Как хранить seed в блокчейне биткоина (гайд)

[investgroup]

а нет ли желания обсудить защиту от гопников всяких?

Ну типа - у эпла есть какой-то "код", отключающий сканер отпечатков - типа чтобы силой палец не приложили и не разблокировали телефон...


Мы вот тут подумали - а зачем его отключать?   Может быть наоборот можно использовать для какой-то доп.защиты?..


Код-то могут и "спросить" ведь(не все же "коммунисты" из советских фильмов про фашистов )) ) - потом введут сами - и Вы им больше не нужны...

А сканер отпечатков пальцев весьма полезная штука(если его использовать правильно!) - тогда без Вас даже код '12345' не введешь - если он постоянно проверяется!..   Понятна идея?..
(то есть это гарантия что Ваш телефон Вам в руки таки дадут, дальше можно сделать чтобы там многое без онлайна не работало вообще - тогда и связь будет...
Куда и как дальше это можно использовать?..    Ведь пока кучи кодов на перевод вводить будете, там инфы на самом деле на порядки больше идет с сенсоров - что можно использовать для скрытого управления и/или передачи информации!    Что тут можно полезного придумать? )

>>Но мне больше нравится вот этот - https://bitcointalk.org/index.php?topic=130455.msg18758587#msg18758587
Мне тоже нравится из-за простоты, такой "брейнваллет с солью". Но пароль там должен быть гораздо лучше, чем здесь. То есть помнить нужно больше. И смысла для безопасности делать много кошельков не вижу, взломают один - полетят все.

не-не, там идея другая - что через SHA эта самая соль очень уж большой получается, и вообще почти все биты меняются нафиг!..

Причем "солить" можно на "калькуляторе" который и интернета никогда не имел...


PS  но по-сути - эта же идея использована в дереве Меркла?..
Может его и задействовать, чего велосипед изобретать-то, все равно ведь если основы битка ломанут то и пароли уже не нужны будут



PS  а с ключами...  Может просто комбинацию(последовательность) использовать, из _длинных_(пусть даже не очень защищенных или вообще публичных!) кодов?..
(ну типа только Вы знаете в каком порядке делали что-то в школе в какой-то день, и не забудите...
В этом порядке скармливаем слова или коды SHA - и получаем ключ!  
Хотя..  нынче уже и в школах камер понаставили, вот суки!!! )) )

[igor72]

не-не, там идея другая - что через SHA эта самая соль очень уж большой получается, и вообще почти все биты меняются нафиг!..

Причем "солить" можно на "калькуляторе" который и интернета никогда не имел...


PS  но по-сути - эта же идея использована в дереве Меркла?

Перечитал еще раз то сообщение, никакого дерева не увидел. Там написано, что 24 слова можно хоть в инстаграм выкладывать. Значит, считаем, что их нет. Остается sha256(пароль + соль) - брейнваллет. Какая "другая идея"?

[investgroup]

В Меркле аналогично - включаются не сами данные, а SHA от них - пока что биток не взломали, хотя давно и официально известно что SHA просто изначально не была устойчивой к некоторым простейшим атакам вроде

Атака удлинением сообщения — Википедия
https://ru.wikipedia.org › wiki › Атака_удлинением_сообщения

[igor72]

В Меркле аналогично - включаются не сами данные, а SHA от них - пока что биток не взломали, хотя давно и официально известно что SHA просто изначально не была устойчивой к некоторым простейшим атакам вроде

Атака удлинением сообщения — Википедия
https://ru.wikipedia.org › wiki › Атака_удлинением_сообщения

В битке везде в ключевых местах двойное хеширование, а оно, вроде, неуязвимо к таким атакам.

[investgroup]

да хоть тройное - все равно будет уязвимо!
(да и устойчивость SHA-3 вызывает большие вопросы - разве что блок чуть больше удлинять придеться )

Для защиты от этой атаки используется HMAC, ну и в дереве Меркла по сути та-же идея используется...


HMAC представляете что такое и что делает?
(в принципе в том посте нечто подобное и изобрели - даже если ключи там отличаются на 1, то после SHA там примерно половина битов будет разная по-любому...)

[igor72]

да хоть тройное - все равно будет уязвимо!
(да и устойчивость SHA-3 вызывает большие вопросы - разве что блок чуть больше удлинять придеться )

То есть вы не согласны, например, с этим мнением? На чем тогда основано ваше?

