Nociones básicas de seguridad

[SigmaAlt]

Creo que no está de más comentar ciertas cosas relacionadas con la seguridad y que pueden ser útiles.

Ayer apareció un post (ahora ya borrado por el moderador Badbear) en el que aparecía un link hacia una página de noticias. Según el link y el título del post era una noticia sobre el creador de Facebook haciendo unas declaraciones sobre Bitcoin. En teoría la noticia estaba en un vídeo, pero para ver el vídeo te pedía que te descargases una aplicación Java.

NUNCA den autorización a una página que no sea de total confianza para ejecutar una aplicación Java, pero

NUNCA, NUNCA JAMAS lo hagan en una página relacionada con Bitcoins (un enlace que encuentren en este mismo foro, en algún trollbox, en cualquier página de noticias, etc.). Es muy posible que esa aplicación Java sea un troyano que les quite la cartera (wallet.dat), les registre todas las pulsaciones de teclado y con ello entre en sus cuentas de MtGox, Btc-e, email, cuenta del banco, etc.

Cualquier precaución es poca. Si tienen más consejos, estaría bien que hagamos una recopilación.

[Mahn]

Véase también, en inglés: http://www.reddit.com/r/Bitcoin/comments/1fof2v/psa_my_bitcoin_got_stolen_is_now_a_daily_post/

Y añadiría utilizar la función de click to play de chrome para evitar que aplicaciones de java o flash se auto-ejecuten en una página sin permiso previo (que suelen ser los enemigos número 1, los que más agujeros suelen tener)

[dserrano5]

• Usad la extensión NoScript. Configuradla para permitir por defecto sólo lo imprescindible.
  
• Desinstalad el plugin java.
• Renunciad al flash (esto incluye youtube) excepto que os interese mucho.

—Joer, pero navegar así es una mierda!

Aaah, el que algo quiere, algo le cuesta…

Edito: y ojito con las direcciones cortas estas que se han puesto tanto de moda últimamente. Esperad que otro pinche primero . —Eh, pero si todos hacemos eso, nadie pincharía nunca. Exacto! y el que pone el enlace se verá forzado a no usar un shortener si quiere que se le haga caso.

[sysmenet]

Si es que los shortener ya no tienen sentido

[ioxoi]

Totalmente de acuerdo, pero añadiría mis preferidas.

Usa dos sistemas o usuarios diferentes para ocio y trabajo, el de  ocio usuario ramplón, mientras menos permisos mejor, esta simple medida de protección ha conseguido que los sistemas un*x ( linux, mac OS X, etc ) tenga un numero despreciable de malware orientado al escritorio.
Actualmente además de doble usuario, cada vez uso mas las tabletas para ocio y dejo el PC con debian  cifradito para trabajo y finanzas personales.

Usa un sistema no mayoritario según te permitan tus conocimientos, mac, linux, freebsd, openbsd, solaris, ...



Y sea cual sea tu elección, actualiza tus sistema de manera continua.

[dserrano5]

Usa dos sistemas o usuarios diferentes para ocio y trabajo, el de  ocio usuario ramplón, mientras menos permisos mejor, esta simple medida de protección ha conseguido que los sistemas un*x ( linux, mac OS X, etc ) tenga un numero despreciable de malware orientado al escritorio.

No hay cacas para linux no por esta razón, sino porque a los malos malosos no les resulta interesante atacar al 1% de la población. Es más lucrativo ir al 99% de güindons.

+1 a lo de emplear varios usuarios, lo iba a decir yo pero en el fondo no sé cómo funciona en güindons así que preferí quedarme calladito. Mi bitcoind se ejecuta con su propia cuenta de usuario, y yo con la mía no tengo acceso ni de lectura al wallet.

Usa un sistema no mayoritario según te permitan tus conocimientos, mac, linux, freebsd, openbsd, solaris, ...

Es que un keylogger basado en X11 te va a poder esnifar la contraseña del wallet, uses el OS que uses por debajo. Y todo el mundo usa X11.

Y sea cual sea tu elección, actualiza tus sistema de manera continua.

Sí, esto es fundamental.

