Трезор: Биткоин аппаратный кошелек~Trezor: Bitcoin hardware wallet

[Alex-70]

хранить приватные ключи на компьютере

-Ну-Блин-В-Кампот-Вам!!!
Зачем ХРАНИТЬ приватные ключи!!!???
Вывели ключ, подписали что хотели, и не-сохраняем приватный ключ.

[witcher_sense]

https://www.youtube.com/watch?v=6pKuHYwrGkU
Никому нельзя верить в наше время, если у вашего трезора нет парольной фразы( 25 слова), то ваши монеты легко украсть.
Я думаю что такие zero day существуют для многих кошельков, толь мы об этом не знаем

Если мошенник получил физический доступ к устройству, имея при этом необходимое оборудование для извлечения секретной информации, то можно лишиться средств в мгновение ока. Парольная фраза увеличивает время для взлома, но он всё ещё возможен, если мошенник готов затратить неограниченное число ресурсов. Это справедливо для любого аппаратного кошелька, независимо от их уровня безопасности, если на кону большие деньги, то будьте готовы, что средства могут пропасть. Вообще, аппаратник не создан для защиты от физических атак, это не Форт Нокс. Так что если вы потеряете аппаратный кошелек, то безопаснее будет перевести все средства а другое место, а не надеяться, что ваш кошелек "безопаснее" того же Трезора.

[igor72]

Вывели ключ, подписали что хотели, и не-сохраняем приватный ключ.

Подписали где? На онлайн-компе с троянами?

Если мошенник получил физический доступ к устройству, имея при этом необходимое оборудование для извлечения секретной информации, то можно лишиться средств в мгновение ока. Парольная фраза увеличивает время для взлома

...до очень большого, слишком большого (при фразе хотя бы из 10 случайных цифробукв)

но он всё ещё возможен, если мошенник готов затратить неограниченное число ресурсов.

Да, но их у него нет и быть не может. Что такое "неограниченное число ресурсов"? Миллионы лет?

[A-Bolt]

Зачем ХРАНИТЬ приватные ключи!!!???
Вывели ключ, подписали что хотели, и не-сохраняем приватный ключ.

Как только вы вводите приватный ключ в комп: либо с клавиатуры, либо путём сканирования QR-кода, либо при помощи хеширования фразы "мама мыла раму" - в любом из этих случаев приватный ключ хранится в RAM какое-то время. Факт нахождения приватного ключа в RAM компьютера является потенциальным каналом утечки приватного ключа.

[Alex-70]

Факт нахождения приватного ключа в RAM компьютера является потенциальным каналом утечки приватного ключа.

-Во-первых, возможность компрометации системы является основанием для отказа от системы, но никак не может быть скомпенсирована использованием другого устройства.
-Во-вторых, нет возможности обойти клавиатуру и память компьютера, если потребуется как-то сохранить и восстановить содержимое криптографических устройств.

Реальная польза и надёжность электронных кошельков будет только, если инициализирующая фразу можно вводить через клавиатуру самого кошелька МК-85Б

---

Кстати, внезапно,  мой провайдер https://plsspb.ru/ заблокировал Bitcointalk.org.

[igor72]

Реальная польза и надёжность электронных кошельков будет только, если инициализирующая фразу можно вводить через клавиатуру самого кошелька

А как, по-вашему, она вводится на леджерах-трезорах?

[Alex-70]

как, по-вашему, она вводится на леджерах-трезорах?

-С клавиатуры компьютера. 24 слова с рандомизированым порядком ввода даёт 79 bit. Для большинства нищебродов достаточно, но говорить о надёжности - нельзя. Плюс, риски со слабостью ГСЧ кошелька.

[igor72]

-С клавиатуры компьютера.

Нет. В трезорах есть такая опция, но никто не мешает ввести с девайса.

24 слова с рандомизированым порядком ввода даёт 79 bit.

Опять мимо ). 24 слова дают 256 бит, 12 слов - 128.

Плюс, риски со слабостью ГСЧ кошелька.

Никто не мешает ввести свои слова, в случайности генерации которых вы уверены.

[Alex-70]

Опять мимо ). 24 слова дают 256 бит, 12 слов - 128.

Это Вы посчитали разрядность фразы из 24 "десятибитных" слов.
А мы полагаем, что наш компьютер прям-таки набит червями да троянами.
Следовательно, слова инициализирующей фразы скомпрометированы, и остаётся одна надежда на порядок ввода, который показывает валлет. Он действительно остаётся секретным для системы, но это 24!=24*23*22*21*20*19*18*17*16*15*14*13*12*11*10*9*8*7*6*5*4*3*2=620448401733239439360000≈2^79
Так что надо требовать сиид из 50 слов, тогда получим более адекватные 215 бит.

[igor72]

Это Вы посчитали разрядность фразы из 24 "десятибитных" слов.

