[ARDR] Nxt: Ardor - масштабируемая ChildChain-платформа

[gremlinsimf]

несколько дней назад поставил себе клиент, добрые люди с этой ветки прислали 49 монет.
клиент что-то там просчитывал.
сегодня обновился до последней версии через update, скачал последнюю версию, все проверил, выключил сервер, заменил файлы из нового архива, перезагрузил start.jar.

только вот через несколько минут с моего аккаунта ушло 52 монеты на неизвестный адрес. понятное дело, что сам я ничего не переводил.

насколько я понял, кто-то просто зашел в мой кошелек (каким-то образом подобрал секретную фразу, или по ошибке) и скинул баланс себе?

с монетами можно попрощаться?

если я не прав, можете разъяснить, в чем дело?

мой номер кошелька 15228746525667763711

номер транзакции 14063274586977726193 на кошелек 4033415009361662130

спасибо

[Come-from-Beyond]

Ды всё как-то по левому выглядит.

Выглядит все правильно, вот почитай - http://ru.wikipedia.org/wiki/%D0%A2%D0%B5%D0%BE%D1%80%D0%B5%D0%BC%D0%B0_CAP

[Siroc-co]

несколько дней назад поставил себе клиент, добрые люди с этой ветки прислали 49 монет.
клиент что-то там просчитывал.
сегодня обновился до последней версии через update, скачал последнюю версию, все проверил, выключил сервер, заменил файлы из нового архива, перезагрузил start.jar.

только вот через несколько минут с моего аккаунта ушло 52 монеты на неизвестный адрес. понятное дело, что сам я ничего не переводил.

насколько я понял, кто-то просто зашел в мой кошелек (каким-то образом подобрал секретную фразу, или по ошибке) и скинул баланс себе?

с монетами можно попрощаться?

если я не прав, можете разъяснить, в чем дело?

мой номер кошелька 15228746525667763711

номер транзакции 14063274586977726193 на кошелек 4033415009361662130

спасибо

Ну раз уж денежки ушли, стало быть твой пароль кто-то знает, и логично предположить, что этот пароль\кошелёк ты уже использовать не будешь.
Дабы понять ситуацию, предоставь пароль на общее обозрение.

[abctc]

чо написать/изобразить в квадратиках? =)

AS (Alias System), AM (Arbitrary Messages), AE (Asset Exchange), TM (Transparent Mining)

[Siroc-co]

Ды всё как-то по левому выглядит.

Выглядит все правильно, вот почитай - http://ru.wikipedia.org/wiki/%D0%A2%D0%B5%D0%BE%D1%80%D0%B5%D0%BC%D0%B0_CAP

Действительно... Начинаю понимать.

[Haiti]

Появились какие-то левые цифры... Снёс всё, рестартанул систему, всё заново установил. Теперь всё нормально, намайненное исчезло.
В любом случае считаю это грубейшим косяком. Это платёжная система! Это не мессенджер какой-то, тут ошибки могут дорого стоить! Но постоянно то новые ветки создаются, параллельные, то баланс не отображает, то ещё какая гадость. Как-то негатив вносит всё это, и отдаляет от использования.

При включении любого кошеля для снятия намайненного добра с какого-либо пула - проходит некоторое время, необходимое для синхронизации кошеля с данными пула.
Не вижу в этом проблемы  
Это факт криптореальности.

[Come-from-Beyond]

AS (Alias System), AM (Arbitrary Messages), AE (Asset Exchange), TM (Transparent Mining)

TM стоит отдельно. Это основа майнинга, остальное - просто фичи, которые используют майнинг.

[gremlinsimf]

несколько дней назад поставил себе клиент, добрые люди с этой ветки прислали 49 монет.
клиент что-то там просчитывал.
сегодня обновился до последней версии через update, скачал последнюю версию, все проверил, выключил сервер, заменил файлы из нового архива, перезагрузил start.jar.

только вот через несколько минут с моего аккаунта ушло 52 монеты на неизвестный адрес. понятное дело, что сам я ничего не переводил.

насколько я понял, кто-то просто зашел в мой кошелек (каким-то образом подобрал секретную фразу, или по ошибке) и скинул баланс себе?

с монетами можно попрощаться?

если я не прав, можете разъяснить, в чем дело?

мой номер кошелька 15228746525667763711

номер транзакции 14063274586977726193 на кошелек 4033415009361662130

спасибо

Ну раз уж денежки ушли, стало быть твой пароль кто-то знает, и логично предположить, что этот пароль\кошелёк ты уже использовать не будешь.
Дабы понять ситуацию, предоставь пароль на общее обозрение.

