Kalderaوسيلة المصادقة تغلّف مفتاح الخزنة
داخل مخزن مفاتيح غير قابل للتصدير، يغلّف PBKDF2-SHA256 وAES-GCM مفتاح الخزنة، فيمكن تفويض فتح القفل إلى وسيلة مصادقة المنصة.
المنتج / فتح القفل والاسترداد
فتح قفل مريح، دون التضحية بالاسترداد
يمكن للقياسات الحيوية ومفاتيح العتاد أن تحل محل كلمة المرور الرئيسة. لكنها لا تزيل سوى العوائق: فمفتاح الخزنة ما زال يُشتق من كلمة المرور الرئيسة زائد المفتاح السري، ومجموعة الاسترداد المكوّنة من 24 كلمة تبقى متاحة.
ما الذي تفعله
طريقتان مستقلتان للعودة إلى الخزنة
يمكن تفويض فتح القفل إلى العتاد الذي تحمله أصلًا. فـ Windows Hello أو Touch ID أو Face ID أو القياسات الحيوية على Android أو مفتاح FIDO2 مثل YubiKey يمكن أن تُفيّ خطوة المصادقة، فلا تكتب كلمة مرور رئيسية طويلة كل صباح.
أما الاسترداد فهو مسار منفصل تمامًا. فعبارة الاسترداد BIP-39 المكوّنة من 24 كلمة تستطيع فتح الخزنة وتعيين كلمة مرور جديدة إذا فُقدت كلمة المرور الرئيسة والجهاز معًا، وتُكتب مجموعة الطوارئ التي تحملها في ملف تتحكم فيه أنت لا لدى بائع.
يوجد تلميح لكلمة المرور في الحالة الوسطى، ويُخزَّن عمدًا بنص صريح كي يذكّرك فعلًا — ولهذا يحذّرك المنتج من وضع كلمة المرور نفسها فيه.
ما الذي يفعله الربط بالعتاد تحديدًا
الاشتقاق الأساسي يبقى دون تغيير
يبقى الوصول إلى الخزنة مشتقًّا دائمًا من كلمة المرور الرئيسة زائد المفتاح السري عبر Argon2id. والربط بالعتاد طبقة فوق ذلك، لا أساس له أبدًا.
فقدان وسيلة المصادقة يكلّف الراحة فقط
فقدان وسيلة المصادقة أو استبدالها لا يؤثر في ملف الخزنة ولا في نسخه الاحتياطية ولا في أي سجل داخله.
أين تُختار الأسرار الثلاثة كلها
تُجمع كلمة المرور الرئيسة والمفتاح السري للحساب ومجموعة الطوارئ مرة واحدة، عند الإعداد، على جهازك — ولا يوجد حساب على خادم تستردّها منه.
بنية الأمان
TPM 2.0
Secure Enclave
BIP-39
أين تنتهي الراحة ويبدأ الخطر
التلميح تلميح، وليس نسخة احتياطية
الفتح بالعتاد يعني أن كل من يستطيع المصادقة على الجهاز، أو من يملك مفتاح أمانك، يستطيع فتح الخزنة — وهذا هو المقصود، وهو سبب أهمية أمان الجهاز والمفتاح. أما تلميح كلمة المرور فيُخزَّن بنص صريح تحديدًا كي يُقرأ عليك، لذا يجب ألّا يحتوي كلمة المرور نفسها أبدًا. وينبغي كتابة عبارة الاسترداد والاحتفاظ بها دون اتصال: فمن يقرأها يستطيع تعيين خزنتك من جديد.
Windows Hello
وسيلة مصادقة المنصة مدعومة بـ TPM على Windows، ولا تغادر مادة مفتاح التغليف ذلك الحدّ.
macOS
على macOS يُختم ناتج وسيلة مصادقة المنصة بواسطة Secure Enclave.
مجموعة الاسترداد
تستطيع مجموعة استرداد من 24 كلمة فتح الخزنة وتعيين كلمة مرور جديدة عند تعذّر كلمة المرور والجهاز معًا.
الأسئلة الشائعة
عن فتح القفل والاسترداد
هل يُضعف تفعيل الفتح بالعتاد الخزنة؟
هو يغيّر من يستطيع فتح الخزنة، لا طريقة تشفيرها. فتبقى السجلات مشفّرة بالمفاتيح نفسها، ويبقى الوصول مشتقًّا من كلمة مرورك الرئيسة ومفتاحك السري.
ماذا يحدث إذا فقدت مفتاح الأمان؟
تعود إلى كلمة المرور الرئيسة، وإذا فقدتها أنت أيضًا فتعود إلى مجموعة الاسترداد. أما الخزنة نفسها فلا تتأثر — إنما تضيع عامل الراحة فحسب.
أين ينبغي أن أحتفظ بمجموعة الاسترداد؟
دون اتصال، وماديًا، في مكان لا يزال ستجده بعد سنوات. فهي مفتاح رئيسي: ومن يقرأه يستطيع تعيين خزنتك من جديد.