"Одинадцатибитных".

А мы полагаем, что наш компьютер прям-таки набит червями да троянами.

При чем тут компьютер? 24 слова компьютер не может знать, они туда не вводятся.

Следовательно, слова инициализирующей фразы скомпрометированы, и остаётся одна надежда на порядок ввода, который показывает валлет. Он действительно остаётся секретным для системы

Не понял. Если уж слова скомпрометированы, то и порядок скомпрометирован.

[A-Bolt]

А мы полагаем, что наш компьютер прям-таки набит червями да троянами.
Следовательно, слова инициализирующей фразы скомпрометированы, и остаётся одна надежда на порядок ввода, который показывает валлет.

Во-первых, Trezor T имеет тачскрин, который позволяет ввести фразу прямо в устройство.

Во-вторых, Trezor One, который не имеет тачскрина, и не позволяет ввести фразу без использования компьютера, имеет посимвольный режим ввода фразы, где фраза вводится по буквам, а не по словам, и расположение букв на экранной клавиатуре знает только устройство.

[Alex-70]

Если уж слова скомпрометированы, то и порядок скомпрометирован.

Фраза вводится пословно в программе на компьютере, но очерёдность слов определяется валлетом, он показывает номер слова, которое надо ввести.

abcdefghik - Допустим, это пароль
143792865 - а это порядок ввода элементов пароля, который отображается на экране кошелька
Аналогично, можно вводить пинкод.

Во-вторых, Trezor One, который не имеет тачскрина, и не позволяет ввести фразу без использования компьютера, имеет посимвольный режим ввода фразы, где фраза вводится по буквам, а не по словам, и расположение букв на экранной клавиатуре знает только устройство.

-О-у, ну это меняет дело, спасибо! Хотя Тамагочи  всё равно неадекватно дорогой  

Осталась пара ключевых сомнений
1) Возможность чтения дампа микросхемы памяти.
2) Гарантия доступности совместимых устройств в неопределённом будущем.

[igor72]

Если уж слова скомпрометированы, то и порядок скомпрометирован.

Фраза вводится пословно в программе на компьютере, но очерёдность слов определяется валлетом, он показывает номер слова, которое надо ввести.

Ок, я вас понял. Да, при таком способе ввода вы правы, число комбинаций можно считать как 24!. Но, еще раз, есть более безопасный способ ввода слов. Вот видео, например: https://www.youtube.com/watch?v=Xogtx4IPVSQ

Можно ли сохранить дамп?

Так кажется в том ролике от Kraken как раз дамп и сохраняли, нет?

[Alex-70]

Так кажется в том ролике от Kraken как раз дамп и сохраняли, нет?

Нет, там только "рековери".

И всё равно - дурка это, пока на JavaScript не будет эмулятора, сурьёзно пользоваться весьма стрёмно. Может получиться так, что сломаешь, а новый будет не купить.

[johhnyUA]

Факт нахождения приватного ключа в RAM компьютера является потенциальным каналом утечки приватного ключа.

-Во-первых, возможность компрометации системы является основанием для отказа от системы, но никак не может быть скомпенсирована использованием другого устройства.

Если другое устройство не обладает такими уязвимостями, это не повод перейти на него?

Реальная польза и надёжность электронных кошельков будет только, если инициализирующая фразу можно вводить через клавиатуру самого кошелька МК-85Б

В Трезоре ты считай вводишь через клавиатуру самого кошелька. Там каждый раз генерируется новая клавиатура, и ты должен ввести свой пин. Чтобы такое взломать, надо залезть "внутрь" трезора и перехватить считай эту сессию. От таких атак как я помню STM32 вполне защищен.

Если ты об изначальном наборе энтропии, то как я помню, Трезор использует внешний источник энтропии, в Линуксе например urandom (но здесь могу ошибаться, возможно в нем встроенный)

[Alex-70]

Если другое устройство не обладает такими уязвимостями, это не повод перейти на него?

Я имел ввиду, работу с доверенным устройством через скомпрометированную систему.

В Трезоре ты считай вводишь через клавиатуру самого кошелька. Там каждый раз генерируется новая клавиатура, и ты должен ввести свой пин. Чтобы такое взломать, надо залезть "внутрь" трезора и перехватить считай эту сессию. От таких атак как я помню STM32 вполне защищен.

Проблема в том, что Trezor One не имеет клавиатуры. Ключевая фраза вводится с компьютера и сами слова доступны, а секретом остаётся последовательность ввода слов, а это принципиально снижает мощность секрета до 24!=2^79, что совершенно неадекватно.

