Bitcoin Forum
May 22, 2024, 12:21:17 PM *
News: Latest Bitcoin Core release: 27.0 [Torrent]
 
   Home   Help Search Login Register More  
Pages: [1]
  Print  
Author Topic: Trezor Cüzdanlardaki Güvenlik Açığı  (Read 163 times)
yslyv (OP)
Hero Member
*****
Offline Offline

Activity: 1008
Merit: 533


View Profile
February 10, 2020, 11:29:17 AM
Merited by Blacknavy (1)
 #1

Kraken Security Labs en çok kullanılan hardware cüzdanlardan olan Trezor, the Trezor One ve Trezor Model T ile alakalı bir saldırı yöntemi yayınladı.

Söz konusu açık için cihaza 15 dakikalık fiziksel erişim sağlamak yeterli. Yani birilerinin cüzdanı sizden alması/çalması gerekiyor.

Saldırı STM32 mikroçipinin donanımın güvenlik açığı üzerine yapılıyor ve sonucunda cüzdanın bütün seed'lerini yani özel anahtarları ele geçirilebiliyor. Bu da cüzdanın kırılarak içinin rahatlıkla boşaltılması anlamına geliyor.

Ben de bir trezor kullanıcısı olarak çok rahatsız oldum açıkcası. Cüzdan gitse de şifresi bende nasılsa dememek, hardware cüzdanlarımızı kimsenin bulamayacağı bir yerde saklamak lazım.

Trezor'un konuya verdiği yanıtta biraz gevşek gibi. Açığı bir anlamda kabul ediyor ancak bu saldırıyı gerçekleştirmek için gerçekten çok kapsamlı ve spesifik donanımın gerektiğini söylüyor. Tamam da eğer cüzdan kırılabiliyorsa ben niye ledger değil de trezor kullanayım? Bildiğim kadarıyla ledgerin böyle bir problemi yok.

Bir de saldırının başarılı olabilmesi için cüzdanda "Passphrase" yani parola özelliğinin aktive olmamış olması gerekiyormuş. Bu özellik aktive olursa şifre cihazda kayıtlı kalmadığı için kırılamıyormuş.

İlgili Kaynak: https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-trezor-hardware-wallets
Trezor'un Cevabı: https://blog.trezor.io/our-response-to-the-read-protection-downgrade-attack-28d23f8949c6
Cointelegraph haberi: https://cointelegraph.com/news/trezor-wallets-can-be-hacked-kraken-reveals


turn the page
PHI1618
Legendary
*
Offline Offline

Activity: 1554
Merit: 1334



View Profile
February 10, 2020, 11:45:51 AM
 #2

Şurada konuşmuştuk;
https://bitcointalk.org/index.php?topic=5161573.msg53762122#msg53762122

Oradaki yorumum halen geçerli. "Trezor'un "passphrase kullananlar bu açıktan etkilenmiyor" açıklaması gerçekten gülünç."

"Damnant quod non intelligunt." Anlamadıkları şeyi suçlarlar. BTC
HARDCRACKERS
Full Member
***
Offline Offline

Activity: 1049
Merit: 210


Crypto Trader


View Profile
February 11, 2020, 02:36:00 PM
 #3

Kraken Security Labs en çok kullanılan hardware cüzdanlardan olan Trezor, the Trezor One ve Trezor Model T ile alakalı bir saldırı yöntemi yayınladı.

Söz konusu açık için cihaza 15 dakikalık fiziksel erişim sağlamak yeterli. Yani birilerinin cüzdanı sizden alması/çalması gerekiyor.

Saldırı STM32 mikroçipinin donanımın güvenlik açığı üzerine yapılıyor ve sonucunda cüzdanın bütün seed'lerini yani özel anahtarları ele geçirilebiliyor. Bu da cüzdanın kırılarak içinin rahatlıkla boşaltılması anlamına geliyor.

Ben de bir trezor kullanıcısı olarak çok rahatsız oldum açıkcası. Cüzdan gitse de şifresi bende nasılsa dememek, hardware cüzdanlarımızı kimsenin bulamayacağı bir yerde saklamak lazım.





Ben trezoru severek kullanıyorum.Senin dediğin gibi işte yanında gezdirmeyip evde tutmak mantıklısı.Yoksa yanında 1 çanta para ilemi gezsen daha iyi yada içinde coin dolu hard walletlamı desen.2 side riski yüksek.İşte yanında gezdirip kaybeden olursa bulanda bu işten anlayacak anlamasa anlayanı bulacak o sistemi kuracak ve o sistemle senin walletı uçuracak.Bu ihtimal ile walletı soymanın olasılığı bana göre düşük ama istanbulda olacak deprem riski daha yüksek gibi helede 7,5 olursa ölen sayısı üstüne bahse girenler bile vardır bahis sitelerinde...
Asıl bu cüzdanlardaki sorundan ziyade millet haldır haldır private keyleri tarıyor. BTC-BCH-LTC-ETH-XRP-DOGE bunların private keyleri olasıklı tarayanlar var ve hesaplardan paraları uçuranda haliyle vardır.İşte bu olay olursa değil trezor ledger en güvenilir soğuk cüzdan olsun soyma ihtimali daha yüksek gibi.Adamların hedefi zaten private key..
muslol67
Hero Member
*****
Offline Offline

Activity: 1582
Merit: 670


View Profile
February 11, 2020, 06:07:18 PM
 #4

Asıl bu cüzdanlardaki sorundan ziyade millet haldır haldır private keyleri tarıyor. BTC-BCH-LTC-ETH-XRP-DOGE bunların private keyleri olasıklı tarayanlar var ve hesaplardan paraları uçuranda haliyle vardır.İşte bu olay olursa değil trezor ledger en güvenilir soğuk cüzdan olsun soyma ihtimali daha yüksek gibi.Adamların hedefi zaten private key..