Для защиты от этой атаки используется HMAC, ну и в дереве Меркла по сути та-же идея используется...
HMAC представляете что такое и что делает?
(в принципе в том посте нечто подобное и изобрели - даже если ключи там отличаются на 1, то после SHA там примерно половина битов будет разная по-любому...)

Еще раз перечитал тот пост - не вижу такого. Вы, видимо, как-то по-своему интерпретировали прочитанное.

[FontSeli]

Отличная статья, вы проделали полезную работу.

У меня возник вопрос:

Так как работаем с сидом, нужно обезопаситься и использовать "холодный" компьютер. Допустим, что у меня такого нет, поэтому я физически отключил интернет и загрузился с флешки Tails (это такая анонимная и безопасная операционная система (linux) на флешке, если кто не знает).

А почему вы используете только этот дистрибутив? При условии отключения компьютера от интернета подойдет любой дистрибутив линукса запускаемый с флешки или LiveCD. Я не доверяю специальным дистрибутивам создаваемым с целью "повышения безопасности", их разработчики знают, что они будут использоваться для секретных дел и могут встроить в дистрибутив программу, копирующую ваши действия.

[igor72]

Отличная статья, вы проделали полезную работу.

В этом я сомневаюсь, но спасибо на добром слове ).

У меня возник вопрос:

Так как работаем с сидом, нужно обезопаситься и использовать "холодный" компьютер. Допустим, что у меня такого нет, поэтому я физически отключил интернет и загрузился с флешки Tails (это такая анонимная и безопасная операционная система (linux) на флешке, если кто не знает).

А почему вы используете только этот дистрибутив? При условии отключения компьютера от интернета подойдет любой дистрибутив линукса запускаемый с флешки или LiveCD. Я не доверяю специальным дистрибутивам создаваемым с целью "повышения безопасности", их разработчики знают, что они будут использоваться для секретных дел и могут встроить в дистрибутив программу, копирующую ваши действия.

Копирующую куда?
Но пожалуйста, используйте любой дистрибутив, которому доверяете, большой разницы не вижу. Я этому вполне доверяю, он давно развивается, у него хорошая репутация (ему даже Сноуден доверял, если ничего не путаю) ), а главное - он мне удобен, там встроен TOR, Electrum, LUKS-раздел для своих данных/программ... Короче говоря, лучшего я не нашел.

[investgroup]

да хоть тройное - все равно будет уязвимо!
(да и устойчивость SHA-3 вызывает большие вопросы - разве что блок чуть больше удлинять придеться )

То есть вы не согласны, например, с этим мнением?

да совершенно без разницы чего ломать - оно всё ломается примерно одинаково!
(а если йобнуть русским ломом - то ломается не только хребёт АНБ )) )

Просто SHA-3 на самом деле имеет 1600 бит внутри - что слегка озадачивает тк снаружи из неё торчит чуть меньше...


В остальном разницы никакой - _функция это просто функция_, и совершенно без разницы что думает про неё АНБ(и уж тем более - что пишет!)...

На чем тогда основано ваше?

если просто функции на вход подать данные, причём _те-же самые что и раньше_ - то о чудо - на выходе она даст тот-же самый результат!!!

Волшебство?


А от атаки можно было и SHA-2 защитить точно так-же - просто публиковать меньше битов, чем у неё внутри, вот и всё "изобретение", в общем в АНБ как всегда похоже дефицит мозгов и кадров...
(но если в SHA-3 где-то покажуться наружу все биты - то ей пиздец точно такой же придёт, и точно так-же!!!)

Для защиты от этой атаки используется HMAC, ну и в дереве Меркла по сути та-же идея используется...
HMAC представляете что такое и что делает?
(в принципе в том посте нечто подобное и изобрели - даже если ключи там отличаются на 1, то после SHA там примерно половина битов будет разная по-любому...)

Еще раз перечитал тот пост - не вижу такого. Вы, видимо, как-то по-своему интерпретировали прочитанное.

HMAC чуть более гадкая штука - она из мизерного ограниченного набора делает на выходе(той-же SHA) дофига битов, причем _очень многие биты сильно меняются даже если изменить всего 1 бит на входе_!

