
• ✓ Не выкарыстоўвайце толькі словы са слоўніка
• ✗ Не выкарыстоўвайце паўторна паролі з іншых сэрвісаў
• ✗ Не выкарыстоўвайце кароткія паролі (< 12 сімвалаў)

Прыклады моцных парольных фразаў:

• Correct-Horse-Battery-Staple-92!Purple
• My#Taler$Wallet%Has&8943*Coins
• 7-Elephant-Dancing-@-Midnight-2025

Папярэджанне: Калі вы забыліся свой пароль, вашы сродкі назаўсёды страчаны. Няма механізму аднаўлення.

Пасля шыфравання

Пасля шыфравання ваш кашалёк будзе:

• Патрабаваць пароль для адпраўкі транзакцый
• Аўтаматычна блакавацца пасля таймаўта (па змаўчанні: ніколі, але наладжвальна)
• Абараняць прыватныя ключы нават калі wallet.dat скрадзены
• Прадухіляць несанкцыянаваны выдатак вашых манет

Стратэгіі рэзервовага капіявання кашалька

Чаму рэзервовае капіяванне важна

Рэзервовае капіяванне абараняе ад:

• Збою жорсткага дыска
• Страты або крадзяжу кампутара
• Выпадковага выдалення
• Пашкоджання файла
• Атак праграм-вымагальнікаў

Памятайце: Няма рэзервовай копіі = Няма аднаўлення

Як зрабіць рэзервовую копію wallet.dat

Метад 1: Ручное рэзервовае капіяванне файла (Рэкамендуецца)

1. Закрыйце кашалёк taler-qt (важна!)
2. Знайдзіце файл wallet.dat:
   • Windows: %APPDATA%\TALER\wallet.dat
   • macOS: ~/Taler/wallet.dat
   • Linux: ~/.taler/wallet.dat
3. Скапіруйце wallet.dat у бяспечнае месца:
   • Знешні USB-накапляльнік (зашыфраваны)
   • Зашыфраванае воблачнае сховішча (кантэйнер VeraCrypt і г.д.)
   • Некалькі фізічных месцаў для рэзервавання
4. Праверце рэзервовую копію, правяраючы памер і дату файла

Метад 2: Выкарыстанне каманды dumpwallet

Для незашыфраваных або разблакаваных кашалькоў:

taler-cli dumpwallet "/шлях/да/рэзервовай/wallet-backup.txt"

Гэта стварае тэкставы файл з усімі прыватнымі ключамі ў фармаце WIF.

Метад 3: Рэзервовае капіяванне HD зерня

Калі выкарыстоўваецца HD кашалёк (па змаўчанні для новых кашалькоў):

• Зрабіце рэзервовую копію HD зерня (адлюстроўваецца пры стварэнні кашалька)
• Усе будучыя ключы могуць быць вытворныя з гэтага зерня
• Захоўвайце зерне бяспечна ў аўтаномным рэжыме (папера, металічная рэзервовая копія)

Лепшыя практыкі рэзервовага капіявання

Частата:

• Рэзервовая копія адразу пасля шыфравання кашалька
• Рэзервовая копія пасля генерацыі многіх новых адрасоў
• Рэзервовая копія перад асноўнымі аперацыямі з кашальком
• Рэгулярныя рэзервовыя копіі (штотыдня/штомесяц для актыўных кашалькоў)

Месцы захоўвання:

• ✓ Некалькі копій у розных фізічных месцах
• ✓ Зашыфраваныя знешнія накапляльнікі (USB, знешні SSD)
• ✓ Аўтаномнае сховішча (кампутар без сеткі, сейф у банку)
• ✓ Зашыфраванае воблачнае сховішча (спачатку зашыфруйце, потым загрузіце)
• ✗ Ніколі не захоўвайце незашыфраваныя рэзервовыя копіі ў воблачных сэрвісах
• ✗ Ніколі не адпраўляйце рэзервовыя копіі кашалька сабе па электроннай пошце
• ✗ Ніколі не захоўвайце на дыскаў, даступных па сетцы

