Moduł 3: Bezpieczne korzystanie z Bitcoina

Moduł 3 przechodzi od wyjaśnień do bezpiecznego wykonywania podstawowych czynności. Nie zapewnia każdej osobie uczącej się gotowości do zarządzania środkami o dużej wartości w ramach samodzielnego przechowywania środków. Pomaga osobom uczącym się odróżniać informacje publiczne od poufnych, porównywać przechowywanie środków w różnych wariantach, ćwiczyć przygotowanie do odzyskiwania dostępu, weryfikować szczegóły płatności, rozpoznawać niebezpieczne warunki i demonstrować wymagane czynności przy zapewnieniu zatwierdzonych form wsparcia.

Pytanie przewodnie:

Jak wziąć odpowiedzialność za korzystanie z Bitcoina i jego zabezpieczanie?

Deklaracja osoby uczącej się:

Potrafię wyjaśnić podstawowe pojęcia dotyczące przechowywania środków i bezpieczeństwa oraz bezpiecznie zademonstrować wymagane czynności przy zapewnionym wsparciu.

Jeśli prowadzą Państwo zajęcia z modułu 3 po raz pierwszy: Proszę przed zajęciami samodzielnie przećwiczyć cały bezpieczny proces. Proszę skorzystać z pustego portfela szkoleniowego, wydruków ekranów lub symulacji. Nigdy nie należy uczyć się obsługi nowego portfela ani procedury odzyskiwania dostępu równocześnie z osobami uczącymi się i nigdy nie należy prosić ich o ujawnianie rzeczywistych danych poufnych. Powolne sprawdzanie w sposób widoczny dla wszystkich jest ważniejsze niż przeprowadzenie rzeczywistej transakcji.

Program Bitcoin Diploma służy nauce i ćwiczeniom praktycznym. Może obejmować tworzenie portfela, korzystanie z przygotowanych słów odzyskiwania lub przechodzenie symulowanej procedury odbierania środków bądź odzyskiwania portfela. Podczas zajęć ekran, urządzenie, fraza odzyskiwania lub dane portfela mogą jednak zostać przypadkowo podejrzane, skopiowane, udostępnione lub ujawnione osobom nieuprawnionym. Domyślnie korzysta się z portfeli szkoleniowych; nie są to portfele osobiste służące do zabezpieczania znaczących środków.

Proszę konsekwentnie stosować następujące rozróżnienie:

• Taki portfel szkoleniowy jest zwykle pusty, symulowany lub działa w środowisku testowym. Służy do nauki określonego procesu, jest wyraźnie oznaczony i nie służy do zabezpieczania znaczących środków. Proszę nie dopuścić do tego, by jego dane odzyskiwania służyły później do ochrony znaczących środków.
• Taki portfel osobisty tworzy się dla osoby uczącej się, która samodzielnie zdecyduje się otrzymywać lub przechowywać znaczące środki po zakończeniu programu Bitcoin Diploma. Wymaga to nowego portfela, nowych danych odzyskiwania, konfiguracji w warunkach zapewniających prywatność oraz większej dbałości o prywatność i bezpieczeństwo.

Proszę zaplanować wycofanie portfeli szkoleniowych z użytku najpóźniej do końca programu Bitcoin Diploma wszędzie tam, gdzie jest to wykonalne: wyczyścić lub zresetować urządzenie używane tymczasowo, zwrócić współdzielony sprzęt oraz zniszczyć lub bezpiecznie zwrócić przygotowane materiały do odzyskiwania. Proszę nigdy nie zachowywać materiałów, które mogłyby później umożliwić dostęp do środków osoby uczącej się.

Osoba prowadząca zajęcia może wybrać ćwiczenie z użyciem niewielkich rzeczywistych środków, jeśli jest ono odpowiednie do lokalnych warunków i osób uczących się. Przed jego rozpoczęciem proszę wyjaśnić różnicę w porównaniu z portfelem szkoleniowym: rzeczywiste środki można stracić, portfel z rzeczywistymi środkami i historia transakcji mogą ujawnić dane osobowe, a korzystanie z danych odzyskiwania wymaga większej dbałości o prywatność. Proszę wyjaśnić konkretny przebieg ćwiczenia, kwotę i warunki jego przerwania; zadbać o dobrowolność udziału oraz zaproponować równoważne ćwiczenie bez użycia środków, które pozwoli osiągnąć ten sam efekt uczenia się.

Osoba prowadząca zajęcia może zdecydować się zaoferować opcjonalne wsparcie osobie uczącej się, która chce utworzyć portfel osobisty do użytku po zakończeniu programu Bitcoin Diploma. Proszę oddzielić to od ćwiczeń na zajęciach i certyfikacji: takie wsparcie musi być dobrowolne, nie może być warunkiem zaliczenia i musi zaczynać się od utworzenia nowego portfela i nowych danych odzyskiwania. Proszę zapewnić osobie uczącej się wyłączną kontrolę nad jej urządzeniem i poufnymi informacjami w warunkach zapewniających prywatność. Proszę nie podglądać, nie zbierać, nie kopiować, nie fotografować, nie przesyłać w wiadomościach, nie przechowywać ani nie zachowywać osobistej frazy odzyskiwania, klucza prywatnego, hasła, salda ani historii portfela. Proszę przerwać proces lub skierować osobę uczącą się do odpowiedniego lokalnego źródła wsparcia, jeśli nie można zapewnić prywatności podczas konfiguracji lub osoba prowadząca nie potrafi bezpiecznie wyjaśnić tego procesu.

