Topic: Аппаратные кошельки - page 5. (Read 154216 times)

Я думаю 3 кошелька достаточно и то можно запутаться в них. Сидфраза хранится на 2 защищённых элементах, но без парольной фразы защита от спеца тоже сомнительная.
Защищенные элементы известные и у них найдутся уязвимости, когда профессиональные взломщики получат доступ.

На форуме многие искали и ищут кошельки с такой функциональностью: некоторым пользователям нужно именно хранение нескольких сид-фраз и возможность работы с ними с помощью одного девайса. Не совсем понятно почему производители ограничились тремя кошельками, ведь теоретически можно было поддерживать такое количество, на которое хватает памяти. Хранение также можно разделить на несколько защищенных элементов, причем при попытке извлечения одного из элементов нужно предусмотреть удаление данных на другом. Ну, а идея с биометрией мне тоже кажется крайне неудачной: отпечаток пальца очень легко достать и подделать, безопасность такого аппаратника юудет сомнительной, особенно если не использовать дополнительную парольную фразу.

Вроде третий чип будет использоваться для обеспечения безопасности биометрики в Pro-версии устройства.



Т.е. по сути имеем 2 SE точно также как в ColdGard.

Мне биометрика  с пальцем да и вообще любая другая не нравится.

Ещё начнут пальцы рубить у владельцев Keystone 3 pro.

в Keystone 3 только 2 SE чипа отвечают за генерацию сидфразы и ее части хранятся на 2 чипах. При физическом взломе нада работать с 2 чипами, чтобы получить
нужные слова. А несколько логических кошельков в одном аппаратном для меня кажется удобной функцией.
Нападки на леджер закончились, но многочиповый стандарт для кошельков уже становится модным.

Вы торопите события .

Кошелёк ещё не вышел. У реселера, на которого вы ссылаетесь,  на сайте стоит "Предзаказ". На сайте производителя  тоже значится "Join waiting list" и счётчик, который показывает, что до выхода (непонятно чего) 11 часов.

У Keystone те же архитектура и базовый код что и у  Cobo Vault.


Как будет у Keystone 3 пока не ясно, или если расшифровать,  мне пока не ясно, как будут использоваться эти три  отдельных SE в новой модели.

Если как утверждает реселер "Благодаря 3 чипам безопасности пользователи могут создавать и легко переключаться между 3-мя кошельками. " то это тупое, на мой взгляд, объединение трёх кошельков в одном корпусе. (Может поэтому они и добавили цифру 3 к названию модели?)

Я бы пока воздержался от дифирамб.

Вышел новый кошелек у keystone
https://sunscrypt.ru/catalog/keystone/keystone-3/

Три Secure Element Chips
Keystone 3 в настоящее время является единственным аппаратным кошельком, который включает в себя использование трех различных Secure Element: микрочипа ATECC608B, Maxim DS28S60 и Maxim MAX32520, обеспечивая непревзойденный уровень безопасности. Каждый защищенный элемент играет уникальную роль в усилении безопасности аппаратного кошелька, в совокупности обеспечивая защиту исходных фраз и биометрических данных пользователей.

Микрочипы ATECC608B и Maxim DS28S60 специально разработаны для защиты исходных фраз. Они совместно создают безопасную среду для хранения исходных фраз: ATECC608B обеспечивает безопасность и авторизацию на аппаратном уровне, а DS28S60 обеспечивает постоянное наличие надежного платформенного модуля.

С другой стороны, Maxim MAX32520 - это защищенный микроконтроллер, который играет жизненно важную роль в защите данных отпечатков пальцев. Он использует зашифрованное флэш-хранилище для защиты данных отпечатков пальцев пользователя, при этом процесс верификации выполняется безопасно внутри MCU (доступно только в Keystone 3 Pro).

Кроме того, Keystone 3 включает в себя функцию защиты от несанкционированного доступа класса PCI со сложной схемой "дом безопасности", охватывающей микросхемы core IC и SE. Любое физическое вмешательство приводит к немедленному удалению данных, что еще больше повышает устойчивость устройства.
Источник
https://blog.keyst.one/secure-elements-the-bedrock-of-hardware-wallet-security-1dd8cbdef461


Keystone 3 меняет подход, в частности, благодаря способности поддерживать до трех наборов секретных фраз восстановления. Эта беспрецедентная функция обеспечивает уникальный подход к управлению и обеспечению безопасности цифровых активов, предоставляя многочисленные преимущества.

