Inutilidad

[LuisCar]

Gracias Luiscar por todas tu ayudas y comentarios.
Pero esta vez no me has entendido.

Las órdenes linux que me pusiste para verificar los paquetes las he usado (todas en el ordenador on-line), con lo que las firmas ya estaban.
Y el archivo para instalar armony fuera de línea, el fichero del programa, no sale firmado. Es así.

El archivo armony fuera de línea lo intenté verificar en el ordenador on-line (con el archivo de firma) también y no salia nada.

La verdad es que sí, esta parte no la he comprendido. Entiendo que verificaste la firma del paquete de instalación de Armory (que es el mismo para la el sistema online y offline), si luego tu paquete verificado lo has llevado la sistema offline no te han podido dar el cambio, así que es suficiente.

Podrías pegar aquí el resultado que obtienes de la siguiente orden, tanto en el sistema conectado como desconectado.

Code:

gpg --list-public-keys

Esto pensaba hacerlo apenas lo hubiese sincronizado. Lo dejé funcionando pero cuando volví, y debía haber terminado la sincronización, la máquina se había colgado (por falta de memoria) y encima daba error de arranque de la máquina virtual.

Ahora si puedo hacer la copia de seguridad. Pero pensé que la mas importante era tener copia de la máquina que está off-line. Haré copia de las dos (gracias por recordármelo  ).

Bueno, estrictamente una máquina virtual en un pc conectado no es un sistema "offline", pero sirve para comprender el mecanismo. Lo segundo es que no pensaba que habías creado una segunda máquina virtual "online", lo lógico es instalar Armory en el sistema operativo de uso corriente y firmar las transacciones con el equipo desconectado, de modo que tu "cold wallet" no toque nunca internet. Por eso decía lo de salvar la máquina virtual "offline". Si definitivamente vas a usar dicho sistema para almacenar cantidades de bitcoins relevantes, aprovecha la funcionalidad que ofrece Armory de imprimir en papel el sistema de recuperación de la cartera. Prueba su sistema de recuperación con alguna cartera sin fondos para que veas el mecanismo que utiliza.

Para enviar BTC´s:
1-Hacemos la operacion en on-line sin validar = Create unsigned transaction (online). Creo que lo entiendo.
2-La validamos off-line = Sign it (offline).. Creo que lo entiendo.
3-La emitimos (on-line) = Broadcast it (online). No se como hacer esto.

¿Qué diferencia hay entre realizar la operación y emitirla? ¿O como se hace la opción 3?

Son tres pasos, creas la transacción que quieres realizar (online), la firmas (offline), haces pública la transacción firmada (online). El tercer punto se hace desde la propia pantalla principal del programa, ahora mismo no recuerdo el nombre exacto.

Para recibir BTC´s.
Para eso sólo hace falta la máquina on-line ¿verdad?
1-Obtenemos una dirección de envio y ya está, ¿no?

Use the “Receive Bitcoins” button to generate addresses for receiving payments, and incoming transactions will show up in the ledger with a slightly different color than your other wallets.

Lo que no entiendo porqué hay que generar distintas direcciones de recepción si ninguna de ellas corresponde con la del monedero off-line. ¿Tiene más seguridad poner cada operación en una dirección distinta que todas/varias con la misma dirección?

Correcto. El monedero "offline" solamente te muestra una dirección, pero Armory utiliza una cartera determinista, es decir, que a partir de un valor llamado semilla es capaz de regenerar todas las direcciones que puede contener dicha cartera. Es decir, que puedes ir generando nuevas direcciones en el monedero "online" de modo que cuando arranques el "offline" y generes en él nuevas direcciones, podrás comprobar que se corresponden exactamente con las que te aparecen en la versión online (que no puede disponer de sus claves privadas, sólo genera nuevas direcciones de pago).

[JhonDoe]

Podrías pegar aquí el resultado que obtienes de la siguiente orden, tanto en el sistema conectado como desconectado.

Code:

gpg --list-public-keys

http://subefotos.com/ver/?3306a327430760e5cec84c1f7e15fadeo.jpg


La maquina off-line, tuve que conectarla a internet hasta que lo instalé, luego el resultado debe de ser el mismo.
Pero lo que quiero decir es que el archivo para instalar Armory offline es otro archivo que se supone que tiene todos los archivos necesarios para instalar el programa sin estar conectado a internet. Este archivo es el que intenté verificar en el ordenador on-line, y no salía la firma. Cambié el archivo de armory que sí estaba verificado (no los demás archivos) y entonces no lo pude instalar.

http://subefotos.com/ver/?6b3882169b11be12a07e724472687313o.jpg


Lo que sale es lo siguiente:

http://thumbs.subefotos.com/2af9899217819f4ed52fb67e6f5ef997o.jpg


Cree otra máquina virtual, on-line, en ubuntu porque el software para windows parecía que era mas complicado verificarlo y más fácil que se meta de todo. Así el archivo instalado era la misma versión en ambas máquinas.

