Topic: 25.000 Bitcoins gestohlen - page 2. (Read 5927 times)

zu der original Überschrift:

- wer 25.000 BTC in einem wallet speichert ist selbst schuld wenn das "Geld" weg ist.
- man kann eh nicht beweisen das man im besitzt der 25.000 BTC war, wenn ja muß der Nutzer es als Lehrgeld ansehen

Meine Vorschlag ist eine Sicherungshirarchie:


Workflow:
- BTC der Miner werden an ein halbwegs sichers wallet ("mining wallet") eingezahlt
- verteilen der BTC (1 mal die Woche)
   - langfristige Anlagen in die wallets "save_N"
   - für Spenden oder Konsum in das unverschlüsselte wallet ("Standard wallet")

Die "save_N" wallets werden einmal erstellt, die Anzahl richtet sich nach dem Grad wie stark man seine BTC splitten möchte und auf verschiedenen Medien an verschiedenen Orten gespeichert.

Ach ich bin da einer der alten Schule glaube ich.

Firewall, Antiviren Programm.
Wallet alle paar Tage sichern, habe eh so gut wie nix drauf > alles noch im Pool, also noch nicht ausgezahlt.

Mir Kreditkarte zahle ich nicht im Internet. Online Banking mache ich, da ich aber jeden Tag reinschaue würde mir das sofort auffallen. Geld bekommt man ja eh zurück.

Sorry aber keine Lust einen Hochsicherheitstrakt zu machen, dann lasse ich es lieber.

wenn man dann sein "sicheres" Passwort in jedem eventuell unsicheren Forum verwendet ist es auch für die Katz. Sobald dann die Forumsdatenbank per sql injektion abgesaugt wird sind alle Konten mit dem gleichen Passwort und Email auch gefährdet.
Wirklich effektiv ist ein überall anderes und langes Passwort. Wer an Kryptografie glaubt sollte mal http://www.lastpass.com ausprobieren.

Das sollte sich dann eigentlich jeder merken können. Es muss ja nicht unbedingt s4oRKp0n sein. Es könnte ja auch "5.Xskorkponft" sein.

Und wenn man statt nur Kleinbuchstaben noch min. 1 Großbuchstabe und min. 1 Sonderzeichen einbaut muss man sich nur ein sehr viel kürzeres Passwort merken bei gleicher Sicherheit.

Heftig. Das hätt ich mir nie gedacht. Und gewaltiger Unterschied von 12 auf 15 zeichen. Also dann reichen 15 Zeichen upper oder lower case bei weitem aus. Sollte dann aber auch Minimum sein.

Wenn dann mal die Quantenrechner vollständig erforscht sind und zur Verfügung stehen dann bin ich aber neugierig wie viel Schutz, 15 Zeichen dann noch bieten können.

die differenz von 80mrd spielt keine wesentlich rolle. das sind ca. 30%. jedes angehängte zeichen macht aber einen unterschied von 2600%. das ist also nur ein kleiner bruchteil von einem einzigen zeichen passwortlänge.

skorkponftfumsen ist 16 zeichen lang. guck dir mal die schätzungen hier an: http://www.lockdown.co.uk/?pg=combi
15 zeichen nur klein gegen supercomputer wird da mit ca. 53.000 jahren geschätzt. ist zwar von 2009, aber sooo schnell werden die computer dann doch nicht schneller 

Eh keine Hexerei. Danke


Hier noch was aktuelles zu dem Diebstahl.

Zur Berechnung der Moeglichkeiten:

(Anzahl moeglicher Zeichen pro Stelle) ^ Anzahl Stellen.

26 ^ 10 = 141.167.095.653.376

(26 + 26 + 10 ) ^ 8 = 218.340.105.584.896

Die Passwort-Länge spielt natürlich eine große Rolle.

Nicht im Wörterbuch und keine persönlichen Daten ebenfalls.

Aber skorkponftfumsen z.B lässt sich doch rascher durch Brute Force (weiß nicht ob das damit überhaupt mögllich ist) knacken, wenn man weiß dass nur Kleinbuchstaben verwendet werden. Oder etwa nicht?

Ok. Du hast es mir eh vorgerrechnet. Aber bei deinem Beispiel ist die Differenz noch immer knappe 80mrd Möglichkeiten. Das würd dann schon um einiges länger dauern.

Und kannst du bitte die Formel posten wie du die Möglichkeiten berechnet hast?

nein, länge ist tendentiell wichtiger.
imho hat die fokussierung auf einen großen zeichenraum den bemühungen um starke passwörter mehr geschadet als genutzt. wenn sich user extrem kryptische passwörter merken müssen, geben sie meistens auf.
als kleines beispiel:
10 zeichen, nur klein: 141.167mrd möglichkeiten.
8 zeichen, klein+groß+zahlen: 218.340mrd möglichkeiten.

das sind sehr ähnliche werte. ich denke, die meisten leute können sich sowas wie skorkponft wesentllich leichter merken wie s4oRKp0n.
bisschen mehr zeichen müssen es natürlich schon sein, also eher skorkponftfumsen, aber das war ja auch nur ein rechenbeispiel.
also lang und nicht im wörterbuch und keine persönlichen daten, dann ist man sicher. man muss halt auch immer von den ungeeignetsten usern ausgehen. ich habe auch keine probleme, mir stärkere passworte zu merken, aber viele können das nicht, deshalb sollte man ihnen auch nur ein vernünftiges maß zumuten, sonst halten sie sich nicht dran und sind am ende mit viel viel zu schwachen passwörtern unterwegs.