Шыфраванне для рэзервовых копій:

• Шыфруйце файлы рэзервовых копій перад знешнім захоўваннем
• Выкарыстоўвайце такія інструменты, як VeraCrypt, GPG або 7-Zip з AES-256
• Захоўвайце пароль шыфравання асобна ад рэзервовай копіі
• Разгледзьце апаратна зашыфраваныя USB-накапляльнікі

Тэставанне рэзервовых копій

Праверце, што ваша рэзервовая копія працуе:

1. Стварыце тэставае аднаўленне на асобнай сістэме
2. Скапіруйце рэзервовую копію ў тэставае месца
3. Запусціце кашалёк з тэставым каталогам дадзеных
4. Праверце, што адрасы і баланс супадаюць
5. Не адпраўляйце транзакцыі з тэставага аднаўлення

Ніколі не давярайце рэзервовай копіі, якую вы не тэставалі.

Блакаванне і разблакіроўка кашалька

Разблакіроўка вашага кашалька

Пасля шыфравання вам трэба будзе разблакаваць свой кашалёк для адпраўкі транзакцый.

Выкарыстоўваючы GUI taler-qt:

• Пры адпраўцы транзакцыі аўтаматычна з’яўляецца запыт пароля
• Увядзіце пароль для падпісання транзакцыі
• Кашалёк паўторна блакуецца пасля заканчэння таймаўта (калі ўстаноўлены таймаўт)

Выкарыстоўваючы каманднy радок:

# Разблакаваць кашалёк на 300 секунд (5 хвілін)
taler-cli walletpassphrase "ваш-пароль" 300

# Разблакаваць кашалёк бестэрмінова (да ручнога блакавання або перазапуску)
taler-cli walletpassphrase "ваш-пароль" 0

Параметр таймаўта:

• Вызначае секунды, калі кашалёк застаецца разблакаваным
• Максімум: 100,000,000 секунд (~3.17 года)
• 0 = разблакаваны да перазапуску дэмана
• Кашалёк аўтаматычна паўторна блакуецца пасля заканчэння таймаўта

Змена вашага пароля

Калі вам трэба змяніць пароль кашалька:

Выкарыстоўваючы каманднy радок:

taler-cli walletpassphrasechange "стары-пароль" "новы-пароль"

Працэс:

• Праверае стары пароль
• Паўторна шыфруе ўсе ключы новым паролем
• Абнаўляе сховішча галоўнага ключа
• Зрабіце рэзервовую копію кашалька пасля змены пароля

Калі трэба змяніць пароль:

• Падазрэнне ў кампраметацыі
• Пароль быў слабым
• Раней падзяліліся з кім-небудзь
• Рэгулярная практыка бяспекі (штогод)

Бяспека файлавай сістэмы

Абарона wallet.dat на дыску

Дазволы на файл (Linux/macOS):

# Усталяваць абмежавальныя дазволы на wallet.dat
chmod 600 ~/.taler/wallet.dat

# Пераканайцеся, што каталог кашалька прыватны
chmod 700 ~/.taler

Гэта гарантуе, што толькі ваш уліковы запіс можа чытаць/пісаць кашалёк.

Windows:

• Націсніце правай кнопкай мышы на wallet.dat → Уласцівасці → Бяспека
• Выдаліце ўсіх карыстальнікаў, акрамя вашага ўліковага запісу
• Усталюйце дазволы толькі на Чытанне і Запіс для вашага карыстальніка

Бяспечнае выдаленне

Калі вам трэба выдаліць старыя рэзервовыя копіі кашалька:

Linux:

shred -vfz -n 10 old-wallet-backup.dat

macOS:

srm -v old-wallet-backup.dat

Windows: Выкарыстоўвайце такія інструменты, як SDelete або Eraser, для бяспечнага сцірання файлаў.