Należy odnotować jeden wynik dla każdej ocenianej kompetencji. Oznaczone numerami dziesiętnymi identyfikatory C wskazują kryteria kompetencji i elementy podlegające obserwacji w ramach oceny, a nie osobne pozycje do zaliczenia lub niezaliczenia.

Należy wykorzystywać dyskusje moderowane do rozwijania i obserwowania kompetencji kształtowanej w toku nauki F1 poprzez jasne wyjaśnienia, odpowiednie dowody, słuchanie z szacunkiem i podstawowe rozumowanie. F1 nie jest warunkiem uzyskania certyfikatu.

Ten moduł wymaga więcej indywidualnej obserwacji niż moduły 1 i 2. Dwugodzinne zajęcia mogą wystarczyć na wprowadzenie i przećwiczenie treści, ale mogą nie zapewnić wystarczająco dużo czasu na rzetelną ocenę każdej osoby uczącej się.

Przed zajęciami proszę oszacować:

• liczbę indywidualnych zadań wymagających obserwacji
• realny czas potrzebny na każdą osobę uczącą się
• opóźnienia wynikające ze współdzielenia urządzeń
• potrzeby w zakresie dostępności i wsparcia językowego
• liczbę osób prowadzących zajęcia lub oceniających; oraz
• czas na informację zwrotną i ponowną ocenę.

W razie potrzeby proszę zorganizować stanowiska dla mniejszych grup, skorzystać z pomocy dodatkowej osoby prowadzącej lub zaplanować dodatkowe zajęcia. Ćwiczenia grupowe są wartościowe, ale proszę zapewnić każdej osobie uczącej się możliwość indywidualnego wykazania się daną kompetencją. Jeśli osoba ucząca się potrzebuje więcej czasu, dopuszczalne jest umówienie dodatkowego spotkania lub zajęć.

• Proszę przeczytać moduł 3 przewodnika dla osób uczących się i przećwiczyć każdą demonstrację.
• Proszę wybrać konkretny, wcześniej przygotowany portfel, symulację, środowisko testowe lub wydrukowaną sekwencję kroków.
• Proszę zweryfikować źródło narzędzia, jego wersję, sieć, przechowywanie środków w danym modelu, proces odzyskiwania dostępu i proces resetowania.
• Proszę zdecydować, czy osoby uczące się będą korzystać z symulacji, środowiska testowego, pustego portfela szkoleniowego, modelu fizycznego czy zatwierdzonego przez osobę prowadzącą środowiska rzeczywistego z użyciem niewielkich kwot. Dla każdego środowiska rzeczywistego proszę przygotować wyjaśnienie ryzyka, procedurę dobrowolnego wyboru oraz równoważny wariant niewymagający użycia środków.
• Proszę przygotować przykładowe adresy on-chain, faktury Lightning, *txid*, kody QR i zrzuty ekranu oznaczone PRZYKŁAD — NIE PŁACIĆ.
• Proszę przygotować karty do sortowania na kategorie „publiczne” i „tajne”.
• Proszę przygotować celowo upubliczniony adres lub historyczną transakcję do ćwiczenia dotyczącego historii adresu. Nigdy nie należy używać danych powiązanych z osobami uczącymi się.
• Proszę przygotować fikcyjną frazę odzyskiwania lub jednorazowy pusty portfel szkoleniowy do ćwiczenia odzyskiwania dostępu.
• Proszę przygotować scenariusze oszustw i podmiany zawartości schowka.
• Proszę przejrzeć bibliotekę ćwiczeń w poszukiwaniu odpowiednich pomysłów na ćwiczenia, dostosowując każde ćwiczenie z użyciem portfela lub płatności do opisanych tutaj warunków bezpieczeństwa i oceniania.
• Proszę przygotować porównanie sposobów nabywania bitcoinów odpowiednie dla danej lokalizacji, bez wskazywania preferowanego dostawcy.
• Dla każdego ćwiczenia wykorzystywanego do oceniania proszę określić pomocne kroki, wsparcie, granice bezpieczeństwa, sposób resetowania oraz ewentualne dodatkowe uwagi.
• Proszę zorganizować prywatną przestrzeń, w której ekrany osób uczących się i materiały potwierdzające wykonanie zadań nie będą niepotrzebnie widoczne dla innych.
• Proszę zadbać o to, aby każde zadanie w środowisku rzeczywistym miało równoważny wariant drukowany lub niewymagający użycia środków.

W miarę możliwości proszę podzielić naukę na dwie części i przeznaczyć osobny czas na ocenę.