фразу использовал вообще в первый раз, первое, что пришло в голову длинное на англ языке. не было там ни цифр, ни букв верхнего регистра даже, мое упущение.

чем поможет выкладывание фразы? сам уже понял, что сложность должна быть добротная

[abctc]

AS (Alias System), AM (Arbitrary Messages), AE (Asset Exchange), TM (Transparent Mining)

TM стоит отдельно. Это основа майнинга ..

- да, отдельно - в правом нижнем квадрате, самом большом.

[abctc]

фразу использовал вообще в первый раз, первое, что пришло в голову длинное на англ языке. не было там ни цифр, ни букв верхнего регистра даже, мое упущение.

- вот это сегодняшнее не читал?

I .. created an account with simple passphrase and sent 100 Nxt to that account. The passphrase was an answer to the question: "I'm a big fun of soap operas and have no idea about security.". Guess what. Someone stole 100 Nxt before I even managed to post the question

- чел сделал для пробы кошелёк с паролем "santabarbara", положил 100 NXT. Через несколько секунд монет там уже не было, т.к. сейчас запущены боты, которые по спец. словарям нагенерили приватных ключей, и отслеживают каждый новый перевод денег на соответствующие этим ключам аккаунты, и сразу выводят монеты.

Вот здесь один такой ботовот хвалился своим ботом.

[Siroc-co]

чем поможет выкладывание фразы?

Ни чем фраза не поможет.
Просто на данный момент имеем относительно не мало угонов, и все пострадавшие утверждают, что пасс фраза была стойкой к взлому. Но тем не менее ни один так и не предоставил пасс фразу. Собственно так и не разобрались, получается, в причине. То ли пострадавшие нагло врут об угоне, имея злой умысел и отпугивая потенциальных пользователей, то ли пароли у них были легко угадываемые и вина чисто в этом, то ли ещё чего. Но, учитывая что паролей так и не было предоставлено, а после угона они не могут нести никакой ценности, то вероятнее всего причина в слабых паролях. А точнее не в слабых паролях, а пользователях, которым чисто пофиг, что система их предупреждает об этом.
P.S. Ничего личного. Просто мысли в слух.

[johnwhitestar]

Объясните, если возможно, для непрограммиста, в чем гарантия что код не будет изменен создателями, при необходимости?

А как это проверить?

Скажите пожалуйста, а это правда, что эмиссия NXT не ограничена?

Неправда. Все NXT созданы в genesis блоке, и больше их не будет (уничтожать NXT, кстати, можно).

- проверить что ограничена - посмотреть исходный код. Проверить, что уничтожать можно - см. https://bitcointalk.org/index.php?topic=345882.msg3973400#msg3973400

[ZeroTheGreat]

Ды всё как-то по левому выглядит. После этих "случайных" распаралеливаний, повторений и левых веток на миг создаётся ощущение, что кто-то реально управляет "независимой" системой.

Ты прав в своей догадке. Управляет. Управляет алгоритм. Если выбирать между чиновником и алгоритмом, я, пожалуй, за алгоритм.

Через несколько секунд монет там уже не было, т.к. сейчас запущены боты, которые по спец. словарям нагенерили приватных ключей, и отслеживают каждый новый перевод денег на соответствующие этим ключам аккаунты, и сразу выводят монеты.

Я ожидал этого с того самого момента, когда впервые увидел NRS. Подозреваю, что это 95%+ всех случившихся краж.

[abctc]

Объясните, если возможно, для непрограммиста, в чем гарантия что код не будет изменен создателями, при необходимости?

- конечно, core-разработчики могут изменить код. И даже смогут утаить свои изменения (не написать в "Change log"). Но дальше события могут разворачиваться так: кто-то заметит, что монеты стали появляться из ниоткуда. Это будет означать смерть Nxt, т.к. 100% PoS-система не может устойчиво функционировать при продолжающейся эмиссии. Крупные монетодержатели быстро договорятся, и запустят предущую версию nxt-сервера с бэкапом блокчейна (думаю, все делают копию блокчейна перед установкой новой версии, по крайней мере я так делаю). И наймут новых core-программистов. Но такое вряд ли случится - у нынешнего core-разработчика Жан-Люка 50 млн NXT (он один из первоначальных инвесторов), он писал, что сейчас программирует бесплатно, в надежде на успех Nxt - тогда ему больше не придётся ходить на работу. Так что ему совсем незачем программировать появление монет из ниоткуда.

[ZeroTheGreat]

Объясните, если возможно, для непрограммиста, в чем гарантия что код не будет изменен создателями, при необходимости?

