Трезор: Биткоин аппаратный кошелек~Trezor: Bitcoin hardware wallet

[igor72]

На гитхабе и схемы, и алгоритмы.

Это конечно хорошо, что на гитхабе...
Вопрос по тем, кто это паяет и программирует - а они точно ничего в алгоритмах там не подшаманили?

Трезоровцы ничего не подшаманили 100%. Исходники открыты, если бы там что-то такое было, уже давно бы обнаружили (особенно конкуренты). Если уж пытаться искать там "закладку", то только в аппаратной части, то есть в микроконтроллере. Но я не верю, что это возможно.

[Alex-70]

Но я не верю, что это возможно.

Ну тут ведь криптография - не ромашка. Верю-неверю значения не имеет. На конкурентов тоже полагаться нельзя.

Если устройство заказывается на сайте, то у заказчика есть IP. При наличии доступа к статистике посещения других сайтов и информации о компьютере пользователя, можно сделать вывод о квалификации.

Если это пользователь Виндуза, не замечен в посещении Хабров, а при покупке задавал тупые вопрос - значит можно ему подсунуть с закладкой.

Есть риски покупки подделки. Можно оформить процедуру продажи таким образом, что при выявлении проблем, у производителя будут возможности заявить об обмане продавцом.

Для проверки, было бы полезно иметь программную реализацию подобных устройств. Например в виде приложения HTML-JS.
Тогда заурядный и неквалифицированный владелец мог бы сымитировать своё устройство на компьютере и сравнить результаты.
А само приложение, было бы доступно для проверки как пользователями, так и специалистами типа антивирусописателей ДрВеб и прочими.

[igor72]

Но я не верю, что это возможно.

Ну тут ведь криптография - не ромашка. Верю-неверю значения не имеет. На конкурентов тоже полагаться нельзя.

Да, если вы не можете поверить, что код читают как минимум десятки независимых энтузиастов, то вам придется научиться делать это самостоятельно. Но у вас такая возможность есть, и уже одно это достаточная причина, чтобы производитель не рисковал успешным бизнесом, пытаясь что-то там "подшаманивать".

Если устройство заказывается на сайте, то у заказчика есть IP. При наличии доступа к статистике посещения других сайтов и информации о компьютере пользователя, можно сделать вывод о квалификации.

Пользуйтесь тором или другими прокси.

Если это пользователь Виндуза, не замечен в посещении Хабров, а при покупке задавал тупые вопрос - значит можно ему подсунуть с закладкой.

Закладка должна быть реализована в железе. Такие чипы в подвале не сделаешь, это не транзисторы подделывать.

Есть риски покупки подделки. Можно оформить процедуру продажи таким образом, что при выявлении проблем, у производителя будут возможности заявить об обмане продавцом.

Каким образом можно подделать, вы представляете? Прошивка криптографически защищена, в случае подделки это сразу обнаруживается. Железо, как я сказал, подделать практически нереально. Да и я не представляю себе алгоритм работы такого железа без поддержки из прошивки.

Для проверки, было бы полезно иметь программную реализацию подобных устройств. Например в виде приложения HTML-JS.
Тогда заурядный и неквалифицированный владелец мог бы сымитировать своё устройство на компьютере и сравнить результаты.
А само приложение, было бы доступно для проверки как пользователями, так и специалистами типа антивирусописателей ДрВеб и прочими.

Эмулятор, что ли? Есть у них на гитхабе. Не понимаю, правда, что это вам докажет...

[johhnyUA]

Трезоровцы ничего не подшаманили 100%. Исходники открыты, если бы там что-то такое было, уже давно бы обнаружили (особенно конкуренты). Если уж пытаться искать там "закладку", то только в аппаратной части, то есть в микроконтроллере. Но я не верю, что это возможно.