Lo siguiente está muy claro.
Creo que con estas indicaciones, ya todos los que queramos, podemos crear un un monedero off-line, y saber como usarlo.

Gracias Luiscar

[fernarios]

Tengo una duda, ¿por qué varios usuarios recomiendan usar máquinas virtuales para éstos menesteres?, no es como si las máquinas virtuales fuesen un espacio de memoria inaccesible e inalterable para windows ¿o si?, no es como si por defecto se cifrara (y se mantuviese) cifrado todo ahí adentro ¿o si?... ¿qué impide a windows buscar una wallet dentro de la máquina virtual? y ¿qué impide la acción de los keyloggers ejecutados desde windows?, si nada lo impide, tener un monedero en una máquina virtual de Ubuntu en windows (con conexión a internet) no tiene diferencia significativa a tenerlo directamente en windows ¿o si?, ésta "cold wallet" no tendría nada de "cold". (no son preguntas retóricas, tengo poca experiencia con máquinas virtuales, apenas las he usado para algunas cosas puntuales o para el trabajo sin preocuparme mucho por su funcionamiento interno...)

[LuisCar]

Vale, ahora nos hemos entendido. No me había percatado de la existencia de un paquete que contiene todas las dependencias que requiere Armory. Personalmente, yo me creo el sistema instalando con conexión el software, y verificando las firmas, para luego desconectarlo para siempre; tú método es un poco más "paranoico", pero bueno, tratándose de dinero siempre es mejor pasarse que quedarse corto.

El proceso para verificar la firma de ese paquete es diferente al del instalador .deb de Debian. En este caso te estás descargando un archivo .tar.gz que contiene los paquetes .deb de instalación de Armory y sus dependencias y no está autofirmado como el primero. Por eso el autor agrega estos enlaces en su página:



De los que debes descargarte, para importar en el sistema offline, el paquete de instalación (por supuesto)

0.92.1 for Ubuntu (32-bit) -- OFFLINE BUNDLE

la clave pública de su autor

Offline Signing Key (0x98832223)

que es un archivo con extensión .asc y que importarás (situándote en el directorio donde tengas copiado dicho archivo) así

Code:

$ gpg --import Alan-C.-Reiner-Offline-Signing-Key-alan@bitcoinarmory.com-0x98832223-pub.asc

y el archivo de texto

0.92.1 signed hash file

también con extensión .asc mediante la opción "Guardar enlace como" o similar, que contiene las sumas criptográficas (en este caso usando el algoritmo sha256) de los paquetes a descargar firmado por el autor. Esto

Code:

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

7c112320484c96acc62593fa23dfbbfca54eb941f4d2faa834abb3572f72e51d armory_0.92.1_winAll.exe
6d07e9759d7871f7aa283f4432176e27934ef4cdfdbf67c70185c1816ac0bc69 armory_0.92.1_ubuntu-32bit.deb
76b28098df3794c8d3ca526af55529bc9d332715344edb17392456adc95ee38d armory_0.92.1_offline_ubuntu_12.04-32.tar.gz
d23ed797906234bde8dbbd6c08a95c0c5165679af0f0855551e94c0515f63da3 armory_0.92.1_raspbian-armhf.tar.gz
b772aae145038ce07f2148deaa75623ac5e4cfe1e18ae4a269199ea69ba14c6b armory_0.92.1_rpi_bundle.tar.gz
25015055ffc67aae980ad7b0cee8326e8d4c77eb4b836bae2151dd81f1933782 armory_0.92.1_ubuntu-64bit.deb
9fdf5e7f6e8832cf2149fe7dbb1547ca7ff6572eddd4efddb7c05abe0f9c076d armory_0.92.1_offline_ubuntu_12.04-64.tar.gz
75d6b7566d6c40a93f7dcf995dfb778b577d0b4698cc52d1ecea8f6fadfdf460 armory_0.92.1_osx.tar.gz

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.10 (GNU/Linux)
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=RSTh
-----END PGP SIGNATURE-----

La firma es la coletilla ilegible del final del archivo.

Para verificar que lo que te has descargado es lo que generó el autor, lo primero que se hace es verificar la firma de este archivo de texto, o lo que es lo mismo, asegurarnos de que las sumas sha256 que contiene no están alteradas.

