[تحذير] محفظة Jaxx

[OmegaStarScream]

السلام عليكم و رحمة الله تعالى و بركاته

لقد قام أحد الأعضاء في المنتدى الانجليزي منذ مدة بالسؤال حول محفظة جاكس، و مكان تواجد ملف المحفظة في الايفون و بمأنني لا أمتلك جهاز ايفون و لست خبيرا بمسائل jailbreaking. قررت تثبيت المحفظة في الويندوز و رؤية ما اذا كان بمكاني ايجاد هذا الملف.

في كل مرة (و بعد تعطيل الاتصال بالأنترنت) ، كنت أقوم ب: انشاء محفظة جديدة > حذف أحد الملفات (من ال appdata)  > ثم اغلاق المحفظة و فتحها مجددا لرؤية ما اذا كانت البرنامج يطلب مني انشاء محفظة محفظة جديدة حتى تمكنت من ايجاد الملف:

Code:

C:\Users\OmegaStarScream\AppData\Roaming\com.liberty.jaxx\IndexedDB\file__0.indexeddb.leveldb\000003.txt

عند فتح الملف، تمكنت من ايجاد العناوين، xpubs, الخ. لم أتمكن من ايجاد البريفات كيز، لكن أعتقد أن ذلك عائد لكونهم مشفرين

للتأكد، قمت بفتح واجهة البرنامج من جديد و محاولة تصدير البريفات كي ففوجئت أن هذه الخاصية متوفرة لبعض العملات فقط و ان محفظة البيتكوين و الاثريوم لم يتم انشائهما أصلا. و عند محاولتي لانشاء المحفظة، لم أتمكن من ذلك كما تظهره الصورة:



يعني باختصار: محافظ داش، دوجكوين و زيكاش هي الوحيدة التي يتم انشاءها من دون الاتصال بالأنترنت و هذا أمر خطير، خاصة و ان اخذنا بعين الاعتبار أن المطورين ينفون هذا الأمر:

Jaxx Liberty is a non-custodial blockchain wallet, which means you own the keys. We respect your privacy. We never have access to, or knowledge of, your digital assets — only you do.

وبناءا على ذلك، انا لا أنصح أي شخص باستخدام هذه المحفظة لأنه من جد المحتمل أن بياناتك (البريفات كيز الخاصة بك) يتم ارسالها لسيرفيرات خارجية.

[1715607339]

1715607339

[FaucetKING]

أهلا صديقي
أردت الإشارة أن المحفظة الخاصة بالعملات الرقمية المسمات بإسم Jaxx ليست مفتوحة المصدر أصلا بحيث لا يمكن الإطمئنان عند إستعمالها حتى ولو أشار المطورون لإمتلاكنا للمفاتيح الخاصة بالمحافظ.
بإمكانك التأكد من الأمر في هذه التدوينة على موقع ريديت

الكود المنتشر على الإنترنت هو - على حسب زعم المطورين - الكود الذي تم إستعماله عند توليد التطبيق و بالنسبة لي شخصيا لا يوجد أي دليل قاطع أن التطبيق الخاص بهم يحتوي على ذلك الكود لأنه بإمكانهم تغيير بعض السطور من الكود دون أن يكون لنا دراية بها أو بإمكانهم كذلك حفظ المفاتيح في سيرفر خارجي ، ما الذي يمنع عملية إنشاء محفظة البيتكوين والإثيريون عندما يكون الجهاز أوفلاين؟ لماذا تولدت بقية المحافظ دون مشاكل والأهم من هذا أنه إذا وجدت ولو شكا وحيدا في تطبيق ما فلا تستعمله أصلا إلا لتحويلات بسيطة لا تتعدى ال10 دولار حسب رأيي الشخصي. حتى إن قال المطورون أن الكود المنشور هو نفس الكود المستعمل عند برمجة التطبيق فهل حقا تثق بأن تلك هي الحقيقة؟ مادامت إمكانية إستبدال الكود و تغيير بعض السطور فيه قبل نشر إصدار جديد للمحفظة واردة فأقطع كل الشكوك يا صديقي و إستعمل إحدى المحافظ المفتوحة المصدر والتي ليس فيها أي شكوك.

Code:

I don't trust humans, I believe in Decentralization.