Część A: podstawy przechowywania środków

Część B: weryfikacja i bezpieczeństwo

Proszę zaplanować formalną obserwację dopiero po ćwiczeniach ze wsparciem.

Proszę użyć zdania:

Taki portfel Bitcoin zarządza kluczami i informacjami o transakcjach. Nie przechowuje bitcoinów wewnątrz telefonu ani innego urządzenia.

Proszę przedstawić jako odrębne elementy:

• wspólną dla sieci Bitcoin księgę transakcji
• klucze portfela i funkcję podpisywania
• interfejs portfela i połączenie z siecią; oraz
• każdą usługę zewnętrzną, od której zależy portfel.

Proszę zapytać:

• Jeśli telefon się zepsuje, co nadal istnieje?
• Od czego zależy, czy dostęp można odzyskać, czy nie?
• Czy aplikacja nazywana „portfelem” zawsze daje użytkownikowi kontrolę nad kluczami?

Przy porównywaniu portfeli proszę stosować spójne kryteria:

• kontrola nad kluczami
• zweryfikowane źródło i otwartość kodu źródłowego
• odzyskiwanie dostępu i kompatybilność
• prywatność i zależność od serwerów
• obsługiwane rodzaje płatności
• ciągłość działania i utrzymanie oprogramowania
• koszt i dopasowanie do urządzenia; oraz
• dostępne bezpieczne wsparcie.

Proszę preferować oprogramowanie portfeli o ugruntowanej pozycji i otwartym kodzie źródłowym, jeśli odpowiada ono potrzebom osoby uczącej się, ponieważ możliwość publicznego wglądu w kod może zwiększać przejrzystość. Proszę traktować tę preferencję jako jeden z elementów oceny uwzględniającej kontekst, a nie jako regułę czy gwarancję. Każdy portfel wiąże się z kompromisami, a otwarty kod źródłowy nie dowodzi, że narzędzie jest bezpieczne, utrzymywane, poprawnie zainstalowane ani odpowiednie dla osoby uczącej się. Proszę pomóc osobom uczącym się ustalić, czy kod jest dostępny do publicznego wglądu, i zestawić tę cechę z kontrolą nad kluczami, odzyskiwaniem dostępu, kompatybilnością, prywatnością, kosztem, utrzymaniem oprogramowania oraz bezpiecznym wsparciem dostępnym lokalnie. Proszę nie tworzyć w ramach kursu globalnej listy zatwierdzonych portfeli ani nie przedstawiać jednego portfela jako uniwersalnego wyboru.

Proszę przedstawić używany w łańcuchu bloków adres Bitcoin jako publiczne dane do odbioru płatności, generowane na podstawie kluczy portfela. Nie jest to hasło, login do konta ani dowód na to, że osoba prosząca o płatność jest godna zaufania.

Proszę uczyć następujących nawyków dla początkujących:

• pobierać adres z portfela, który ma odebrać płatność
• potwierdzać, że chodzi o Bitcoin i właściwą sieć
• odróżniać adres w łańcuchu bloków od faktury Lightning lub adresu Lightning
• kopiować lub skanować zamiast wpisywać ręcznie
• porównywać adres po skopiowaniu
• przy ważnych płatnościach sprawdzać pełny adres na zaufanym wyświetlaczu
• używać nowego adresu do kolejnej otrzymywanej płatności, gdy portfel go udostępnia; oraz
• wykonywać niewielką płatność testową, gdy kwota lub procedura jest nietypowa.

Proszę nie mówić osobom uczącym się, że zgodność jedynie pierwszych i ostatnich znaków wystarcza do zabezpieczenia się przed każdym zagrożeniem. Jest to przydatna szybka kontrola, natomiast sprawdzenie pełnego adresu na zaufanym wyświetlaczu daje większą pewność przy ważnych płatnościach.

Ćwiczenie: publiczne czy tajne?

Proszę przygotować karty z następującymi pozycjami:

• adres w łańcuchu bloków
• kod QR adresu
• faktura Lightning
• txid
• klucz publiczny
• klucz prywatny
• fraza odzyskiwania
• hasło lub PIN do portfela
• zrzut ekranu z saldem; oraz
• plan bezpieczeństwa lub odzyskiwania.

Osoby uczące się dzielą je na:

• publiczne dane do odbioru płatności lub księgowe informacje
• tajne dane umożliwiające wydawanie środków lub uzyskanie dostępu; oraz
• informacje zależne od kontekstu, które mogą być publiczne pod względem technicznym, ale prywatne z osobistego punktu widzenia.

W podsumowaniu proszę wyjaśnić, że „publiczne na poziomie protokołu” nie oznacza „bezpieczne do powiązania z tożsamością danej osoby”. txid lub adres mogą ujawnić aktywność i powiązania.

To ćwiczenie sprawia, że w publicznym rejestrze prywatność staje się widoczna.

Cel: Pokazać, że aktywność związana z adresem może być widoczna, a wielokrotne używanie tego samego adresu może ułatwiać powiązanie transakcji ze sobą.

