Topic: Подписать известное = дискредитировать к (Read 2562 times)
Вопрос решается применением sha512 к переданному сообщению, со словами "если не нравится, то минус в рейтинг и идете лесом". И пусть себе присылает что хочет, подпись будет для него бесполезной.
А нельзя сказать проще что подписывая абы какой хэш ты подписываешь хэш транзакции, то есть удостоверяешь транзакцию со своего кошелька?
Ты же сам указываешь что еще и сумма нужна им.
Это не аналогия слепка ключа, потому что по слепку делается копия которая будем считать равноценная если она так же хорошо справится с открыванием.
Аналогию в реальной жизни придумать трудно, ты выдаешь доверенность на снятие определенной суммы с определенного счета в любое время, но ты сумму не знаешь, а счет знаешь.
Ты же сам указываешь что еще и сумма нужна им.
Это не аналогия слепка ключа, потому что по слепку делается копия которая будем считать равноценная если она так же хорошо справится с открыванием.
Аналогию в реальной жизни придумать трудно, ты выдаешь доверенность на снятие определенной суммы с определенного счета в любое время, но ты сумму не знаешь, а счет знаешь.
Полезно-спасибо,кстати,amaclin тоже отвечает охотно(при наличии времени у него) на подобные вопросы,он в разделе кодеры "обитает"-много интересного пишет.
Совершенно верно сказал amaclin (но ту тему переместили куда-то модераторы из общего раздела, не могу найти), что НЕ НУЖНО ПОДПИСЫВАТЬ АБЫ ЧТО. Потому что ушлые мошенники могут сформировать дайджест (т.е. контрольную сумму, хэш-сумму/код) транзакции с твоего кошелька на свой ВСЕЙ суммы имеющихся у тебя монет (что известно из блокчейна), и попросят тебя подписать этот дайджест. Вот так ты сам отдашь свои монеты Х.З. кому. Потому что максимум, что можно подписывать hash-функцией (сказал amaclin) - это текстовые сообщения, типа "ФИО, подпись под документом удостоверяю. Дата".
Таким образом, на 100% доказано, что предложенная мне к подписи строка выше является именно дайджестом перевода всех монет с моего кошелька этим мошенникам с сайта bitvisits. com. Я почувствовал подвох, даже не имея всей информации, и не стал продолжать или делать то, что они хотят от меня.
Помните, новички! Для перевода вам криптомонет достаточно знать адрес вашего кошелька (т.е. открытый ключ), а для общения или для восстановления пароля нужен только e-mail (как на кране ФриБиткоин). Если от вас хотят что-то ещё - оцените мошенников в WOT (ссылка в моей подписи), и уходите оттуда.
Таким образом, на 100% доказано, что предложенная мне к подписи строка выше является именно дайджестом перевода всех монет с моего кошелька этим мошенникам с сайта bitvisits. com. Я почувствовал подвох, даже не имея всей информации, и не стал продолжать или делать то, что они хотят от меня.
Помните, новички! Для перевода вам криптомонет достаточно знать адрес вашего кошелька (т.е. открытый ключ), а для общения или для восстановления пароля нужен только e-mail (как на кране ФриБиткоин). Если от вас хотят что-то ещё - оцените мошенников в WOT (ссылка в моей подписи), и уходите оттуда.
ах какие негодяи...
а по теме: если кто то просит у меня кроме ключа и почты для подтверждения еще что то для выплаты сатошей, то идёт этот кто то далеко далеко...
а по теме: если кто то просит у меня кроме ключа и почты для подтверждения еще что то для выплаты сатошей, то идёт этот кто то далеко далеко...
"Подписать известное = дискредитировать ключ??!"
Похоже, я нашёл один из способов, каким крадутся средства из криптовалютных кошельков. Это сочетание фишинга и криптоанализа.
