Аппаратные кошельки

[igor72]

А почему вы считаете, что отправляет? Строка в браузере - не показатель.

Серийник считывается из кошелька и формируется соответствующая строка запроса, которая включает этот серийник. Вот пример wallet.trezor.io/#/device/***serial number***/account/0

У меня нет трезора, но это вроде бы не серийник, а идентификатор, который после каждого ресета новый. Вот здесь я об этом прочитал. Там же кто-то написал, что часть url после # на сервер не отправляется, ну или не обязательно отправляется.

[1714804735]

1714804735

[1714804735]

1714804735

[Gladyr]

Сейчас самое время купить трезор или леджер, как раз черная пятница. Леджер до 2 декабря скидки. Так что кто хотел себе купить сейчас самое время.

[tenant48]

А почему вы считаете, что отправляет? Строка в браузере - не показатель.

Серийник считывается из кошелька и формируется соответствующая строка запроса, которая включает этот серийник. Вот пример wallet.trezor.io/#/device/***serial number***/account/0

У меня нет трезора, но это вроде бы не серийник, а идентификатор, который после каждого ресета новый. Вот здесь я об этом прочитал. Там же кто-то написал, что часть url после # на сервер не отправляется, ну или не обязательно отправляется.

Можно называть как угодно: серийник, идентификатор или как то еще, но на разных кошельках он разный и во время эксплуатации не меняется, могу допустить что после ресета номер изменится так как и скорее всего будет введена новая seed фраза и за старой следить бесполезно, что кстати абсолютно логично, не знаю не проверял. Насчет символа # все зависит от того как настроен WEB сервер, так что все там отправляется иначе какой смысл вообще его туда тулить.

[johhnyUA]

Стандартная доставка (7 дней) стоит 0 EUR, а вот если вы хотите UPS (1-3 дня) или DHL (1-2 дня), тогда придется доплатить 10-15 евро. И при таком раскладе 30% очень достойная скидка.

Благодарю, разобрался. У меня стандартом стояла самая элитная.

1. Вы плохо знаете психологию ментов и бандитов. Они обычно выбивают до тех пор, пока вообще что либо можно выбить, наблюдая за психологическим состоянием жертвы. Уверяю вас, что если вы попадете в такую ситуаацию то раскажете про все парольные фразы, лиш бы вас отпустили и не оставили инвалидом.

Вариант предложенный Антонопулосом (как я понял вы его здесь обсуждали), про "хвост ящерицы" на самом деле рабочий, если нападающие не знают конкретной суммы которая есть у тебя. Если знают, тогда печально. Да и притом все равно, вот к примеру статья в телеграмме по этому поводу на одном паблосе - https://t.me/lemon_crypto/236

Угрожали оружием, били, а никаких битков не получили. Много чего еще от человека зависит, и от того, что за бандиты и мусора. Универсального решения нет никогда.

[igor72]

Насчет символа # все зависит от того как настроен WEB сервер, так что все там отправляется иначе какой смысл вообще его туда тулить.

Как я понимаю, смысл - различать девайсы, подключаемые с одного компа. И я думаю, что никуда эти идентификаторы не отправляются. Ну а если есть сомнения, то можно сервер и у себя установить.

[tenant48]

Насчет символа # все зависит от того как настроен WEB сервер, так что все там отправляется иначе какой смысл вообще его туда тулить.

Как я понимаю, смысл - различать девайсы, подключаемые с одного компа. И я думаю, что никуда эти идентификаторы не отправляются. Ну а если есть сомнения, то можно сервер и у себя установить.

Интересно, ктото пытался установить этот сервер? Там только для установки blockbook требуется 32 Gb RAM. Так что держать дома такой сервак дорогое удовольствие.
Насчет различать кошельки подключаемые на одном компе не понимаю смысла. Подключил новый кошелек дал запрос на сервер получил ответ с балансами и др. инфой. Зачем их различать между собой? Не вижу логики.

