Topic: Аппаратные кошельки - page 16. (Read 153204 times)

Главная проблема, это не понимание основ создания любой архитектуры. Зачем прегенерировать сотни адресов сдачи для тысяч доступных криптовалют, если можно иметь только алгоритм деривации (откуда и появляются адреса сдачи) и делать это по нужде? Сделал перевод - получил остаток на адрес сдачи. Сделал с него перевод - еще новый. И так далее. Во флешпамяти поместятся десятки тысяч адресов сдачи, если не больше.

Притом, что алгоритм деривации практически у всех криптовалют одинаков, и даже путь часто похож, отличаясь только индексом криптовалюты:

m/44/0 ... - это биткоин. А если было бы 60, то был бы Эфир и так далее.
ничего сложного  

What’s really happening under the hood during the recovery process is that the wallet is guessing the key indices — and it can guess very accurately, for two reasons. First, when you originally generated your addresses, the wallet generated them from sequential key indices: when you clicked “New Address” three times, you got addresses 0, 1, and 2. Second, the wallet assumes that you used those addresses in sequential order, i.e. address 0 will appear in the blockchain before address 1. So during the recovery process, the wallet begins by using your seed to generate address 0, and looks for that address in the blockchain. If it finds address 0, it starts looking for address 1 (as well as address 0, since it could appear multiple times). If it finds address 1, it starts looking for addresses 0, 1, and 2. At the end of this process, the wallet will have found all of your address that appear in the blockchain, and will know which key indices were used to generate them.

Есть ньанс - что этот холодный кошелёк может сломаться или могут украсть
Гораздо проще держать валюту на просто чистом компе, не скачивать ничего пиратского и всё

Где я написал, что внешний софт должен иметь доступ к сиду? Внешний софт отправляет путь деривации и по результату вычислений кошелька получает адрес. Никакого доступа ни к сиду ни к приватным ключам он иметь не может.
Насчет хранения адресов сдачи в памяти кошелька. Почему тогда Trezor не хранит адреса получения если это так просто реализовать? Кроме того Trezor допускает создание до 10 акаунтов https://wiki.trezor.io/Account умножте это на количество поддерживаемых монет (за исключением таких как эфир и эфир класик) и получите количество адресов сдачи которые нужно хранить.
Кстати при востановлении резервной сид фразы на новый кошелек вы получите все балансы в том числе и с адресов сдачи, а уж новый кошелек точно не знает что и на каких адресах лежит. Так что хранить в флэшпамяти адреса или идексы абсурдная идея.

Адрес сдачи определяется в самом аппаратнике. Там стоит  микроконтроллер серии STM32F2 с флешпамятью от 512 кб до 1 мб и ram памятью d 128 кб. Вполне хватит для деривации адресов сдачи (это не сложная логическая операция) и их хранения. Чтобы получать адреса сдачи, внешний софт должен иметь доступ к сиду. Если бы такое было, то смысла в аппаратнике бы не было вообще.

Это так, на вскидку. Завтра гляну документацию по Трезору, мб исправлю пост.

Почему глупости? Где по вашему определяется адрес сдачи? Задача самого кошелька безопасно хранить сид, динамически расчитывать адреса и ключи и подписывать транзакции с помощью внешних команд. Сам по себе кошелек понятия не имеет на каких адресах у него есть монеты и на каких адресах есть сдача. Выяснением где что находится занимается внешее програмное обеспечение, в том числе и серверная часть и уже по результатам выяснения кошельку даются соответствующие команды на формирование нужного адреса.

И это неправильно как по мне. В Трезоре есть возможность определить адреса (через официальный клиент Трезора, в Електруме например так не выйдет) под определенные нужды, но по умолчанию Трезор заставляет людей привыкать к тезису: каждый перевод - новый адрес . В Леджере тоже самое как я помню. А в этом СОВО как я вижу пошли типичным, "банковским" методом.


Глупости

COBO придерживается политики, что каждый отдельный адрес это как отдельный банковский счет, для различных целей: один для торговли на бирже, другой для интернет платежей и т.д. поэтому автоматически новые адреса он не создает.

