TZUR

Güvenlik Modeli | TZUR Wallet

Tasarımı Gereği Emanetçi Olmayan

TZUR her platformda tamamen emanetçi olmayan bir yapıdadır. Özel anahtarlarınız asla sunucularımızda depolanmaz ve TZUR'un fonlarınıza erişme, dondurma veya taşıma yeteneği yoktur. Hesap yok, cüzdan verilerinin bulut depolaması yok ve varlıklarınızın sunucu tarafında kaydı yok. Anahtarlarınız yalnızca cihazınızda bulunur. TZUR'un sunucuları yarın ortadan kalksa bile Bitcoin'iniz tamamen erişilebilir kalır: cüzdanınızı kurtarma ifadenizden BIP-39 uyumlu herhangi bir cüzdanda kurtarabilirsiniz. Bu, en saf haliyle kendi kendine saklamadır: anahtarları siz tutarsınız, Bitcoin'in sahibi sizsiniz.

Açık Bitcoin Standartları

TZUR tamamen açık, denetlenmiş Bitcoin standartları üzerine inşa edilmiştir; böylece cüzdanınız taşınabilir ve kurtarmanız herhangi bir uyumlu yazılımda doğrulanabilir. Kurtarma ifadeniz BIP-39'u takip eder (varsayılan olarak 12 kelime, 24 kelime seçeneğiyle). Anahtarlar BIP-32 ile hiyerarşik olarak türetilir; böylece her adres ve anahtar çifti tek bir ana seed'den gelir ve adresler standart yol m/84'/0'/0' üzerinde BIP-84 Native SegWit (bech32) kullanır. Davranış tamamen deterministiktir: aynı kurtarma ifadesi her platformda her zaman aynı adresleri üretir. TZUR ayrıca isteğe bağlı bir BIP-39 parola ifadesini de destekler. iOS ve Windows aynı TZURCore kriptografisini paylaşır; Android ise aynı denetlenmiş Rust çekirdeği üzerine inşa edilen BDK kütüphanesini kullanır.

Kurtarma İfadeniz Sizde Kalır

Kurtarma ifadeniz, işletim sisteminizin kriptografik olarak güvenli rastgele sayı üreteci kullanılarak yerel olarak oluşturulur: iOS'ta SecRandomCopyBytes, Android'de SecureRandom ve Windows'ta işletim sistemi CSPRNG. Bu, cüzdanınızın tek kurtarma mekanizmasıdır. TZUR onu saklamaz, iletmez veya ona herhangi bir erişimi yoktur. Asla ağ üzerinden gönderilmez, sunucu günlüklerine yazılmaz ve analizlere dahil edilmez. Cüzdan oluşturma sırasında bir kez gösterilir ve yedekleme için kimlik doğrulamasının ardından uygulamada tekrar görüntülenebilir. Hem kurtarma ifadenizi hem de cihazınızı kaybederseniz, TZUR dahil hiç kimse Bitcoin'inizi kurtaramaz. İfadeyi yazıp güvenli, çevrimdışı bir yerde saklamanızı şiddetle öneririz.

Cihaz Üzerinde Anahtar Depolama

Seed'iniz, her işletim sisteminin sağladığı en güçlü koruma kullanılarak beklemede şifrelenir ve asla düz metin olarak depolanmaz. iPhone'da, yalnızca bu cihaz koruma sınıfıyla iOS Keychain'de tutulur: yalnızca cihaz kilidi açıkken erişilebilir, dışa aktarılamaz ve yedeklemelerin ve cihaz geçişinin dışında tutulur (Secure Enclave bulunan cihazlarda, Keychain'in şifreleme anahtarları bu yardımcı işlemci tarafından donanım destekli olarak korunur). Android'de seed, dışa aktarılamayan bir Android Keystore anahtarı kullanılarak AES-256-GCM ile mühürlenir; cihaz desteklediğinde StrongBox destekli, aksi halde Trusted Execution Environment yedeğiyle. Windows'ta seed dosyası, PIN'inizden türetilen bir anahtarla AES-256-GCM ile şifrelenir, DPAPI ile Windows hesabınıza bağlanır ve isteğe bağlı olarak dışa aktarılamayan bir TPM anahtarıyla mühürlenerek makine dışında çözülmesi engellenebilir. TZUR hassas verileri asla korumasız depolamada saklamaz.

Kimlik Doğrulama ve Cihaz Kilidi

Anahtarlarınıza erişim, cihaz kimlik doğrulamanız ve bir uygulama PIN'i ile korunur. PIN'iniz asla saklanmaz; yalnızca bir PBKDF2-HMAC-SHA256 özeti (600.000 yineleme, her cüzdana özgü rastgele bir tuzla) tutulur ve sabit zamanda karşılaştırılır. iPhone'da kilit açma, Apple'ın LocalAuthentication aracılığıyla Face ID veya Touch ID kullanır ve kaydınız değişirse biyometrik kanıt geçersiz kılınır. Android'de güçlü biyometri sınıfında BiometricPrompt kullanır. Windows'ta, PIN'inizin üzerine katmanlanmış olarak TPM destekli Windows Hello onayını kullanır ve kayıtlı bir Hello kimlik doğrulayıcısı yoksa düzgün biçimde PIN'e geçer. Otomatik kilit ve uykuda yeniden kilitleme desteklenir.