Есть сайт: bitvisits. com/surfer/account/verify, и на данной странице проверки (после просмотра нескольких страниц с рекламой, за которые начисляются сатоши) пользователю предлагают пройти проверку его биткоин-адреса на тот факт, что этот адрес кошелька действительно принадлежит данному юзеру (что не предлагают другие, честные краны вроде FreeBitcoin).
Вот их текст, объясняющий последовательность действий для "проверки" (А НА САМОМ ДЕЛЕ - ДЛЯ КРАЖИ закрытого ключа твоего BTC-кошелька):
"HOW TO VERIFY YOUR BITCOIN ADDRESS
Microsoft email issue now fixed
We've fixed the issue regarding e-mails not being delivered to microsoft e-mail accounts (hotmail.com, live.com, outlook.com). You can proceed to verify your address as usual.
Step 1: Copy the Wallet Address & Message To Sign text provided on this page.
Step 2: Paste these two into your online wallet i.e. Blockchain.info Wallet or Multibit Wallet and sign the message to generate a signature key.
Step 3: Paste the signature in the form field, along with your e-mail address & submit.
We will verify your address and proceed to send you a password for accessing your dashboard.
WHY VERIFY YOUR ADDRESS?
Once you verify that you are the owner of your surfing address you will be able to access and edit your account details as well as perform cashout requests.
NOTE: Each bitcoin address needs to have a unique e-mail address in order to be verified. You cannot verify multiple addresses with the same e-mail account."
Перевод через Гугл:
"Как проверить ВАШ Bitcoin АДРЕС
E-mail Вопрос Microsoft теперь установлено
Мы исправили проблему в отношении электронной почты не доставляются в Microsoft учетных записей электронной почты (hotmail.com, live.com, outlook.com). Вы можете приступить к проверке ваш адрес, как обычно.
Шаг 1: Скопируйте Wallet Адрес & сообщение подписать текст на этой странице.
Шаг 2: Вставьте эти два в вашем интернет-кошелька т.е. Blockchain.info Wallet или Multibit Wallet и подписать сообщение для генерации ключа подписи.
Шаг 3: Вставьте подпись в поля формы, вместе с вашим адресом электронной почты и нажать кнопку.
Мы проверим ваш адрес и нажмите кнопку отправить вам пароль для доступа к приборной панели.
ПОЧЕМУ проверьте ваш адрес?
После того как вы убедитесь, что вы владелец вашего серфинга адресу вы сможете получить доступ и редактировать свои реквизиты, а также выполнять запросы вывода средств.
ПРИМЕЧАНИЕ: Каждый Bitcoin адрес должен иметь уникальный адрес электронной почты для того, чтобы быть проверены. Вы не можете проверить несколько адресов с той же учетной записи электронной почты."
Я спросил у Гугла: "опасно ли подписывать сообщение закрытым ключом"? И нашёл ответы.
На самом деле, чаще всего подписывается не само сообщение, а выборка из него, или "дайджест", или "контрольная сумма" (это близкие понятия). А само сообщение кодируется (шифруется). Т.е. потенциальный взломщик чаще всего не имеет доступка к исходному полезному сообщению, и отчасти поэтому не может так уж легко взломать алгоритм асимметричного (т.е. с парой открытого и закрытого ключа) криптографического шифрования. В случае данного (анализируемого для Web-of-Trust) сайта всё наоборот - злоумышленник сам подсовывает вам известную ему строку исходного сообщения, которое и просит вас закодировать своим ключиком, что (ИМХО) практически равнозначно снятию слепка с физического ключа от сейфа или вашего дома.
В Сети есть объяснения, каким образом можно взломать хэш-функцию или конкретный крипто-кошелёк:
"Атаки на электронную цифровую подпись" Овчаренко М.А. - http://www.rusnauka.com/15_APSN_2010/Informatica/67516.doc.htm
В частности, он пишет: "Адаптивная атака на основе выбранных сообщений является одной из самых "опасных" атак, и при анализе алгоритмов ЭЦП на криптостойкость нужно рассматривать именно её (если нет каких-либо особых условий)."