[igor72]

Интересно, ктото пытался установить этот сервер? Там только для установки blockbook требуется 32 Gb RAM. Так что держать дома такой сервак дорогое удовольствие.

Можно и не ставить сервак, а подключаться через Electrum.

Насчет различать кошельки подключаемые на одном компе не понимаю смысла. Подключил новый кошелек дал запрос на сервер получил ответ с балансами и др. инфой. Зачем их различать между собой? Не вижу логики.

Вот, из их вики (выделено мной):

Trezor Wallet does not log any data.
Unique ID

Trezor Wallet generates a unique ID which is shown in URL address after Trezor device is connected in Trezor Wallet. This ID provides a unique identifier so JavaScript can address more than one otherwise completely equivalent devices. This ID is regenerated on every Trezor initialization, so it can not be tied to a person and it is not shared via any servers.

Вот еще можете посмотреть, там про # производитель ответил, и про подключение без сервера с trezorctl упоминается.

[Dimenzino]

то, что исходники открыты, то вы ведь каждый раз их не сравниваете. Зато объясните мне зачем кошелек постоянно отправляет свой серийник на сервер? Просто из любопытства? В Trezore это можно увидеть в строке броузера.

а браузер какой ? любой ? и в какой там строке ? в отладке где-то ?
..уже были подозрения

Не являюсь программистом с глубоким познанием всех тонкостей, чтобы на 100% утверждать что Trezor или Ledger nano не надежны, но чисто случайно я наткнулся на этот топик - https://miningclub.info/threads/kupil-ledger-nano-s-otzyv.18757/ где ниже я увидел обсуждение, которое наводит на мысль что  надежность Trezor или Ledger nano - это миф. Далее читаем весь топик, а тот кто ленивый - специально выделил некоторые посты сюда

получается, что Trezor или Ledger ни, что иное как дорогущщая флешка для хранения файлов в данном случае ключа + ты сливаешь свои данные им на сервера, по мне так развод чистой воды.
Лучше просто купить защищенную флешку чтобы в воде не тонула и в огне не горела и хранить там свои ключи

[tenant48]

Trezor Wallet does not log any data.
Unique ID

Они имеют ввиду Trezor server? Что у них установлено на сервере известно только им. Может логируют а может не логируют. Я как раз уверен, что логируют хотя бы для того, чтобы отслеживать ошибки. Доказать обратное не я не они не смогут.

Trezor Wallet generates a unique ID which is shown in URL address after Trezor device is connected in Trezor Wallet. This ID provides a unique identifier so JavaScript can address more than one otherwise completely equivalent devices. This ID is regenerated on every Trezor initialization, so it can not be tied to a person and it is not shared via any servers

Отправить этот ID с помощю яваскрипта на сервер не составляет никаких проблем. И не обязательно делать это постоянно, достаточно изредка немного изменять этот скрипт.
Вобщем все ихние утверждения я должен воспринимать на веру. Будем надеятся на их порядочность
Хотя мне до сих пор не понятно зачем специально создавать этот ID. Если им очень нужен уникальный идентификатор, то можно было для этих целей например использовать часть биткоин адреса сгенерированого этим же кошельком и не создавать никаких персональных идентификационных номеров, а то все это наводит на не очень хорошие мысли.

[igor72]

Вобщем все ихние утверждения я должен воспринимать на веру. Будем надеятся на их порядочность

Донт траст, верифай. Код же открыт. Я думаю, хоть кто-то его читает. Зачем производителю врать, если его могут на этом вранье легко поймать? Если это вас все равно тревожит, подключайте трезор к электруму, а электрум к кору.

Хотя мне до сих пор не понятно зачем специально создавать этот ID. Если им очень нужен уникальный идентификатор, то можно было для этих целей например использовать часть биткоин адреса сгенерированого этим же кошельком и не создавать никаких персональных идентификационных номеров, а то все это наводит на не очень хорошие мысли.