Если ты об изначальном наборе энтропии, то как я помню, Трезор использует внешний источник энтропии, в Линуксе например urandom (но здесь могу ошибаться, возможно в нем встроенный)

Во-первых, неправильно используете термин энтропия.
Во-вторых, кошелькам не требуется что-то случайное для шифрования, иначе будет не восстановить.
В третьих, брать внешний /dev/urandom нельзя, так как он, мы полагаем, скомпрометирован.

Random можно использовать только для начального блока при шифровании или для подписи. Но в подписи на эллиптических кривых, это практически не используется, так как появление одинаковых сообщений с разными подписями ослабляет приватный ключ.

[igor72]

В Трезоре ты считай вводишь через клавиатуру самого кошелька. Там каждый раз генерируется новая клавиатура, и ты должен ввести свой пин. Чтобы такое взломать, надо залезть "внутрь" трезора и перехватить считай эту сессию. От таких атак как я помню STM32 вполне защищен.

Проблема в том, что Trezor One не имеет клавиатуры. Ключевая фраза вводится с компьютера и сами слова доступны, а секретом остаётся последовательность ввода слов, а это принципиально снижает мощность секрета до 24!=2^79, что совершенно неадекватно.

Я ж вам видео давал. Ну вот еще одно, на сей раз на русском языке https://www.youtube.com/watch?v=KnECfZeCEfM
Фраза вводится на устройстве, а не на компьютере.

[johhnyUA]

Если другое устройство не обладает такими уязвимостями, это не повод перейти на него?

Я имел ввиду, работу с доверенным устройством через скомпрометированную систему.

Любая криптосистема строится на предположении того, что система/канал через которую происходит обмен информацией - скомпроментирован. Для этого собственно оно и нужно. На абсолютно доверительной системе никакое шифрование и ухищрения не нужны.

Проблема в том, что Trezor One не имеет клавиатуры. Ключевая фраза вводится с компьютера и сами слова доступны, а секретом остаётся последовательность ввода слов, а это принципиально снижает мощность секрета до 24!=2^79, что совершенно неадекватно.

Ну вам выше скинули ссылку на видео, где вводится с экрана Трезора. Это раз
Во вторых, и на устройстве можно вводить с виртуальной клавиатуры, как встроенной так и любой другой. Кейлогер здесь не поможет, максимум можно фотографировать экран и/или считывать координаты мышки. Но координаты помогут только если знаешь как выглядит клавиатура.

А третий момент, что изначальная мнемоника отображается на экране Трезора, собственно для бэкапа. Поэтому момент "ввода сид фразы" не совсем понятен. Если вы хотите восстановить кошелек, всегда ведь можно подготовить систему, чтобы уменьшить вероятность неприятных ситуаций.

Во-первых, неправильно используете термин энтропия.
Во-вторых, кошелькам не требуется что-то случайное для шифрования, иначе будет не восстановить.
В третьих, брать внешний /dev/urandom нельзя, так как он, мы полагаем, скомпрометирован.

Вполне правильно я его использую. Я правда не совсем понял термин "изначальная фраза", вот это да. Поэтому мог не к тому месту написать. Возможно так оно и есть, потому что далее вы пишете о шифровании, а я имел ввиду изначальную "затравку" сида.

[Alex-70]

Ну вот еще одно, на сей раз на русском языке https://www.youtube.com/watch?v=KnECfZeCEfM
Фраза вводится на устройстве, а не на компьютере.

1:34 - автор вводит инициализирующую фразу на компьютере в "продвинутом" режиме.
Да, это кажется супернадёжным, так как указываются не слова, а позиция слова на экране кошелька.

НО!!! Это не ввод с клавиатуры кошелька. То, что слова появляются в случайном порядке, это только вам кажется.
Порядок слов на экране кошелька может определяться внутренним состоянием или браться как "/dev/urandom" из компьютера.

Проблема остаётся. При целенаправленной атаке - логер на компьютере и последующее похищение или подмена приведут к раскрытию вашей фразы.

Кстати, можно было бы сделать проще ввод и защититься от логера: вводить фразу в бинарном виде - каждое слово десять цифр 01, двумя кнопками вполне можно ввести, а с компьютера отправлять только команды и backspace.

[igor72]

Проблема остаётся. При целенаправленной атаке - логер на компьютере и последующее похищение или подмена приведут к раскрытию вашей фразы.

1. Вы фантазируете, проблемы нет. Неубедительно.
2. При целенаправленной атаке подменяется устройство и достается сид из дампа.
3. Не доверяете этому способу ввода - в новой модели трезора есть сенсорный экран.

Кстати, можно было бы сделать проще ввод и защититься от логера: вводить фразу в бинарном виде - каждое слово десять цифр 01, двумя кнопками вполне можно ввести, а с компьютера отправлять только команды и backspace.

Это называется "проще ввод"?) Тогда уж лучше сделать, как в леджерах - там просто кнопками листаются и выбираются символы. Но ввод, как в видео выше, эффективнее.