А на сайте выше нам (user`у) именно и предлагается подписать конкретное сообщение, выбранное хакером-фишером-криптоаналитиком! В частности, мне предложили такую строку: MsUvfvUxvayQJlaCMLvINQwdIJuTuzXA (в окошке "Message To Sign:", т.е. "Сообщение для подписи"). Если кто-то подпишет своим открытым или закрытым ключом такое сообщение, то его закрытый ключ будет определён, его криптомонеты украдены, а возможно, что и сам крипто-алгоритм будет дискредитирован (потеряет доверие)! Это так или я перестраховался?
Ещё полезные ссылки по теме:
http://synthesis.ipi.ac.ru/synthesis/publications/secure/html
https://ru.wikipedia.org/wiki/Атака_«дней_рождения»
"Одним из следствий парадокса дней рождения является то, что для n-битового блочного шифра повторяемые появления блока шифротекста могут ожидаться с вероятностью около 0,63 при наличии лишь 2n/2 случайных открытых текстов, зашифрованных на одном ключе (независимо от размера ключа). Для ECB режима при совпадении двух блоков шифротекста соответствующие открытые тексты обязаны также совпадать. Это означает, что в атаке с известным шифротекстом информация об открытых текстах может раскрываться из шифртекстовых блоков."
https://ru.wikipedia.org/wiki/Коллизия_хеш-функции
https://ru.wikipedia.org/wiki/Хеширование
https://ru.wikipedia.org/wiki/Хеш-сумма
Добавил отзыв о сайте в Систему Доверия, чтобы 130+ млн. человек узнало про мошенников и не попалось на их обман!!
https://www.mywot.com/ru/scorecard/bitvisits.com/comment-86253961
Похоже, я нашёл один из способов, каким крадутся средства из криптовалютных кошельков. Это сочетание фишинга и криптоанализа.
Есть сайт: bitvisits. com/surfer/account/verify, и на данной странице проверки (после просмотра нескольких страниц с рекламой, за которые начисляются сатоши) пользователю предлагают пройти проверку его биткоин-адреса на тот факт, что этот адрес кошелька действительно принадлежит данному юзеру (что не предлагают другие, честные краны вроде FreeBitcoin).
Вот их текст, объясняющий последовательность действий для "проверки" (А НА САМОМ ДЕЛЕ - ДЛЯ КРАЖИ закрытого ключа твоего BTC-кошелька):
"HOW TO VERIFY YOUR BITCOIN ADDRESS
Microsoft email issue now fixed
We've fixed the issue regarding e-mails not being delivered to microsoft e-mail accounts (hotmail.com, live.com, outlook.com). You can proceed to verify your address as usual.
Step 1: Copy the Wallet Address & Message To Sign text provided on this page.
Step 2: Paste these two into your online wallet i.e. Blockchain.info Wallet or Multibit Wallet and sign the message to generate a signature key.
Step 3: Paste the signature in the form field, along with your e-mail address & submit.
We will verify your address and proceed to send you a password for accessing your dashboard.
WHY VERIFY YOUR ADDRESS?
Once you verify that you are the owner of your surfing address you will be able to access and edit your account details as well as perform cashout requests.
NOTE: Each bitcoin address needs to have a unique e-mail address in order to be verified. You cannot verify multiple addresses with the same e-mail account."
Перевод через Гугл:
"Как проверить ВАШ Bitcoin АДРЕС
E-mail Вопрос Microsoft теперь установлено
Мы исправили проблему в отношении электронной почты не доставляются в Microsoft учетных записей электронной почты (hotmail.com, live.com, outlook.com). Вы можете приступить к проверке ваш адрес, как обычно.
Шаг 1: Скопируйте Wallet Адрес & сообщение подписать текст на этой странице.