Materiały: Celowo upubliczniony adres lub transakcja, przygotowane przez osobę prowadzącą zajęcia; interfejs lokalnego węzła, opcjonalnie eksplorator lub wydrukowane zrzuty ekranu z datą; pytania dotyczące prywatności.

Zasady bezpieczeństwa: Proszę nigdy nie prosić osób uczących się o wyszukiwanie, wyświetlanie ani udostępnianie adresu lub transakcji należących do nich, innej osoby z grupy, osoby prywatnej lub organizacji, która nie wyraziła na to zgody. Samo wyszukiwanie adresu w eksploratorze zewnętrznego dostawcy może ujawnić zainteresowanie tym adresem.

Prowadzenie ćwiczenia:

1. Proszę wyjaśnić, dlaczego przykład jest bezpieczny i publicznie dostępny.
2. Proszę zapytać osoby uczące się, co ich zdaniem może zobaczyć obserwator.
3. Proszę wskazać transakcje, kwoty, czas ich przeprowadzenia lub ponowne użycie adresu widoczne w przygotowanym przykładzie.
4. Proszę zapytać, czy wygląda na to, że na adres otrzymano środki więcej niż raz.
5. Proszę omówić, co obserwator może wywnioskować, a czego nie może wiedzieć z pewnością.
6. Proszę pokazać, że wiele portfeli generuje nowy adres do odbioru środków.
7. Proszę wyjaśnić, że stare adresy mogą pozostać ważne, ale nowe adresy zwiększają prywatność przez ograniczenie możliwości łatwego powiązania transakcji.

Omówienie:

• Czy sam adres ujawnia tożsamość prawną?
• Jak połączenie danych publicznych z innymi informacjami mogłoby zmienić odpowiedź?
• Czy używanie nowego adresu sprawia, że Bitcoin zapewnia prywatność pod każdym względem?
• Dlaczego osoba prowadząca zajęcia powinna unikać wyszukiwania adresu osoby uczącej się na publicznej stronie internetowej?

Wariant bez dostępu do internetu: Proszę użyć wydrukowanej sekwencji pokazującej jeden adres użyty raz oraz drugi użyty ponownie do kilkukrotnego odbioru środków.

Proszę stawiać na pierwszym miejscu praktyczną zasadę:

Publiczne informacje służące do odbierania środków można udostępniać. Prywatne informacje służące do wydawania środków muszą pozostać tajne.

Proszę wyjaśnić, że:

• każdy klucz prywatny autoryzuje wydawanie środków za pomocą podpisu cyfrowego
• każdy klucz publiczny umożliwia weryfikację bez ujawniania klucza prywatnego
• nowoczesne portfele automatycznie zarządzają wieloma kluczami; oraz
• początkujący nie powinni kopiować ani obsługiwać surowych kluczy prywatnych w postaci ciągów znaków.

Proszę nie używać stwierdzenia „klucz prywatny dowodzi, kim Państwo są”. Potwierdza on uprawnienie wynikające z posiadania klucza, a nie tożsamość prawną.

Żaden wiarygodny edukator, dostawca portfela, pracownik giełdy, programista, pracownik wsparcia technicznego ani osoba publiczna nie potrzebuje należącego do osoby uczącej się klucza prywatnego ani frazy odzyskiwania.

Taka fraza seed, nazywana również frazą odzyskiwania, jest jedną z metod odzyskiwania dostępu stosowanych w wielu portfelach. Jest to uporządkowana lista słów, która pozwala odtworzyć klucze w portfelach o zgodnej konstrukcji. Nie jest to uniwersalna funkcja każdego portfela, a jej możliwości są większe niż możliwości zwykłego hasła do konta.

Należy omówić konsekwencje:

• właściwe słowa we właściwej kolejności mogą przywrócić kontrolę
• każdy, kto uzyska frazę, może przejąć kontrolę
• jej utrata może pozbawić możliwości odzyskania dostępu
• zgodność portfeli ma znaczenie; oraz
• frazę seed, która mogła zostać ujawniona, należy uznać za skompromitowaną.

Tego nigdy nie należy robić na zajęciach

• Nie należy prosić osoby uczącej się o odczytanie na głos słów odzyskiwania.
• Nie należy przechadzać się po sali, gdy osoby uczące się zapisują prawdziwe słowa odzyskiwania.
• Nie należy pozwalać osobom uczącym się na fotografowanie frazy, wysyłanie jej w wiadomości lub e-mailem, drukowanie, zapisywanie w chmurze ani oddawanie do sprawdzenia.
• Nie należy wykorzystywać prawdziwego portfela ze środkami należącego do jednej z osób uczących się do publicznej demonstracji odzyskiwania dostępu.
• Nie należy wpisywać pochodzącej z portfela sprzętowego frazy na stronie internetowej ani w zwykłym formularzu na komputerze.
• Nie należy zachowywać fraz szkoleniowych, które później będą chronić środki osób uczących się.