Code:

$ gpg --verify armory_0.92.1_sha256sum.txt.asc 
gpg: Firmado el mié 30 jul 2014 09:13:58 CEST usando clave RSA ID 98832223
gpg: Firma correcta de «Alan C. Reiner (Armory Signing Key) <alan.reiner@gmail.com>»
gpg: AVISO: ¡Esta clave no está certificada por una firma de confianza!
gpg:          No hay indicios de que la firma pertenezca al propietario.
Huellas dactilares de la clave primaria: 821F 1229 36BD D565 366A  C36A 4AB1 6AEA 9883 2223

Ésa sería la salida estándar. Una vez que tenemos la firma correcta cotejamos la suma sha256 que nos entrega nuestro sistema con la que nos ofrece el autor en el archivo armory_0.92.1_sha256sum.txt.asc

Code:

$ sha256sum armory_0.92.1_offline_ubuntu_12.04-32.tar.gz 
76b28098df3794c8d3ca526af55529bc9d332715344edb17392456adc95ee38d  armory_0.92.1_offline_ubuntu_12.04-32.tar.gz

que lógicamente habrá de coincidir. También podemos hacer lo siguiente si tenemos los dos archivos implicados (el .txt.asc y el .tar.gz) en el mismo directorio

Code:

$ sha256sum -c armory_0.92.1_sha256sum.txt.asc 
sha256sum: armory_0.92.1_winAll.exe: No existe el archivo o el directorio
armory_0.92.1_winAll.exe: FALLO al abrir o leer
sha256sum: armory_0.92.1_ubuntu-32bit.deb: No existe el archivo o el directorio
armory_0.92.1_ubuntu-32bit.deb: FALLO al abrir o leer
armory_0.92.1_offline_ubuntu_12.04-32.tar.gz: La suma coincide
sha256sum: armory_0.92.1_raspbian-armhf.tar.gz: No existe el archivo o el directorio
armory_0.92.1_raspbian-armhf.tar.gz: FALLO al abrir o leer
sha256sum: armory_0.92.1_rpi_bundle.tar.gz: No existe el archivo o el directorio
armory_0.92.1_rpi_bundle.tar.gz: FALLO al abrir o leer
armory_0.92.1_ubuntu-64bit.deb: La suma coincide
sha256sum: armory_0.92.1_offline_ubuntu_12.04-64.tar.gz: No existe el archivo o el directorio
armory_0.92.1_offline_ubuntu_12.04-64.tar.gz: FALLO al abrir o leer
sha256sum: armory_0.92.1_osx.tar.gz: No existe el archivo o el directorio
armory_0.92.1_osx.tar.gz: FALLO al abrir o leer
sha256sum: ATENCIÓN: 21: líneas tienen un formato erróneo
sha256sum: ATENCIÓN: no se pudieron leer 6 ficheros listados

La que te importa es la línea que contiene el archivo que has descargado.

Ahora ya puedes descomprimir el .tar.gz e instalar su contenido con la seguridad de que dicho software ha sido compilado por su autor.

Aquí tienes un breve manual de uso de la herramienta GPG para que puedas comprender un poco más profundamente su cometido.

http://www.tribulinux.com/guia-rapida-gpg-crear-borrar-importar-y-exportar-claves.html

[roterdam]

a ver !!!ya no lo digo mas veces
cuidadin con tener cantidades respetables de btc en coldwallets dentro de una maquina virtual.
eso no es un monedero offline, esta bien para probar y practicar, pero nada mas alla.
el proposito de un coldwallet es mantener nuestra password fuera del alcance de keyloggers, troyanos y demas bichos.
cuando tu tecleas tu pass en una maquina virtual tambien lo estas haciendo en la maquina real que lo alberga, y esta:
 si está o puede estar conectada en un futuro por lo tanto puede enviar a un atacante nuestra contraseña de encriptacion.

[LuisCar]

Eso ya lo comento más arriba:

Bueno, estrictamente una máquina virtual en un pc conectado no es un sistema "offline", pero sirve para comprender el mecanismo.

aunque nunca está de más repetirlo.

El proceso descrito en este hilo es para poder instalar Armory en un sistema GNU/Linux (derivado de Debian más concretamente) con verificación criptográfica de la autenticidad del mismo. Las máquinas virtuales sólo sirven para ensayar el proceso de una forma más sencilla. Luego cada uno puede buscar su propio sistema "offline" con otro PC antiguo, con una Raspberry Pi, en un disco duro externo, o lo más sencillo y barato y muy seguro (eso pienso yo) que es instalando la distribución de Linux que hará la veces de sistema "offline" en una memoria USB.

Pero este hilo no trata de cómo instalar Ubuntu en una memoria USB o en un disco duro externo, sino de cómo instalar Armory en Ubuntu verificando la firma de los instaladores.