Наверное, были для этого какие-то непонятные нам причины. А может эти номера примерно так и генерируются... Мне кажется, это не важно, раз они никуда не отправляются.

[tenant48]

Вобщем все ихние утверждения я должен воспринимать на веру. Будем надеятся на их порядочность

Донт траст, верифай. Код же открыт. Я думаю, хоть кто-то его читает. Зачем производителю врать, если его могут на этом вранье легко поймать? Если это вас все равно тревожит, подключайте трезор к электруму, а электрум к кору.

Хотя мне до сих пор не понятно зачем специально создавать этот ID. Если им очень нужен уникальный идентификатор, то можно было для этих целей например использовать часть биткоин адреса сгенерированого этим же кошельком и не создавать никаких персональных идентификационных номеров, а то все это наводит на не очень хорошие мысли.

Наверное, были для этого какие-то непонятные нам причины. А может эти номера примерно так и генерируются... Мне кажется, это не важно, раз они никуда не отправляются.

Интересно, как вы собрались проверять код, который установлен на ихнем сервере?
Если Вам, достаточно продвинутому специалисту в этих вопросах так же не понятны причины необходимости этого ID и вы себе сами логически не можете это объяснить, вас это не смущает?
Вообще мой опыт работы с криптовалютами показывает что на этом рынке преобладает огромное количество мошенников, аферистов и различных манипуляторов, так что я просто так на веру ничего не воспринимаю и стараюсь сам чтото анализировать и принимать соответствующие решения. Я не говорю, что апаратные кошельки это плохо. Для меня они являются компромисом между определенным уровнем безопастности и удобством использования, но далеко не панацеей с точки зрения абсолютной безопасности. Просто я осознаю что от них можно ожидать и как их лучше использовать.

[igor72]

Интересно, как вы собрались проверять код, который установлен на ихнем сервере?

Никак. Но вы можете проанализировать код на пользовательской стороне и разобраться, что отсылается на сервер, и что принимается оттуда.

Если Вам, достаточно продвинутому специалисту в этих вопросах так же не понятны причины необходимости этого ID и вы себе сами логически не можете это объяснить, вас это не смущает?

Я себя специалистом не считаю и в подобных вопросах, особенно касающихся трезора, особо не разбирался, просто не интересовало.

Вообще мой опыт работы с криптовалютами показывает что на этом рынке преобладает огромное количество мошенников, аферистов и различных манипуляторов, так что я просто так на веру ничего не воспринимаю и стараюсь сам чтото анализировать и принимать соответствующие решения. Я не говорю, что апаратные кошельки это плохо. Для меня они являются компромисом между определенным уровнем безопастности и удобством использования, но далеко не панацеей с точки зрения абсолютной безопасности. Просто я осознаю что от них можно ожидать и как их лучше использовать.

Все правильно, я разделяю вашу позицию .

..уже были подозрения

Подозрения всегда будут, это нормально. Но пока гипотеза о сливе данных на серверы ни на чем не основана.

[naska21]

Подумаю, может и закажу себе второй по почте на  всякий случай.

Вот не могу понять, зачем покупать "на всякий случай"? На какой случай, на случай поломки? Но они же практически не ломаются при нормальном обращении - разъем с кнопками теоретически могут износиться, но обычно такая неисправность прогрессирует постепенно, некоторое время пользоваться можно.
Если несколькими сразу пользоваться, то еще ладно, но купить и положить - не понимаю. Лучше на битки деньги потратить, сейчас тоже скидка, потом несколько аппаратников за них купить можно.

Как вариант на одном хранить основные сбережения, с другим ездить к менялам для покупки или обналички средств.
Кроме того это дает некоторое удобство, если нужно заменить seed или протестить свежую прошивку. Да и просто есть люди, торгующие на такие суммы, для которых цена апаратного кошелька значение не имеет.