Ćwiczenie: symulacja gotowości do odzyskiwania dostępu

Prezentacja: Należy pokazać pełny proces sprawdzania możliwości odzyskania dostępu, korzystając z przygotowanych słów odzyskiwania lub jednorazowego, pustego portfela szkoleniowego. Słowa mogą przywracać dostęp do tego pustego portfela szkoleniowego, ale nie mogą chronić portfela osobistego ani portfela ze środkami. Należy wyjaśnić zgodność, prywatność, oczekiwany wynik i resetowanie.

Praktyka: Osoby uczące się układają przygotowane karty we właściwej kolejności lub przywracają dostęp do jednorazowego portfela szkoleniowego w prywatnym, kontrolowanym otoczeniu. Muszą trzymać materiały poza zasięgiem wzroku innych osób i rozpoznawać niebezpieczne prośby.

Samodzielne wykonanie: Osoba ucząca się wyjaśnia lub demonstruje, jak:

1. korzystać z oficjalnych instrukcji dotyczących konkretnego portfela.
2. potwierdzić zgodność umożliwiającą odzyskanie dostępu.
3. pracować w prywatnym otoczeniu, bez kamer ani obserwatorów.
4. korzystać z zaufanej metody sprawdzania kopii zapasowej lub odzyskiwania dostępu.
5. zweryfikować oczekiwane dane do odbioru środków lub historię działań szkoleniowych.
6. wyczyścić tymczasowe urządzenie; oraz
7. bezpiecznie zwrócić fikcyjne materiały lub zniszczyć je zgodnie z instrukcjami.

Ujawnioną frazę seed należy uznać za skompromitowaną

Jeśli prawdziwa fraza seed mogła zostać ujawniona, należy przestać traktować ją jako bezpieczną kopię zapasową, utworzyć nowy, zaufany portfel z nowymi danymi odzyskiwania i przenieść środki po dokładnym sprawdzeniu miejsca docelowego. Osoba ucząca się powinna szukać pomocy bez ujawniania którejkolwiek z fraz.

Dziedziczenie, wielopodpisowa konstrukcja portfela, zaawansowane dodatkowe hasła oraz planowanie odzyskiwania dostępu do środków o dużej wartości mogą wymagać zaawansowanych zabezpieczeń i profesjonalnej porady prawnej. Wykraczają one poza wymagane umiejętności w ramach Bitcoin Diploma.

Przechowywanie środków sprowadza się do jednego pytania:

Kto kontroluje klucze niezbędne do wydania bitcoinów?

Proszę jasno wyjaśnić prostym językiem różnicę w możliwościach weryfikacji: zasady Bitcoina i jego całkowitą podaż można niezależnie sprawdzić, ale osoba ucząca się, która nie kontroluje kluczy, nie może samodzielnie sprawdzić, czy saldo konta odpowiada bitcoinom, które usługodawca posiada i jej udostępni. Publiczny blockchain może pokazać bitcoiny kontrolowane za pomocą kluczy; nie może jednak wykazać, że usługodawca jest winien konkretnemu klientowi kwotę widoczną na jego koncie. Przed wypłatą do samodzielnego przechowywania saldo to jest obietnicą usługodawcy dotyczącą udostępnienia bitcoinów, a nie bitcoinami, które osoba ucząca się może bezpośrednio zweryfikować i wydać. Proszę nie sugerować, że saldo konta stanowi dowód posiadania rezerw lub wypłacalności usługodawcy.

Proszę korzystać ze scenariuszy omawianych pod kierunkiem osoby prowadzącej zamiast przypisywać ludziom etykiety. Osoba ucząca się powinna porównać:

• kto może autoryzować płatność
• kto może ograniczyć dostęp
• kto odpowiada za odzyskiwanie dostępu
• co się stanie, jeśli usługodawca zniknie
• co się stanie, jeśli użytkownik utraci informacje potrzebne do odzyskania dostępu
• jakie dane dotyczące prywatności lub tożsamości są przechowywane; oraz
• kiedy wygoda prowadzi do zależności od kontrahenta.

Proszę nie traktować samodzielnego przechowywania środków jako sprawdzianu moralnego. Osoba początkująca może na czas nauki zdecydować się na przechowywanie niewielkiej kwoty u usługodawcy. Celem edukacyjnym jest zrozumienie modelu zaufania i ryzyka.

Proszę unikać częstego błędu w kategoryzacji:

• Powierniczy / niepowierniczy określa, kto kontroluje klucze.
• Gorący / zimny określa, czy klucze służące do podpisywania są wystawione na działanie środowiska ogólnego przeznaczenia połączonego z internetem.
• Portfel sprzętowy oznacza konstrukcję dedykowanego urządzenia.
• W łańcuchu bloków / Lightning określa ścieżkę płatności, a nie powiernictwo samo w sobie.

Portfel Lightning może być powierniczy lub niepowierniczy. Nawet portfel sprzętowy wymaga procedury odzyskiwania. Konfiguracja zimnego portfela może być źle zaprojektowana. Z kolei gorący portfel może być odpowiedni do drobnych, codziennych płatności.

