Már több bejegyzés volt crypto témában, járatosak vagytok/lehettek benne. Hátha van erről is véleményetek.
Electrum nevű cold-wallet-et szeretném használni, nem túl csilivili, hittel vagyok iránta, hogy csak azt csinálja, amit kell. A wallet létrehozásakor a 12 szavas listát legépelteti velem, megerősítéskor bekéri, egyik helyen sem megy a copy és paste. A végén azonban a wallet leíró fájlban ez az infó is benne van simán olvashatóan! (Hibáztam a tesztnél, mert nem adtam jelszót a walletnek, lehet akkor nem lehetne olvasni). Viszont sehol nem hívja fel a figyelmet a priv+public key mentésére, bár ezek is kinyerhetőek az infó fülön.
A szerverek ahova csatlakozikm elég furcsák, amolyan geek/warez/ncore világban érzem magam. Ilyen szerverekhez csatlakozik, a no-ip.biz-t külön kiemelném:
"electrum.coinext.com.br:50002:s",
"xtrum.com:50002:s",
"dxm.no-ip.biz:50002:s",
"ex04.axalgo.com:50002:s",
"electrum.bitkoins.nl:50512:s",
"electrum.hsmiths.com:50002:s",
"178.62.80.20:50002:s",
"btce.iiiiiii.biz:50002:s",
"elx.bitske.com:50002:s",
"ex.btcmp.com:50002:s",
"hodlers.beer:50002:s",
"188.230.155.0:50002:s",
"electrum.qtornado.com:50002:s",
"electrumx.erbium.eu:50002:s",
"electrum.blockstream.info:50002:s",
"electrum.emzy.de:50002:s",
"fortress.qtornado.com:443:s",
"bitcoin.aranguren.org:50002:s",
"blockstream.info:700:s"
Kraken és BitPanda a bróker, ahol van wallet-em (ezekkel próbálkozom most jelenleg). Ezek az online wallet-ek felhasználóbarátabbak mint ez az electrum hardcore cold wallet. Ha anyámnak kellene gépén electrumot használnia, kezelnie, nemelvesztenie, nemletörölnie, akkor soha nem terjedne el a crypto. Mondjuk a bummerek (beleértve engem is (M42)) nem túl nyitottak ebbe az irányba. Majd ha a fizetésüket ide kapják...
Egy HW wallet még nekem is sok: van rajta kijelző meg minden, de ha lemerül? Vagy onnan is ki lehet menteni a priv/pub kulcsokat?
Szóval mennyire láttok Ti (is) kockázatot egy ilyen software-es cold-wallet-ben?
Hozzászólások
nekem hardware walletjeim vannak es nemhogy nem merul le de egyenesen nincs is benne elem. viszont szerintem kicsit olvass utana jobban hogy hogy is mukodnek ezek a dolgok, mert szerintem mar az elejen a 12 szavas "jelszonal" elvesztetted a fonalat, hogy az mi is es miert kell leirni (es ebbol kovetkezoen miert nem megy a cut n paste, hint: nem szamitogepre kell lementeni :) )
amugy good luck, menni fog, csak az alapokat legalabb nezd meg
Igen, meg sokat kell tanulnom, €1k a tanulo keret. Nem a vilag penzet utaltam el a bitpandanak. A jelszo (priv kulcs) 12 szora egyszerusiteset ertem, sejtem is mar miert rakjam el egy szefbe papir alapon.
Fura egy vilag ez, lemaradtam az elmult par evrol, nem vettem komolyan. Most majd belehuzok. Es megprobalok nem mindent EUR alapon kigondolni. Plane nsm HUFban szamolva :)
Ps: latom hogy a hw nem egy elemes token, de valahogy nekem meg az messze van. Hiaba irjak hogy exportalhatoak a kulcsok. Ki kell probalni mindent, pragmatikus vagyok.
a 12 szavas: seed phrase a neve. Az elv ugyanaz, de a generalas modja kicsit mas-mas. Mashol nem is 12 szo van hanem 24/25. erre kell nagyon vigyazni, ebbol visszallithato minden, egyben ha valaki megszerzi akkor o is vissza tudja allitani.
a hw wallet hasonlo, csak ott a generalas utan mar tobbszor nem lehet kiolvasni a szavakat, sem a kulcsokat.
az online walletnel nem nalad vannak a kulcsok, ha valaki bejut az online cuccba es elviheti a coinjaid.
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!
Koszonom a részletes leirast, megerosit abban hogy jol gondolom.
Electrum régi motoros, nem hinném hogy szándékosan van benne bármilyen leak, én ajánlani szoktam olyan ismerősöknek akik nem milliós vagyonokat akarnak tárolni, esetleg csak próbálgatnák a dolgot, és sok macerát sem akarnak. Walletet lehet generálni offline gépen is, tonnányi tool van erre, onnét lejegyzeteled, kinyomtatod, aztán gyalu. De a legjobb tényleg a hw wallet. Elem nincs benne, usb-n kap tápot, a mnemonicot itt is le lehet/kell jegyeztelni. Az mnemonic algoritmusa publikus (van többféle, ahogy Elbandi írta, de a hw walletek jól dokumentáltak ilyen szempontból, meg tudod nézni hogy mit használnak), sok év múlva újra tudod belőle építeni a privát kulcs(okat) a hw wallet nélkül is. Vigyázni azt nagyon kell rá persze (mármint a papírra), de ezt írták már.
Es ez a hw wallet mihez illeszkedik? Gepre telepitett waller kezelők hasznaljak vagy online-hoz is jo?
Millos vagyonra miert nem jo egy sw megoldas? Ha nem trade-elek akkor inkabb ez mint a coinbase online taroloja.
A szoftverfelhozatal vegyes, alapvetően a gyártó ad hozzájuk alkalmazást, nekem Trezor van, az régen böngészőpluginból ment, ma már van natív alkalmazásuk (én ezzel használom), de egyébként az Electrum is tudja kezelni őket, a két legismertebbet legalábbis biztosan (Terzor, Ledger). A működésük lényege annyi, hogy a privát kulcs soha nem hagyja el az eszközt, és csak úgy ír alá bármit, ha fizikailag megnyomod a rajtuk levő gombot (ilyenkor a kijelzőjén látod is az aláírandó tranzakció adatait, így tudod ellenőrizni, hogy esetleg a gépre telepített időközben kompromittált "vezérlőszoftver" nem akar e átverni), valamint firmwarecsere ellen is védett. Ez nyilván ad egy plusz védelmet a 100%-ban szoftveres megoldáshoz képest, ahol elég egy keylogger, és vihetik mindened.
Hogy kinek hol húzódik abban a határ, hogy ilyen hw walletre szüksége van e vagy sem, az ugye egyéni preferencia kérdése, a "milliós vagyont" csak példának írtam.
Jó példa rá, hogy mennyire fontos dolog naprakészen tartani a (bármilyen) tudást: most hogy szóba hoztad, keresgéltem kicsit Trezor security témakörben, mert bevallom, én az elmúlt években csak használtam (pontosabban nem igazán használtam), a híreket pedig nem követtem a házuk táján. A konkurencia is (Ledger, milyen meglepő :D) és a Kraken security részleges is futott vele egy-egy kört, mindegyiknek sikerült kidumpolni Terzor eszközből privát kulcsokat, viszonylag könnyen. Persze fizikai hozzáférés szükséges hozzá, szét kell szedni, stb.. szóval azért most nem forgolódok e miatt álmatlanul, de a cserén mindenesetre elgondolkodtam.
Részletek itt: https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-tr…
szerk.: a passpharse funkció megvéd ezen támadási mód ellen, szóval felesleges eszközt cserélni, csak új seed + passphrase kell (gyakorlatilag egy új wallet a terzorra), és oda át kell mozgatni a régiből a coinokat.
A SafePal-t is kidumpolta a Kraken RE csoportja. Linux, elég régi és gyenge security megoldásokkal.
https://blog.kraken.com/post/7874/kraken-security-labs-finds-flaws-in-s…
Alapvetően a biztonság mindig arról szól, hogy a támadó mit tud megtenni, mennyi időt és erőforrást akar befektetni a támadásba. Vajon melyik az egyszerűbb? Random netes oldalt feltörni és az ott tárolt kulcsokkal vinni mindent, vagy megtudni, hogy a nicked mögött ki áll, utánajárni, hogy van-e crypto-d, hogy a privát kulcson tárolod-e az adatokat, kifigyelni a szokásaidat, betörni a lakásodra, elvinni a fizikai hardware-t, és feltörni, vagy csuklyát a fejedre, elvinni egy ismeretlen helyre és egy vascsővel kiverni belőled a jelszavakat?
https://xkcd.com/538/ :)
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!
Ha egy eszközt ajánlok, akkor vagyok annyira korrekt, hogy ismertetem a negatívumokat is, különös tekintettel ha a fő funkcióját érintő egyik paraméterben gyenge. Márpedig a Trezor ebben a dologban gyenge, a Ledgerrel szemben nem használ SE-t (secure element), egy mezei stm32 van benne, és szoftveresen védi a flash tartalmát. Hogy ebből ki milyen vélt vagy valós történetet meg use case-eket kerekít ki, az szerintem teljesen lényegtelen.
Alapvetően abban erős, hogy hardware-ben tárolja a kulcsot, tehát magát a hardware-t kell megszereznie a támadónak. Ez egy nagyságrenddel nehezebb támadás, mint egy sima gép/szerver feltörés.
Egyébként nem is értem, hogy miért nem a yubico oldalán néztek körben, ott kapásból találtam ilyet:
https://www.yubico.com/hu/works-with-yubikey/catalog/evercoin/
Azért ez merőben más kategória, kb. alma vs körte esete. Itt szoftver walletet védesz hw eszközzel. Fertőzött eszköz esetén ugyanúgy letolt gatyával állsz amint authentikáltál a yubikey-el, mert a privát kulcs ott van a gépen/telefonon. Arról nem is beszélve, hogy már a generálás is online módon történt.
Szoftveres wallet megoldásnál is védened kell erős titkosítással a privát kulcsot, de van egy pont amikor decryptelni kell, ha használni is akarod. Ezen pont után van az a működési mód/időszak (ramban, rossz esetben disken a decryptelt privát kulcs), ami miatt az azt igénylők inkább hw walletet vesznek. A Yubikey ezen nem tud segíteni, de annyi előnye van, hogy a keyloggertől legalább megvéd. Ja, és hogy is backupolnád pontosan? Mert ugye itt nem MFA-ról van szó, amihez probléma esetén hozzádobunk egy új tokent (yubikeyt), vagy adunk az usernek más belépési módot. Ez olyan mint egy széf, amit nem nyitogathatunk kedvünkre egy teljesen más kulccsal, csak azért, mert az eredeti elveszett. Ugyanakkor kell hogy legyen válasz az eredeti kulcs másolhatóságára, és erre hivatott a seed/mnemonic. Az már természetesen a te dolgod, hogy ezt megvédd (papírra írod, acéllemezbe gravírozod, elteszed széfbe, stb..). Ennél nem jobb/rosszabb a yubykey, csak más, pontosabban másra való.
És akkor azt ne is feszegessük hogy valójában de, az általad linkelt megoldásnál MFA-ról van szó, mert az Evercoin wallet egy olyan cég terméke, aki online szolgáltatás keretében nyújtja a walletet. A használathoz regisztráció és ID verify szükséges (selfie, személyi igazolvány scannelése, stb..). A yubikeyt a saját webservice-ükhöz használják, nem a telefonon levő privát kulcs védelméhez. Illetve közvetetten persze igen, de lássuk be, hogy ez nagyon nem ugyanaz.
Hardware wallet esetén (Terzor, Ledger, stb..), a privát kulcs soha nem hagyja el a hw walletet, eleve csak ott jön létre, és magán a walleten futó szoftver írja alá a tranzakciót (ami természetesen opensource, és ha így sem bízol benne, akkor kicserélhető).
Igen, jellemzően gépre/mobilra telepített programok tartják a kapcsolatot a hardverrel. Viszont a Ledger Nano S|X összekapcsolható a böngésző kiegészítőként működő MetaMask wallettel is. Elterjedt még a SafePal és a Trezor hw wallet is.
Milliós vagyonra is jó a sw wallet, ha biztos vagy benne, hogy a privát kulcs csak neked van meg. Éppen ezért én nem tartom a hw cold walleteket sem tuti biztos megoldásnak, mert az interneten lógó gépre telepített kezelő programról nem tudjuk, hogy mit kommunikál az eszközzel és mit küld haza. De a brókerek (coinbase, binance, ...) által neked létrehozott walleteknél vagy a böngésző kiegészítéseknél bizonságosabbak.