[nikkus]

Yo soy usuario de Linux, y empecé tarde, lo utilizo como sistema operativo principal desde 2007.

Durante algún tiempo, hasta pensaba que lo mejor que podía hacer uno era pasarse a Linux, pero llegué a una constatación:
Cada uno que se apuntaba a Linux quería mi asesoría "fulltime"(y gratis claro), así que adopté otra postura, que es la de que:
Al que vea y le guste Linux, le paso un DVD de Linux, generalmente Ubuntu, para q se de cuenta de las diferencias entre uno(windows) y otro(Linux), y si realmente quiere le instalo el Linux, manteniendo el windows. Ya que entiendo que una de las premisas de Linux es que ser una alternativa, pero nunca una imposición.

Dicho eso, coincido totalmente que los que hacen virus y malware se dedican al SO masivo y no a los minoritarios.

Así que dejo una idea a los que solo van a utilizar windows y coincidiendo con la idea del compañero ioxoi:

1) Particionar el disco duro, a menos que tengas DOS discos duros
2) Instalar el otro S.O. en la nueva partición.
3) destinar uno para la parte personal y el otro para el profesional.

Y en ambos, las medidas de seguridad YA mencionada por los compañeros.
Diría yo que eso, para empezar, estaría bien.

[RubenLeFuck]

Yo soy usuario de Linux, y empecé tarde, lo utilizo como sistema operativo principal desde 2007.

Durante algún tiempo, hasta pensaba que lo mejor que podía hacer uno era pasarse a Linux, pero llegué a una constatación:
Cada uno que se apuntaba a Linux quería mi asesoría "fulltime"(y gratis claro), así que adopté otra postura, que es la de que:
Al que vea y le guste Linux, le paso un DVD de Linux, generalmente Ubuntu, para q se de cuenta de las diferencias entre uno(windows) y otro(Linux), y si realmente quiere le instalo el Linux, manteniendo el windows. Ya que entiendo que una de las premisas de Linux es que ser una alternativa, pero nunca una imposición.

Dicho eso, coincido totalmente que los que hacen virus y malware se dedican al SO masivo y no a los minoritarios.

Así que dejo una idea a los que solo van a utilizar windows y coincidiendo con la idea del compañero ioxoi:

1) Particionar el disco duro, a menos que tengas DOS discos duros
2) Instalar el otro S.O. en la nueva partición.
3) destinar uno para la parte personal y el otro para el profesional.

Y en ambos, las medidas de seguridad YA mencionada por los compañeros.
Diría yo que eso, para empezar, estaría bien.

Interesante, tienes algun tutorial o pagina decente para los que no sabemos nada de Linux?
Gracias.

[nikkus]

Interesante, tienes algun tutorial o pagina decente para los que no sabemos nada de Linux?
Gracias.

A verr.. en youtube hay montones... Pero la idea no es que uno se pase a Linux, hay programas para windows que trabajan y manejan particiones(Partition Magic sin ir mas lejos) y el "otro" sistema operativo puede ser muy bien el propio windows.

De todos los modos, hay que tener presente, que se me olvido comentar, que trabajar con particiones supone un riesgo para tus datos, suele ser un PEKEÑO riesgo, pero existe, así que hay que hacer copias de seguridad antes de particionar un HD.

si aún así te apetece un tutorial especifico sobre como instalar Linux(en el caso de iniciantes recomiendo Ubuntu), mi recomendación es que descargues la ISO de Ubuntu, grabas el cd con la imagen y pruébalo.

Cualquier cosa que necesites no tienes mas decirlo.

[RubenLeFuck]

Ok, no te lo digo en concreto por el tema que estamos hablando.
Mas bien tengo curiosidad por el SO Linux desde hace tiempo y eso 
Gracias por la info.

[SigmaAlt]

En su dia tuve instalado Linux como particion, pero apenas lo usaba.

Ahora con Bitcoin tengo Ubuntu montado en un flashdrive (4 Gigas creo), creado con persistencia para que se queden guardadas las cosas de una sesion a otra. Lo unico que tengo instalado es un explorador y Electrum. La semilla y la cartera estan bien guardaditas.