[yhiaali3]

شكرا لك أخي على التحذير حول هذا الأمر الخطير فعلا
هذا يذكرني بسؤال كنت أرغب بسؤاله في وقت سابق عن محفظات سطح المكتب بشكل عام التي يتم تثبيتها في ويندوز مثل محفظة إلكتريوم أو أتوميك والت أو غيرها،
إذا تمكن الهاكرز من اختراق الجهاز هل يستطيعون الوصول لهذه المحافظ عبر ملفاتها المثبتة في النظام؟ يعني هل يمكن للمخترق فك تشفير الملفات التي تقوم بتخزين كلمات السر أو البرايفت كي؟

[SyGambler]

شكرا لك أخي على التحذير حول هذا الأمر الخطير فعلا
هذا يذكرني بسؤال كنت أرغب بسؤاله في وقت سابق عن محفظات سطح المكتب بشكل عام التي يتم تثبيتها في ويندوز مثل محفظة إلكتريوم أو أتوميك والت أو غيرها،
إذا تمكن الهاكرز من اختراق الجهاز هل يستطيعون الوصول لهذه المحافظ عبر ملفاتها المثبتة في النظام؟ يعني هل يمكن للمخترق فك تشفير الملفات التي تقوم بتخزين كلمات السر أو البرايفت كي؟

أخي يحيى نظرياً أي شيء تحفظه على جهازك وفي حال كان الجهاز دائم الاتصال بالانترنت يعتبر معرض لخطر الفقدان في حال تم اختراق الجهاز , طبعاً لا أدري ما هي نسبة الخطورة فلم أتعرض لمثل هذه الحالة أبداً ولكن بشكل عام لو كانت الأجهزة العادية آمنة لما رأينا الناس تشتري ليدجر أو تستخدم محافظ ورقية وغيرها
لذا يفضل دائماً الاحتفاظ بالكمية التي تستخدمها للتداول أو لأسباب أخرى وتخزين الباقي بعيداً كلياً عن شبكة الانترنت ومع أنه على الأرجح نسبة اختراق الجهاز في حال اتخاذ اجراءات الحماية اللازمة ستكون صغيرة جداً ولكن تبقى الوقاية أفضل

[yhiaali3]

أخي يحيى نظرياً أي شيء تحفظه على جهازك وفي حال كان الجهاز دائم الاتصال بالانترنت يعتبر معرض لخطر الفقدان في حال تم اختراق الجهاز , طبعاً لا أدري ما هي نسبة الخطورة فلم أتعرض لمثل هذه الحالة أبداً ولكن بشكل عام لو كانت الأجهزة العادية آمنة لما رأينا الناس تشتري ليدجر أو تستخدم محافظ ورقية وغيرها
لذا يفضل دائماً الاحتفاظ بالكمية التي تستخدمها للتداول أو لأسباب أخرى وتخزين الباقي بعيداً كلياً عن شبكة الانترنت ومع أنه على الأرجح نسبة اختراق الجهاز في حال اتخاذ اجراءات الحماية اللازمة ستكون صغيرة جداً ولكن تبقى الوقاية أفضل

كلامك صحيح أخي SyGambler وجود المحافظ على الكمبيوتر أو الموبايل يجعلها عرضة للخطر الدائم ومن الضروري تركيب برنامج حماية قوي على الجهاز لمنع المتسللين من التسلل للجهاز.
وبمناسبة الحديث عن محفظة ليدجر أو محافظ الأجهزة لم استخدمها قبل الآن لأنها غير متوفرة في سوريا ولكن الآن بفضل الله فإن محفظة تريزور التي أهداني إياها الأخ Coinoplex@ (بارك الله فيه وجزاه كل خير) نتيجة فوزي في المسابقة في طريقها إلى دمشق إن شاء الله (بعد عناء كبير) ومن المتوقع أن استلمها قريبا إن شاء الله وسأقوم بتهيئتها ونقل عملاتي إليها وتجريبها للمرة الأولى إن شاء الله .

[khaled0111]

...

عادة يتم حفظ seed و المفاتيح الخاصة و كل ما يتعلق بمحفظتك بملف خاص مثل wallet.dat حسب المحفظة المستعملة.
اغلب المحافظ تفرض على المستخدم ادخال كلمة سر عند انشاء المحفظة يتم استعمالها لتشفير ذلك الملف.
اذا كان المخترق يمكنه الوصول الى الملفات فقط (مثلما حدث معي مؤخرا عندما تم سرقة القرص الصلب من جهازي) فامكانية فك تشفير الملف للحصول على المعلومات المهمة يعتمد على صعوبة كلمة السر التي استعملتها.
لكن اذا كان المخترق يتنصت على جهازك و يقوم بتسجيل كل ما تكتبه فمن السهل عليه معرفة كلمة السر اذا قمت بفتح المحفظة.