Anahtar Materyali Zehirli Veri Olarak İşlenir

Özel anahtar materyali bellekte yalnızca bir işlemi imzalamak için gereken an boyunca bulunur. Anahtar tamponları her platformda kullanımdan hemen sonra sıfırlanır ve anahtarlar asla uygulama durumunda önbelleğe alınmaz, asla geçici dosyalara yazılmaz, asla günlüklenmez ve güvenli depolama dışında asla kalıcı hale getirilmez. Android'de, anahtar yönetimi modülünde günlükleme API'leri görünürse derlemenin kendisi başarısız olur ve seed ile PIN ekranları ekran görüntüsü korumasını kullanır; Windows'ta ise kurtarma ifadesi gösterilirken ekran yakalama engellenir. Kendi kodumuzda belirtilen dürüst bir kısıtlama: kısa süreliğine metin dizesi olarak tutulan bir kurtarma ifadesi zorla silinemez çünkü dil çalışma zamanları dizeleri değişmez yapar; bu yüzden ömrünü olabildiğince kısa tutarız.

İşlemler Yerel Olarak İmzalanır

Tüm işlem oluşturma ve imzalama cihazınızda gerçekleşir. Cüzdan anahtar materyalini yükler, imzalar ve sıfırlar; anahtarlar etkinken hiçbir ağ etkinliği olmaz; yalnızca tamamlanmış, halihazırda imzalanmış işlem yayınlanır. Yalnızca izleme amaçlı cüzdanlar ve kilitli parola ifadeli cüzdanlar hiç imzalayamaz ve her imzadan önce yeni bir kimlik doğrulaması gerekir. iOS ve Windows'ta bu, paylaşılan TZURCore'da çalışır; Android'de ise BDK'da çalışır.

Sunuculara Asla Güvenilmez

TZUR, bakiyeler, geçmiş ve ücret tahminleri gibi blockchain verileri için genel Electrum sunucularıyla konuşur, ancak onları kesinlikle güvenilmeyen veri sağlayıcıları olarak ele alır. Bağlantılar iOS ve Windows'ta sertifika sabitlemeli yalnızca TLS'dir; sertifikası sabitlemeyle eşleşmeyen bir sunucu, yedek olmaksızın reddedilir. Android'de, döndürülen zincir verileri bakiyenize ulaşmadan önce SPV ve Merkle kanıtlarıyla doğrulanır. Cüzdan aramaları adreslerinizi değil betik özetlerini kullanır ve yüklenen tek şey yayınlanacak tamamen imzalı bir işlemdir. Anahtarlarınız, kurtarma ifadeniz ve PIN'iniz asla iletilmez. Birden fazla bağımsız sunucu arasında yük devretme, tek bir operatörün veri saklamasını önler.

Uygulama Bütünlüğü Doğrulaması

İsteğe bağlı BlockSight gezgininin API'sini kötüye kullanıma karşı korumak için TZUR, isteklerin gerçek, değiştirilmemiş bir uygulamadan geldiğini kanıtlamak amacıyla platform doğrulaması kullanır: iOS'ta Apple App Attest ve Android'de Google Play Integrity. Bu, cüzdanınızdan izole edilmiştir: doğrulama yalnızca genel blockchain gezgini verilerini denetler, asla anahtar materyalini veya fon işlemlerini denetlemez; ve eğer başarısız olursa, yalnızca gezgin etkilenir ve cüzdanınız çalışmaya devam eder.

Gizliliğe Saygılı Analiz

TZUR Cüzdan, uygulamayı geliştirmek için anonim kullanım analizleri toplayabilir. Bu analizler, özelliklerin nasıl kullanıldığını ve kullanıcı deneyiminin nerede iyileştirilebileceğini anlamamıza yardımcı olur. Analiz toplama tamamen isteğe bağlıdır ve Ayarlar'dan her zaman devre dışı bırakılabilir. Etkinleştirildiğinde, veriler toplanır ve anonimleştirilir -asla cüzdanınız, kimliğiniz veya Bitcoin etkinliğinizle ilişkilendirilmez.

Analiz asla şunları içermez:

  • Cüzdan adresleri veya açık anahtarlar
  • Hesap bakiyeleri veya UTXO verileri
  • İşlem tutarları, hedefleri veya geçmişi
  • Seed ifadeleri veya herhangi bir anahtar materyali
  • Özel anahtarlar veya türetme yolları
  • Kişisel kimlik, ad veya konum

TZUR Cüzdan reklam SDK'ları, üçüncü taraf izleme teknolojileri veya parmak izi kitaplıkları içermez. Kullanıcı verilerini satmaz, paylaşmaz veya para kazanma aracı olarak kullanmayız.

Sorumlu Açıklama

TZUR Cüzdan'da bir güvenlik açığı keşfederseniz, lütfen contact@tzur.live adresine bildirin. Tüm bildirimleri ciddiye alıyor ve hızla yanıt veriyoruz. Güvenlik açıklarını ele alınmadan önce kamuya açıklamamanızı rica ediyoruz. Doğrulanmış güvenlik sorunlarını mümkün olan en kısa sürede düzeltmeye kararlıyız ve geçerli bulgular bildiren araştırmacıları istedikleri takdirde takdir edeceğiz.

Son güncelleme: Nisan 2026