===============
Придумываете какой-нибудь мастер-пароль и свой алгоритм иерархии.
Например:
"sha256(Мой-мастер-пароль-который-я-всегда-помню@кошелёк001)"
"sha256(Мой-мастер-пароль-который-я-всегда-помню@кошелек002)"
...
"sha256(Мой-мастер-пароль-который-я-всегда-помню@кошелек046)"

Генерируете sha256 любой оффлайн утилитой, полученный хеш и используете в качестве пароля (25-ое слово к сиду).
...
 И если вы на скомпрометированном девайсе-сайте введёте сид и пароль, то риска для других кошельков нет.
Пароль первого кошелька из моего примера будет
0c5c7d5181ec0d8a50eafc8afbd2fb2d31533419bb979cfe8eb43381a5266c03
А второго
e9752dffc3beb1a6845c6a616a16e4d1494a10b435d26b37d08afee1ab22f853

Хотя вы изменили всего один символ
===============
(то есть тут получается что весь сид будет экв. SALT для HMAC в случае компроментации? )


То есть по сути он там придумал HMAC - берет _хэш в качестве пароля_ от легко запоминающейся системы!


Именно та-же идея использована и в HMAC, и _по сути дерево Меркла тоже можно рассматривать как HMAC от низщих поддеревьев_!   Так?..

А почему вы используете только этот дистрибутив? При условии отключения компьютера от интернета подойдет любой дистрибутив линукса запускаемый с флешки или LiveCD.

подойдет, если Вы уверены, что он куда-нить не запишет Ваши действия(кроме дисков даже в CMOS часов можно сохранить Ваш ключик от битков, например!), а потом дождеться когда подключите инет и сихронизируется с сервером АНБ...

Причем даже 2-3 байтов будет вполне достаточно - по сути их весь пароль мало интересует - а просто по фильтрам определить категорию "клиента" и засветить его IP (кстати и 1 байта будет достаточно - типа "террорист", "нарк", "наркоторговец" и тд )


Ну и самый популярный вариант - через чип выключенной(как бы) вафли сливать данные через взломанный соседский роутер на сервак АНБ...
Сюрприз, детишки?

Я не доверяю специальным дистрибутивам создаваемым с целью "повышения безопасности", их разработчики знают, что они будут использоваться для секретных дел и могут встроить в дистрибутив программу, копирующую ваши действия.

не обязательно копировать - можно и на месте классифицировать


PS  для девайсов без вафли и вообще без портов связи в каталоге АНБ тоже есть варианты апгрейда - правда там уже вручную агент засовывает что-то вроде флэшки, и связь на вашей офлайновой тачке уже есть!..
(но не думаю что сильно рассчитывают на онлайн - скорее пишут данные куда-то где не видно - ведь в зоне какого-нить завода с центрифугами может тупо совсем не быть совсем никакого интернета, какой бы дурак его тащил в горы или пустыни...
Так что остается только "почта" на флэшках и прочих девайсах - и ждать когда привезут-увезут сами )

То есть ваша ошибка похоже в том, что слегка путаете "двойную" SHA в случае HMAC - она же тоже как бы двойная, да? - ну и двойную и вообще хоть миллион циклов крутите там лучше не станет, просто HMAC как бы прячет "простые" данные от перебора, после SHA в виде HMAC их уже не так легко перебирать, даже если там пароль класса "12345"...

[johhnyUA]

Слишком длинная цепочка получается. Нужно на всякий случай именно ту версию Тейлса иметь сохраненной где то помимо флешки

Думаете, новые версии openssl не будут обратносовместимы? Сомневаюсь. Но если так, то нужно будет просто скачать старую версию, актуальную на дату проведения транзакции.

Такое уже было, openssl очень много раз менялся. Завтра поищу ссылки, сейчас иду спать.

Тоесть, на самом деле проще организовать хранение просто сида.

Тут больше про хранение сида онлайн. Типа "поехал за границу, а там срочно продается хорошая и дешевая машина/квартира, нужны деньги сегодня"  . Можно, конечно, и аппаратник с собой таскать...

Ну в таком случае, если это временно, то можно упростить схему вплоть до того, что поделить сид на 3 части, поставить их в разных последовательностях и закинуть в OP_RETURN. Нападающему, если он даже проанализирует этот выход, и получит набор слов, то ему придется совершать атаку полной перестановки. А это или 12! или 24! (во втором случае практически нереально перебрать за разумное время). Ну это так, вариант на вскидку, жду критики 

Но пароль там должен быть гораздо лучше, чем здесь. То есть помнить нужно больше. И смысла для безопасности делать много кошельков не вижу, взломают один - полетят все.