Ніколі не выкарыстоўвайце стандартнае выдаленне для файлаў кашалька - яны могуць быць адноўлены.

Дадатковыя меры бяспекі

Антывірус і анты-зламыснае ПЗ

Рызыкі:

• Клавіятурныя шпіёны могуць перахапіць ваш пароль
• Зламыснае ПЗ для захопу экрана можа скрасці змесціва кашалька
• Перахопнікі буфера абмену могуць замяняць адрасы
• Праграмы-вымагальнікі могуць зашыфраваць ваш wallet.dat

Абарона:

• Трымайце антывіруснае ПЗ абноўленым
• Выкарыстоўвайце надзейнае ПЗ бяспекі
• Рэгулярна скануйце сістэму
• Будзьце асцярожныя з невядомымі спампоўкамі
• Не націскайце на падазроныя укладанні электроннай пошты

Бяспека сеткі

Бяспека інтэрфейсу RPC:

Калі выконваецца talerd з уключаным RPC:

# У taler.conf
rpcuser=ваш_лагін
rpcpassword=ваш_моцны_пароль
rpcallowip=127.0.0.1  # Толькі localhost

Ніколі не выстаўляйце RPC у публічны інтэрнэт:

• Прывязвайце RPC толькі да localhost (rpcbind=127.0.0.1)
• Выкарыстоўвайце браўндмаўэр для блакавання знешняга доступу RPC
• Выкарыстоўвайце моцныя ўліковыя дадзеныя RPC
• Не выкарыстоўвайце паролі па змаўчанні

Шыфраванне кашалька і шыфраванне дыска

Эшаланіраваная абарона:

• Шыфраванне кашалька абараняе, калі wallet.dat скрадзены
• Шыфраванне дыска (BitLocker, FileVault, LUKS) абараняе ўсю сістэму
• Выкарыстоўвайце абодва для максімальнай бяспекі

Перавагі шыфравання дыска:

• Абараняе ад фізічнай крадзяжу
• Шыфруе ўсе файлы, а не толькі кашалёк
• Абараняе журналы адладкі і часовыя файлы
• Патрабуецца, калі ноўтбук падарожнічае з вамі

Халоднае сховішча для вялікіх суммаў

Для значных колькасцяў TALER:

1. Стварыце аўтаномны кашалёк на кампутары без сеткі
2. Згенеруйце адрас атрымання у аўтаномным рэжыме
3. Перакажыце манеты на адрас халоднага кашалька
4. Зрабіце рэзервовую копію wallet.dat і HD зерня у некалькіх бяспечных месцах
5. Захоўвайце рэзервовую копію ў фізічным сейфе або ў сейфе банка
6. Ніколі не падключайце кампутар халоднага кашалька да інтэрнэту

Выдатак з халоднага сховішча:

• Стварыце непадпісаную транзакцыю на кампутары ў сетцы
• Перадайце на аўтаномны кампутар праз USB
• Падпішыце транзакцыю ў аўтаномным рэжыме
• Перадайце падпісаную транзакцыю назад на кампутар у сетцы
• Транслюйце ў сетку

Меркаванні бяспекі базы дадзеных

Прыватны рэжым Berkeley DB

Кашалёк TALER выкарыстоўвае Berkeley DB з уключаным прыватным рэжымам па змаўчанні (сцяжок -privdb).

Што гэта азначае:

• Файлы базы дадзеных недаступныя праз агульную памяць
• Прадухіляе чытанне дадзеных кашалька іншымі працэсамі
• Паляпшае прыватнасць і бяспеку

Слабіны прасторы базы дадзеных

Функцыя бяспекі: Калі вы шыфруеце свой кашалёк, TALER выконвае поўную перазапіс базы дадзеных.

