Hardware Wallet: Trezor o Ledger, qual’è il migliore?

[mendace]

Ehehe sapevo che lo avresti detto ma qui bisogna precisare le poche capacità informatiche dell'attivista perché se solo avesse saputo cosa rischiava esponendo il suo ip anche a Proton che non vende dati ma sotto pressione dal governo francese e svizzero (e probabilmente hanno ceduto perché ancora acerbi come servizio e rischiavano di chiudere ancor prima di partire) probabilmente avrebbe raggiunto il client sotto rete tor dato che proton mette a disposizione il link onion. A quel punto diventa più complicato capire IP.

Si ProtonMail da circa un annetto è diventata semplicemente Proton perché ha ampliato il bagaglio di servizi che adesso è composto da Mail, Calendar, VPN e Drive. Questi servizi sono tutti compresi con l'abbonamento oppure anche free ma la VPN è molto limitata rispetto al piano pay. Considera che l'azienda è Svizzera quindi gode delle leggi svizzere, ha applicazioni distribuite su F-droid per chi non utilizza i play service google (prendete nota), non condivide i vostri dati, ha i servizi come mail ad esempio raggiungibili da link onion ovvero sotto rete tor (e qui sottolineo la cazzata dell'attivista francese qualora qualcuno volesse controbattere) e soprattutto puoi pagare l'abbonamento o tramite Bitcoin che è sicuro e anonimo oppure a vostro rischio potete pagare su richiesta in busta chiusa con delle merdosissime Fiat.
Insomma a me piace ma piace anche il nodo easy su umbrel.

@alexrossi @Ale88 non basta una vpn per avere privacy anche perché dipende sopratutto a quale VPN vi affidate, ad esempio non userei mai NordVpn per mille motivi ad esempio software closed source, numerose affiliazione a siti per accaparrarsi recensioni, traccianti nell'app ma sopratutto databreach e quindi addio IP. Se proprio mi devo affidare ad una VPN lo faccio con Proton o Mullvad, in ogni caso preferisco hostare il mio nodo e acquisire maggiore sicurezza e privacy.

Grazie per queste info, gli darò sicuramente un'occhiata e farò anche un controllo più approfondito su NordVPN  
Ma Proton per caso ha a che fare con Proton Mail? Stiamo parlando sempre della stessa compagnia svizzera?

si ho visto che la suite e' diventata bella grossa
non so, sono sempre un po' diffidente a causa di quella rogna con l'ip
purtoppo sono una persona che si fida difficilmente
tu lo hai a pagamento l'account?

[giammangiato]

lo so che non è troppo costoso, ma:
1 trovare il raspberry è difficilissimo, non si trovano. dovrei usare un vecchio pc che fa rumore e consuma
2 hdd, 60 euro sono in ogni caso un costo
3 elettricita è un costo non indifferente, bella la privacy ma se posso ottenere un buon risultato solo con TOR per ora vado di quello

[mendace]

Ultimamente il prezzo dei rasp sono alzati quello è vero però io circa un anno e mezzo fa con 200€ sono riuscito a comprare Rasp pi4 e HD da 4tera. Eventualmente potresti anche considerare l'uso di un mini pc purché abbia un buon hardware. Per il costo energetico un rasp è fatto apposta per non consumare troppo quindi non mi preoccuperei, eventualmente potresti alimentarlo con un piccolo pannello solare e una batteria con accumulatore.

lo so che non è troppo costoso, ma:
1 trovare il raspberry è difficilissimo, non si trovano. dovrei usare un vecchio pc che fa rumore e consuma
2 hdd, 60 euro sono in ogni caso un costo
3 elettricita è un costo non indifferente, bella la privacy ma se posso ottenere un buon risultato solo con TOR per ora vado di quello

[fillippone]

Ultimamente il prezzo dei rasp sono alzati quello è vero però io circa un anno e mezzo fa con 200€ sono riuscito a comprare Rasp pi4 e HD da 4tera. Eventualmente potresti anche considerare l'uso di un mini pc purché abbia un buon hardware. Per il costo energetico un rasp è fatto apposta per non consumare troppo quindi non mi preoccuperei, eventualmente potresti alimentarlo con un piccolo pannello solare e una batteria con accumulatore.

lo so che non è troppo costoso, ma:
1 trovare il raspberry è difficilissimo, non si trovano. dovrei usare un vecchio pc che fa rumore e consuma
2 hdd, 60 euro sono in ogni caso un costo
3 elettricita è un costo non indifferente, bella la privacy ma se posso ottenere un buon risultato solo con TOR per ora vado di quello

Un raspi a più di 100/120 euro non ha senso.
Allora tanto vale andare su soluzioni diverse: es netbook usato con installato sopra Bitcoin Core. E sei a posto, se vuoi usarlo come wallet. Oppure un bare-metal, come suggeriva Babo in altro thread.
Ma il raspi è una piattaforma di sviluppo abbastanza limitata che faceva del basso costo il suo punto di forza: se questo viene a mancare, cade un pò tutto il discorso.