Там суть в том, что пароль должен быть понятен, а те же 001 выступают в качестве соли которую тоже сложно забыть. Притом результат такого "брейнваллета" идет только как 25е слово к сиду, тоесть сам сид можно хранить более беспечно, на самом деле. Хоть кидать в OP_RETURN без шифровки.

[investgroup]

стесняюсь спросить...  а какая разница между сидом и самим закрытым ключом?..   

Код там простейший - ещё более простой, чем base58, биты 1:1 в слова _ровно_ ложаться - так что разницы нет сид или сам ключ хранить, а base58 было бы и компактнее и удобнее...


PS  догадались почему в соседней теме битки ушли?..
 

[igor72]

То есть по сути он там придумал HMAC - берет _хэш в качестве пароля_ от легко запоминающейся системы!

Нет там HMAC, там просто sha256(x).

Ну в таком случае, если это временно, то можно упростить схему вплоть до того, что поделить сид на 3 части, поставить их в разных последовательностях и закинуть в OP_RETURN. Нападающему, если он даже проанализирует этот выход, и получит набор слов, то ему придется совершать атаку полной перестановки. А это или 12! или 24! (во втором случае практически нереально перебрать за разумное время). Ну это так, вариант на вскидку, жду критики 

Много чего можно придумать как временное. Например, выучить 12 слов наизусть ). Я все-таки предлагал постоянное резервное хранилище.

Там суть в том, что пароль должен быть понятен, а те же 001 выступают в качестве соли которую тоже сложно забыть. Притом результат такого "брейнваллета" идет только как 25е слово к сиду, тоесть сам сид можно хранить более беспечно, на самом деле. Хоть кидать в OP_RETURN без шифровки.

По числу манипуляций ваш вариант лучше моего - нужно просто закинуть 16(32) байт энтропии сида в блокчейн (да и вообще, зачем закидывать, просто взять сид, скажем, "oil oil oil oil oil oil oil oil oil oil oil oil" )) ). Но запоминать нужно больше - соль такая же простая, как у меня, а основной пароль у вас должен быть гораздо сложнее.

стесняюсь спросить...  а какая разница между сидом и самим закрытым ключом?..   

Код там простейший - ещё более простой, чем base58, биты 1:1 в слова _ровно_ ложаться - так что разницы нет сид или сам ключ хранить, а base58 было бы и компактнее и удобнее...

xprv-ключ уже в base58 и состоит из 111 символов, сид из 24 обрезанных слов составляет 96 символов. Если надо компактнее, лучше брать энтропию сида.

[naska21]

Если надо компактнее, лучше брать энтропию сида.

А как ее взять?

[igor72]

Если надо компактнее, лучше брать энтропию сида.

А как ее взять?

В https://iancoleman.io/bip39/ на безопасном компе вводите сид и нажимаете галку "Show entropy details" - в поле Entropy будет шестнадцатеричная строка.

[naska21]

Если надо компактнее, лучше брать энтропию сида.

А как ее взять?

В https://iancoleman.io/bip39/ на безопасном компе вводите сид и нажимаете галку "Show entropy details" - в поле Entropy будет шестнадцатеричная строка.

Поигрался немного и походу показывает число из которого этот сид получен хотя непонятно какую информацию оно мне дает и походу  можно представлять его в разных форматах  Binary [0-1], Base 6 [0-5], Dice [1-6]  и тд, какой формат лучше выбирать? И вообще нафига это если есть сам сид?

[FontSeli]

Отличная статья, вы проделали полезную работу.

В этом я сомневаюсь, но спасибо на добром слове ).

У меня возник вопрос:

Так как работаем с сидом, нужно обезопаситься и использовать "холодный" компьютер. Допустим, что у меня такого нет, поэтому я физически отключил интернет и загрузился с флешки Tails (это такая анонимная и безопасная операционная система (linux) на флешке, если кто не знает).

А почему вы используете только этот дистрибутив? При условии отключения компьютера от интернета подойдет любой дистрибутив линукса запускаемый с флешки или LiveCD. Я не доверяю специальным дистрибутивам создаваемым с целью "повышения безопасности", их разработчики знают, что они будут использоваться для секретных дел и могут встроить в дистрибутив программу, копирующую ваши действия.

Копирующую куда?
Но пожалуйста, используйте любой дистрибутив, которому доверяете, большой разницы не вижу. Я этому вполне доверяю, он давно развивается, у него хорошая репутация (ему даже Сноуден доверял, если ничего не путаю) ), а главное - он мне удобен, там встроен TOR, Electrum, LUKS-раздел для своих данных/программ... Короче говоря, лучшего я не нашел.