Solo lo conecto cuando quiero hacer alguna transferencia. Sin flash, sin Java, sin visitar mas paginas de las estrictamente necesarias. No es una cartera offline, pero como si lo fuera.

Creo que es mas comodo que hacer una particion en el disco duro, y mas si para lo unico que vas a utilizar Linux es para Bitcoins. No necesitas saber de Linux, solo corta y pega en la terminal para instalar Electrum desde su repositorio original y hacer click en el icono.

[hot_gpu]

Un post muy importante.

En el caso de utilizar un S.O güindows es vital usar cualquier cuenta que no sea Administrador.

Como han indicado es muy importante mantener actualizado siempre el sistema operativo, independientemente de que se trate de unix, linux, solaris, güindows... (por algo existen las actualizaciones de seguridad), para los que no podais vivir sin flash ni java mantenedlos actualizados SIEMPRE,a traves de estos plugins nos pueden colar trojanos y no te enteras de nada.

Si sois unos paranoicos como yo, en este aspecto, os recomiendo lo siguiente:

Usar el cliente desde una máquina virtual.
Eliminar los programas de flash, java y lector de PDFs (este último tambien ha tenido grandes agujeros de seguridad)
Usar algun software sniffer para ver si teneis conexiones indeseadas o en su defecto un netstat -na (para windows y linux)
Y realizar las transferencias offline, esto para mi es un deseo porque no he logrado entenderlo.

Saludos,
Hot_gpu

[EuZeN]

En su dia tuve instalado Linux como particion, pero apenas lo usaba.

Ahora con Bitcoin tengo Ubuntu montado en un flashdrive (4 Gigas creo), creado con persistencia para que se queden guardadas las cosas de una sesion a otra. Lo unico que tengo instalado es un explorador y Electrum. La semilla y la cartera estan bien guardaditas.

Solo lo conecto cuando quiero hacer alguna transferencia. Sin flash, sin Java, sin visitar mas paginas de las estrictamente necesarias. No es una cartera offline, pero como si lo fuera.

Creo que es mas comodo que hacer una particion en el disco duro, y mas si para lo unico que vas a utilizar Linux es para Bitcoins. No necesitas saber de Linux, solo corta y pega en la terminal para instalar Electrum desde su repositorio original y hacer click en el icono.

Yo para todo lo relacionado con bitcoin tengo una raspberry pi con una SD exclusiva con raspbian instalado.
He trasteado con Armory en windows, pero me fastidia tener que estar todo el día actualizando los bloques y que los datos me ocupen 10GB de disco duro. Estos días he estado pensando en electrum como alternativa, pero no tengo muy claro como funciona.

Por lo que he podido entender, la principal diferencia es que no necesita un cliente para sincronizar los bloques, utiliza un servidor online.

El wallet se puede recuperar a partir de un conjunto de 12 palabras que se proporcionan cuando se genera el wallet. ¿Ya no habría que hacer copias de seguridad del wallet?

En armory puedes crear un wallet offline y apartir de él crear una copia de ese wallet sin las claves privadas e importarlo en un equipo con conexión a internet. Desde el wallet online no se pueden enviar bitcoins, para enviarlos hay que generar una transacción en el wallet offline e importarla en el equipo con conexión. ¿Electrum tiene algo similar? He visto que habla de semillas offline, pero no sé exactamente como funciona ni a que se refiere.

[LuisCar]

He trasteado con Armory en windows, pero me fastidia tener que estar todo el día actualizando los bloques y que los datos me ocupen 10GB de disco duro. Estos días he estado pensando en electrum como alternativa, pero no tengo muy claro como funciona.

Por lo que he podido entender, la principal diferencia es que no necesita un cliente para sincronizar los bloques, utiliza un servidor online.

El wallet se puede recuperar a partir de un conjunto de 12 palabras que se proporcionan cuando se genera el wallet. ¿Ya no habría que hacer copias de seguridad del wallet?