محفظة الكتروم مثلا تقوم بتشفير الملف بطريقة معينة على القرص الصلب و لا يتم فك التشفير الا عند فتحك للمحفظة و ادخال كلمة السر و تبقى البيانات في الذاكرة العشوائية لحين غلق المحفظة.
بينما يتم تشفير ال seed و المفاتيح الخاصة دائما داخل الملف حتى لو كان غير مشفر بطريقة اخرى و لا يتم فك تشفيرها الا عند قيامك بتوقيع رسالة او معاملة و يتم الاحتفاظ بالبيانات في الذاكرة العشوائية لفترة قصيرة.

[yhiaali3]

عادة يتم حفظ seed و المفاتيح الخاصة و كل ما يتعلق بمحفظتك بملف خاص مثل wallet.dat حسب المحفظة المستعملة.
اغلب المحافظ تفرض على المستخدم ادخال كلمة سر عند انشاء المحفظة يتم استعمالها لتشفير ذلك الملف.
اذا كان المخترق يمكنه الوصول الى الملفات فقط (مثلما حدث معي مؤخرا عندما تم سرقة القرص الصلب من جهازي) فامكانية فك تشفير الملف للحصول على المعلومات المهمة يعتمد على صعوبة كلمة السر التي استعملتها.
لكن اذا كان المخترق يتنصت على جهازك و يقوم بتسجيل كل ما تكتبه فمن السهل عليه معرفة كلمة السر اذا قمت بفتح المحفظة.

محفظة الكتروم مثلا تقوم بتشفير الملف بطريقة معينة على القرص الصلب و لا يتم فك التشفير الا عند فتحك للمحفظة و ادخال كلمة السر و تبقى البيانات في الذاكرة العشوائية لحين غلق المحفظة.
بينما يتم تشفير ال seed و المفاتيح الخاصة دائما داخل الملف حتى لو كان غير مشفر بطريقة اخرى و لا يتم فك تشفيرها الا عند قيامك بتوقيع رسالة او معاملة و يتم الاحتفاظ بالبيانات في الذاكرة العشوائية لفترة قصيرة.

شكرا لك أخي خالد سؤالي هنا تحديدا
إذا استطاع المخترق مثلا سرقة ملف wallet.dat الخاص بالمحفظة المثبتة على الجهاز هل يوجد برامج لفتح هكذا نوع من الملفات؟ هل يمكن أيضا استخدام البرامج التي تحاول كشف كلمة السر لكشف كلمة سر الملف؟ هذا الموضوع يهمني كوني استخدم كلمة مرور عادية غير صعبة للدخول إلى المحفظة.

[khaled0111]

...

نعم يوجد و اغلبها ان لم يكن كلها يعتمد على التخمين brute force attack لكسر التشفير اي استعمال كلمات بشكل عشوائي او word list و تكرار المحاولة حتى يتم العثور على الكلمة الصحيحة.
لذلك انصحك بشدة باستعمال كلمة صعبة.

[OmegaStarScream]

وبمناسبة الحديث عن محفظة ليدجر أو محافظ الأجهزة لم استخدمها قبل الآن لأنها غير متوفرة في سوريا ولكن الآن بفضل الله فإن محفظة تريزور التي أهداني إياها الأخ Coinoplex@ (بارك الله فيه وجزاه كل خير) نتيجة فوزي في المسابقة في طريقها إلى دمشق إن شاء الله (بعد عناء كبير) ومن المتوقع أن استلمها قريبا إن شاء الله وسأقوم بتهيئتها ونقل عملاتي إليها وتجريبها للمرة الأولى إن شاء الله .

في حال واجهتك مشاكل أو كانت عندك استفسارات فيما يخص محفظة ال Trezor فلا تتردد في السؤال.

شكرا لك أخي خالد سؤالي هنا تحددا
إذا استطاع المخترق مثلا سرقة ملف wallet.dat الخاص بالمحفظة المثبتة على الجهاز هل يوجد برامج لفتح هكذا نوع من الملفات؟ هل يمكن أيضا استخدام البرامج التي تحاول كشف كلمة السر لكشف كلمة سر الملف؟ هذا الموضوع يهمني كوني استخدم كلمة مرور عادية غير صعبة للدخول إلى المحفظة.