Proszę polecić osobom uczącym się wybór narzędzia do wymyślonego celu, a następnie wymagać od nich wskazania korzyści i nowego ryzyka. Proszę nie prosić ich o dokonanie wyboru dla ich rzeczywistych środków.

Odbieranie nadal wymaga weryfikacji, mimo że nie upoważnia do wysłania środków.

Proszę zademonstrować:

1. Proszę otworzyć właściwy portfel.
2. Proszę wybrać Odbierz.
3. Proszę potwierdzić, czy płatność ma być realizowana w łańcuchu, czy przez Lightning, oraz sprawdzić, czy wybrano właściwą sieć.
4. Proszę wyświetlić lub skopiować wyłącznie żądanie płatności.
5. Proszę potwierdzić kwotę i wszelkie istotne ustalenia dotyczące opłat.
6. Proszę zweryfikować oczekującą płatność w portfelu odbiorczym lub zaufanym interfejsie.
7. Proszę zinterpretować potwierdzenie lub status płatności we właściwy sposób.

Proszę wyjaśnić, że wiadomość lub zrzut ekranu z napisem „wysłano” nie stanowi dowodu otrzymania płatności. Odbiorca powinien zweryfikować jej otrzymanie we własnym portfelu lub zaufanym interfejsie.

Ćwiczenie: omówienie ekranu odbierania krok po kroku

Proszę wykorzystać wydruki ekranów lub portfel szkoleniowy. Proszę poprosić osoby uczące się o:

• odnalezienie funkcji odbierania
• określenie, czy żądanie dotyczy płatności w łańcuchu, czy przez Lightning
• wskazanie, co można udostępnić
• wyjaśnienie, co musi pozostać tajne
• sprawdzenie kwoty, jeśli jest podana; oraz
• określenie, jak zostanie zweryfikowane otrzymanie płatności.

Jeśli ćwiczenie służy do oceny, proszę poświęcić wystarczająco dużo uwagi indywidualnej obserwacji każdej osoby uczącej się, aby móc dokonać rzetelnej oceny.

Proszę stosować sekwencję „zatrzymaj się i sprawdź”:

1. Proszę potwierdzić odbiorcę i cel płatności za pośrednictwem zaufanego kanału.
2. W razie potrzeby proszę poprosić o aktualne dane do płatności.
3. Proszę potwierdzić, czy płatność ma być realizowana on-chain, czy przez Lightning, oraz sprawdzić, czy wybrano właściwą sieć.
4. Proszę zeskanować lub wpisać adres docelowy.
5. Po wprowadzeniu proszę porównać go z adresem wyświetlanym w zaufanym interfejsie odbioru płatności.
6. Proszę potwierdzić kwotę i jednostkę.
7. Proszę sprawdzić opłatę, czas realizacji, termin ważności i końcowe podsumowanie, zależnie od sytuacji.
8. Jeśli proces lub kwota są nietypowe, proszę najpierw wykonać test z niewielką kwotą.
9. Proszę zatwierdzić płatność dopiero wtedy, gdy wszystkie informacje są zgodne.
10. Proszę sprawdzić wynik w odpowiednim portfelu lub widoku transakcji.

Proszę nauczyć osoby uczestniczące w kursie, by przerywały działanie, jeśli odbiorca nieoczekiwanie zmienia adres docelowy, zniechęca do weryfikacji, wywiera presję czasu lub prosi o dane do odzyskiwania portfela.

Ćwiczenie: podmiana zawartości schowka

Proszę przekazać osobom uczestniczącym w kursie kartę z zamierzonym adresem oraz ekran z wklejonym adresem, który się od niego różni. Prawidłowym rezultatem jest wykrycie niezgodności i przerwanie działania, a nie dokończenie transakcji.

Proszę zmieniać scenariusz:

• Różni się tylko środkowa część adresu.
• Wiadomość od pomocy technicznej zapewnia, że zmiana jest normalna.
• Odbiorca twierdzi, że płatność jest pilna.
• Kod QR i zapisany adres są niezgodne.

Proszę zapytać, jakim niezależnym kanałem można zweryfikować adres docelowy.

Proszę wyjaśnić, że opłata on-chain zależy głównie od danych transakcji i popytu na miejsce w bloku, a nie po prostu od przesyłanej kwoty. Szacunki portfela mogą być niedokładne lub się zdezaktualizować.

Transakcja:

• jest niepotwierdzona po rozgłoszeniu i przed uwzględnieniem w prawidłowym bloku
• otrzymuje swoje pierwsze potwierdzenie po uwzględnieniu w prawidłowym bloku; oraz
• zyskuje większą pewność rozliczenia w miarę dodawania kolejnych prawidłowych bloków do tej historii.

Potwierdzenia nie korygują błędnego adresu docelowego, nie cofają skutków oszustwa, nie dowodzą tożsamości odbiorcy ani nie sprawiają, że niechciany zakup staje się właściwy.

Nie ma jednej liczby potwierdzeń odpowiedniej dla każdej kwoty i każdego poziomu ryzyka. Proszę uczyć sposobu rozumowania, zamiast podawać uniwersalną liczbę.