Меня больше заинтересовало другое, в вашей статье написано, что ТREZOR для получения монет выводит идекс адреса на экран кошелька, по сути это вся защита, то есть если вы заметили какой то аномальный индекс, то сможете предотвратить потерю средств. Только при отправлении сдачи на один из внутрених адресов он такой путь на экран не выводит и делает все автоматически без вашего согласия, а там не только номер индекса можно изменить но и например номер аккаунта, тогда поиск средств станет бессмысленным. Вобщем вопрос безопасного использования TREZOR для меня остается открытым.

Я поэтому и удивился как такое может быть, аппаратник с одним  единственным адресом. Походу за то куда переводить сдачу отвечает не сам аппаратник,  а программное обеспечение к которому  он подвязан. Как оно скажет так и будет. Электрум при подключенном Леджер    может например для запутывания следов расфасовывать сдачу по нескольким адресам, а Леджер дает доступ к этим адресам..

Не знаю,кобой не пользовался, но если так как вы говорите  то коба хероватый кошелек. Что там тогда от HD и зачем мне аппаратник с одним единственным адресом?

В таком случае, если должным образом уделять внимание вопросам защиты компа, то можно и аппаратником не пользоваться. Но тут никогда не знаешь где тебя и что ждет.

Я вот хотел уточнить у знающих, если я скачиваю нужным не кошелек и устанавливаю его на чистом компе не подключённому никогда к инету, там его устанавливаю и уже на получений адрес отправляю монеты. Что будет безопаснее, такой кошелек, или аппаратник?

Мораль - если пользуетесь аппаратником уделяйте внимание вопросам защиты своих компьютеров.

Леджер и трезор поспешили объявить, что они пофиксили свои прошивки и такая атака якобы стала невозможной. Но на самом деле они лукавят. Сделать ее невозможной нельзя, потому что в такой атаке для ключа можно выбрать любой последний индекс. Они пофиксили только для определенного диапазона этого индекса. Все что выше - уязвимо.

Мораль - если пользуетесь аппаратником уделяйте внимание вопросам защиты своих компьютеров.

У леджера закрытый код. Про взлом новостей нет
Боязно хранить все монеты на одном аппаратном кошельке, и не факт, что работа по прижатию производителей аппаратных кошельков не ведется или не провелась 
Нужно как белка распихивать небольшие суммы по разным кошелькам, чтобы невозможно было все изьять.

Тоже были такие мысли, что производителей аппаратных кошельков теоретически могут прижать и обязать делать какие-нибудь лазейки в коде. Кстати, если не ошибаюсь, то у леджер ведь исходный код операционки bolos не полностью открыт.

Им проще будет подкупить часть производителей и встраивать собственные бэкдоры, которые позволят обойти защиту кошелька, но даже после единичного случая такого взлома, производителей навсегда останется не у дел. Поэтому качественные аппаратники никогда не создадут в странах, где государство давит на бизнес и навязывает свои порядки. Ни один здравомыслящий пользователь не купит кошелек от Касперского или Яндекса, так как все его средства пропадут при любой подобной оказии.

Подразделение цифровой криминалистики налоговой службы США ищет специалистов способных взломать аппаратные криптокошельки.

Пишут, что безопасность аппаратных кошельков представляет проблему для следователей. В сообщении говорится, что даже при наличии физического устройства, сотрудники не могут получить к нему доступ, если подозреваемый не предоставит пароли. То есть это не единичный случай. А как же паяльник или утюг?