Каждый Keystone 3 способен вместить до трех отдельных фраз восстановления, каждая из которых защищена разными паролями, что позволяет пользователям контролировать несколько учетных записей из одного аппаратного кошелька. Переход между кошельками происходит быстро, и требует только соответствующих вводов пароля. Эта функция усиливает адаптивность устройства и его удобство.

Кроме того, он также позволяет пользователям легко создавать новый кошелек для транзакций с несколькими сигнатурами без необходимости дополнительного аппаратного кошелька. Это повышает эффективность работы без ущерба для безопасности и целостности их цифровых активов.
https://blog.keyst.one/unleashing-the-power-of-multiple-secret-recovery-phrases-with-keystone-3-a-comprehensive-guide-3c3afb997cc4

версия keystone-3-pro

https://sunscrypt.ru/catalog/keystone/keystone-3-pro/
в Keystone 3 Pro встроена камера для считывания QR-кодов и сканер отпечатка пальца (TouchID) для биометрической защиты.

хорошая совместимость с другими кошельками
https://keyst.one/supported-wallets-and-assets
и инструкция по миграции с леджера  https://keyst.one/from-ledger-to-keystone

Говоря о европейцах, я имел ввиду коренных жителей Европы, у которых там  могилы их  предков в несколько поколений.

Сейчас в Европе много совсем свежих выходцев из Азии и Африки. Может у них крипта и  пользуется популярностью. Я этого не знаю, потому что с ними не общаюсь.

Насчет законодательства мне самому интересно. Постоянное закручивание гаек честно говоря сильно напрягает.

Давайте всё же не отвлекаться  от темы аппаратных кошельков.

Но ведь европейский рынок крипты самый крупный после Америки?
И в отличие от нас, там криптовалюта отрегулирована местными законами и налогами, а потом в Европе будет единый крупный закон для всего Евросоюза. Зачем тогда у вас так быстро придумали законодательство для непопулярных криптовалют?

Вмешаюсь в вашу учёную беседу.

Тут смысл в другом.

Кошелёк, сопряженный с онлайн компьютером через USB сам находится онлайн, независимо от его взаимодействия с програмным кошельком. (Последний может быть и не скомпрментирован в отличие от самого компьютера.)

Бесконтактный кошелёк сопрягается только с програмным кошельком.

В этом смысле сопряжение через QR более безопасное, чем через USB.

Смысл в том, что владелец air-gap аппаратного кошелька не побежит менять или приобретать вредоносный кабель, а вот владелец USB аппаратного кошелька вполне может это сделать. Причем здесь аппаратный кошелек? Ну, его владелец является целевой аудиторией для хакера, вероятность украсть деньги у криптовалютного инвестора гораздо выше, чем у рандомного Василия. Разумеется, этот вектор атаки так и остается лишь теорией, на деле такого рода атаки не пооизводились, а может и не будут производиться. Но такую возможность стоит учитывать и нужно принять все меры предосторожности, если вы являетесь владельцем USB аппаратника и любите хранить секреты на компьютере.

Да, но при чем тут аппаратный кошелек? Что там перехватывать? Или, другими словами, в чем здесь ущербность usb-кошелька по сравнению с air gap? Там тоже пользователь может хранить на компе сид-фразу и потерять деньги ).

В первую очередь такие устройства направлены на перехват любой полезной информации, а уже потом на взлом каких-то устройств. Многие пользователи хранят пароли и сид-фразы прямо на компьютере в незашифровпнном виде, многие используют Ctrl+C - Ctrl+V для копирования пасс-фраз в кошельки. Все это можно украсть и тем самым взломать кошелек "удаленно". На крайний случай устройство может перехватывать нажатия клавиш, подключаться к веб-камере и фиксировать любые действия пользователя. Это все может показаться сюжетом из фильма про шпионов, но все зависит от суммы в BTC ради которой это все будет организовываться.