Taki eksplorator bloków jest interfejsem udostępniającym publiczne informacje o Bitcoinie, a nie organem decydującym o zasadach Bitcoina.

Korzystając z przygotowanego txid, proszę pokazać:

• status transakcji
• wejścia i wyjścia na poziomie odpowiednim dla początkujących
• sposób wyświetlania kwoty i opłaty
• włączenie do bloku i potwierdzenia (ich liczbę); oraz
• informacje, które stają się publiczne.

Następnie proszę zapytać:

• Co może pokazać eksplorator?
• Czego nie może udowodnić w kwestii tożsamości prawnej, celu, uczciwości lub własności?
• Jakie informacje uzyskuje operator eksploratora w wyniku wyszukiwania?
• Jak lokalny węzeł zmienia relację między zaufaniem a prywatnością?

Proszę unikać wyszukiwania na żywo z użyciem danych powiązanych z osobami uczącymi się.

Proszę uczyć rozpoznawania schematów zamiast listy marek:

• podszywanie się pod pomoc techniczną, edukatora, znajomego, osobę publiczną lub urzędnika
• wywoływanie poczucia pilności i wywieranie presji
• gwarantowane lub wyjątkowo łatwe zyski
• rozdawanie nagród wymagające wcześniejszej wpłaty
• oferty odzyskania środków wymagające podania słów, kluczy, udzielenia zdalnego dostępu lub wniesienia opłat z góry
• fałszywe aplikacje portfeli i aktualizacje
• domeny, reklamy lub linki w wiadomościach prywatnych służące do wyłudzania danych
• manipulacja poprzez relacje przyjacielskie lub romantyczne
• podmiana adresu; oraz
• prośby o zachowanie tajemnicy.

Proszę stosować standardowy schemat reakcji:

Proszę się zatrzymać. Proszę niczego nie udostępniać. Proszę niczego nie wysyłać. Proszę zakończyć kontakt. Proszę zweryfikować sytuację niezależnie, korzystając ze znanego źródła. Proszę poprosić o pomoc bez ujawniania poufnych informacji.

Ćwiczenie: stacje z oszustwami

Proszę rozmieścić w sali krótkie, wymyślone scenariusze. Przy każdej stacji osoby uczące się zapisują:

• sygnał ostrzegawczy
• jakie informacje lub pieniądze są zagrożone
• natychmiastową bezpieczną reakcję
• niezależny sposób weryfikacji; oraz
• kiedy szukać pomocy.

Proszę uwzględnić jedną wiadomość wyglądającą na autentyczną, bez oczywistych błędów ortograficznych. Nie należy uczyć, że oszustwa łatwo rozpoznać wyłącznie po nieprofesjonalnym wyglądzie.

Osoba ucząca się powinna porównać możliwe sposoby, a nie otrzymać rekomendację.

Proszę porównać:

• zarabianie bitcoinów
• bezpośrednią wymianę między użytkownikami
• scentralizowaną giełdę lub brokera
• bitomat lub kiosk
• otrzymywanie bitcoinów za pośrednictwem sprzedawcy, w formie darowizny, zwrotu pieniędzy lub przekazu pieniężnego; oraz
• usługę wymiany bitcoinów na waluty fiducjarne i odwrotnie.

Dla każdego sposobu proszę zadać następujące pytania:

• Jaka łączna kwota jest otrzymywana po uwzględnieniu ceny, spreadu i opłat?
• Kto kontroluje bitcoiny przed wymianą i po niej?
• Jakie dane dotyczące tożsamości są zbierane?
• Czy płatność w walucie fiducjarnej można cofnąć?
• Czy bitcoiny można wypłacić do portfela z samodzielną kontrolą kluczy?
• Jakie występuje ryzyko związane z kontrahentem i oszustwem?
• Jakie występuje ryzyko dla bezpieczeństwa fizycznego?
• Jakie lokalne przepisy prawne, podatkowe lub obowiązki sprawozdawcze mogą mieć zastosowanie?

Proszę używać określenia no-KYC konsekwentnie w odniesieniu do sposobu, w którym zbiera się mniej standardowych danych dotyczących tożsamości lub nie zbiera się ich wcale. Proszę nie sugerować, że no-KYC eliminuje ryzyko oszustwa, ryzyko prawne, ryzyko związane z kontrahentem lub ryzyko dla bezpieczeństwa fizycznego. Proszę nie doradzać obchodzenia lokalnego prawa.

Proszę zastosować porównanie, które oddziela ścieżkę płatności od sposobu przechowywania środków.

Lightning nie jest odrębną monetą. Udana płatność Lightning nie dowodzi, że portfel jest bezpieczny do przechowywania większej kwoty. Obsługa kanałów, infrastruktura routingu oraz płynność i zarządzanie nią to zagadnienia zaawansowane wykraczające poza program Bitcoin Diploma.