Хорошая новость для производителей и какое-никакое но признание качества криптокошельков. Хотя, если кто-нибудь научит налоговую службу пользоваться поиском в гугле и почитать к примеру Reddit, то получится, что именно физический доступ к аппаратным кошелькам - самая большая уязвимость. Плюс есть записи и отчёты целых конференций по безопасности, где на пальцах показывают всяческие уязвимости.

https://exbase.io/ru/wiki/oflajn-stejking
Офлайн-стекинг – это когда пользователи блокируют определённое количество криптовалюты на своих офлайн-кошельках с последующим получением за это вознаграждения. Для этих целей используются автономные или аппаратные кошельки
.. пользователи не передают свои средства какой-либо третьей стороне, так что не разделяют своё право собственности с другими. Им всего лишь нужен аппаратный кошелёк, например, от Trezor или Ledger, который поддерживает функцию делегирования ставок.
..
Реальные примеры
К сожалению, существующие системы стейкинга, как прямого, так и делегированного, в подавляющем большинстве своём подразумевают использование горячих кошельков с постоянным подключением. Либо же – передачу контроля над криптовалютными активами третьим сторонам или специальным сервисам.

https://cryptocurrency.tech/kak-vybrat-apparatnyj-kriptokoshelek/
В Ledger Nano S предусмотрена поддержка более тысячи криптовалют. Вдобавок Леджеры поддерживают стейкинг.

https://cryptonist.ru/catalog/cobo/
Преимущества кошельков Сobo
Cobo – первая в мире ведущая компания по производству кошельков, которая предлагает вознаграждение за стейкинг и мастерноды для держателей криптовалюты, что позволяет пользователям легко наращивать свои цифровые активы.

https://cryptonist.ru/blog/goryachie-koshelki/vybor-koshelka-dlya-kriptovalyuty/
Guarda – некастодиальный мультивалютный криптокошелек для обмена, хранения и переводов криптоактивов. Сочетает в себе простоту и безопасность. Guarda поддерживает мультиподписи, встроенный обменник и стейкинг, основанный на механизме PoS.
Proof-of-Stake (PoS) – это усовершенствованный алгоритм консенсуса Proof-of-Work (PoW). Вместо дорогостоящего оборудования, которое потребляет много электроэнергии, для генерации блоков используются узлы (ноды), на которых зарезервирована определенная сумма монет. Ноды добавляют транзакции в блоки и получают вознаграждение.
Одно из преимуществ Guarda – поддержка других криптовалют, кроме BTC. Guarda совместим с операционными системами Windows, Mac OS и Linux.
Есть также мобильная и веб-версия Guarda, а также бумажный кошелек.

https://cryptonist.ru/blog/goryachie-koshelki/vybor-koshelka-dlya-kriptovalyuty/
Бумажные кошельки криптовалют
Бумажные биткоин-кошельки – это устаревший метод хранения Bitcoin, который был популярен в период с 2011 до 2016. Мы предоставляем информацию о них только для ознакомления. Этот способ удобен для хранения, но небезопасен для траты биткоина. Кроме того, у бумажных кошельков есть и другие недостатки:
Их легко повредить, что приведет к потере средств;
Их могут украсть;
Их неудобно использовать, поскольку необходимо наличие принтера;
Представляют угрозу анонимности, поскольку биткоин-адреса используются повторно;
Закрытые ключи хранятся в открытом виде и могут быть скомпрометированы
То есть помимо виртуальных угроз, которым подвергаются программные криптоклиенты, добавляются риски из реального мира. Для генерации адресов используется язык Javascript.
BitAddress
BitAddress – это онлайн-генератор бумажных биткоин-кошельков с открытым исходным кодом. Чтобы воспользоваться BitAddress, необходимо создать и распечатать файл, содержащий открытый и закрытый ключ.
На публичный адрес необходимо отправить монеты, которые будут храниться автономно. Это предотвратит какие-либо киберугрозы. Однако угрозы могут возникнуть во время проведения транзакций, поскольку так или иначе пользователям потребуются программные клиенты для импорта криптокошелька.
Bitcoin.com Paper Wallet
Это бумажный кошелек, представленный официальным разработчиком Bitcoin Cash (BCH). Bitcoin.com Paper Wallet позволяет автономно хранить биткоин кэш и тратить монеты, не подключаясь к Интернету.
Процесс создания кошелька идентичен тому, что предлагает сервис BitAdress. Bitcoin.com Paper Wallet генерирует бумажные криптосчета с различным красивым дизайном, у которого есть для ручного создания заметок. Пользователи также могут выбрать количество генерируемых адресов и защитить монеты с помощью зашифрованной кодовой фразы.