كما ذكر الأخ خالد، الأمر ممكن عن طريق ال brute force بل يكون سهلا ان كانت كلمة السر قصيرة و لا تحتوي على أرقام أو رموز (?!@$~#[]).

عليك ان تتفادى استعمال:

- تاريخ ميلادك
-  حروف/أرقام متتالية أو كلمات السر الشائعة:

Code:

azeqsd
awerty
azerty
azeqsd789
aqwzsx123
123456

Password
admin
root
الخ

- كلمات من القاموس (dictionnary attack)


أمثلة عن كلمات سر جيدة:

Code:

OmEgaStarScREAm15784@!q
yhiAAli3!-*4
Igtinbot30thoD => I'm going to invest in bitcoin on the 30th of December

كما يمكنك استعمال كلمات عشوائية (ذات معنى) مع بعض. مثال:

حيوانك المفضل + لونك المفضل + و رقمك المفضل + رمز:

Code:

gReEn88tiGeR^!

[yhiaali3]

في حال واجهتك مشاكل أو كانت عندك استفسارات فيما يخص محفظة ال Trezor فلا تتردد في السؤال.

بارك الله فيك أخي أوميغا أكيد إن شاء الله سأستعين بخبرتكم عند وصول محفظة تريزور ان شاء الله واستخدامها للمرة الأولى .
كذلك مشكور بالنسبة لتلميحات كلمة المرور التي تفضلت بها.
في الواقع رغم أنني أقوم باستخدام كلمات مرور قوية ومختلفة لحساباتي في المواقع ومنصات التداول ولكن أنا كنت استخدم كلمات سر بسيطة للدخول لمحفظة سطح المكتب لأنني بحكم الكسل لا أريد كتابة كلمة مرور طويلة ومعقدة كل مرة، ولكن بعد كلام الأخ خالد حول إمكانية سرقة ملف المحفظة wallet.dat وإمكانية فك تشفيره إذا لم تكن كلمة السر قوية، قمت فورا باستبدال كلمة السر بأخرى قوية تحتوي أحرف كبيرة وصغيرة وأرقام وحروف خاصة أيضا.
شكر لك وللأخ خالد على تنبيهي لهذا الامر الهام لأنه فعلا لا يجوز التهاون أو التكاسل أبدا في موضوع قوة كلمات المرور. 

[OmegaStarScream]

بارك الله فيك أخي أوميغا أكيد إن شاء الله سأستعين بخبرتكم عند وصول محفظة تريزور ان شاء الله واستخدامها للمرة الأولى .
كذلك مشكور بالنسبة لتلميحات كلمة المرور التي تفضلت بها.
في الواقع رغم أنني أقوم باستخدام كلمات مرور قوية ومختلفة لحساباتي في المواقع ومنصات التداول ولكن أنا كنت استخدم كلمات سر بسيطة للدخول لمحفظة سطح المكتب لأنني بحكم الكسل لا أريد كتابة كلمة مرور طويلة ومعقدة كل مرة، ولكن بعد كلام الأخ خالد حول إمكانية سرقة ملف المحفظة wallet.dat وإمكانية فك تشفيره إذا لم تكن كلمة السر قوية، قمت فورا باستبدال كلمة السر بأخرى قوية تحتوي أحرف كبيرة وصغيرة وأرقام وحروف خاصة أيضا.
شكر لك وللأخ خالد على تنبيهي لهذا الامر الهام لأنه فعلا لا يجوز التهاون أو التكاسل أبدا في موضوع قوة كلمات المرور.  

و فيك بارك الله. العفو أخي.

بما أن محفظة التريزور قد وصلت، فأنا أقترح عليك الان استعمال ال password manager الخاص بهم: https://trezor.io/passwords/

هذه الخاصية تتيح لك انشاء كلمات سر قوية و حفظها على جهازك باستعمال غوغل درايف. يعني حتى في حالة خسارة الجهاز، سوف تتمكن من استعادة كلمات السر عن طريق seed الخاصة بك.

[yhiaali3]

و فيك بارك الله. العفو أخي.

بما أن محفظة التريزور قد وصلت، فأنا أقترح عليك الان استعمال ال password manager الخاص بهم: https://trezor.io/passwords/

هذه الخاصية تتيح لك انشاء كلمات سر قوية و حفظها على جهازك باستعمال غوغل درايف. يعني حتى في حالة خسارة الجهاز، سوف تتمكن من استعادة كلمات السر عن طريق seed الخاصة بك.

شكرا أخي سأقوم بتجربته إن شاء الله