Чаму гэта важна:

• Berkeley DB можа пакінуць незашыфраваныя дадзеныя ў “слабіне прасторы”
• Слабіна прасторы = невыкарыстаныя вобласці файла базы дадзеных
• Поўная перазапіс ліквідуе гэты рызыка
• Незашыфраваныя ключы не падлягаюць аднаўленню пасля шыфравання

Файл блакавання базы дадзеных

TALER стварае файл .walletlock для прадухілення адначасовага доступу:

• Прадухіляе пашкоджанне базы дадзеных
• Гарантуе, што толькі адзін працэс атрымлівае доступ да кашалька
• Калі вы бачыце памылку “wallet already in use”, выконваецца іншы працэс

Бяспека журналявання адладкі

Меркаванні файла журнала

Журналы адладкі могуць утрымліваць канфідэнцыяльную інфармацыю:

• Дэталі транзакцый
• Інфармацыя аб адрасах
• Дадзеныя падключэння
• Інфармацыя аб часе

Размяшчэнне журнала:

• Windows: %APPDATA%\TALER\debug.log
• macOS: ~/Taler/debug.log
• Linux: ~/.taler/debug.log

Лепшыя практыкі:

• Не дзяліцеся журналамі адладкі публічна без санітарнай апрацоўкі
• Абмяжуйце дазволы на файл debug.log
• Адключыце падрабязнае журналяванне, калі не патрабуецца (-debug=0)
• Перыядычна ачышчайце старыя журналы

Кантрольны спіс бяспекі

Асноўныя крокі бяспекі

• Зашыфруйце свой кашалёк з моцным паролем
• Зрабіце рэзервовую копію wallet.dat у некалькі бяспечных месцаў
• Праверце сваю рэзервовую копію аднаўленнем на тэставай сістэме
• Запішыце HD зерне (калі выкарыстоўваецца HD кашалёк)
• Усталюйце абмежавальныя дазволы на файл на wallet.dat (600)
• Уключыце шыфраванне дыска (BitLocker/FileVault/LUKS)
• Выкарыстоўвайце моцныя ўліковыя дадзеныя RPC, калі выконваецца дэман
• Трымайце сістэму і антывірус абноўленымі
• Ніколі не дзяліцеся паролем ні з кім

Рэгулярнае абслугоўванне бяспекі

Штомесяц:

• Стварыце свежую рэзервовую копію wallet.dat
• Праверце, што існуючыя рэзервовыя копіі даступныя
• Праверце наяўнасць абнаўленняў і патчаў сістэмы
• Праверце актыўныя падключэнні RPC (калі прымяняльна)

Штогод:

• Разгледзьце магчымасць змены пароля кашалька
• Правядзіце аўдыт месцаў рэзервовага капіявання і бяспекі
• Праверце працэдуру аднаўлення кашалька
• Праверце агульную наладу бяспекі

Распаўсюджаныя памылкі бяспекі

Не рабіце гэтага

❌ Захоўванне кашалька ў папках сінхранізацыі воблака:

• Dropbox, Google Drive, iCloud, OneDrive
• Можа сінхранізаваць пашкоджаныя файлы падчас запісу
• Выстаўляе wallet.dat воблачнаму сэрвісу
• Канфлікты сінхранізацыі могуць пашкодзіць кашалёк

❌ Выкарыстанне слабых парольных фразаў:

• Кароткія паролі (< 12 сімвалаў)
• Толькі словы са слоўніка
• Асабістая інфармацыя (дзень нараджэння, імя хатняй жывёлы)
• Распаўсюджаныя паролі (Password123 і г.д.)

❌ Падзел wallet.dat:

• Некалькі чалавек выкарыстоўваюць адзін кашалёк
• Адпраўка wallet.dat па електроннай пошце/чаце
• Захоўванне незашыфраванага на агульных дыскаў

❌ Ігнараванне рэзервовых копій:

• Менталітэт “я зраблю рэзервовую копію пазней”
• Адзінае месца рэзервовага капіявання
• Ніколі не тэставаць рэзервовыя копіі
• Старыя рэзервовыя копіі (адсутнічаюць апошнія ключы)

❌ Пакінуць кашалёк разблакаваным бестэрмінова:

• Разблакіроўка з timeout=0 дзеляручнасці
• Доўгія перыяды таймаўта на агульных/публічных кампутарах

Што рабіць, калі кампраметаваны

Калі вы падазраеце кампраметацыю кашалька

Неадкладныя дзеянні:

1. Стварыце новы бяспечны кашалёк на чыстай сістэме
2. Перакажыце ўсе сродкі у новы кашалёк неадкладна
3. Адключыце кампраметаваны кампутар ад сеткі
4. Змяніце ўсе паролі і паролі
5. Праскануйце сістэму на зламыснае ПЗ дакладна
6. Перабудуйце кампраметаваную сістэму з чыстай установкі АС

Калі кашалёк страчаны або скрадзены

Калі ў вас ёсць рэзервовая копія:

1. Аднавіце wallet.dat з рэзервовай копіі
2. Стварыце новы кашалёк на бяспечнай сістэме
3. Перакажыце ўсе сродкі ў новы кашалёк
4. Пакіньце стары кашалёк

Калі ў вас няма рэзервовай копіі:

• Вашы сродкі назаўсёды страчаны
• Аднаўленне немагчымае
• Вывучыце гэты вопыт
• Заўсёды рабіце рэзервовыя копіі будучых кашалькоў

Прасунутыя тэмы бяспекі

Кашалькі з множнымі подпісамі

Для арганізацыйнага выкарыстання або павышанай бяспекі:

• Патрабуюць некалькіх подпісаў для аўтарызацыі транзакцый
• Абараняе ад кампраметацыі аднаго ключа
• Карысна для кіравання бізнесам/казначэйствам
• Патрабуе ўважлівай наладкі і кіравання ключамі

Апаратныя кашалькі

У цяперашні час TALER не мае спецыяльнай падтрымкі апаратных кашалькоў, але вы можаце:

• Выкарыстоўваць кампутар без сеткі як халоднае сховішча
• Захоўваць wallet.dat на зашыфраванай апаратнай прыладзе
• Выкарыстоўваць апаратна зашыфраваныя USB-накапляльнікі для рэзервовых копій

Кашалькі толькі для назірання

Стварыце кашалёк толькі для назірання для маніторынгу балансу без магчымасці выдаткоў:

• Імпартуйце адрасы без прыватных ключоў
• Сачыце за ўваходнымі транзакцыямі
• Бяспечна выкарыстоўваць на падлучаных да інтэрнэту сістэмах
• Не можа адпраўляць транзакцыі

Атрыманне дапамогі

Пытанні па бяспецы

Калі ў вас ёсць праблемы з бяспекай:

• НЕ дзяліцеся сваім паролем або прыватнымі ключамі
• НЕ публікуйце wallet.dat публічна
• НЕ дзяліцеся журналамі адладкі без санітарнай апрацоўкі

Дзеля дапамогі з бяспекай:

• Наведайце Каналы супольнасці
• Задавайце агульныя пытанні, не раскрываючы канфідэнцыяльных дэталяў
• Кансультуйцеся з экспертамі па бяспецы крыптавалют

Рэзюмэ

Ключавыя вынікі:

1. wallet.dat - гэта ўсё - страціце яго, страціце свае манеты
2. Не зашыфраваны па змаўчанні - вы павінны зашыфраваць уручную
3. Патрабуецца моцны пароль - рэкамендуецца 20+ сімвалаў
4. Рэзервовыя копіі ў некалькіх месцах - тэсціруйце свае рэзервовыя копіі
5. Выкарыстоўвайце таймаўты разблакіроўкі - кашалёк аўтаматычна блакуецца пасля таймаўта
6. Эшаланіраваная абарона - выкарыстоўвайце некалькі ўзроўняў бяспекі
7. Ваша адказнасць - ніякая кампанія не можа аднавіць страчаныя кашалькі

Бяспека - гэта працэс, а не прадукт. Будзьце пільнымі, будзьце бяспечнымі.