https://www.reddit.com/r/TREZOR/comments/i4klo4/trezor_cardano_staking_now_possible_and_we_wrote/
Сообщение отu / steakandbaker
8 месяцев назад
Ставки Trezor Cardano теперь возможны, и мы написали для вас руководство
Наше руководство по стейкингу Cardano предназначено для Trezor Model T.
С новым обновлением прошивки Trezor v2.3.2 и помощью Adalite.io вы можете сделать ставку на свой ADA уже сегодня!
Получите, пока это 🔥🔥🔥
Хотел бы заработать вашу делегацию.
Посетите наш сайт или pooltool.io для получения дополнительной информации.
🥩🥩🥩 Стейк и Ада

https://bitcointalksearch.org/topic/stakebox-a-dedicated-staking-device-for-proof-of-stake-pos-cryptocurrencies-3024571 - Тема: StakeBox - специальное устройство для ставок на криптовалюты Proof of Stake (PoS)
Всем привет!
Недавно мы запустили новый сайт (суббренд нашей основной компании, http://pi-supply.com/ ) под названием https://www.stakebox.org/, где мы продаем специализированные устройства для стейкинга. для пользователей криптографии, а также других продуктов цифровой безопасности (Trezor, KeepKey, YubiKey и т. д.).
Мы сотрудничаем с несколькими криптовалютами, которые уже есть на StakeBoxes, такими как QTUM, Reddcoin, Neblio, Pinkcoin, Cloakcoin, Whitecoin, и еще многие другие в разработке Смайлик
https://imgur.com/CeRUz6y https://imgur.com/ xaueXmS
По сути, с помощью StakeBox мы создали специальные наборы для ставок для криптовалют Proof-of-Stake. Вместо того, чтобы постоянно оставлять свой ноутбук / настольный компьютер открытым (что для многих непрактично) для стекинга монет, вы можете использовать StakeBox. Для сравнения, если вы настроили StakeBox с определенной криптовалютой (например, QTUM) с вашим кошельком QTUM на Pi, установленным в режим стекинга, вы можете оставить Pi сидящим на вашем столе / в спальне / на работе, подключенным к Интернет, работающий круглосуточно и без выходных, без необходимости вмешиваться, зарабатывая проценты от суммы криптовалюты в вашем кошельке. В процессе размещения ставок нет необходимости потреблять электроэнергию на весь настольный компьютер / ноутбук.
Процентные ставки варьируются в зависимости от того, какую криптовалюту вы ставите (плюс другие факторы). Мы рекомендуем вернуться к калькуляторам / рекомендациям, предоставляемым большинством криптовалют, которые позволяют вам оценить, какой может быть ваша рентабельность инвестиций. Например, вот калькулятор ставок для QTUM: https://qtumexplorer.io/qtum-staking-calculator
В комплект входит все необходимое для начала работы (кроме монитора, но в комплекте есть кабель HDMI, который можно использовать для подключения к экрану), его размер примерно такой же, как у кредитной карты, а высота - несколько сантиметров.
Узнайте больше на https://www.stakebox.org/

https://bitcointalksearch.org/topic/looking-for-good-bitcoin-desktop-wallet-better-if-it-is-staking-if-one-exits-2934730
12 февраля 2018 г., 20:58:25
Сеть Биткойн не использует доказательство доли в качестве механизма консенсуса, поэтому нет кошельков для стейкинга для BTC.

