Betapa Pentingnya Passphrase demi keamanan Tambahan Wallet

[Chikito]

Heboh berita baru-baru ini wallet coldcard yang kena hack. Saya di sini tidak untuk membahas itu, karena pembahasannya sudah ada di sini.

Tapi ya mengingat kalau hacker di wallet tersebut telah mengetahui seed yang telah dibuat user di awal-awal pembuatan wallet, kayak memang ada celah besar di sana. Karena bisa saja wallet-wallet yang beredar saat ini memang ngacak seed berurutan.

Misal nih wallet A, lalu kalian bikin wallet dengan seed yang dibikin langsung ke wallet tersebut, dan itu sudah tersistem dengan baik dengan urutan kesekian.

misal bip39 seed: "caught boy ceiling wedding that knife mail grain example famous general capable", dan itu seed memang digenerate dengan acak, tapi sudah tersistem dengan baik di wallet, dan itu akan keluar keurutan yang telah ditentukan (misal akan keluar ke urutan 100, atau urutan 120, dst), sehingga hacker tinggal nunggu saja siapa yang bikin wallet dengan seed tersebut, lalu dipantau terus balancenya hingga sudah terisi dan hacker akan memanennya.

Namun, hacker akan kecolongan sendiri jika seed tersebut ditambah dengan passphrase tambahan, karena akan menghasilkan address berbeda.

Contoh address tanpa passphrase dengan seed yang sama di atas:



Contoh address dengan tambahan passphrase dengan seed yang sama di atas:



Sangat berbeda bukan?

Jadi, kalau pun hacker tahu seed kita, namun dia akan mendapati alamat yang berbeda, dan btc kita gak kena hack kalau pakai passphrase.

So, kalau di electrum, tambahan passphrase itu ada ketika kita bikin wallet di awal, setelah create wallet, kita harus centang box option di seed yang kita create: "extend seed with costum word" (Jangan fokus ke BIP39 ya, karena seed di atas cuma contoh yang saya ambil dari iancoleman tool)



lalu selanjutnya anda akan buat passphrase tambahan dengan kata2 anda sendiri:



Kata tambahan di atas hanyalah contoh. Dan perlu diingat ya, tiap huruf, simbol dan angka atau huruf besar, kecil di passphrase tersebut merupakan case yang sensitif banget

kayak contoh di atas: passphrase tambahan, kalau kalian ubah seperti ini Passphrase tambahan, atau passphrase tambahan. pakai titik, maka address yng dicreate tidak sama.

Jadi harus hati-hati, selalu make sure dan cek 2 sampai 3 x kalau passphrase nya benar. Dan tentunya, passphrase tersebut juga harus disimpan sama perlakuannya dengan mnemonic seed, Tulis di kertas, atau cetak dilogam yang sama dengan benar dan sesuai dengan ejaannya.

Thread ini merupakan tutorial biasa dan umum. Apakah nanti aman kalau pakai passphrase? Tentu tidak ya, karena sistem yang paling aman sekalipun akan tetap bobol jika manusianya itu sendiri lalai dan teledor.

[Husna QA]

Sedikit menambahkan:

Pada hardware wallet juga bisa ditambahkan pengamanan dengan menggunakan passphrase selain dari seed phrase yang di-generate di wallet.
Contoh di Trezor Suite, passphrase yang disupport adalah karakter standard ASCII, bahkan spasi kosong pun tetap dihitung sebagai karakter yang valid.
https://trezor.io/guides/trezor-suite/using-a-passphrase-wallet-in-trezor-suite#creating-new-passphrase-wallets

Jadi, dalam hal ini penyimpanan catatan passphrase (dalam media logam, dll.) perlu memperhatikan hal-hal semisal diatas (karakter berupa spasi, case-sensitive, dll.) yang sesuai dengan ketika pertama kali passphrase tersebut digunakan.

Sebelum menggunakan passphrase, pelajari juga semua hal yang terkait fitur 'tambahan' pengamanan tersebut termasuk juga resikonya.

Passphrases cannot be changed, removed, or recovered.
If you lose your passphrase, you lose access to your passphrase wallet and its funds.