[mendace]

Non ho guardato di recente i prezzi del Raspi ma ricordo che qualche mese fa si trovavano anche a 200€ e beh si comincia ad essere un tantino fuori listino. L'unico vantaggio del rasp è il consumo ridotto se deve essere acceso h24, il netbook non saprei quanto possa consumare però eventualmente invece di btc core si potrebbe sempre installare umbrel che è una soluzione più completa. Sarebbe interessante comunque avere un riscontro energetico fra i vari device.

Ultimamente il prezzo dei rasp sono alzati quello è vero però io circa un anno e mezzo fa con 200€ sono riuscito a comprare Rasp pi4 e HD da 4tera. Eventualmente potresti anche considerare l'uso di un mini pc purché abbia un buon hardware. Per il costo energetico un rasp è fatto apposta per non consumare troppo quindi non mi preoccuperei, eventualmente potresti alimentarlo con un piccolo pannello solare e una batteria con accumulatore.

lo so che non è troppo costoso, ma:
1 trovare il raspberry è difficilissimo, non si trovano. dovrei usare un vecchio pc che fa rumore e consuma
2 hdd, 60 euro sono in ogni caso un costo
3 elettricita è un costo non indifferente, bella la privacy ma se posso ottenere un buon risultato solo con TOR per ora vado di quello

Un raspi a più di 100/120 euro non ha senso.
Allora tanto vale andare su soluzioni diverse: es netbook usato con installato sopra Bitcoin Core. E sei a posto, se vuoi usarlo come wallet. Oppure un bare-metal, come suggeriva Babo in altro thread.
Ma il raspi è una piattaforma di sviluppo abbastanza limitata che faceva del basso costo il suo punto di forza: se questo viene a mancare, cade un pò tutto il discorso.

[Ale88]

Riuppo questo thread perché mi sono imbattuto in questo tweet, in poche parole questo tizio, per distrazione, ha scaricato un programma (nulla a che vedere con le crypto) da un link sponsorizzato che si è poi rivelato in malware che gli ha compresso tutto il computer, e mi ha molto colpito questa parte:




E per andare ancora più nello specifico mi riferisco a queste frasi:

I entered my seed phrase in a way that no longer kept it cold.

Because of this, when the malware was installed on my computer, the hackers had access to my funds.

Quindi aveva installato Ledger Live sul pc, come praticamente chiunque abbia un Ledger direi, ma io non sapevo che con un malware si bypassa tutta la sicurezza derivante dal fatto di dover collegare il Ledger e dover confermare le transazioni manualmente.

Sono andato anche sul sito della Ledger e nell'articolo Getting started with Ledger Live uno dei primissimi passi menzionati è questo:
Restore device from recovery phrase to restore the private keys of your existing accounts using your (24-word) recovery phrase, also known as a mnemonic seed.

Esiste anche una forma di utilizzare Ledger Live senza inserire le chiavi private a questo punto?

E leggendo quelle frasi io capisco che avendo inserito il seed dopo aver installato Ledger Live praticamente un malware può effettuare transazioni non autorizzate, ma veramente?! Non sto capendo se il malware recupera in qualche modo le chiavi, come se fossero salvate da qualche parte all'interno del programma, oppure se direttamente possa bypassare tutte le conferme che vengono normalmente richieste


EDIT: aggiungo quest'altra parte:
I entered my seed phrase in a way that no longer kept it cold.

Avete idea cosa voglia dire esattamente? Non sto capendo se abbia fatto qualcosa che non avrebbe dovuto fare o cosa...

[hymperion]

potrebbero aver utilizzato un keylogger per fregargli le 24 words, poi un modo per utilizzare i fondi senza il ledger a portata di mano c'è sicuramente, altrimenti come fai a recuperare i fondi in caso di rottura??

[Lillominato89]

EDIT: aggiungo quest'altra parte:
I entered my seed phrase in a way that no longer kept it cold.

