1. Rozdzielenie funkcji i zrozumienie ograniczeń
Cuvex łączy funkcje podpisywania Bitcoin offline i szyfrowania sekretów zależnie od modelu i wersji. Model bezpieczeństwa powinien uwzględniać urządzenie, firmware, telefon/komputer, nośniki kopii, hasła, uczestników i otoczenie fizyczne. Żadne określenie — w tym „air gap” — samo w sobie nie gwarantuje braku ryzyka.
BIT wymienia dane przez USB-C i nie ma NFC/Bluetooth do pracy; Original używa kart NFC, USB-C do zasilania oraz Bluetooth w procedurze aktualizacji firmware. Zawsze należy potwierdzić specyfikację zakupionej wersji. Opcjonalna biometria BIT dodaje warunki obecności; nie jest uniwersalnym sposobem odzyskiwania haseł. Kryptogramy biometryczne wymagają urządzeń i danych uwierzytelniających wskazanych w ich dokumentacji.
2. Przed użyciem środków
Należy sprawdzić pochodzenie sprzętu, otrzymaną zawartość i oficjalne instrukcje. Nie należy konfigurować urządzenia z wcześniej zapisaną frazą seed dostarczoną przez osobę trzecią. Nie wolno używać demonstracyjnej frazy seed ani sekretu udostępnionego przez czat, e-mail lub stronę internetową. Należy zweryfikować odzyskiwanie i najpierw wykonać odpowiednio małą operację testową.
Aby autoryzować operację, należy sprawdzić ekran urządzenia: adres, sieć, kwotę, opłaty i istotne dane. Nie należy uznawać transakcji za bezpieczną tylko dlatego, że pojawia się w zaufanej aplikacji. Zagrożenia w dystrybucji oprogramowania i zależnościach mogą dotknąć nawet znany interfejs.
3. Kopie i odzyskiwanie
Należy przechowywać wystarczającą liczbę kopii na zgodnych nośnikach, chronionych przed utratą, nieuprawnionym dostępem i uszkodzeniem. Trzeba udokumentować, jakich haseł, uczestników, sprzętu i wersji wymaga odzyskiwanie. Nie należy przechowywać wszystkich danych uwierzytelniających razem z jedyną kopią. Procedurę należy przetestować bez narażania rzeczywistych aktywów ani jedynej kopii zapasowej.
Progi odszyfrowania kryptogramu nie są odpowiednikiem transakcji multisig w Bitcoin. Standardowe nośniki, karty 8K i kopie USB mają różne możliwości. Procedura kostek i monety zależy od przestrzegania instrukcji oraz elementów fizycznych; nie stanowi bezwzględnej matematycznej obietnicy jakości każdego wykonania.
4. Aktualizacje i łańcuch dostaw
Należy korzystać z oficjalnych kanałów wskazanych przez Cuvex. Trzeba zachować nieufność wobec pilnych wiadomości żądających instalacji aktualizacji, wpisania frazy seed lub „synchronizacji” portfela na stronie internetowej. Cuvex nie poprosi o klucze prywatne w celu obsługi gwarancji ani weryfikacji zakupu.
Deklarowany okres wsparcia każdego modelu powinien być podany na stronie produktu przed sprzedażą. Gdy będzie to właściwe, opublikujemy środki naprawcze oraz instrukcje dotyczące autentyczności i zgodności. W razie otrzymania sprzętu z oznakami ingerencji należy przerwać korzystanie, zachować dowody niezawierające sekretów i skontaktować się z pomocą. Samo opakowanie lub plomba nie dowodzą, że sprzęt jest bezpieczny.
5. Zgłaszanie podatności lub incydentu
Należy wysłać na sato@cuvex.io wiadomość z tematem „Bezpieczeństwo”, modelem/wersjami, opisem, minimalnymi krokami umożliwiającymi odtworzenie i znanym zakresem. Nie należy dołączać rzeczywistych sekretów, danych kupujących, testów destrukcyjnych ani informacji uzyskanych przez dostęp do cudzych kont. Przed wymianą materiałów wrażliwych należy poprosić o odpowiedni kanał.
Skoordynowane ujawnianie ma umożliwić zbadanie i naprawę bez zwiększania szkód. Nie uzależniamy wykonywania obowiązków prawnych od umowy o poufności ani nie obiecujemy nagród, których nie ogłoszono. Badania muszą być zgodne z prawem i zakresem autoryzowanego dostępu.
6. Reakcja i komunikacja
Będziemy oddzielnie oceniać wpływ na produkt, oprogramowanie, łańcuch dostaw i dane handlowe. Zachowamy historię decyzji, osób odpowiedzialnych i podjętych środków. W odpowiednich przypadkach poinformujemy kupujących, organy i innych odbiorców zgodnie z obowiązującymi terminami i kryteriami. Nie obiecujemy, że każdy incydent da się wykryć natychmiast ani że komunikat oznacza utratę aktywów.
Obowiązki i odpowiedzialność Tidy Money LLC za produkty i usługi nie znikają wskutek udziału dostawcy, przewoźnika lub napastnika. Niniejsze informacje uzupełniają warunki sprzedaży i obowiązkowe prawa, nie ograniczając ich.
Płatności i zakres tej wersji
Ceną odniesienia nowych zamówień jest cena w USD. Akceptujemy BTC przez BTCPay Server oraz, wyłącznie po aktywowaniu, natywny USDC w sieci Solana przez Cuvex SCP. Płatności kartą nie są dostępne. Kursy i zwroty reguluje regulamin sprzedaży. Ta wersja nie zmienia wstecznie wcześniejszych umów ani wynikających z nich praw.