Wallet-Handling

[twbt]

Ein bemerkenswerter Satz:

Please don't store Bitcoins on an internet connected device, regardless of it is your own or a service's.

Quelle: https://inputs.io

[mezzomix]

Aber genau das sagen einige doch hier schon die ganze Zeit. Rücklagen Cold und das Geld zum täglichen Gebrauch Hot.

[LOBSTER]

Aber genau das sagen einige doch hier schon die ganze Zeit. Rücklagen Cold und das Geld zum täglichen Gebrauch Hot.

So siehts aus. Nun kann man sich noch streiten, wie man HOT / COLD definiert.

Für mich:
Cold = PAPER WALLET @ bitaddress.org
Hot / Cold = Armory
Hot = Electrum
         

[mezzomix]

So siehts aus. Nun kann man sich noch streiten, wie man HOT / COLD definiert.

Bei mir:

Cold = Eigene verschlüsselte Paperwallet und gerade eine Umstellung auf bitaddress.org mit BIP38 Verschlüsselung. Backup 3x im Haus, an zwei verschiedenen Standorten in KFZ Reichweite und noch zweimal im nochmals verschlüsselten Backupsatz online auf abgesicherten dedizierten Backupservern.

Hot = bitcoin-qt (<20 BTC) und geringe Summen (< 1BTC) Bitcoin Wallet (Android mit selbst modifizierter AOSP)

[twbt]

Aber genau das sagen einige doch hier schon die ganze Zeit. Rücklagen Cold und das Geld zum täglichen Gebrauch Hot.

Bemerkenswert fand ich, dass TF das sagt, nachdem zuvor inputs.io als "high-security bitcoin web wallet"[1], "perfect for beginners and hardcore Bitcoiners alike" und "the new standard"[2] gefeiert wurde.

Ich hab mit inputs.io ebenfalls ein bisschen rumgespielt, um mir die Features anzuschauen. Für mobile Anwendungen sind wir auf verlässliche Webdienste angewiesen. Wenn dafür aber tausende Nutzer ihre Brieftaschen mit kleinen Geldbeträgen an einem (bzw. mehreren) zentralen Ort(en) abgeben müssen, die dann ein attraktives Angriffsziel sind, haben wir ein strukturelles Problem - zumindest, wenn man an den Einsatzzweck "mobile payment" denkt.

Wohin geht da die Reise aus Eurer Sicht?

[mezzomix]

Wohin geht da die Reise aus Eurer Sicht?

Denkbar wäre ein Zusammenschluss mehrer Zahlungsanbieter. Die Einlagen könnten auf Multisig Adressen gelagert werden. Über die Einlagen kann der Zahlungsdienstleister dann nicht mehr alleine verfügen, sondern nur im Verbund mit einer bestimmten Anzahl anderer Dienstleister oder eben mit dem Kunden. Das Clearing erfolgt in Übereinstimmung mit den Beteiligten über die Blockchain.

[twbt]

Denkbar wäre ein Zusammenschluss mehrer Zahlungsanbieter. Die Einlagen könnten auf Multisig Adressen gelagert werden. Über die Einlagen kann der Zahlungsdienstleister dann nicht mehr alleine verfügen, sondern nur im Verbund mit einer bestimmten Anzahl anderer Dienstleister oder eben mit dem Kunden. Das Clearing erfolgt in Übereinstimmung mit den Beteiligten über die Blockchain.

Dieser Zusammenschluss benötigt dann aber wieder Schnittstellen untereinander, um die Auszahlungsvorgänge automatisieren zu können. Folglich sind dann diese Schnittstellen das Angriffsziel?

EDIT: Nee, falsch gedacht. Wenn der mobile Client mit den unabhängigen Zahlungsanbietern kommuniziert, ist dieser Angriff ausgeschlossen.

[twbt]

It's one of the largest known robberies in the virtual currency's four year history.

Quelle: http://www.abc.net.au/am/content/2013/s3886606.htm

[TwinWinNerD]

Wie sicher findet ihr Blockchain.info in dieser Hinsicht?

[mezzomix]

Wie sicher findet ihr Blockchain.info in dieser Hinsicht?

Gar nicht. Details zur Absicherung und Aufbewahrung der BTC sind unbekannt.

[TwinWinNerD]

Sie haben die BTC doch gar nicht in ihrem besitz?
So wie ich das verstanden habe, kann blockchain.info in keinem Fall auf unsere Funds zugreifen!