Походу  натолкнули на  мысль. Можно использовать второй леджер как действующий муляж основного кошелька с совсем другим сидом, положить туда пару копеек, о ставить на видном месте и отдавать его в случае чего с большой неохотой  прежде чем  паяльник в задницу засунут  и тут главное не переиграть .

[FontSeli]

бесплатная доставка в EU и US. Налетай!

Какая то фигня на самом деле. Не знаю как за US, но в EU по крайне мере в Германии доставка совсем не бесплатная, примерно как в СНГ. в СНГ - 21 евро, в Германию - 10 доставка + 8.38 налог. И где здесь называется "халява"? 

У них от в отличии от леджера хоть есть доставка. Я же хочу именно леджер и заказать его себе в страну не могу без посредников, которые поверьте берут далеко не 21 Евро, а ровно 100% к цене прибавляют, так и еще нужно будет проверять оригинальная ли прошивка у кошелька.

[bakasabo]

бесплатная доставка в EU и US. Налетай!

Какая то фигня на самом деле. Не знаю как за US, но в EU по крайне мере в Германии доставка совсем не бесплатная, примерно как в СНГ. в СНГ - 21 евро, в Германию - 10 доставка + 8.38 налог. И где здесь называется "халява"?  

У них от в отличии от леджера хоть есть доставка. Я же хочу именно леджер и заказать его себе в страну не могу без посредников, которые поверьте берут далеко не 21 Евро, а ровно 100% к цене прибавляют, так и еще нужно будет проверять оригинальная ли прошивка у кошелька.

А если воспользоваться той же бандеролькой? В калькуляторе вбейте данные https://qwintry.com/ru/calculator и свой страну. Уверен что выйдет около 20-30 долларов, что не очень и далеко от 21 евро.

А если еще и полазить по ютубу и форумам и зарегистрироваться по реф ссылке, то явно какой-то бонус по цене доставки будет  

Может совет и банальный, но проверьте все же калькулятор.

[FontSeli]

А если воспользоваться той же бандеролькой? В калькуляторе вбейте данные https://qwintry.com/ru/calculator и свой страну. Уверен что выйдет около 20-30 долларов, что не очень и далеко от 21 евро.

А если еще и полазить по ютубу и форумам и зарегистрироваться по реф ссылке, то явно какой-то бонус по цене доставки будет  

Может совет и банальный, но проверьте все же калькулятор.

Спасибо за совет, но заказывать вещи связанные с криптовалютами через сторонние сервисы и светить у них свой адрес я не хочу.


Кстати, у Леджера тоже скидки 30%
https://shop.ledger.com/pages/black-friday

[igor72]

Можно использовать второй леджер как действующий муляж основного кошелька с совсем другим сидом, положить туда пару копеек, о ставить на видном месте и отдавать его в случае чего с большой неохотой  прежде чем  паяльник в задницу засунут  и тут главное не переиграть .

Можно и на единственный леджер на первый пин положить пару копеек (для грабителей), а на второй остальное. Впрочем, обсуждали недавно...
Но зачем на видное место класть девайс и нарываться на неприятности? В идеале никто не должен знать, что вы в крипте что-то понимаете.

[Dimenzino]

Зачем производителю врать, если его могут на этом вранье легко поймать? Если это вас все равно тревожит, подключайте трезор к электруму, а электрум к кору.

то есть ID трезора стучащего на сервер "завязнут" в электруме ? а если обойдут его как-то ?

Вот еще можете посмотреть, там про # производитель ответил, и про подключение без сервера с trezorctl упоминается.