En armory puedes crear un wallet offline y apartir de él crear una copia de ese wallet sin las claves privadas e importarlo en un equipo con conexión a internet. Desde el wallet online no se pueden enviar bitcoins, para enviarlos hay que generar una transacción en el wallet offline e importarla en el equipo con conexión. ¿Electrum tiene algo similar? He visto que habla de semillas offline, pero no sé exactamente como funciona ni a que se refiere.

La principal diferencia que tiene Electrum es que no descarga la cadena de bloques ―por lo que es muy útil en equipos antiguos o con problemas de memoria― sino que se fía de la cadena de bloques alojada en un servidor de un tercero que, eso sí, puedes elegir. Este programa genera una cartera determinista a partir de doce palabras aleatorias llamadas semilla. Teniendo a salvo dichas doce palabras siempre se podrá recuperar todas las direcciones que se generen a partir de la semilla y lo hace sin cifrar (como Armory) de modo que protege también de perdidas de la clave de cifrado del archivo wallet (en este caso electrum.dat). La versión completa ―la que permite pagar― contiene la semilla cifrada, pero se puede generar una llave pública maestra que no contiene la semilla y que permite gestionar todas las funciones que proporciona el cliente, excepto las que requieren acceso a la semilla (claves privadas). Para utilizar dichas funciones proporciona un sistema similar a Armory que requiere tener instalado dicho programa en otro equipo o en un sistema tipo LiveUSB que tendríamos siempre desconectado y que contendrá el archivo electrum.dat con la semilla y será donde firmaremos las transacciones con el sistema sin conexión a internet.

[lukyforvar]

Yo este es el mayor problema que le veo a Bitcoin, que para la mayoría del publico estos temas de seguridad cuestan mucho.

Imaginar que un día puedes tener todo tu dinero ahí.... pues debes tenerlo bien protegido, por pass, impresión en hoja etc.. para no perdelos en ningún caso.

[EuZeN]

Muchas gracias por la respuesta Luis, lo probaré a ver que tal funciona.

Una última cosa, ¿Electrum también tiene la opción de exportar a paperwallet?

[SigmaAlt]

Muchas gracias por la respuesta Luis, lo probaré a ver que tal funciona.

Una última cosa, ¿Electrum también tiene la opción de exportar a paperwallet?

A que te refieres con paperwallet?

Solo necesitas la semilla para regenerar toda la cartera.

[LuisCar]

Muchas gracias por la respuesta Luis, lo probaré a ver que tal funciona.

Una última cosa, ¿Electrum también tiene la opción de exportar a paperwallet?

Puedes hacer prácticamente todo lo que se te ocurra, importar y exportar claves privadas, utilizar o no direcciones de cambio, etc. (excepto decidir de qué dirección quieres gastar las monedas, esto creo que no lo permite, al menos no de forma sencilla).

[dserrano5]

Yo este es el mayor problema que le veo a Bitcoin, que para la mayoría del publico estos temas de seguridad cuestan mucho.

Por eso existen los bancos, porque tener el efectivo en casa es inseguro. Claro, el tiempo nos ha demostrado que tenerlo en el banco también lo es pero esa ya es otra historia.

¿Me dejas ser tu banco bitcoin? ¿No? Pues entonces no te queda otra que aprender, ya sea por las buenas o por las malas…

[lukyforvar]

Yo este es el mayor problema que le veo a Bitcoin, que para la mayoría del publico estos temas de seguridad cuestan mucho.

Por eso existen los bancos, porque tener el efectivo en casa es inseguro. Claro, el tiempo nos ha demostrado que tenerlo en el banco también lo es pero esa ya es otra historia.

¿Me dejas ser tu banco bitcoin? ¿No? Pues entonces no te queda otra que aprender, ya sea por las buenas o por las malas…

ya pero es innegable que hay una parte de la sociedad que es más reacea a estas cosas, solo tienes que pasar por la mañana por un banco y ver el montón de gente haciendo cola para pagar el recibo de tal y cual, etc... o en correos para ver a extrangeros usando western union...

Creo que ahí hay un reto importante, espero que las wallet físicas ayuden a esto. Lo ideal jeje sería que tu fueras la clave privada o que fuera inherente a ti.