[fernarios]

El proceso descrito en este hilo es para poder instalar Armory en un sistema GNU/Linux (derivado de Debian más concretamente) con verificación criptográfica de la autenticidad del mismo. Las máquinas virtuales sólo sirven para ensayar el proceso de una forma más sencilla. Luego cada uno puede buscar su propio sistema "offline" con otro PC antiguo, con una Raspberry Pi, en un disco duro externo, o lo más sencillo y barato y muy seguro (eso pienso yo) que es instalando la distribución de Linux que hará la veces de sistema "offline" en una memoria USB.

Vale gracias, a eso justamente me refería, está bien para practicar, pero nada mas...

[LuisCar]

Puesto que habéis participado ya inicialmente en el hilo, sabéis que esto está expuesto claro en la primera página. Luego se ve que es un ensayo de instalación de Armory (o eso he creído entender), un aprendizaje sobre cómo crear un sistema de "cold storage". Hay que reconocerle a las máquinas virtuales la facilidad que aportan a la hora de practicar con otro sistema operativo diferente de lo que conocemos.

Eso sí, espero que nadie piense nunca que puede tener un sistema "offline" en un equipo con conexión a internet.

[fernarios]

La verdad es que no me acoraba que ya habían mencionado que era solo un ensayo pero me parece que como tu dices no sobra mencionarlo de nuevo, luego de 4 paginas y cuando ya se está llegando a una conclusión...

[JhonDoe]

Una pregunta más.
Necesitaría firmar un texto con armory. Pero no se como.
Si el monedero está es de armory, ¿se puede firmar con otro?

¿Me ayudais aquí para mejorar la guía?

Saludos

[JhonDoe]

Me lo ha dicho otro usuario del grupo:
Se firman mensajes con la opción Tools, subpción Message Signing/Verification... (que está en el menú superior) del monedero con las claves reales (el de sólo lectura no sirve).

Saludos

[JhonDoe]

He tenido un error con armory.
Hice una operación de "coin control" para reunificar BTC's en una sóla dirección. Y armory me la dio por válida. Pero cuando le di a "broadcast transation", al instante Bitcoin-qt se desconecta de la red, y armory dice que es un software experimental y que es una operación que la red Bitcoin no acepta. Que lo reintente y me da una dirección para comprobar si la operación se termina realizando.
Lo reintenté un par de veces y me siguió dando el mismo error: Bitcoin-qt se desconecta de la red, y armory dice que es un software experimental y que es una operación que la red Bitcoin no acepta. Que lo reintente y me da una dirección para comprobar si la operación se termina realizando.

¿A alguien más le ha pasado? ¿Sabeis como se soluciona eso?

Saludos
Doe

[Trolololo]

El mejor Tutorial de seguridad que he encontrado es el que aconseja Antonopulos:

"Bitcoin multi-signature account operating manual", de Pamela Morgan
(http://empoweredlaw.wordpress.com/2014/06/27/bitcoin-multi-signature-account-operating-manual/)

y que hace uso de dados para la entropía, multifirma y bitaddress offline (sobre Linux booteable desde CD).

Explicado paso por paso. Vale la pena echarle una ojeada.

[JhonDoe]

He tenido un error con armory.
Hice una operación de "coin control" para reunificar BTC's en una sóla dirección. Y armory me la dio por válida. Pero cuando le di a "broadcast transation", al instante Bitcoin-qt se desconecta de la red, y armory dice que es un software experimental y que es una operación que la red Bitcoin no acepta. Que lo reintente y me da una dirección para comprobar si la operación se termina realizando.
Lo reintenté un par de veces y me siguió dando el mismo error: Bitcoin-qt se desconecta de la red, y armory dice que es un software experimental y que es una operación que la red Bitcoin no acepta. Que lo reintente y me da una dirección para comprobar si la operación se termina realizando.

¿A alguien más le ha pasado? ¿Sabeis como se soluciona eso?

Saludos
Doe

Me ha vuelto a salir el otra vez el mismo error con una operación  (la primera nunca llegó a confirmarse):



¿Alguien sabe como arreglar esto?

Saludos.
Doe

[dserrano5]

Me ha vuelto a salir el otra vez el mismo error con una operación  (la primera nunca llegó a confirmarse):

¿Alguien sabe como arreglar esto?

Sin más detalles sobre la transacción, lo veo difícil. ¿Cuántas inputs tiene? ¿Qué comisión le pones? ¿Puedes conseguir el churro hexadecimal de la raw transaction?

[JhonDoe]

Perdón Dserrano5.
Estoy haciendo "coin control" para unir cantidades pequeñas menores de 1BTC en otras enteras. No le he puesto comisión, pero cuando es necesario (al menos eso creía) el programa te lo indica. Esa era mi intención al hacer esto.
El dinero sigue en mi monedero, pero la transacción no se confirma.
¿Hay alguna forma de borrar estas transacciones que no llegan a ejecutarse para sólo ver las válidas?

Gracias
Doe