Какой полезный вот
перевод:

Сообщение от U / wkatsuhiro  7 месяцев назад
Связь идентификатора устройства и вашей конфиденциальности.
Я обеспокоен потенциальными проблемами конфиденциальности идентификатора устройства.
Каждый раз, когда вы проводите сеанс с веб-кошельком Trezor, вы увидите, что идентификатор вашего Trezor встроен в URL. Как следует в моем случае:
https://wallet.trezor.io/#/device/0589 .... C1A0 / account / 0
Я предполагаю, что этот идентификатор "0589 .... C1A0" закодирован в аппаратном обеспечении Trezor перед отправкой. И SatoshiLabs может связать этот идентификатор с моим заказом на покупку Trezor, который включает мое имя, адрес доставки и так далее.
Я думаю, что временного идентификатора сеанса было бы достаточно для обработки Send / Receive / Exchange / Sign & Verify или любого вида сервиса, который должен обслуживать крипто-кошелек. Я не уверен, что фиксированный идентификатор устройства абсолютно необходим для обработки этих сервисов. Я обеспокоен тем, что в случае внутреннего преступления или нападения на серверы SatoshiLabs может возникнуть некоторый риск утечки конфиденциальности.
(Хотя ваши средства все еще в порядке, даже в этом крайнем предположении, благодаря принципам дизайна Трезора).
Кто-нибудь может прояснить или смягчить мое беспокойство?

stickac  SatoshiLabs CTO 7 месяцев назад
Во-первых, идентификатор создается во время настройки устройства, и он не жестко закодирован в устройстве. Также это меняется при каждой новой настройке.
Во-вторых, он не отправляется на сервер (потому что это после # в URL).

Aussiehash  7 месяцев назад
Если вы сбросите трезор, ваш идентификатор изменится

DanielMicay  6 месяцев назад
В дополнение к тому, что уже было сказано, вы можете использовать другой кошелек, чем веб-кошелек, если хотите. https://play.google.com/store/apps/details?id=io.trezor.app можно использовать для управления устройством с помощью приложения для Android или trezorctlдля интерфейса командной строки, поскольку другие кошельки не t поддерживает все функции управления.

Я думаю, было бы замечательно, если бы https://github.com/MattSkala/trezor-wallet был включен в официальное приложение Trezor, чтобы иметь все функции кошелька там. Если вы используете свой собственный узел для конфиденциальности, приложение обеспечивает преимущества безопасности для сохранения конфиденциальности благодаря наличию автономного ключа подписи, а не его обслуживанию через сервер, который может быть скомпрометирован. Вы также можете использовать автономную копию / распространение веб-кошелька Trezor.

Явно нужен мануальчик по изменению этого шпиёнско-подозрительного ID

[igor72]

Зачем производителю врать, если его могут на этом вранье легко поймать? Если это вас все равно тревожит, подключайте трезор к электруму, а электрум к кору.

то есть ID трезора стучащего на сервер "завязнут" в электруме ? а если обойдут его как-то ?

Для этого либо в системе, либо в Электруме должен быть "шпион". Думаю, это практически невероятно. Но если и это допускать, то остается только "холодный" комп. Но тогда и трезор уже не нужен ).

[Helloween]

Вобщем все ихние утверждения я должен воспринимать на веру. Будем надеятся на их порядочность

Донт траст, верифай. Код же открыт. Я думаю, хоть кто-то его читает. Зачем производителю врать, если его могут на этом вранье легко поймать? Если это вас все равно тревожит, подключайте трезор к электруму, а электрум к кору.

Хотя мне до сих пор не понятно зачем специально создавать этот ID. Если им очень нужен уникальный идентификатор, то можно было для этих целей например использовать часть биткоин адреса сгенерированого этим же кошельком и не создавать никаких персональных идентификационных номеров, а то все это наводит на не очень хорошие мысли.

Наверное, были для этого какие-то непонятные нам причины. А может эти номера примерно так и генерируются... Мне кажется, это не важно, раз они никуда не отправляются.

Игорь, а электрум к леджеру можно как то подключить? От одного человека слышал что можно, но не увидел какой то конкретики как это сделать. Есть какой нибудь гайд или быть может ты подскажешь как это сделать безопасно?