Bot pour vérifier automatiquement les signatures.

[lulucrypto]

Hello à toutes et à tous,

Ça fait quelques temps que je suis ce topic, au fur à mesure que je comprend comment il fonctionne, j'ai commencé à me dire qu'il serait possible de développer un bot pour automatiser tout ça !

C'est donc de la qu'est né ce projet.
Je ne lui ai pas vraiment donné de nom spécifique, mais pour faire simple c'est un bot qui va s'occuper de vérifier automatiquement les signatures postés par les utilisateurs sur le topic cité plus haut.

Le fonctionnement est assez simple, le bot détecte les demandes ( En analysant les derniers messages du topic ), lorsqu'il détecté une requête non traitée par un autre utilisateur, il va lancer le processus de vérification.
Pour ce faire, le bot commence dans un premier à vérifier la signature à l'aide de Brainwallet.
Si la signature est correcte, alors un screen du site est pris. A noter que si la vérification est un échec, le bot s'arrête là et ne répond pas automatiquement ( Possible que ça change par la suite ).
Une fois la vérification terminée, le bot post un premier message, avec dedans la citation ( Quote ) du message de celui qui a effectué la requête, ainsi que le lien Brainwallet + un lien vers le screen de Brainwallet.
Après ça, il enchaîne sur l'archivage de la requête de l'utilisateur ( Intégrant donc la réponse du bot ).
Il termine ensuite en éditant son post, en intégrant un lien vers la citation ( Quote ) et un lien vers l'archive.

Quelques trucs à savoir pour le bon fonctionnement :
- Merci de respecter ce format de signature, sinon le bot ne détectera pas votre demande.
- Actuellement, les adresses originales ( Legacy ) et SegWit, sont traitées par le bot.
- Les adresses SegWit sont traités en utilisant cette méthode de vérification.
- Vous pouvez demander à ce que le bot ne vérifie pas votre message, simplement en ajoutant "no-bot" quelque part dans votre message.

D'ailleurs, j'en profite pour vous demander un truc, connaissez vous un site web permettant de vérifier les signatures créées par des adresses P2SH ?

Pour ceux qui sont intéressés par la partie technique, voici quelques détails :
- Le bot est développé avec Node.JS.
- Packages utilisés :
-- Puppeteer ( Gérer les posts, prendre des screens ).
-- Request ( Scraper les derniers messages + Appels API ).
-- Jsdom ( Aider au scraping ).
-- Jquery ( Aider au scraping ).
-- Mysql ( Enregistrer les données le bon fonctionnement du bot ).
-- Fs ( Pour récupérer le screens ).

Et donc voilà à partir de maintenant, le bot est lancé et fonctionnel !

Bon ça c'est pour la partie bot "privée", mais suite à la demande de certains, j'ai décidé de développer un autre bot, celui-ci public et open-source !
Ce deuxième bot n'est pas la pour la vérification, mais va servir comme "sécurité" supplémentaire. Je m'explique.

Le problème qu'il y a avec mon bot de vérification, c'est qu'il va centraliser beaucoup de vérifications ( Et beaucoup de citations ). Ce qui ferait de ce compte un réel cible pour les hackers.
Pour faire simple, l'objectif du bot est d'archiver tous les messages du sujet.
En plus d'archiver les messages, il s'occupe aussi de détecter les mises à jour des messages et les messages supprimés.
Je me suis donc servi de cette détection pour développer un système d'alerte par email, permettant donc à celui qui le souhaite d'être alerté par email en cas de mise à jour / suppression d'un message.
L'objectif étant que vous pouvez ensuite alerter le forum qu'il y a eu une modification / suppression et qu'il faut donc se méfier ( Suivant le type de message affecté ).

Avec ce bot, il va devenir beaucoup moins intéressant d'essayer de hacker le compte du bot, étant donné que même si le compte vient à être compromis, il sera possible de retrouver des archives ( Plus il y a d'utilisateur mieux c'est ).
L’avantage est que comme ce bot est public et open-source, tout le monde peu le faire tourner ( Très simple à lancer ).

Donc pour ceux qui veulent installer le bot, c'est par ici que ça se passe :
- https://github.com/luluwebmaster/bitcointalk-auto-verify-signatures-archive-and-alert

Ici, je vais lister tous les sites archivant les messages du sujet en question, en commençant donc par deux sites ( N'hésitez pas à partager le votre si vous utilisez le bot ) :
- https://signatures.bitcointalk.luc-mergault.fr/
- https://signatures.bitcointalk.cryptos-currencies.com/

Ici, c'est un lien pour consulter les adresse liés à un pseudo ( Remplacer mon pseudo par le votre ) :
- https://signatures.bitcointalk.luc-mergault.fr/user/lulucrypto.html

Si vous n'avez pas encore envoyé votre adresse, n'hésitez pas à venir tester ^^

https://bitcointalk.org/index.php?topic=996318.new;topicseen#new

Si vous le voulez, il est possible de soutenir le projet ici :
- 1DSXQn7AankhmXUvExfZBbo8zWa3ie3jXc

A noter : Durant le début du fonctionnement du bot, je serais la pour vérifier son bon fonctionnement, et corriger les possibles erreurs / bugs de celui-ci.
A noter : Avant le lancement de ce projet, j'ai eu l'autorisation de theymos.

