[ARDR] Nxt: Ardor - масштабируемая ChildChain-платформа - page 653.

DrBeer

legendary

Activity: 3752

Merit: 1864

Quote from: ImmortAlex on January 25, 2014, 11:29:52 PM

Quote from: DrBeer on January 25, 2014, 04:56:22 PM

Можно наверное и другим путем - минимизировать продуктивность взлома - просто собирать на нодах 5-10 минутный буфер IP-шников с подозрительным поведением и лочить на 10-15 минут, например 5 попыток ввода - давай отдыхай, тогда брутфорс станет просто нелогичным

Так брутфорс не требует обращения к сети.
Господи, вы действительно полагаете, что в криптовалюте второго поколения ввели сервер с авторизацией?! Что в него ломятся злоумышленники, что в нём можно сделать двухфакторную авторизацию?!
Если б BCNext был мёртв, его гроб бы уже разнесло в щепки.

Это прекрасно что вы такой умный что можете возмущаться

Вот мне к примеру абсолютно не стыдно признаться что мало чего знаю и понимаю в криптовалютах, просвятите ? Поясните почему ?

Я уже как-то задавал вопрос о том, что при опубликованном алгоритме генерации на основе пароля номера кошелька (точнее какой то части какогото хеша) вполне не проблема создать базу этих самых пар Пароль/Хеш/номер кошелька, как допустим сделана база для перебора MD5 хешей (если не ошибаюсь). Тупо нагенерить по алгоритму с символа asci(0) и до пока не накроет облом. И пожалуйста - есть список кошельков, бери нехочу ! Но мне сказали что так "не покатит". Правда я не понял почему, хотя по рекомендации первую страницу и описание сесюрности перечитал несколько раз

Может вы, как знающий, поясните почему нет ?

fehen

newbie

Activity: 56

Merit: 0

Quote from: ImmortAlex on January 26, 2014, 06:10:10 AM

Quote from: fehen on January 26, 2014, 06:07:29 AM

Еще раззз повторюсь, я уверен что это можно сделать.

Способ решения знаешь?

Я знаю что его надо искать и решать, а не останавливаться, это больше чем сказать - это невозможно.

Ну, у нас у руля гений, гений может все. Или не сможет, тогда он не гений.

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: fehen on January 26, 2014, 06:07:29 AM

Еще раззз повторюсь, я уверен что это можно сделать.

Способ решения знаешь?
Сразу предупреждаю: авторизация а-ля 2ФА от гугла технически невозможна в децентрализованной системе, ибо подразумевает наличие центра, выполняющего проверку.

manrus

legendary

Activity: 1334

Merit: 1004

TTM

Quote from: fehen on January 26, 2014, 06:08:13 AM

Quote from: manrus on January 26, 2014, 05:53:38 AM

А какая разница откуда пароль? Из головы или из wallet.dat. Кейлоггер NXT и Битки украдет сразу.

Лучше подумать о безопасности всего компьютера и иметь как минимум Firewall + Antivirus.

Ну вот если MAC это чем то спасает?

Если MAC или Linux то спасет существенно

Firewall для винды надо иметь обязательно.

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: fehen on January 26, 2014, 06:07:29 AM

Вот будет он биться в какую-то планку цены, а некст сообщество бац и дает новость - улучшена защита NRS! И курс пиууу и вверх полетит.

А что если курс "пиууу и вверх" никому не нужен?

fehen

newbie

Activity: 56

Merit: 0

Quote from: manrus on January 26, 2014, 05:53:38 AM

А какая разница откуда пароль? Из головы или из wallet.dat. Кейлоггер NXT и Битки украдет сразу.

Лучше подумать о безопасности всего компьютера и иметь как минимум Firewall + Antivirus.

Ну вот если MAC это чем то спасает?

fehen

newbie

Activity: 56

Merit: 0

Quote from: manrus on January 26, 2014, 05:53:38 AM

А какая разница откуда пароль? Из головы или из wallet.dat. Кейлоггер NXT и Битки украдет сразу.

Лучше подумать о безопасности всего компьютера и иметь как минимум Firewall + Antivirus.

Лучше всего внешнее устройство. Не надо делать его обязательным. Пусть это будет опция.
Мне на данный момент видится вариант у BTC-у как самый лучший, я о гугл приложении с кваркодом.

Распечатал этот код и все, сохранил ключ.

Еще раззз повторюсь, я уверен что это можно сделать. Остальное лень и нежелание решать проблему.

Кстати, эта проблема станет в свое время сопротивление к росту некста (возможно уже). А решение этой проблемой - новым драйвером для роста.
Вот будет он биться в какую-то планку цены, а некст сообщество бац и дает новость - улучшена защита NRS! И курс пиууу и вверх полетит.