Avete idea cosa voglia dire esattamente? Non sto capendo se abbia fatto qualcosa che non avrebbe dovuto fare o cosa...

Allora io premetto che non ho un ledger e neanche so come funzioni effettivamente. Lui all'inizio dello screenshot dice di aver commesso un errore installando il ledger live come hot wallet e non come cold wallet! Magari intende dire che per sistemare il problema ha inserito dinuovo le 24 frasi per effettuare il cambio da hot a cold! Sono mie supposizioni

[Ale88]

potrebbero aver utilizzato un keylogger per fregargli le 24 words, poi un modo per utilizzare i fondi senza il ledger a portata di mano c'è sicuramente, altrimenti come fai a recuperare i fondi in caso di rottura??

Ledger Live funziona che devi inserire il seed solamente la prima volta dopo l'installazione sul pc, poi per accedere all'interfaccia si utilizza una password scelta dall'utente che non ha nessun tipo di collegamento con il seed. Quando vuoi fare una transazione devi collegare il Ledger al pc e confermare sul Ledger (non sul Live) la transazione, se provi a fare una transazione senza il Ledger collegato ti dice di collegarlo perché altrimenti non è possibile procedere. Quindi il seed non è mai stato digitato di nuovo dato che Ledger Live era già installato prima del malware.

[alexrossi]

potrebbero aver utilizzato un keylogger per fregargli le 24 words, poi un modo per utilizzare i fondi senza il ledger a portata di mano c'è sicuramente, altrimenti come fai a recuperare i fondi in caso di rottura??

Ledger Live funziona che devi inserire il seed solamente la prima volta dopo l'installazione sul pc, poi per accedere all'interfaccia si utilizza una password scelta dall'utente che non ha nessun tipo di collegamento con il seed. Quando vuoi fare una transazione devi collegare il Ledger al pc e confermare sul Ledger (non sul Live) la transazione, se provi a fare una transazione senza il Ledger collegato ti dice di collegarlo perché altrimenti non è possibile procedere. Quindi il seed non è mai stato digitato di nuovo dato che Ledger Live era già installato prima del malware.

Non è che ha provato a fare un recovery... pensando di fare qualcosa per "tenersi allenato" e in realtà ha preso alla leggera, facendo wipe del device e ridigitando poi il seed?

[Ale88]

Non è che ha provato a fare un recovery... pensando di fare qualcosa per "tenersi allenato" e in realtà ha preso alla leggera, facendo wipe del device e ridigitando poi il seed?

Sto leggendo i vari commenti al tweet, ovviamente c'è tantissima gente (come me) che non sta capendo cosa intendesse dire col discorso di far diventare il Ledger un hot wallet, questa potrebbe essere una possibile spiegazione:




Quindi, correggetemi se sbaglio, l'accesso ai fondi a quel punto non era più esclusivamente via Ledger ma anche tramite altri wallet che non necessitano conferme per effettuare le transazioni, ho capito bene?

[DensBTC]

Non è che ha provato a fare un recovery... pensando di fare qualcosa per "tenersi allenato" e in realtà ha preso alla leggera, facendo wipe del device e ridigitando poi il seed?

Sto leggendo i vari commenti al tweet, ovviamente c'è tantissima gente (come me) che non sta capendo cosa intendesse dire col discorso di far diventare il Ledger un hot wallet, questa potrebbe essere una possibile spiegazione:




Quindi, correggetemi se sbaglio, l'accesso ai fondi a quel punto non era più esclusivamente via Ledger ma anche tramite altri wallet che non necessitano conferme per effettuare le transazioni, ho capito bene?

Si corretto il seed del Ledger (credo BIP39) può essere usato per fare recovery su qualsiasi wallet che accetti lo stesso standard, chi ha in mano il seed non ha bisogno del Ledger  ma può usare anche Electrum per impossessarsi dei fondi.

[Ale88]

Si corretto il seed del Ledger (credo BIP39) può essere usato per fare recovery su qualsiasi wallet che accetti lo stesso standard, chi ha in mano il seed non ha bisogno del Ledger  ma può usare anche Electrum per impossessarsi dei fondi.

In questo caso però non direi che si sono impossessati del seed quanto piuttosto che hanno potuto liberamente utilizzare MetaMask (nel quale era stato importato il seed in precedenza) che non richiede nessun tipo di conferma di sicurezza prima di autorizzare gli invii, a differenza del Ledger. Quello che mi preme assicurarmi è che l'errore sia stato "solamente" inserire il seed su MetaMask, non che in qualche modo siano stati capaci di estrarlo.