A bientôt !

[Halab]

Bravo pour le boulot, je vais observer ce petit bot.

J'avais pensé que tu allais scrapper les différentes adresses vérifiées puis après les mettre sur une page où il aurait été facile ensuite de faire une recherche sur un utilisateur ou sur une adresse. Mais ce que tu fais est tout aussi utile.

[lulucrypto]

Merci ^^

Sinon ouais c'est une idée auquel je n'avais pas pensé, qui serait possible d'intégrer assez facilement, je vais y réfléchir

[asche]

D'ailleurs, j'en profite pour vous demander un truc, connaissez vous un site web permettant de vérifier les signatures créées par des adresses autres que des adresses Legacy ( Segwit ? ) ?

Brainwallet le fait il me semble.

Sinon site web non, mais electrum le fait. Tu dois pouvoir interagir avec l'exe en CLI.

[lulucrypto]

Brainwallet le fait il me semble.

Pas à ma connaissance non

Sinon site web non, mais electrum le fait. Tu dois pouvoir interagir avec l'exe en CLI.

Ouais si vraiment je ne trouve pas d'autre solution, peut-être que je ferais ça, à voir ^^

[Saint-loup]

Tu dis que tu as utilisé des API, tu as utilisé quoi comme API stp?

[asche]

Par contre quel est l'intérêt de prendre un screen ?

Tu génères le lien du message vérifié avec Brainwallet. En plus un screen c'est falsifiable. Une archive a beaucoup plus de crédibilité qu'une image.


J'ajouterai que la vérification des messages signés est en fait totalement inutile.

Il suffit de la faire lorsque la personne veut prouver l'appartenance du compte. Donc le jour où le message enregistré devient utile.
Lors de l'enregistrement la valeur ajoutée de la vérification est nulle. Seul l'auteur devrait le faire pour s'assurer que la signature a "bien fonctionné".

[GrosWesh]

Seul l'auteur devrait le faire pour s'assurer que la signature a "bien fonctionné".

Oui c'est une des premières précautions à prendre. A ce sujet, et même si tout ceci n'est pas éminemment compliqué, quelques petites subtilités font la différence. c'est pourquoi je reposte ici l'excellent tuto de 'JeremyB' concernant la signature d'un message

--> https://bitcointalk.org/index.php?topic=3022163.msg31087798#msg31087798

[lulucrypto]

Tu dis que tu as utilisé des API, tu as utilisé quoi comme API stp?

J'ai utilisé une API, celle de Imgur pour l'upload du screen sur leur serveur. Autrement, j'utilise le package request pour scrapper ( Rester à jour ) des derniers messages postés sur le sujet

Par contre quel est l'intérêt de prendre un screen ?

Tu génères le lien du message vérifié avec Brainwallet. En plus un screen c'est falsifiable. Une archive a beaucoup plus de crédibilité qu'une image.

Le screen est une "preuve" en plus que la signature est correcte ( Quelque chose que j'ai déjà vu revenir dans certains posts ), après je suis d'accord que ce n'est pas forcement le plus utile, mais disons que je pouvais le faire

D'ailleurs c'est vrais que je n'y avais pas pensé, je vais voir pour faire une archive du lien Brainwallet en plus de tout ça ^^

J'ajouterai que la vérification des messages signés est en fait totalement inutile.

Il suffit de la faire lorsque la personne veut prouver l'appartenance du compte. Donc le jour où le message enregistré devient utile.
Lors de l'enregistrement la valeur ajoutée de la vérification est nulle. Seul l'auteur devrait le faire pour s'assurer que la signature a "bien fonctionné".

C'est pas totalement faux, mais apparemment ça fait partit +/- du process de vérification, donc dans le doute j'ai préféré garder ça

[asche]

D'ailleurs c'est vrais que je n'y avais pas pensé, je vais voir pour faire une archive du lien Brainwallet en plus de tout ça ^^

Inutile. Toutes les infos sont dans le lien.

C'est une archive du post qu'il faut faire.

[lulucrypto]

Hum, disons au cas ou le site ne fonctionne plus quoi
Après oui c'est loin d'être d'une grande utilité ( Déjà le cas pour le post ) ^^

[asche]

Hum, disons au cas ou le site ne fonctionne plus quoi

Parce que tu crois qu'on fait confiance a l'ancienne signature de toutes façons ? -> non. On revérifie a chaque fois

[Saint-loup]

Hum, disons au cas ou le site ne fonctionne plus quoi
Après oui c'est loin d'être d'une grande utilité ( Déjà le cas pour le post ) ^^

En tous cas t'as intérêt à faire gaffe à tous les mails et messages que tu reçois dorénavant car tu vas vite devenir une cible de choix lorsque ton bot aura archivé plusieurs dizaines d'adresses. Il suffira aux hackers de supprimer les messages de ton bot ou de les corrompre en les éditant pour que des dizaines de comptes se retrouvent sans preuve de possession d'adresse fiable.