Да, при наличии серьезной уязвимости в устройстве, что очень маловероятно для старых и популярных опенсорсных продуктов, типа Трезора.По-моему, такой "жучок" может сделать не больше, чем вредоносный софт на компе, фишка таких аппаратных шпионов в невозможности их обнаружения операционкой. А что может сделать зловред на компе для, скажем, Trezor T? Секреты по кабелю, как вы знаете, не передаются. Вытянуть зашифрованную пином сид-фразу? Пин в 20 цифр или пассфраза в 12 цифробукв практически нейтрализуют эту угрозу. Подменить прошивку? Нет, не сможет - это будет заметно. Что еще?

Из неё самой.

Европейцы, по моим нвблюдениям, очень консервативны, и не только по отношению к криптовалюте, но и вообще ко всему новому.

Встречаются конечно и энтузиасты крипты, но массово она не то что не признаётся, но даже отрицается. Сколько я не пытался убедить в ценности биткоина своих европейских друзей, сделавших лично для меня очень много хорошего,  всё было напрасно - с их стороны  только сплошное  отрицание.

А криптовалютные кошельки конечно же в руки "знатокам" не давать. Кто знает на что они способны.

В случае с USB, у хакеров гораздо больше возможностей для кражи криптовалюты, например в сам кабель или USB адаптер может быть встроено вредоносное ПО, которое может воровать пароли, перехватывать передаваемую информацию, позволять вводить команды удаленно и так далее. Я привел ссылки в этом посте: https://bitcointalksearch.org/topic/m.59625297 Но случаев взломов аппаратных кошельков таким изощренным способом или подмены адресов, насколько я знаю, не было. Но одно можно сказать точно, использовать какие-то левые кабели при работе с аппаратником явно не стоит, разве что только проверенные временем типа кабеля от своего мобильного телефона.

Мы видели как специалисты умеют получать доступ к монетам на бесконтактных кошельках, если эти кошельки попадут им в руки.
Вы с Европы? Может у нас только популярны цифровые доллары, типо usdt, но их берут как оплату за железо для майнинга и ремонты. Прайс в usdt но можно платить
по курсу и другими криптовалютами.

Думаю передача зловредного кода невозможна как через USB так и через QR, потому что для того чтобы этот код смог осесть во флеш памяти аппаратника и начать там своё грязное дело, он должен быть подписан правильным образом разработчиками кошелька. Это мера защиты любого порядочного аппаратника.

Через QR передавать большой массив данных вообще сложно. Для этого нужны динамические QR.

Ты правильно отметил, что нужно быть бдительным и перепроверять информацию, учитывая, что мошенники могут довольно-таки легко организовать фишинг атаку с помощью QR-кодов. Хотя у меня есть небольшие сомнения в том, что кошельки с возможность считывания информации с QR-кодов действительно лучше в плане безопасности, ведь мошенники могут использовать QR-коды не только для подмены адреса, но еще и для передачи вирусов непосредственно на устройство.
Наверняка подобных прецедентов с кошельками даже и не было, но, как мне кажется, такое возможно чисто теоретически.

Тут на мой взгляд существует два момента.

Первый, как вы правильно заметили, -  банальное удобство, которое особенно ощущаешь в поездках, когда берешь с собой по минимуму того, что необходимо, да и при обычной работе удобство использования QR очень ощутимое.

И второй и наболее важный момент это лучшая безопасность такого кошелька, по сравнению с теми аппаратниками, которые требуют например сопряжения с компьютером через USB. Хотя бдительность и тут никто не отменял. Нужно всегда проверять на какой адрес отправляешь, на какой адрес идёт сдача, короче все детали транзакции, высвечивающиеся на дисплее кошелька.

По крайней мере, бумажные евро не смогут заморозить удаленно, как это постоянно делается с так назыаемыми стейблкоинами. Какая уж тут стабильность, если того и гляди против тебя введут санкции и заблокируют счет без ведома владельца. Нет никакого смысла держать такую валюту на изолированном девайсе типа аппаратного кошелька. Кстати, я вот никогда не пользовался аппаратными кошельками с встроенными камерами и QR-кодами... Что подталкивает пользователей к покупке таких кошельков: банальное удобство использования по сравнению с USB или они счиьают их намного более безопасным решением? Просто если последнее, то я не замечал случаев взломов подобного рода, а если первое, то это не играет большой роли, если кошелек используется редко.