Безопасность кошелька Bitcoin

[btcsec]

Добрый день!

Написал статью по защите кошелька Bitcoin, хочется все-таки чтоб меньше случаев воровства было. Покритикуйте, пожалуйста, может где какие слабые стороны есть у предложенных решений, может о чем- то еще стоит упомянуть?

[1714128192]

1714128192

[N.Z.]

Пробежался.
Я дико извиняюсь, но по мне - так это тихий ужас.

Философский аспект. Какова задача, которую ставил перед собой автор? Или чуть проще, для кого предназначена статья? Я с трудом представляю человека, который бы не испугался ставить VB+2008 сервер и не имел бы собственного готового решения. Причем, что не понятно втройне, так это зачем в целях обеспечения большей безопасности на виртуалку ставить винду, да еще и сервер! Далее. Ради чего вот это все затевается с кучей настроек, 20 гб места и отъеданием ресурсов? Чтоб просто запускать кошелек? Неужели проще решений нет?

Вопросы по описанию. Вообще нет части про VirtualBox. Ни установки, ни особенностей, ни, что самое главное, настройки сети. "Жесткий диск советую делать не менее 20Гб, остальное по вкусу и возможностям компьютера" - как-то совсем маловато для инструкции.

Выбор ПО. Безопасность в ит-мире - это не в последнюю очередь открытость технологий. На это в статье нет даже намека. TrueCrypt/DiskCryptor, Tor/I2P (помимо всего прочего этим можно скрыть сам факт использования Bitcoin), Linux/BSD в конце концов - это вообще первое, о чем должен задумываться пользователь, начинающий задумываться о безопасности своего компьютера.

Мелкие косяки. Наличие утверждений без описаний. Типа "очень рекомендую включить теневое копирование". А зачем? И т.п.

Плюсы. Создание политик, разграничение прав и отрубание служб - это очень хорошо.

Такая критика, сам просил

UPD Искал вот этот пост и наткнулся на тему. ВОТ что нужно для безопасности.

[btcsec]

Спасибо за отзыв! Да, надо кое- где подробнее расписать. Просто кажущиеся элементарными вещи иногда не очевидными другим, поэтому с разных сторон смотреть надо. Ну а теперь по пунктам.

Задача была дать мануал по безопасному хранению кошелька. Не знаю, я не увидел в связке VB+2008 сервер ничего такого страшного, чтобы ее не использовать.  Почему винда? Ну я ее неплохо знаю, многие не специалисты тоже ее знают. Я как- то переборол в себе и стараюсь до других донести, что "винда сакс, никсы рулез!" уже давно неактуально. Можете посмотреть по багтракам сколько где уязвимостей и что чаще ломают. Ну а сервер, а не десктопный вариант- потом у что многое там уже изначально более правильно настроено для поставленной задачи, чем в десктопных вариантах. Насчет настроек, в частности 20 гигов, никто не мешает поставить динамический диск и хоть терабайт отдать виртуалке, ее образ не будет на физическом винче занимать места больше, чем есть занято внутри виртуалки.

"Вопросы по описанию. Вообще нет части про VirtualBox. Ни установки, ни особенностей, ни, что самое главное, настройки сети. "Жесткий диск советую делать не менее 20Гб, остальное по вкусу и возможностям компьютера" - как-то совсем маловато для инструкции. "

 Да, надо поподробнее расписать. Хотя я не увидел, где там можно сильно накосячить. С той же сетью, хоть NAT'ом, хоть адаптером, оно и так и так заработает.

"Выбор ПО. Безопасность в ит-мире - это не в последнюю очередь открытость технологий. На это в статье нет даже намека. TrueCrypt/DiskCryptor, Tor/I2P (помимо всего прочего этим можно скрыть сам факт использования Bitcoin), "

Поскольку была выбрана винда, про TrueCrypt/DiskCryptor ничего нет, тк. EFS посчитал достаточной. Насчет Tor/I2P  да, можно включить.

"Linux/BSD в конце концов - это вообще первое, о чем должен задумываться пользователь, начинающий задумываться о безопасности своего компьютера."

Не согласен, в первом абзаце написал почему. Для гуру никсов понятно, что проще будет систему заточить, а из коробки ИМХО винду быстрее. И мой опыт администрирования серверов под виндой показывает, что с безопасностью у нее все в порядке, если руки из нужного места растут. С линухами или тем более бздей боюсь для бегиннеров гораздо больше шансов что-то криво настроить или что- то забыть.

"Наличие утверждений без описаний. Типа "очень рекомендую включить теневое копирование". А зачем? И т.п."

Да, надо бы расписать подробнее.

"UPD Искал вот этот пост и наткнулся на тему. ВОТ что нужно для безопасности."

Я поэтому даже и не стал выкладывать настроенный образ. Ну не люблю я их. Я лучше мануал сделаю, т.к. в готовом образе могут такие руткиты встретиться, что фиг найдешь их. А тут берем голую систему с офф. сайта и допиливаем. Если бы там был мануал нормальный по настройке с нуля, вот это было бы отлично.

[BITLISH]

Отличная, подробно расписаная статья, единственным минусом которой я вижу - она сложна для неопытных пользователей. Точнее для них она выглядит таким образом, как будто для защиты биткоинов нужно быть минимум программистом.

На мой взгляд для большинства майнеров и пользователей достаточно кошелька с паролем, антивируса и понимания, что файлы стоит принимать только из доверенных источников.

Для тех, кто хранит крупные суммы безусловно стоит создать виртуальную машину с любимой операционной системой. Гостевая ОС изолирована от потенциальных вирусоносителей, а будучи за NATом, имунна к подавляющему большиству сетевых атак. Для защиты от копирования использовать то же шифрование кошелька. И пользоваться виртуалкой исключительно для работы с кошельком.

[btcsec]

Спасибо!
Просто обычной защиты встроенным шифрованием может не хватить, я недавно боролся с такими вирями, что теперь уровень паранои несколько поднялся. Скажем они искали дыры во многих сервисах и программах, если находили, то заражали машины. Причем могли работать даже из под аккаунта гостя, что у пользователей админских прав не было- пофигу. И воровали сбережения с программ банк-клиент, е-токены и прочие впн-ключи не спасали. Притом эти зловреды так себя маскировали, что ни один антивирус не видел, остатки по счетам выдавались банк- клиентом на зараженной машине как будто все сбережения на месте, короче полный ппц. И зловреды эти работали сразу под несколько банков, короче очень продуманная штука. Так что теперь еще более внимательно ко всем этим вопросам подхожу.

А по встроенному шифрованию- что мешает зловреду отследить появление окна и закейлогить пасс? Ничего. Так что тут комплексный подход нужен, если сделают трояна с заточкой под кошелек биткоин, пароль его не спасет.

[Lis]

А по встроенному шифрованию- что мешает зловреду отследить появление окна и закейлогить пасс? Ничего. Так что тут комплексный подход нужен, если сделают трояна с заточкой под кошелек биткоин, пароль его не спасет.

мне понравилась система пароля у LR код вводишь на экранной клавиатуре, причем цифры перемешаны. Хотя и это можно обойти.

[mak]

Рекомендую давать предпочтение ПО в исходных текстах и собирать на своей машине
и бтц-клиент в том числе. Для защиты от хакеров бтц-клиент можно подправить.
Поменять имя файла wallet.dat. При чтении/записи можно делать небольшое преобразование
(типа инверсии).

[btcsec]

2Lis
Да, у LR мне защита нравится. И от фишинга защита индивидуальным приветствием. Продуманные ребята.

2mak
Идея вполне здравая. Толькко вот с таким подходом популярности среди не гиков биткоину тогда никак не достичь)

[Aum Ram]

2Lis
Да, у LR мне защита нравится. И от фишинга защита индивидуальным приветствием. Продуманные ребята.

2mak
Идея вполне здравая. Толькко вот с таким подходом популярности среди не гиков биткоину тогда никак не достичь)

Аппаратный кошелек Трезор. На данный момент - одно из лучших и самых безопасных решений. Имхо

[SmallMminer]

Рекомендую давать предпочтение ПО в исходных текстах и собирать на своей машине
и бтц-клиент в том числе. Для защиты от хакеров бтц-клиент можно подправить.
Поменять имя файла wallet.dat. При чтении/записи можно делать небольшое преобразование
(типа инверсии).

Это если ты программер и разбираешься в коде, а таких менее 1%