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: manrus on January 26, 2014, 05:53:38 AM

А какая разница откуда пароль? Из головы или из wallet.dat. Кейлоггер NXT и Битки украдет сразу.

Не боюсь посыпавшегося винта, не надо заморачиваться с бэкапами.
Могу на любом компе поднять NRS и воспользоваться своими монетами.
Ну т.е. для меня именно брейнваллет удобнее "классического" wallet.dat.

manrus

legendary

Activity: 1334

Merit: 1004

TTM

А какая разница откуда пароль? Из головы или из wallet.dat. Кейлоггер NXT и Битки украдет сразу.

Лучше подумать о безопасности всего компьютера и иметь как минимум Firewall + Antivirus.

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: miasik on January 26, 2014, 05:34:32 AM

Я предпочитаю такие, которые можно запомнить или повторно сгенерировать у себя в голове.

Аналогично. И хотя пароль от аккаунта Nxt у меня немаленький, я уверен, что даже сокращенный втрое он был бы вполне годным.
При этом я всегда могу его ввести "из головы", без бумажки и файла.
И это гораздо надёжнее, чем всякие генераторы.
Хотя, если стукнуть меня по голове... [одевает каску]

scor2k

legendary

Activity: 1005

Merit: 1002

work hard, die young (c)

Что бы разбавить топик и немного увести тему от брутфорса кошельков, хотел сказать про Arbitrary Message System

Все (вроде) знаю что это такое, но как отправить сообщение - знают единицы

Да. Есть API, но, как показала практика, использовать его могут единицы. Да, есть сторонние клиенты - но это страшно (да, да, опять страшно) - так как нет доверия к тому, кто его написал

Есть выход

Все знаю про интерфейс для создания альясов - alias.html, но мало кто знает, что запрос на создания альяса и отправки сообщения практически одинаков. Я взял этот файлик и создал на его основе новый - am.html

Изменились название полей, немного дописал для конвертации строк в HEX формат (требования протокола). Больше ничего не изменял.

Проверить этот файл на отправку данных в "левые" адреса - проще простого, нужна банальная логика (проверить сторонний клиент, даже при наличии исходников, дело довольно сложное и требует определенных знаний).

В общем, как-то так. Положил его сюда: https://github.com/scor2k/am

Если хотите - пользуйтесь

miasik

sr. member

Activity: 252

Merit: 250

Quote from: Siroc-co on January 26, 2014, 05:19:18 AM

sХkУJЙtР~А}ЗxГ?АrДЕАoЕkШcЬIвi0TlN#P~KаpЭCТSОAТo*ПbАlРrО@ЛIЬwgq1Foq*sX汉~jGG漢B©5p4%L|VTbFwr36oYữC字
Кстати, это номер кошелька будет: 275928551880202224

Я предпочитаю такие, которые можно запомнить или повторно сгенерировать у себя в голове. Вопрос был просто о влиянии раскладки на сложность и всё.
Nxt дает возможность выбрать между запоминаемым паролем без файла (по умолчанию) или написатьсвою реализацию пароля и ключа в файле(как биток).

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: ?? on ??

Не надо равняться и сравниваться с биткоином. Если бы Стив Джобс равнялся на ПС, знал бы мир тонкий как лезвие макбук? Айфоны? А?

Зри в корень и проблему и не уговаривай себя что ее нет.

Вот вы как будто в вакууме живете, за вами уже конкуренты по пятам идут (не обязательно создатели некста 2), а вы - да нет никаких конкурентов, нет никаких черных пиарщиков, нет никаких рисков репутационных если сотни простых юзеров начнут вой в сети.

Первым корнем зла является то, что система - децентрализованная. В ней некому делать подтверждение. Нет логина, нет пароля, есть только твой приватный ключ.
И не надо просить сделать иначе. Знаешь как сделать - сделай сам, бабла подымешь

Я, например, даже не представляю.

Вторым корнем зла является сам NRS.
Если бы в самом начале был сделан wallet.dat, я уверен, подобных разговоров бы не было. А теперь все считают, что вводят там какой-то пароль и требуют сделать подтверждение к нему. Даже когда вводят его на локалхосте.
И если б в самом начале это не был бы HTML, то никто б и не думал, что он куда-то логинится.
А интерфейс NRS внезапно смешался с тем, как выглядит типичный логин на какой-то сервер. И всё, и теперь хрен переубедишь.