[herzmeister]

Sie haben die BTC doch gar nicht in ihrem besitz?
So wie ich das verstanden habe, kann blockchain.info in keinem Fall auf unsere Funds zugreifen!

sie versprechen es höchstens.

In der Tat ist es eine vollständig am Client laufende HTML5-Anwendung und man hat selber die Kontrolle über die eigenen Keys.

Faktisch ist aber End-To-End-Verschlüsselung mit heutiger Browser-Technologie einfach nicht möglich. D.h., man muss dem Javascript vertrauen, das von blockchain.info heruntergeladen wird. So weit ich weiß, bietet blockchain.info zwar zusätzlich noch ein Chrome-Plugin an, mit dem das Javascript signiert wird, das dürfte vor einigen Man-in-the-Middle-Attacken schützen, es ändert aber nichts daran, dass man dem Anbieter immer noch vertrauen muss.

[TwinWinNerD]

Sie haben die BTC doch gar nicht in ihrem besitz?
So wie ich das verstanden habe, kann blockchain.info in keinem Fall auf unsere Funds zugreifen!

sie versprechen es höchstens.

In der Tat ist es eine vollständig am Client laufende HTML5-Anwendung und man hat selber die Kontrolle über die eigenen Keys.

Faktisch ist aber End-To-End-Verschlüsselung mit heutiger Browser-Technologie einfach nicht möglich. D.h., man muss dem Javascript vertrauen, das von blockchain.info heruntergeladen wird. So weit ich weiß, bietet blockchain.info zwar zusätzlich noch ein Chrome-Plugin an, mit dem das Javascript signiert wird, das dürfte vor einigen Man-in-the-Middle-Attacken schützen, es ändert aber nichts daran, dass man dem Anbieter immer noch vertrauen muss.

vielen Dank, aber für Summen <20BTC als wallet durchaus brauchbar oder?

[fronti]

wenn dir <20 BTC nicht wichtig sind, dann ja.
Nimmst du auch in deiner Geldbörse, wenn du unterwegs bist, 20 BTC mit (5500 Euro) oder doch nur etwas weniger?

Oder nimmst du eher etwas weniger mit und legst den Rest zu Hause sicher ab?

[TwinWinNerD]

wenn dir <20 BTC nicht wichtig sind, dann ja.
Nimmst du auch in deiner Geldbörse, wenn du unterwegs bist, 20 BTC mit (5500 Euro) oder doch nur etwas weniger?

Oder nimmst du eher etwas weniger mit und legst den Rest zu Hause sicher ab?

naja ich habe eine debit karte mit, also ja 5k in der Brieftasche.

Aber ich verstehe deinen Punkt, zuhause würde ich einfach zu Bank gehen... nur wo gibts sowas bei Bitcoins

[mezzomix]

Aber ich verstehe deinen Punkt, zuhause würde ich einfach zu Bank gehen... nur wo gibts sowas bei Bitcoins

Selbst ist die Bank. Das Schliessfach nennt sich Paperwallet.

[adamas]

Ich habe meine Keys mit Laserdrucker auf Tyvekpapier gedruckt, die Paperwallet in eine wasser- und feuerfeste Dose gepackt und hier vergraben:  http://www.geocaching.com/geocache/GC242VT_this-is-it  

[TwinWinNerD]

Hätte schon gerne schnellen Zugriff auf meine Funds, sonst könnte ich ja eine "Time-capsul" in eine Wand einmauern

[mezzomix]

Den Key per QR-Code einzuscannen oder in den Client importieren ist langsam?! Nun da bin ich zu wohl zu alt dafür - ich brauche üblicherweise schon ohne Paperwallet ein paar Sekunden um eine Transaktion einzugeben, zu überprüfen und abzusenden. 

[TwinWinNerD]

Den Key per QR-Code einzuscannen oder in den Client importieren ist langsam?! Nun da bin ich zu wohl zu alt dafür - ich brauche üblicherweise schon ohne Paperwallet ein paar Sekunden um eine Transaktion einzugeben, zu überprüfen und abzusenden. 

ne das wäre ja ok, aber eingraben ist wohl etwas zu aufwändig

Ich bin aber auch oft unterwegs, da brauche ich entweder nen dedicated server, oder eben ne online wallet wie blockchaininfo