Bu konu halen tartışmaya açıkmı? Bununla ilgili burada hesaplamalar falan paylaşılmıştı. Tarama yöntemiyle BTC veya ETH cüzdanında para bulmak çok zor. Ama tabiki bir şekilde cihaz hacklemek falan daha olası. Ledger'ın olayı biraz daha farklı ve güvenilir. Ama bu konuda en güvenilecek kişilerden birisi @PHI1618 üstad olur. Rehberlerinde falan sıklıkla bahsediyor zaten. Bizim için güzel bir özet geçerse çok güzel olur.
bobita
Legendary
*
Offline Offline

Activity: 2534
Merit: 1317


★Bitvest.io★ Play Plinko or Invest!


View Profile
February 12, 2020, 10:52:48 AM
 #5

Yanlış hatırlamıyorsam Trezor'un birkaç yıl önce de bir güvenlik açığı ortaya çıkmış ve sonradan yamanmıştı. Böyle şeyleri bir yere kadar (o yer sorunun istisnai olması, çok gözden kaçabilecek, ileri uzmanlık gerektiren bir açık olması, derhal çözüm üretilmesi ve benzerlerinin tekrarlanmaması için önlem alınması yeri) normal karşılıyorum çünkü %100 güvenli diye bir şey yok malesef. Ancak açılan konudan anladığım kadarıyla donanım kaynaklı bir problem bu, iyi olmamış.



.
.BIG WINNER!.
[15.00000000 BTC]


▄████████████████████▄
██████████████████████
██████████▀▀██████████
█████████░░░░█████████
██████████▄▄██████████
███████▀▀████▀▀███████
██████░░░░██░░░░██████
███████▄▄████▄▄███████
████▀▀████▀▀████▀▀████
███░░░░██░░░░██░░░░███
████▄▄████▄▄████▄▄████
██████████████████████

▀████████████████████▀
▄████████████████████▄
██████████████████████
█████▀▀█▀▀▀▀▀▀██▀▀████
█████░░░░░░░░░░░░░████
█████░░░░░░░░░░░░▄████
█████░░▄███▄░░░░██████
█████▄▄███▀░░░░▄██████
█████████░░░░░░███████
████████░░░░░░░███████
███████░░░░░░░░███████
███████▄▄▄▄▄▄▄▄███████

██████████████████████
▀████████████████████▀
▄████████████████████▄
███████████████▀▀▀▀▀▀▀
███████████▀▀▄▄█░░░░░█
█████████▀░░█████░░░░█
███████▀░░░░░████▀░░░▀
██████░░░░░░░░▀▄▄█████
█████░▄░░░░░▄██████▀▀█
████░████▄░███████░░░░
███░█████░█████████░░█
███░░░▀█░██████████░░█
███░░░░░░████▀▀██▀░░░░
███░░░░░░███░░░░░░░░░░

██░▄▄▄▄░████▄▄██▄░░░░
████████████▀▀▀▀▀▀▀██
█████████████░█▀▀▀█░███
██████████▀▀░█▀░░░▀█░▀▀
███████▀░▄▄█░█░░░░░█░█▄
████▀░▄▄████░▀█░░░█▀░██
███░▄████▀▀░▄░▀█░█▀░▄░▀
█▀░███▀▀▀░░███░▀█▀░███░
▀░███▀░░░░░████▄░▄████░
░███▀░░░░░░░█████████░░
░███░░░░░░░░░███████░░░
███▀░██░░░░░░▀░▄▄▄░▀░░░
███░██████▄▄░▄█████▄░▄▄

██░████████░███████░█
▄████████████████████▄
████████▀▀░░░▀▀███████
███▀▀░░░░░▄▄▄░░░░▀▀▀██
██░▀▀▄▄░░░▀▀▀░░░▄▄▀▀██
██░▄▄░░▀▀▄▄░▄▄▀▀░░░░██
██░▀▀░░░░░░█░░░░░██░██
██░░░▄▄░░░░█░██░░░░░██
██░░░▀▀░░░░█░░░░░░░░██
██░░░░░▄▄░░█░░░░░██░██
██▄░░░░▀▀░░█░██░░░░░██
█████▄▄░░░░█░░░░▄▄████
█████████▄▄█▄▄████████

▀████████████████████▀




Rainbot
Daily Quests
Faucet
yslyv (OP)
Hero Member
*****
Offline Offline

Activity: 1008
Merit: 533


View Profile
February 12, 2020, 11:45:14 AM
Merited by Blacknavy (1)
 #6

Bu konularda çok teknik bir adam değilim ama matematiğim iyidir  Smiley

Private keyler 1 ile 2^256 arasında bir rakamdan oluşuyor Yani yaklaşık olarak 1'in yanına 77 tane 0 koyunca çıkan rakam kadar.