Трезоровцы то точно нет, потому что они только эти чипы программируют, а покупают их у STMicroelectronics, вроде бы STM32 серия, если память не изменяет. Это обычный чип управления, на него открыта полная документация у самого производителя. Но если уж ударяться в ядренную конспирологию, то как раз таки единственный кто может что то подшаманить это компания STM. В теме "Аппаратные кошельки" (чуть позже найду) было сообщение от знающего человека, что закладки на уровне создания чипа есть вероятность не обнаружить даже при обратной инженерии (тоесть травле чипа, снимая слой за слоем).

Но если в такое верить, то в пору и бояться облучения из розеток . По крайней мере, в случае если закладки кладет сам STM, то уже ничего и не поделаешь. Только не хранить всю сумму на архитектуре STM, а это собственно и Трезер и Леджер и Колдкей и все остальные. Типа чтобы если высадятся рептилоиды и прикажут своей шестерке STM снимать биткоины с этих аппаратников, можно было смеясь тыкнуть им фак

[Alex-70]

Но если в такое верить, то в пору и бояться облучения из розеток.

Бояться не надо, но слово "верить", применительно к криптографическим инструментам, неуместно.
Если ключи получать хешированием сиида, то смысла в этих Полканах и Тобиках нету.

[delfastTions]

Trezors - неспособность поддержать предстоящий форк  BCH

Производитель аппаратных кошельков Trezor вызвал критику после того, как объявил обладателям Bitcoin Cash (BCH), надеющимся получить новые монеты с хардфорка, ожидаемого 15 ноября, придется перевести свои монеты в другое место.

В объявлении от 5 ноября материнская компания Trezors, SatoshiLabs, заявила, что будет ждать, пока сообщество определит, какая реализация Bitcoin Cash будет доминировать в сети, двигаясь вперед:

"SatoshiLabs не будет участвовать в форке, пока решение не будет принято сообществом. Если вы хотите принять участие в нем, вы должны передать свой баланс BCH на другой кошелек, который поддерживает разделение монеты, чтобы убедиться, что вы получаете любые монеты в результате хардфорка "

[Xal0lex]

На одном из форумов за биткоины выставлена на продажу база данных 342 000 пользователей аппаратных кошельков Trezor, которая содержит ФИО, электронные адреса, номера телефонов и указанные фактические адреса проживания.

Обновлено: на данный момент Forklog не удалось подтвердить ее подлинность.

[zasad@]

На одном из форумов за биткоины выставлена на продажу база данных 342 000 пользователей аппаратных кошельков Trezor, которая содержит ФИО, электронные адреса, номера телефонов и указанные фактические адреса проживания.

Обновлено: на данный момент Forklog не удалось подтвердить ее подлинность.

может это база леджера

[Xal0lex]

На одном из форумов за биткоины выставлена на продажу база данных 342 000 пользователей аппаратных кошельков Trezor, которая содержит ФИО, электронные адреса, номера телефонов и указанные фактические адреса проживания.

Обновлено: на данный момент Forklog не удалось подтвердить ее подлинность.

Апдейт: в комментарии Forklog глава Satoshi Labs Павол Руснак заявил, что никакой базы Trezor нет в продаже, только база Ledger.

[johhnyUA]

На одном из форумов за биткоины выставлена на продажу база данных 342 000 пользователей аппаратных кошельков Trezor, которая содержит ФИО, электронные адреса, номера телефонов и указанные фактические адреса проживания.

Обновлено: на данный момент Forklog не удалось подтвердить ее подлинность.

Апдейт: в комментарии Forklog глава Satoshi Labs Павол Руснак заявил, что никакой базы Trezor нет в продаже, только база Ledger.

Ясное дело что нет. Тот кто покупал Трезор и оформлял доставку - в курсе почему. Например, Трезор не просит никакого мыла и никакой рассылки по нему не проводит. Поэтому про имейлы уже вранье было так то.

[zasad@]

https://www.youtube.com/watch?v=6pKuHYwrGkU
Никому нельзя верить в наше время, если у вашего трезора нет парольной фразы( 25 слова), то ваши монеты легко украсть.
Я думаю что такие zero day существуют для многих кошельков, толь мы об этом не знаем

[Alex-70]

Основная ошибка при оценке рисков - неприятие мысли о поломке устройства.
А для подавляющего большинства, думаю, это составляет 95% всех возможных рисков.