Я не доверяю коробочным решениям сделанным для безопасности. Нет никаких гарантий что они действительно безопасны. А также использование их - это маркер того, что вы делаете что-то секретное.

Ну и самый популярный вариант - через чип выключенной(как бы) вафли сливать данные через взломанный соседский роутер на сервак АНБ...
Сюрприз, детишки?

Я у своего куратора из АНБ на хорошем счету. 

[taikuri13]

а нет ли желания обсудить защиту от гопников всяких?

Ну типа - у эпла есть какой-то "код", отключающий сканер отпечатков - типа чтобы силой палец не приложили и не разблокировали телефон...
~

Если брать кастомную настройку смартфонов, то одним из вариантов защиты (конечно это совсем не для гопников применяется) будет полное уничтожение всех данных с телефона. Вариант исполнения - три клавиши и удаление информации происходит не стандартными методами андроида, например (заводские установки), а при помощи специализированного софта, в некоторых случаях - самописного.

[igor72]

В https://iancoleman.io/bip39/ на безопасном компе вводите сид и нажимаете галку "Show entropy details" - в поле Entropy будет шестнадцатеричная строка.

Поигрался немного и походу показывает число из которого этот сид получен хотя непонятно какую информацию оно мне дает и походу  можно представлять его в разных форматах  Binary [0-1], Base 6 [0-5], Dice [1-6]  и тд, какой формат лучше выбирать? И вообще нафига это если есть сам сид?

Разные форматы - это для генерации сида (например, при использовании монетки выбирается Binary [0-1], кубика - Dice [1-6] итд), а если готовый сид ввести, то там всегда в шестнадцатеричном виде показывает.

Я не доверяю коробочным решениям сделанным для безопасности.

А леджеру доверяете? И что значит "коробочное решение"? В Tails исходники в основном открыты (для поддержки разного оборудования используются закрытые драйверы, так что придраться можно при желании), сама построена на Debian. А какую систему предпочитаете вы?

Нет никаких гарантий что они действительно безопасны.

Какие потенциальные опасности вы видите при использовании Tails исключительно офлайн?

А также использование их - это маркер того, что вы делаете что-то секретное.

Ну и что? И кто об этом узнает?

[johhnyUA]

Много чего можно придумать как временное. Например, выучить 12 слов наизусть ). Я все-таки предлагал постоянное резервное хранилище.

Здесь на самом деле конечно очень интересно. Если факториал 12ти перебирается при скорости 50 миллионов попыток в секунду за 9 секунд, то факториал 24х принципиально не взламываем даже при скорости в 100 раз больше (понадобится больше 100 000 таких устройств). Так что 24 слова можно хоть практически в сыром виде хранить, конечно с теми перестановками о которых я говорил (и которые должны быть записаны где то, чтобы самому не забыть)

По числу манипуляций ваш вариант лучше моего - нужно просто закинуть 16(32) байт энтропии сида в блокчейн (да и вообще, зачем закидывать, просто взять сид, скажем, "oil oil oil oil oil oil oil oil oil oil oil oil" )) ). Но запоминать нужно больше - соль такая же простая, как у меня, а основной пароль у вас должен быть гораздо сложнее.

Ну если отталкиваться от того пароля который в примере, то да, очевидно сложнее. Но здесь хитрость в том, что в отличии от брейнваллета не достаточно взломать только пароль, надо еще угадать с солью, а также попасть в сид. На самом деле маловыполнимая задача.

[naska21]

В https://iancoleman.io/bip39/ на безопасном компе вводите сид и нажимаете галку "Show entropy details" - в поле Entropy будет шестнадцатеричная строка.

Поигрался немного и походу показывает число из которого этот сид получен хотя непонятно какую информацию оно мне дает и походу  можно представлять его в разных форматах  Binary [0-1], Base 6 [0-5], Dice [1-6]  и тд, какой формат лучше выбирать? И вообще нафига это если есть сам сид?

Разные форматы - это для генерации сида (например, при использовании монетки выбирается Binary [0-1], кубика - Dice [1-6] итд), а если готовый сид ввести, то там всегда в шестнадцатеричном виде показывает.

Хорошо, а о чем  что все таки говорит  мне это число? Что я могу из него дополнительно для себя узнать?  Походу неизвестно?