Код может быть изменён на любой другой код, хоть на пустой файл. Вот добиться того, чтобы эти изменения попали на критическое количество узлов сети тем сложнее, чем вредоносные изменения заметней. Децентрализованная сеть автоматически защищена от социннженерых атак масштабом сети и сложностью достижения консенсуса на изменение её собственной архитектуры. Я двумя руками за то, чтобы для каждого принципиально нового p2p-решения, засучив рукава, идеологи бы строили свою собственную сеть с нуля.

То есть если сегодня Jean-Luc выложит клиент с трояном (ну хакнут форумный акк, скажем), сети будет нанесён серьёзный удар с большой вероятностью. А если нод будут десятки тысяч и обновлять они своё ПО будут раз в полгода (реальное будущее для большой системы; ну не полгода, конечно, а достаточно большой срок, чтобы забить в набат, если что), то такая социнженерная атака становится в разы дороже. Вот почему я против системы голосования с какими угодно надстраивающимися правами внутри Nxt дающими свободу действий (чек-поинты любого толка, обновляли ядра) был и остаюсь: упрощение прихода к полному консенсусу в жизненно-важных вопросах (обновления ядра системы на узлах) означает удешевление социнженерных атак.

Система голосования как просто сбор мнений, подписанных монетами. Ну... С одной стороны лично мне совсем непонятно, что это даёт против других способов опроса коммьюнити, с другой стороны это протаптывает тропинку для ~инструментальных систем голосования — как при боях гладиаторов толпу могли спросить, казнить ли проигравшего (и инструментализм: когда меч исполнителя опустится/будет убран мгновенно и автоматически в полном согласии с решением) — это очень опасно, а выигрыша нет. Против других способов решения проблем.

Вот как раз ситуация с обновлением ядра, когда часть планеты проспыпается, кто-то быстро не глядя ни на что, кроме ника выложившего и краткое описание (как я, например), устанавливает обнову, кто-то всё внимательно читает, кто-то вообще забил и устанавливает через раз, кто-то специально выискивает трояны в коде, когда вторая часть планеты просыпается... гораздо более устойчива к социнженерным атакам, если вредоносный код будет опубликован от лица доверенного источника.

[ZeroTheGreat]

Разумеется, последствия социнженерной атаки на p2p-сеть, это вовсе не обмен ядерными боеголовками (пока что), но лучше такого в принципе не допускать в перспективе. И условия этому способствуют, ноды уже сегодня стоят разных версий, и лучше, если есть некоторый запас времени, прежде чем все ноды установят новую версию ядра. Всё более и более увеличивающийся, чем более отлажено работает ядро при удовлетворённом спросе на плюшки.

[gremlinsimf]

чем поможет выкладывание фразы?

Ни чем фраза не поможет.
Просто на данный момент имеем относительно не мало угонов, и все пострадавшие утверждают, что пасс фраза была стойкой к взлому. Но тем не менее ни один так и не предоставил пасс фразу. Собственно так и не разобрались, получается, в причине. То ли пострадавшие нагло врут об угоне, имея злой умысел и отпугивая потенциальных пользователей, то ли пароли у них были легко угадываемые и вина чисто в этом, то ли ещё чего. Но, учитывая что паролей так и не было предоставлено, а после угона они не могут нести никакой ценности, то вероятнее всего причина в слабых паролях. А точнее не в слабых паролях, а пользователях, которым чисто пофиг, что система их предупреждает об этом.
P.S. Ничего личного. Просто мысли в слух.

злого умысла с моей стороны не было, буду первым, кто спалил пасс  -
what doesn't kill me makes me stronger
в целом да, признаю, пароль был достаточно слаб

в связи с этим, подскажите, как вы генерите пассфразы для некста? сколько символов в целом, капитализация, спец символы? какие генераторы юзаете?

[ZeroTheGreat]

what doesn't kill me makes me stronger
в целом да, признаю, пароль был достаточно слаб

Интересно, как именно он попал в базы брутфорсера. Хотя с другой стороны, в такую базу можно очень много чего ширококонтекстного набить. И строчка из хита вполне там будет.

[abctc]

в связи с этим, подскажите, как вы генерите пассфразы для некста? сколько символов в целом, капитализация, спец символы? какие генераторы юзаете?

- на первой странице написано "длинную сложную фразу со спецсимволами"; в FAQ-е есть пример мнемонического правила для создания фразы.

[abctc]

Интересно, как именно он попал в базы брутфорсера.

- вбей эту фразу в Гугл, получишь 57 миллионов результатов. И после этого такая фраза не должна попасть в словарь атакующего?

Ранее украли NXT у другого нашего форумчанина, он приватно сообщил мне фразу - она длинная, 5 слов, с прописными и строчными буквами, но это тоже особая фраза, и Гугл по ней даёт 437 тыс. результатов.