Так что, рациональнее не пользовать подобные устройства.

[diks]

Основная ошибка при оценке рисков - неприятие мысли о поломке устройства.
А для подавляющего большинства, думаю, это составляет 95% всех возможных рисков.

Так что, рациональнее не пользовать подобные устройства.

"рациональнее не пользовать" только, если так и не уразумел, как с достаточным уровнем безопасности сохранить все данные для восстановления и, в случае поломки\отказа аппаратника, без проблем, оперативно вернуть полный контроль над всеми средствами

компутеры зло и могут поломаться? - юзать лучину и абак

[Alex-70]

как с достаточным уровнем безопасности сохранить все данные для восстановления

-Ну и чушь...
Если можно сохранять дамп Трезора, а потом его загружать на другое устройство, то никакого смысла в этом нет.
Практически, это повторяет функциональность шифрованного диска.

[igor72]

-Ну и чушь...

Никакой чуши там нет.

Если можно сохранять дамп Трезора, а потом его загружать на другое устройство, то никакого смысла в этом нет.Практически, это повторяет функциональность шифрованного диска.

А вот это чушь. Диск обслуживается внешней системой (виндой с троянами), а в аппаратниках своя операционка.

[Alex-70]

а в аппаратниках своя операционка.

-Гениально!
Что-же тогда вы резервируете!!!???

[A-Bolt]

Что-же тогда вы резервируете!!!???

Мнемоническую фразу. Её, ведь, и на бумажку можно резервировать.

[Alex-70]

Мнемоническую фразу. Её, ведь, и на бумажку можно резервировать.

-Чудесно!
То есть, при поломке одного Трезора, берём следующего и вводим в него "зарезервированную" фразу!
И что тогда в этой Шаурме храниться?
Выводить все ключи из одной фразы можно и на компьютере, это никак не скажется на безопасности.

Поздравляю всех владельцев сего девайса - Вы заплатили тысячи рублей за Крипто-Тамагочи.

[A-Bolt]

Выводить все ключи из одной фразы можно и на компьютере, это никак не скажется на безопасности.

Можно. Но для тех, кто опасается хранить приватные ключи на компьютере, были придуманы аппаратные кошельки. При использовании аппаратного кошелька приватные ключи в компьютер не попадают.

Кстати. В банкоматах стоят обычные компьютеры. Но вводимые пользователями PIN-коды в эти компьютеры не попадают: они не выходят за пределы PIN-клавиатуры. Схожий принцип организации безопасности с аппаратными кошельками, не так ли? Почему-то производителям банкоматов не приходит в голову выкинуть PIN-клавиатуру и всю криптографию делать на компе.

[diks]

Поздравляю всех владельцев сего девайса - Вы заплатили тысячи рублей за Крипто-Тамагочи.

ах-ха-ха
шутка года, сЫпасиба, деду привейт передавай


претензия в чем заключается? или насильно ктот в крипту затащил и заставил юзать только через аппаратник, а ты решил всех редисок на чистую воду вывести?

бери код с гитхаба и создавай любое ПО под биток и другую крипту, хоть на калькуляторе пусть чекает чейны и подписывает транзакции - всем пох, если сеть одобрит
храни коды\пароли\сиды, как душа пожелает, т.к. скорее всего нах никому не нужно именно тебя ломать (но это не точно)

если прикуют голым к батарее и включат паяльник, уже ниче не спасет
не каждый пепелац с сигнализацией угоняют, и не каждую хату с охранной системой выставляют
100% защиты нет, а вот частичная и затрудняющая доступ к данным есть и аппаратник лишь один из видов такой защиты

нет 50-70-100 эвров (дешевле блядской комсы в дефях) на "тамагочи"? тогда к чему гундос

пы.сы. промо-код -10% от трезор HODL_BITCOIN_8sORtYrJIN
валидный в теч. 2-х месяцев