C6.1 jest kryterium kompetencji w ramach C6. Osoba ucząca się uzyskuje dostęp do bitcoinów w zatwierdzonym środowisku z wykorzystaniem niewielkich kwot lub w środowisku symulowanym, otrzymuje je lub bezpiecznie symuluje ich odbiór oraz sprawdza odpowiednie informacje w ramach obserwowanych czynności związanych z obsługą portfela, płatnościami i weryfikacją.

Proszę starannie zaplanować przebieg:

1. Proszę określić, czy środowisko jest powiernicze, niepowiernicze, symulowane, działa w sieci testowej czy wykorzystuje rzeczywiste środki w niewielkich kwotach.
2. Proszę zademonstrować cały proces uzyskiwania pierwszego dostępu.
3. Proszę wyjaśnić wszelkie zależności związane z kontem, tożsamością, odzyskiwaniem dostępu, siecią lub usługą.
4. Proszę poprosić osobę uczącą się o otwarcie przygotowanego środowiska lub uzyskanie do niego dostępu.
5. Proszę poprosić osobę uczącą się o odnalezienie i zweryfikowanie danych do odbioru płatności.
6. Proszę przeprowadzić odbiór płatności lub go zasymulować.
7. Proszę poprosić osobę uczącą się o zweryfikowanie salda lub statusu płatności oraz wyjaśnienie, co potwierdzają te informacje.
8. Proszę poprosić osobę uczącą się o wskazanie sposobu odzyskania dostępu oraz warunków, w których należy przerwać działanie.

Proszę nie wymagać od osób uczących się zakupu bitcoinów. Przygotowane saldo szkoleniowe, odbiór niewielkiej kwoty przekazanej przez osobę prowadzącą zajęcia, środowisko testowe lub zatwierdzona symulacja mogą wystarczyć do wykazania kompetencji, jeśli dany wariant oceny na to pozwala.

Proszę korzystać ze stanowisk dopiero po zapoznaniu się osób uczących się z każdym z procesów.

Proszę nie wykorzystywać stanowisk do formalnej oceny, chyba że zatwierdzono konkretne zadania, warianty, kryteria i dokumentację.

W ramach oceny praktycznej proszę obserwować, czy osoba ucząca się potrafi bezpiecznie wykonać odpowiednie zadanie oraz:

• otworzyć przygotowane środowisko lub bezpiecznie uzyskać do niego dostęp
• poruszać się po środowisku bez ujawniania informacji niezwiązanych z zadaniem
• określić stosowany w zakresie przechowywania środków model
• odróżnić informacje służące do odbierania płatności od informacji poufnych
• wybrać zamierzoną ścieżkę płatności i sieć
• odnaleźć i zweryfikować adres lub fakturę
• sprawdzić odbiorcę, kwotę, jednostkę, opłatę, termin ważności i końcowe podsumowanie, stosownie do sytuacji
• przeprowadzić lub bezpiecznie zasymulować proces odbierania lub wysyłania płatności
• zinterpretować status wskazujący na oczekiwanie, potwierdzenie, niepowodzenie lub otrzymanie płatności
• chronić dane odzyskiwania przez cały czas wykonywania zadania sprawdzającego gotowość do odzyskania dostępu
• bezpiecznie zareagować na ujawnienie informacji, niezgodność, podszywanie się pod inną osobę, presję czasu lub oszustwo
• wyjaśnić powody przeprowadzania istotnych kontroli; oraz
• przerwać działanie lub zwrócić się o pomoc, gdy proces wykracza poza jej kompetencje.

Zachowań kluczowych dla bezpieczeństwa nie można zniwelować przez uśrednienie wyników. Ujawnienie danych odzyskiwania, zatwierdzenie pomimo znanej niezgodności, kontynuowanie działania mimo wyraźnych oznak oszustwa lub pominięcie wymaganej weryfikacji skutkuje oceną Jeszcze nie do czasu uzupełnienia konkretnych braków i ponownej oceny.

Proszę zastosować scenariusz łączący wszystkie umiejętności. Uczeń lub para uczniów musi:

1. określić model przechowywania środków w przygotowanym portfelu.
2. znaleźć dane do odbioru płatności.
3. odróżnić transakcje on-chain od transakcji Lightning.
4. przygotować wysyłkę środków i wykryć zmianę miejsca docelowego.
5. odczytać status przygotowanej płatności.
6. zareagować na fałszywą prośbę od pomocy technicznej; oraz
7. wyjaśnić gotowość do odzyskania dostępu bez ujawniania słów.

Proszę zapytać:

Czego bezpośrednia kontrola wymaga od użytkownika i jakie zagrożenia pozostają nawet po zastosowaniu bezpiecznej procedury?

Następnie proszę wykorzystać z modułu 3 Przewodnika dla uczniów pytanie końcowe. Odpowiedź powinna pozostać prywatna lub być dobrowolna, zgodnie z powyższymi wskazówkami dotyczącymi krótkiej refleksji na zakończenie modułu.

Przejście do kolejnego modułu:

Moduł 4 stawia pytanie, czy te narzędzia i obowiązki odpowiadają na rzeczywistą potrzebę w tej społeczności. Odpowiedź może brzmieć: tak, nie lub tylko pod pewnymi warunkami.