คีย์ ที่อยู่ และวลีกู้คืน

สี่สิ่งที่คนเรียกรวม ๆ ว่า «กระเป๋าเงิน»

ที่อยู่คือตัวระบุสาธารณะ เป็นจุดที่มูลค่าถูกส่งไปถึง ปลอดภัยที่จะแบ่งปันเพื่อวัตถุประสงค์นั้น และมันเปิดเผยกิจกรรมของคุณต่อทุกคนที่เข้าไปดู คีย์สาธารณะมีส่วนช่วยตรวจว่าลายเซ็นเป็นของแท้ คีย์ส่วนตัวใช้อนุญาตการกระทำ กล่าวคือมันสร้างลายเซ็นที่เครือข่ายตรวจสอบ ส่วนวลีกู้คืน ซึ่งมักเป็นคำธรรมดาสิบสองหรือยี่สิบสี่คำ คือรหัสแบบกระชับที่ใช้แตกคีย์ส่วนตัวออกมาได้หนึ่งหรือหลายคีย์

สิ่งเหล่านี้เรียงกันเป็นลำดับชั้น วลีกู้คืนสร้างคีย์ส่วนตัวขึ้นใหม่ได้ คีย์ส่วนตัวสร้างลายเซ็น และลายเซ็นเคลื่อนย้ายมูลค่า ใครก็ตามที่ถือชั้นหนึ่งไว้ย่อมประกอบทุกอย่างที่อยู่ต่ำกว่านั้นขึ้นใหม่ได้ ด้วยเหตุนี้วลีจึงเป็นความลับที่อันตรายที่สุดในระบบ อันตรายยิ่งกว่ารหัสผ่านธนาคาร เพราะมันคือตัวบัญชีเอง ไม่ใช่แค่การเข้าถึงบัญชี

ตัวแอปกระเป๋าเงินเองเป็นเพียงหน้าต่างสำหรับดูและเครื่องมือสำหรับลงนาม มันอ่านข้อมูลเครือข่ายมาแสดงยอดคงเหลือและประกอบธุรกรรมให้คุณอนุมัติ การลบแอปไม่ได้ทำลายอะไรเลย เพราะบันทึกอยู่บนเครือข่ายและสิทธิ์อยู่ในวลี

ล็อกเฉพาะเครื่องกับสิทธิ์ที่อยู่เบื้องหลัง

รหัส PIN ลายนิ้วมือ หรือรหัสผ่านของแอป คุ้มครองการเข้าถึงบนอุปกรณ์เครื่องเดียว นั่นเป็นการคุ้มครองที่แท้จริงและมีค่าต่อกรณีที่มีคนหยิบโทรศัพท์ที่ปลดล็อกอยู่ของคุณไป แต่มันไม่ใช่การคุ้มครองจากวลีกู้คืนที่ถูกคัดลอกไปแล้ว

การเปลี่ยนรหัสผ่านนั้นไม่ได้เพิกถอนอะไรเลย ถ้ามีคนถ่ายรูปวลีของคุณไว้เมื่อเดือนก่อน เขาสามารถกรอกมันลงในกระเป๋าเงินที่เข้ากันได้บนอุปกรณ์ใดก็ได้และลงนามธุรกรรมได้ทันที ไม่มีเซสชันให้ปิด ไม่มีรายการอุปกรณ์ให้ตรวจ และไม่มีฝ่ายบริการลูกค้าที่ทำให้มันใช้ไม่ได้ ทางแก้เดียวคือสร้างกระเป๋าเงินใหม่ทั้งหมดและย้ายทุกอย่างไปก่อนที่ผู้ถือวลีจะลงมือ

ความไม่สมมาตรนี้คือข้อเท็จจริงเชิงปฏิบัติที่สำคัญที่สุดของการเก็บรักษาด้วยตนเอง และควรพูดตรง ๆ ว่า การถูกเปิดเผยเป็นเรื่องถาวร และการตอบสนองคือการย้ายหนี ไม่ใช่การจำกัดความเสียหาย

วลีรั่วไหลจากที่ไหนจริง ๆ

ความสูญเสียส่วนใหญ่ไม่ได้เกิดจากการเจาะระบบเข้ารหัส แต่เกิดจากการที่วลีไปอยู่ในที่ที่ไม่ควรอยู่ จุดที่พบซ้ำ ๆ ได้แก่ รูปถ่ายในคลังภาพที่ซิงก์ขึ้นคลาวด์ บันทึกในแอปโน้ตที่สำรองขึ้นคลาวด์ รายการในโปรแกรมจัดการรหัสผ่านที่ถูกแชร์ต่อในภายหลัง ภาพหน้าจอที่ถ่ายไว้ตอนตั้งค่า ข้อความที่ส่ง «แค่เก็บไว้เป็นสำเนา» และแชตกับคนที่แอบอ้างเป็นผู้ให้บริการกระเป๋าเงิน

อีกกลุ่มหนึ่งคือการกรอกวลีลงในเว็บไซต์ การกู้คืนกระเป๋าเงินที่ชอบธรรมเกิดขึ้นภายในแอปที่คุณตั้งใจติดตั้งเอง หน้าเว็บที่ขอให้คุณ «ยืนยัน» «ซิงก์» «ย้าย» หรือ «รับสิทธิ์» ด้วยวลีกู้คืน คือกลไกการโจรกรรมในทุกกรณีโดยไม่มีข้อยกเว้น ไม่ว่าการออกแบบจะดูน่าเชื่อเพียงใดก็ตาม

เส้นแบ่งที่ต่อรองไม่ได้

ไม่มีเจ้าหน้าที่ฝ่ายสนับสนุน กิจกรรมแจกของ การรับแอร์ดรอป การย้ายกระเป๋าเงิน การตรวจสอบความปลอดภัย เครื่องมือคำนวณภาษี หรือแบบฟอร์มยืนยันตัวตนใด ที่จำเป็นต้องใช้คีย์ส่วนตัวหรือวลีกู้คืนของคุณ ไม่มีสถานการณ์ใดที่ฝ่ายที่ชอบธรรมจะต้องการมัน เพราะไม่มีสิ่งใดที่ชอบธรรมจำเป็นต้องมีความสามารถลงนามแทนคุณ

ข้อนี้ทำให้กฎนำไปใช้ได้ง่ายผิดปกติ คุณไม่ต้องตัดสินว่าคำขอหนึ่ง ๆ ฟังดูสมเหตุสมผลไหม ไม่ต้องประเมินคุณภาพของเว็บไซต์ และไม่ต้องเดาว่าคนคนนั้นมาจากฝ่ายสนับสนุนจริงหรือไม่ ตัวคำขอนั่นแหละคือคำตอบ

• แบ่งปันที่อยู่เฉพาะเมื่อผลกระทบต่อความเป็นส่วนตัวอยู่ในระดับที่รับได้
• อย่าพิมพ์หรือวางข้อมูลกู้คืนลงในเว็บไซต์หรือแชตเด็ดขาด
• อย่าถ่ายรูปวลีและอย่าเก็บไว้บนอุปกรณ์ที่ซิงก์ข้อมูล
• กรอกวลีเฉพาะในแอปกระเป๋าเงินที่คุณตั้งใจติดตั้งและตรวจสอบแล้วเท่านั้น
• หากวลีเคยถูกเปิดเผย ให้ย้ายเงินไปกระเป๋าใหม่แทนที่จะหวังว่าจะไม่มีอะไรเกิดขึ้น