Always write down your passphrase, store it securely, and test your access regularly.

[Chikito]

Jadi, dalam hal ini penyimpanan catatan passphrase (dalam media logam, dll.) perlu memperhatikan hal-hal semisal diatas (karakter berupa spasi, case-sensitive, dll.) yang sesuai dengan ketika pertama kali passphrase tersebut digunakan.

Yups, ini hal yang sangat penting, address akan berbeda jika karakter huruf pada passphrase berbeda, Misal contoh 12 mnemonic seed: various disagree bachelor romance vendor uniform isolate chaos deposit depart veteran ten dengan passphrase tambahan sebagai contoh : bitcointalk123456!, maka address yg dihasilkan :

Code:

bc1qpsf2dsdjx3fvf04t0m0xap0yv9epu6rx2sw6nz
bc1qvmkupwfgspv3500cqqa7966h0hcy9uetfr4xyf
bc1q2mzl7unndj2t4mh2vxzdrf59e5qt2qg67r2fj8

Akan tetapi jika passphrase berbeda sedikit saja, misal pake huruf besar di awal : Bitcointalk123456! maka address yg dihasilkan:

Code:

bc1qsy0edgagk09262jj38u83ha0c5v6u6cfhkc02k
bc1qsftxuz02ppca9ua2e2hqr780jnfgk4hsz8awqh
bc1qctldld5f3wx57z0h8ne7s3mxmhzyczshjuu3hz

Atau passphrasenya pakai titik : bitcointalk123456!. maka address juga berubah :

Code:

bc1qrly4mzx526jxa03shmxvvnym3dhser727u4hr7
bc1qh8mcga8aedrlen3fyk62t39rztzwuvty2d5aga
bc1qw7nvyxc742je94vr9whmgcqzd6lf6j8t9dzfht

Jadi case di sini sangat sensitif, sehingga harus diamati ulang dan diteliti dengan benar sebelum menulisnya di kertas berbarengan dengan mnemonic phrase.

[mu_enrico]

Passphrase memang esensial untuk menambah entropi, karena logikanya menggunakan input/unsur acak dari user juga dalam menghasilkan seed. Hanya saja kelemahannya itu seringkali lupa dan ane juga pernah beberapa kali lupa passphrase (sampai stress) karena terlalu nafsu bikin alamat yang lebih secure. Makanya selalu simpan atau tulis juga passphrase. Tapi menimbulkan dilema baru apabila mnemonic + passphrase ditulis di kertas yang sama, kalau dicuri bisa langsung dikuras, sedangkan kalau ditulis di kertas berbeda, kalau passphrase hilang ya setres lagi...

Di beberapa dompet mobile juga sudah mewajibkan passphrase dalam bentuk PIN. Jadi kalau nanti recovery harus memasukkan 12/24 mnemonic + PIN (sebagai passphrase) baru bisa mengakses alamat yang benar.

IMO paper wallet juga aman yang kek di bitaddress itu karena dia pakai input gerakan mouse untuk menambah entropi.

[Chikito]

Namun yang jelas, semakin rumit, banyak karakter dan panjang passphrase, maka semakin sulit hacker untuk brute force


https://x.com/lopp/status/2083893075785531504/photo/1

Format tabel di atas menunjukkan tingkat kesulitan, kalau sampai 18 karakter, pakai angka, pakai huruf besar dan kecil, dan pakai simbol, maka butuh milyaran tahun untuk nge-hack-nya, mungkin di bawah ini contoh passphrase yang susah dihack.

Code:

Besr@Lawjm 4yi!hrk7

IMO, paper wallet juga aman yang kek di bitaddress itu karena dia pakai input gerakan mouse untuk menambah entropi.

Tapi kata Jameson Loop, bitaddress.org juga termasuk yang RNG-nya lemah. [1], Termasuk wallet-wallet lainnya. Tapi mungkin itu dulu, ketika Bitaddress awal-awal muncul, mungkin sekarang sudah strong dengan mouse yang bisa dijadikan entropinya.

[1]. https://x.com/lopp/status/2083933846622384587