Bảo mật
Không lưu ký nhờ kiến trúc, không phải nhờ lời hứa
Tính chất bảo mật mạnh nhất ở đây không phải điều chúng tôi hứa sẽ làm tốt. Đó là điều hệ thống hoàn toàn không thể làm: Unheld không bao giờ giữ những chiếc khóa di chuyển tiền của bạn, nên một vụ xâm nhập vào Unheld không thể tiêu số tiền đó. Mọi thứ bên dưới giải thích vì sao điều đó mang tính cấu trúc, và rủi ro thật sự còn nằm ở đâu.
Khóa của bạn ở đâu, và không ở đâu
Ví của bạn được tạo trong trình duyệt. Cụm từ khôi phục bí mật được tạo ở đó, hiện cho bạn xem một lần, và không bao giờ được truyền đi — không có request nào mang nó, nên không tồn tại bản sao phía máy chủ để rò rỉ. Thứ Unheld nhận là phần công khai, chỉ đọc, của ví bạn: đủ để nhận ra các địa chỉ của bạn và đọc những gì tới đó, và không đủ để cho phép dù một giao dịch.
Hệ quả thực tế đáng nói thẳng: nếu ai đó lấy trọn một bản sao mọi thứ Unheld lưu, họ vẫn không thể di chuyển tiền của bạn. Họ sẽ biết những địa chỉ nào là của bạn và đã có gì tới đó — đó là vấn đề riêng tư, không phải vấn đề khả năng chi trả.
Một vụ xâm nhập Unheld chạm tới gì và không chạm tới gì
Có thể bị lộ
- Những địa chỉ nào thuộc về bạn, và các khoản đã tới đó.
- Siêu dữ liệu hóa đơn bạn chọn lưu, và hồ sơ khách hàng bạn đã tạo.
- Các endpoint webhook và khóa ký của chúng, cho tới khi bạn xoay vòng.
Không thể xảy ra
- Tiền của bạn bị tiêu, bị chuyển hay bị đóng băng — khóa không nằm ở đây để mà lấy trộm.
- Cụm từ khôi phục của bạn bị đọc từ hệ thống của chúng tôi; nó chưa bao giờ được gửi tới đó.
- Một khoản chi trả bị chuyển hướng giữa đường; tiền đi tới địa chỉ của bạn, không đi xuyên qua chúng tôi.
Bạn có thể rời đi cùng mọi thứ
Cụm từ khôi phục mở đúng chiếc ví đó trong bất kỳ phần mềm ví tiêu chuẩn nào. Nếu tài khoản này biến mất tối nay, số tiền trên các địa chỉ của bạn vẫn tiêu được vào ngày mai mà không cần chúng tôi tham gia. Đó là phép thử đáng áp dụng cho bất kỳ nhà cung cấp thanh toán nào: không phải họ có hứa cư xử tử tế không, mà là việc họ cư xử tệ có thể khiến bạn mất gì.
Tự giữ khóa nghĩa là gì với bạn
- Mất cụm từ khôi phục là mất hẳn. Ở đây không ai giữ nó, nên không kênh hỗ trợ nào khôi phục được. Đó là cái giá của tính chất mô tả ở trên, không phải một sơ suất.
- Thanh toán on-chain là cuối cùng. Gửi nhầm địa chỉ, hoặc nhầm mạng, không thể được hoàn tác bởi chúng tôi hay bất kỳ ai.
- Trình duyệt và thiết bị của bạn là một phần của ranh giới bảo mật. Một máy đã bị xâm nhập ngay lúc tạo ví là rủi ro mà không mức cẩn trọng nào phía máy chủ gỡ bỏ được.
Không ai ở Unheld sẽ hỏi cụm từ khôi phục của bạn. Bất kỳ tin nhắn nào làm vậy đều không phải từ chúng tôi, dù trông thuyết phục đến đâu.
Báo cáo lỗ hổng
Hãy báo riêng trước, tới địa chỉ bên dưới. Chúng tôi sẽ không kiện các nhà nghiên cứu thiện chí, những người tránh truy cập dữ liệu của người khác và không làm suy giảm dịch vụ cho người khác. Một đầu mối liên hệ máy đọc được công bố tại /.well-known/security.txt.
Đầu mối bảo mậtsupport@unheld.io
Câu hỏi bảo mật mà người bán hay hỏi
Tiền của tôi ra sao nếu Unheld bị tấn công?
Không sao cả — khóa để chuyển tiền của bạn không được lưu ở đây, nên không có gì để đánh cắp mà tiêu được. Một vụ xâm nhập sẽ lộ ra địa chỉ nào là của bạn và những gì đã đến đó: vấn đề riêng tư, không phải vấn đề khả năng chi trả.
Unheld có thể đóng băng tiền hoặc chặn khoản chi trả của tôi không?
Không, vì không có bước chi trả nào để chặn: tiền vào thẳng địa chỉ của chính bạn, không đi qua số dư nào ở Unheld. Không có tài khoản nào giữ tiền của bạn, nên không có gì để chúng tôi đóng băng, trì hoãn hay đảo ngược.
Tiền của tôi ra sao nếu Unheld đóng cửa?
Tiền của bạn vẫn nguyên ở đó, trên những địa chỉ chỉ cụm từ khôi phục của bạn kiểm soát. Cụm từ ấy mở đúng chiếc ví đó trong bất kỳ phần mềm ví tiêu chuẩn nào, nên bạn vẫn tiêu được mà không cần đến chúng tôi.
Unheld có bao giờ thấy cụm từ khôi phục hay khóa riêng của tôi không?
Không — ví của bạn được tạo trong trình duyệt và cụm từ khôi phục không bao giờ được truyền đi. Unheld chỉ nhận phần công khai, chỉ đọc: đủ để nhận ra địa chỉ của bạn và đọc những gì đến, và không đủ để duyệt dù chỉ một giao dịch.
Chuyện gì xảy ra nếu tôi mất cụm từ khôi phục?
Số tiền đó không thể lấy lại, và không kênh hỗ trợ nào khôi phục được. Không ai ở Unheld giữ cụm từ ấy — chính tính chất ngăn một vụ xâm nhập tiêu tiền của bạn — nên đây là cái giá của tự quản, nói thẳng.
Unheld đã được kiểm toán bảo mật độc lập chưa?
Chưa. Không có kiểm toán bảo mật độc lập và không có kiểm thử xâm nhập hoàn tất, và trang này nói vậy thay vì ngụ ý những bảo đảm không tồn tại. Điều bạn tự kiểm chứng được là kiến trúc: tạo một ví trên testnet và xem cái gì rời khỏi trình duyệt, cái gì không.
Tự kiểm chứng trên testnet
Tạo một chiếc ví, quan sát thứ gì rời khỏi trình duyệt của bạn, và xác nhận một khoản thanh toán tới một địa chỉ bạn kiểm soát — trước khi có tiền thật tham gia.
Bắt đầu miễn phí