Ziemlich alles:
- Allgemein fragwürdige Sicherheitskonzepte (hat sich dank Konkurrenz allerdings etwas gebessert)
- Sicherheitslücken werden erst mal vertuscht und nicht behoben
- Sicherheitslücken werden erst dann vielleicht mal behoben, wenn sie vorher durch alle Medien gezogen werden
- viele Lücken werden erst nach Jahren behoben, manche gar nicht
- es gibt nur einmal im Monat an festen Tagen Patches. Bei richtigen Systemen geschieht das hingegen so oft wie nötig.
- kein offener Quellcode. Somit können Experten außerhalb von Microsoft den Quellcode nicht untersuchen und somit keine Sicherheitslücken finden
- kein offener Quellcode. Somit weiß keiner, was im Hintergrund wirklich abläuft
- Microsoft arbeitet offiziell mit Geheimdiensten wie der NSA zusammen.
- Der Mediaplayer und andere Software von Microsoft verschickt heimlich Daten an fremde Server.
- Nur durch die Konkurrenz durch Linux hat Microsoft ihre Sicherheitsstrategie etwas verbessert. Früher haben sie fast gar nichts getan.
- weiter unten schrieb jemand, dass jeder 10. Windows-PC mit Maleware verseucht ist - und das kommt sicher auch ungefähr hin.

Soll ich noch mehr aufzählen? Soll ich dir auch noch die Links dazu heraussuchen? Nein, ich hoffe du kannst google bedienen.
Sicher ist nur, dass fast jedes aktuelle Betriebssystem mit den zugehörigen gängigen Anwendungsprogrammen besser und sicherer als Windows ist und dass Windows nicht mehr als ein Spielzeug ist.

Erfreuliche Nachricht.

Dann sollten generell keine Passwörter erlaubt sein, die nicht sicher sind.
Also bei Passworterstellung muss man Zahlen, Klein und Großbuchstaben, Sonderzeichen usw. verwenden.
Dann gibts auch keine schwachen Passwörter.

in der nächsten version wirds ja laut gavin eine walletverschlüsselung geben. wie die dann genau aussieht wird man sehen.
ich habe mir die beschreibung im git durchgelesen. da steht, das wallet sei auch im speicher noch verschlüsselt und jedesmal, wenn man etwas macht, was zugriff braucht, muss man das pw eingeben. ich hoffe, die machen da keinen overkill. wenn das wallet nur auf der festplatte verschlüsselt ist, wäre das schon ein quantensprung für den otto-normal-user (kein trivialer diebstahl mehr, viel einfachere backups), und dann müßte man immer nur einmal das pw eingeben. ständig eingeben-müssen fördert imho zu sehr schwache passwörter und negiert damit den zusätzlichen schutz vor malware größtenteils wieder.

yubikey, lesegeräte usw. ist imho absoluter overkill. das wäre ein sehr effizienter weg, die verbreitung von bitcoin komplett auszubremsen.

Ich bin nach wie vor für Verschlüsselung am besten mit zweistufiger Verifizierung. Also Passwort und Yubikey oder sowas. Da ich den Yubikey immer am Schlüsselbund habe, kann selbst wenn einer die Wallet und das Passwort hat er damit nichts anfangen. Smartcard erfordert ja das alle ein Lesegerät haben oder? Damit ist es schonmal eine Hemmschwelle zusätzlich zur Smartcard noch das Lesegerät anzuschaffen.

Jeder Schutz der Wallet wäre derzeit willkommen.

Genaus so  ist es. Und gegen botnetze wird auch eine Verschlüsselung nur wenig nützen. Die Lösung kann nur eine Auslagerung der privat-keys auf eine smartcard sein. Jede Transaktion müsste dann direkt an der smartkarte bestätigt werden. Smartcards kosten ja auch nicht mehr die Welt.

Jeder 10. PC ist Teil eines Botnetzes. Wenn ich mir die mit Malware-Toolbars vollgestopften Browser von ein paar Bekannten anschaue, wundert mich das nicht. Ich möchte gar nicht wissen, wieviel Wallets noch gestohlen werden....

Die Wahrscheinlichkeit, dass der Durchschnittsbenutzer seine Passphrase vergisst dürfte aber höher sein als dass er bestohlen wird. Verschlüsselung wäre aber natürlich trotzdem eine schöne Sache.

Das sehe ich ganz genau so. Es geht hier um eine Kryptowährung und die Programmierer schaffen es nicht die Wallet zu verschlüsseln und mit passwort bzw mit passwort und rsa key zu sichern.

Sicher ist das blöd.

Blöd ist allerdings auch die Implementierung, bei der das einfache Kopieren einer Datei, die von allen Programmen auslesbar ist, reicht, um den maximal möglichen Schaden anzurichten.

Sowas gehört allermindestens mit einer Passphrase abgesichert, damit die Wallet wenigstens nicht unverschlüsselt auf der Platte liegt. Und wohl noch besser wäre die Möglichkeit, das zB gesichert auf einer Smartcard o.ä. unterzubringen.