[lulucrypto]

En tous cas t'as intérêt à faire gaffe à tous les mails et messages que tu reçois dorénavant car tu vas vite devenir une cible de choix lorsque ton bot aura archivé plusieurs dizaines d'adresses. Il suffira aux hackers de supprimer les messages de ton bot ou de les corrompre en les éditant pour que des dizaines de comptes se retrouvent sans preuve de possession d'adresse fiable.

Oui c'est pour ça que je suis entrain de voir avec Theymos s'il est possible de changer un peu les perm's du compte justement.

A suivre

[Tramirostronix]

Je vais regarder ça, même si j'avoue que j'aime bien regarder les signatures, je lisais des posts intéressants (des fois ) 
Plus sérieusement merci du partage 

[asche]

@lulucrypto

Comme déjà indiqué sur le thread de staking, le lien archive n'est pas fonctionnel.

Le message est complètement inutile, ainsi que le screen, en l'absence de ce lien.

Belle réalisation sinon.

[Halab]

le lien archive n'est pas fonctionnel.

Je ne sais pas si c'est la raison du plantage de l'archive, mais pour archiver souvent https://archive.is/ ou https://archive.fo/ rame/plante quand même assez souvent, il faut parfois s'y reprendre plusieurs fois.
Est-ce qu'il y a une autre alternative valable ?

[lulucrypto]

@lulucrypto

Comme déjà indiqué sur le thread de staking, le lien archive n'est pas fonctionnel.

Le message est complètement inutile, ainsi que le screen, en l'absence de ce lien.

Belle réalisation sinon.

Oui, merci pour la précision, je n'ai pas encore su la raison exact de pourquoi il n'y avait pas le lien, mais si ça vient à recommencer, je pourrais cette fois-ci la connaitre

Je ne sais pas si c'est la raison du plantage de l'archive, mais pour archiver souvent https://archive.is/ ou https://archive.fo/ rame/plante quand même assez souvent, il faut parfois s'y reprendre plusieurs fois.
Est-ce qu'il y a une autre alternative valable ?

C'est une idée, il faudrait que l'erreur se reproduise afin que je puisse confirmer ça

[lulucrypto]

Hello à tous,

Un petit point sur le bot s'impose ( Dans ce post, je vais faire référence à des points évoqués sur le sujet FR et EN ) !

J'ai donc eu l'occasion de discuter avec Theymos sur la sécurité du bot.
Au final, il ne voit pas l’intérêt d’empêcher le bot de supprimer ses messages.
Dans le sens, ou, il y a déjà des personnes qui s'occuper d'archiver les posts.
En plus de ça, si besoin, il est capable de restaurer un message supprimé jusqu'à deux ans en arrière.

Donc partant de la, il faut savoir que désormais, j'archives tous les messages du sujet en question.
Cet archive est retrouvable facilement ici : https://signatures.bitcointalk.luc-mergault.fr/
En plus de servir d'archive, ce site permet donc d’effectuer une recherche très basique parmi tous les messages enregistrés sur le sujet.

Histoire d'assurer un peu plus la fiabilité du bot et plus globalement de tous les messages du sujet, je propose désormais un petit script très simple, qui permet à celui qui souhaite l'utiliser d'être alerté par mail en cas de supression / éditon du sujet ou sont postés les adresses.
Ce script permet donc à n'importe qui d'aider à garantir la fiabilité des messages de ce sujet ( L'idée étant que si vous recevez une alerte, il est de bon sens d'en alerter le forum ).

A noter que la détection des messages supprimé n'est pas encore en place sur le script.

En plus de servir comme script d'alerte, il permet aussi d'archiver tout les messages, et si vous le souhaitez rendre cet archive public !

Pour ceux qui souhaitent l'installer ( Très simple ) : https://github.com/luluwebmaster/bitcointalk-auto-verify-signatures-archive-and-alert
Si vous installez le script, n'hésitez pas à fournir le lien permettant de consulter les messages archivés, je me ferais un plaisir de le répertorier dans le premier post !

D'ailleurs j'en ai profité pour l'installer sur la machine de Cryptos-Currencies.Com :
- https://signatures.bitcointalk.cryptos-currencies.com/

A noter que ce script n'est pas figé, et des améliorations doivent encore êtres effectuées ( Notamment sur chargement des messages archivés ).

Il est désormais possible de ne pas faire vérifier ses messages par le bot, simplement en ajoutant "no-bot" quelque par dans votre post.

En plus de ça, le bot prend en charge les adresses Bech32 en utilisant cette méthode :
- https://bitcointalk.org/index.php?topic=5198585.0

Les adresses P2SH elles, ne le sont pas encore, mais le bot les détectes.
Il s'occupe de citer et archiver les messages contenant des messages signé a partir de ce type d'adresse.

Voilà pour ce "petit" point !

Si vous avez d'autres propositions, n'hésitez pas !

[Saint-loup]

Salut interessant ton script pour archiver de manière décentralisée les posts du thread mais par contre tu archives ça dans une bdd et non un fichier plat. Quel logiciel permet de consulter la bdd?