Siroc-co

full member

Activity: 210

Merit: 100

)))

Quote from: miasik on January 26, 2014, 04:54:57 AM

Я бубу бороться дальше :-) Еще одна попытка. Какой пароль сложнее:

Code:

Мама мыла раму

или

Code:

Vfvf vskf hfve

Ох ё... Да поймите Вы уже, надёжнее тот, который не предсказуемее. Хотите пример надёжных? Нате:

sХkУJЙtР~А}ЗxГ?АrДЕАoЕkШcЬIвi0TlN#P~KаpЭCТSОAТo*ПbАlРrО@ЛIЬwgq1Foq*sX汉~jGG漢B©5p4%L|VTbFwr36oYữC字

Кстати, это номер кошелька будет: 275928551880202224
Можете пользоваться, мне не жалко. Пароль надёжный, инфа 146% )))

Quote from: ImmortAlex on January 26, 2014, 05:07:27 AM

Nxt ничем не отличается от биткоина.

Отличается тем, что есть возможность создать пасс фразу короткой. В битке создаётся произвольная и длинная по умолчанию, потому там нет случаев брутфорса..

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: fehen on January 26, 2014, 04:57:34 AM

Ввел пароль, ввел подтверждение

Кому и что ты подтверждать будешь в децентрализованной системе?

Ещё раз: Nxt ничем не отличается от биткоина. Щас кто-нибудь в альтернативном клиенте сделает автогенерацию привкея и сохранение его в wallet.dat - и будет как в биткоине. И этот валлет будут пиздить так же, как в биткоине - вирусами. А если поверх валлета сделать шифрование, как в биткоине - то будут пиздить вирусами со встроенным кейлоггером.
Ну т.е. вообще ничего не изменится. Будет как уже пять лет есть у биткоина. Причём добавится проблема: "бля я отформатировал диск цэ где мой валлет!!1111"

Quote from: fehen on January 26, 2014, 04:57:34 AM

Представь себе людей которые запарены в своих делах.

Я обожаю таких людей, они приносят деньги и платят. Всегда. Правда, почему-то это не уменьшает их запаренности.

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: miasik on January 26, 2014, 04:54:57 AM

Я бубу бороться дальше :-) Еще одна попытка. Какой пароль сложнее:

Code:

Мама мыла раму

или

Code:

Vfvf vskf hfve

Ещё раз: если кто-то будет искать пароли по русскому словарю с учетом раскладки - пароль совершенно небезопасен.
Но если взломщик - пиндос, знать не знающий про русскую раскладку, то пароль подобного вида (только подлиннее) более-менее ещё ничё так.
Но я бы так делать не стал.
Кстати, простая замена букв похожими цифрами (E -> 3, S -> 5) - тоже может не помочь. Та же PCL имеет для таких замен правила.

fehen

newbie

Activity: 56

Merit: 0

xoralex

newbie

Activity: 9

Merit: 0

Очень интересная валюта. Мой номер 18027583818211494654 для 49 nxt. Спасибо!

На счет способа генерации безопасного пароля - можно использовать seed от биткоин кошелька electrum. Этот electrum успешно используют многие люди для хранения биткоина и он считается надежным, значит и сгенерированный таким образом пароль надежен. Он генерирует список из 12 случайных слов. В конце я добавил еще своё случайное несуществующее слово, на случай если этот список слов был не совсем случайным или на случай если будут осуществлять перебор по всем существующим словам. Удобно тем что не надо париться со всякими спец символами, ну и при вводе слов меньше шанс ошибиться. Неудобно тем что пароль в итоге получается довольно длинным и его долговато вводить.

ImmortAlex

hero member

Activity: 784

Merit: 501

Quote from: Siroc-co on January 26, 2014, 04:47:51 AM

Берём свежие блоки (всё делается offline) и начинаем перебирать...
0000000001 - смотрим скок денежек, есть переводим, нет дальше идём
0000000002 - смотрим скок денежек, есть переводим, нет дальше идём
.....
9999яЯZZZ - смотрим скок денежек, есть переводим, нет дальше идём

Причём если есть ресурсы, можно не спеша набивать базу соответствий тупых паролей аккаунтам, при получении очередного блока с новым аккаунтом сразу проверять его наличие в уже готовой базе и если найдется - сразу уводить всё, что успело упасть.

basilson

newbie

Activity: 35

Merit: 0

Quote from: ImmortAlex on January 26, 2014, 04:22:41 AM

Quote from: basilson on January 26, 2014, 02:19:53 AM

Если кто-то захочет поддержать, номер счета доступен в подписи. Спасибо.
NXT: 5655031817077790666

Номер ванитигеном подбирал, или тебе сопутствовала дьявольская удача? Cheesy

удача, а ты 'didn't pray enough'

P.S. спасибо за донейт

Topic: [ARDR] Nxt: Ardor - масштабируемая ChildChain-платформа - page 653. (Read 1749583 times)