Ancak spesifik olarak public keyini bildiğiniz bir bitcoin adresini kırmaya çalışırsanız, işiniz kısmen daha kolay ( Grin)

Yani sayı 2^128'e düşüyor. O da 3'ün yanına 38 tane sıfır koyunca çıkan rakam kadar.

Eğer brute force ile saniyede kabaca 1 milyar deneme yapabilen bir donanıma sahipseniz  10^21 yıl içinde bütün varyasyonları deneyebilirsiniz. Çok şanslıysanız ilk denemede de kırabilirsiniz (Bunun yerine milli piyango bileti almanızı tavsiye ederim, kazanma olasılığınız milyarlarca kez daha yüksek Grin) Çok şanslı olmanın bir tık altında iseniz ömrünüz yetmeyecektir.

Ek olarak şöyle bir varsayımda bulunalım;  "Her yıl bir önceki yılın iki katı kadar işlem yapabilen bir donanım geliştiriliyor"

Bu durumda da yaklaşık 70 yıl sonra geliştirilecek donanım public key'i bilinen bir cüzdanı 1 yıl çalışarak kırabilecektir.

turn the page
muslol67
Hero Member
*****
Offline Offline

Activity: 1582
Merit: 670


View Profile
February 12, 2020, 12:27:08 PM
 #7

Bu konularda çok teknik bir adam değilim ama matematiğim iyidir  Smiley

Private keyler 1 ile 2^256 arasında bir rakamdan oluşuyor Yani yaklaşık olarak 1'in yanına 77 tane 0 koyunca çıkan rakam kadar.

Ancak spesifik olarak public keyini bildiğiniz bir bitcoin adresini kırmaya çalışırsanız, işiniz kısmen daha kolay ( Grin)

Yani sayı 2^128'e düşüyor. O da 3'ün yanına 38 tane sıfır koyunca çıkan rakam kadar.

Eğer brute force ile saniyede kabaca 1 milyar deneme yapabilen bir donanıma sahipseniz  10^21 yıl içinde bütün varyasyonları deneyebilirsiniz. Çok şanslıysanız ilk denemede de kırabilirsiniz (Bunun yerine milli piyango bileti almanızı tavsiye ederim, kazanma olasılığınız milyarlarca kez daha yüksek Grin) Çok şanslı olmanın bir tık altında iseniz ömrünüz yetmeyecektir.

Ek olarak şöyle bir varsayımda bulunalım;  "Her yıl bir önceki yılın iki katı kadar işlem yapabilen bir donanım geliştiriliyor"

Bu durumda da yaklaşık 70 yıl sonra geliştirilecek donanım public key'i bilinen bir cüzdanı 1 yıl çalışarak kırabilecektir.


Matematikten ziyade bu adamlar bunla uğraşacağına başka şeyle para kazanırlar zaten. En basiti bunu yapabilecek makineler eminim mining'de yapabiliyordur. Daha fazlasını mining ile kazanabileceksem neden etik olmayanı deneyeyim ki?

Ben donanım cüzdan alalı bir aydan az fazla oldu. Maşallah alır almaz sorunlar konuşulmaya başlandı. Ben alana kadar kimse bir şey demiyordu.
HARDCRACKERS
Full Member
***
Offline Offline

Activity: 1049
Merit: 210


Crypto Trader


View Profile
February 12, 2020, 09:53:50 PM
 #8


Ben donanım cüzdan alalı bir aydan az fazla oldu. Maşallah alır almaz sorunlar konuşulmaya başlandı. Ben alana kadar kimse bir şey demiyordu.

 Grin Grin Trezor hangi modelini aldın.Aslında güzel cüzdan ben yaklaşık 8-10 çeşit coin hepsinden aldım kullandım sonra işler iyice boka sarınca çoğunu sattım btc-eth-bch-ltc-doge ye döndüm.boğayı bekliyorum.
bak sende etc hack konusuna yazmışsın.etc aldım cüzdana yolladım 1-2 ay sonrada etc mantara geldi geçen sene sattım.İşte öyle neydüğü belirsiz sistemlere girilerse cüzdan açıp para yollanırsa para gider adamın para sanıım gitmiş.Adamın az buz değil görünürde 250 etc 3.000 usd si gitmiş.en azından elinde trezor-ledger yada başka hardwallet olsa belki zarara uğramazdı ama zor olay Allah kimseye yaşatmasın:
Sonuçta bunlardada risk var yok değil.Onun için transfer haricinde fazla kurcalamaya gelmez. Cheesy
Pages: [1]
  Print  
 
Jump to:  

Powered by MySQL Powered by PHP Powered by SMF 1.1.19 | SMF © 2006-2009, Simple Machines Valid XHTML 1.0! Valid CSS!