https://bitcointalksearch.org/topic/m.20439232
https://bitcointalksearch.org/topic/proof-of-stake-bitcoin-2050869 - Тема: Биткойн Proof of Stake? (Прочитано 15688 раз)
Вы когда-нибудь думали, что биткойн будет доказательством ставки?
monsterer2   28 июля 2017 г., 07:07:07
Каждая монета PoS - это частный клуб с доверенными владельцами, как и компания Visa. Когда вы инвестируете в монету PoS, вас обманывают, заставляя думать, что вы инвестируете в будущее, тогда как на самом деле вы инвестируете то, что никогда не может работать так, как задумано.
Прочтите это для более подробной информации:
https://bitcointalksearch.org/topic/proof-that-proof-of-stake-is-either-extremely-vulnerable-or-totally-centralised-1382241 - Тема: Доказательство того, что Proof of Stake либо чрезвычайно уязвим, либо полностью централизован (Прочитано 11543 раз)

MicroSD однозначно дополнит возможность хранить пароли от TPM (Trezor Password Manager), так как само приложение интересное, но место хранения немного роняет его полезность. Так как при смене ПК, необходимо давать доступ к Dropbox или Google Drive. А SD карта помогла бы хранить этот файл и получить доступ к паролям из любого места.
Как только появятся новости, я обязательно сделаю видос.
https://www.youtube.com/c/cryptonist/videos

http://polit.reactor.cc/post/4505693
– Разве сайты, тем более американские Google.com или Facebook.com, перед открытием не запрашивают подтверждение и после не шифруют соединение "пользователь – сервер"? Каким образом россиянам удалось вставить туда "посредника" и считывать зашифрованный трафик?
– Подсунув подменный SSL-сертификат в веб-браузер. Подчеркиваю: именно подменный, а не поддельный. SSL-сертификат – это технология аутентификации, которая, если вы открываете Google, говорит веб-браузеру: да, это точно Google. Подделка SSL-сертификата – это, по сути, базовая хакерская атака, а вот подмена – это базовая функция того, кто этот сертификат продает. Подмена доступна исключительно официальному органу, и делается это на основании запроса и, как правило, "для борьбы с терроризмом". У России не было способа по-другому реализовать задачу контроля и считывания трафика любого пользователя в интернете. Закон о так называемом "суверенном интернете", принятый в Госдуме, заставляет всех интернет-провайдеров, работающих на территории России, закупать и ставить у себя специальное оборудование. Что внутри этого оборудования, официально неизвестно, но все соединения в интернете идут исключительно через него.
– А что может быть внутри этого оборудования – шпионские программы?
– Мы точно знаем, что там внутри – подмена SSL-сертификатов (которые доверенные корневые центры сертификации выдали России по ее запросу), расшифровка вашего трафика, резервное копирование и шифровка для отправки на сервер. И люди вместо того, чтобы подключиться в интернете напрямую к любому сайту, сами того не зная, подключаются через посредника, который влезает в их частную жизнь, точнее – читает их трафик. Самое страшное, что на этих серверах остаются все ваши логины и пароли.

https://www.schneier.com/blog/archives/2019/02/on_the_security_1.html
GCG • February 26, 2019 3:36 AM
How about the Trezor password manager ?
https://wiki.trezor.io/User_manual:Password_Manager

https://wiki.trezor.io/User_manual:Password_Manager
Trezor Password Manager работает с Chrome
Установите расширение Trezor Password Manager Chrome (TPM)
Добавьте расширение Trezor Password Manager Chrome в свой браузер https://chrome.google.com/webstore/detail/trezor-password-manager/imloifkgjagghnncjkhggdhalmcnfklk
Войдите с помощью Google Диска или Dropbox
Нажмите на Войти через Dropbox или на Войти с Дискаи войдите в свою учетную запись. Если у вас еще нет учетной записи Google или Dropbox, вы можете создать ее бесплатно.

С этим связана кстати топ стори: в одном паблике в ТГ видел пост о том, что такая вот "подменяющая" малварь очень любит кошельки от Coinbase, потому что этот говно кошелек не показывает адрес для отправки полностью, и по итогу вот что получается: первые символы совпадают (каждая такая малварь имеет небольшую БД относительно которой парсит попадающий адрес на предмет схожести с чем то в БД) а что дальше Coinbase не показывает. Тоесть для хакера вероятность успеха практически 1 (стопроцентов). Так что в советы стоит добавить отказ от пользования говно кошельками.