Шаг 2: Вставьте эти два в вашем интернет-кошелька т.е. Blockchain.info Wallet или Multibit Wallet и подписать сообщение для генерации ключа подписи.
Шаг 3: Вставьте подпись в поля формы, вместе с вашим адресом электронной почты и нажать кнопку.
Мы проверим ваш адрес и нажмите кнопку отправить вам пароль для доступа к приборной панели.
ПОЧЕМУ проверьте ваш адрес?
После того как вы убедитесь, что вы владелец вашего серфинга адресу вы сможете получить доступ и редактировать свои реквизиты, а также выполнять запросы вывода средств.
ПРИМЕЧАНИЕ: Каждый Bitcoin адрес должен иметь уникальный адрес электронной почты для того, чтобы быть проверены. Вы не можете проверить несколько адресов с той же учетной записи электронной почты."
Я спросил у Гугла: "опасно ли подписывать сообщение закрытым ключом"? И нашёл ответы.
На самом деле, чаще всего подписывается не само сообщение, а выборка из него, или "дайджест", или "контрольная сумма" (это близкие понятия). А само сообщение кодируется (шифруется). Т.е. потенциальный взломщик чаще всего не имеет доступка к исходному полезному сообщению, и отчасти поэтому не может так уж легко взломать алгоритм асимметричного (т.е. с парой открытого и закрытого ключа) криптографического шифрования. В случае данного (анализируемого для Web-of-Trust) сайта всё наоборот - злоумышленник сам подсовывает вам известную ему строку исходного сообщения, которое и просит вас закодировать своим ключиком, что (ИМХО) практически равнозначно снятию слепка с физического ключа от сейфа или вашего дома.
В Сети есть объяснения, каким образом можно взломать хэш-функцию или конкретный крипто-кошелёк:
"Атаки на электронную цифровую подпись" Овчаренко М.А. - http://www.rusnauka.com/15_APSN_2010/Informatica/67516.doc.htm
В частности, он пишет: "Адаптивная атака на основе выбранных сообщений является одной из самых "опасных" атак, и при анализе алгоритмов ЭЦП на криптостойкость нужно рассматривать именно её (если нет каких-либо особых условий)."
А на сайте выше нам (user`у) именно и предлагается подписать конкретное сообщение, выбранное хакером-фишером-криптоаналитиком! В частности, мне предложили такую строку: MsUvfvUxvayQJlaCMLvINQwdIJuTuzXA (в окошке "Message To Sign:", т.е. "Сообщение для подписи"). Если кто-то подпишет своим открытым или закрытым ключом такое сообщение, то его закрытый ключ будет определён, его криптомонеты украдены, а возможно, что и сам крипто-алгоритм будет дискредитирован (потеряет доверие)! Это так или я перестраховался?
Ещё полезные ссылки по теме:
http://synthesis.ipi.ac.ru/synthesis/publications/secure/html
https://ru.wikipedia.org/wiki/Атака_«дней_рождения»
"Одним из следствий парадокса дней рождения является то, что для n-битового блочного шифра повторяемые появления блока шифротекста могут ожидаться с вероятностью около 0,63 при наличии лишь 2n/2 случайных открытых текстов, зашифрованных на одном ключе (независимо от размера ключа). Для ECB режима при совпадении двух блоков шифротекста соответствующие открытые тексты обязаны также совпадать. Это означает, что в атаке с известным шифротекстом информация об открытых текстах может раскрываться из шифртекстовых блоков."
https://ru.wikipedia.org/wiki/Коллизия_хеш-функции
https://ru.wikipedia.org/wiki/Хеширование
https://ru.wikipedia.org/wiki/Хеш-сумма
Добавил отзыв о сайте в Систему Доверия, чтобы 130+ млн. человек узнало про мошенников и не попалось на их обман!!
https://www.mywot.com/ru/scorecard/bitvisits.com/comment-86253961
Jump to: