Comment j'ai perdu confiance dans ce projet

davout

legendary

Activity: 1372

Merit: 1008

1davout

Quote from: anna.murphy on June 27, 2011, 03:37:18 PM

Ce qu'il faudrait c'est générer ses adresses avec un live CD, en tant qu'un utilisateur qui n'a aucun droit et non connecté au net, avec le disque dur en ro. Et stoquer tout ça sur une clef USB. Plus une copie des clefs publiques n'importe ou, on s'en fout. Ensuite quand on veut envoyer de l'argent, il faudrait repasser en mode live CD... générer la transaction sans l'envoyer. Puis ensuite revenir en mode normal (redémarrer en gros) et là envoyer la transaction. Cheesy

Vive la galère, et le soft qui permet de générer des transactions en déconnecté est pas encore codé.

Les transactions offline c'est en cours.

Il y a un post de grondilu qui explique comment générer des adresses bitcoin avec just openssl et une paire de fonctions bash, j'ai trouvé ca très élégant et je m'en sers pour stocker mes bitcoins dans un classeur et les photocopier

anna.murphy

newbie

Activity: 14

Merit: 0

Ce qu'il faudrait c'est générer ses adresses avec un live CD, en tant qu'un utilisateur qui n'a aucun droit et non connecté au net, avec le disque dur en ro. Et stoquer tout ça sur une clef USB. Plus une copie des clefs publiques n'importe ou, on s'en fout. Ensuite quand on veut envoyer de l'argent, il faudrait repasser en mode live CD... générer la transaction sans l'envoyer. Puis ensuite revenir en mode normal (redémarrer en gros) et là envoyer la transaction. Cheesy

Vive la galère, et le soft qui permet de générer des transactions en déconnecté est pas encore codé.

davout

legendary

Activity: 1372

Merit: 1008

1davout

Quote from: anna.murphy on June 27, 2011, 11:51:06 AM

Effectivement le système de base de sécurité de linux est fait à coup de ... Mais comment sont pensé les OS. Ne tape-t-on jamais sudo (tjs pour plus de programmes) ? Le serveur X (qui évolue) n'est -il pas lancé avec le bit setuid. Effectivement on peut tout faire avec les permissions de base, mais c'est pas vers cette voix là que s'oriente les distributions.
Pourquoi SELinux, Encrypter ton portefeuille n e marche que si tu as la garantie qu'aucun soft que tu lances en root ne va installer de keylogger sur ton OS. Pour faire simple si cela ne servait à rien la NSA n'aurait jamais conçu SELinux.
Tant que les softs que l'on fera tourner en root évolueront on n'aura aucune garantie de la sécurité, vu qu'une faille pourra se glisser à chaque évolution.

Y a du vrai.
La solution que j'utilise c'est clef usb + papier pour tout bêtement imprimer mes clefs privées.

anna.murphy

newbie

Activity: 14

Merit: 0

Quote from: davout on June 27, 2011, 10:33:12 AM

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Que c'est naïf Cheesy

. Aujourd'hui la sécurité sous nunux est pensé à coup de sudo.

Justement non. La sécurité est pensée à base de privilèges, d'utilisateurs, de masques, de chroot etc.

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Chaque programme que tu lanceras en sudo pourra potentiellement te chouraves ton portefeuille.

That's not a bug, that's a feature baby.

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Comme le nombre de programmes ayant besoin de sudo augmentent en permanence l'introduction de failles de sécurité est permanente.

Citation needed ? Sur une variante de debian, à part l'installation d'un .deb je ne vois pas.

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Par contre avec une bonne configuration SELinux tu pourras avoir un portefeuille sécurisé car tu pourras en interdire l'accès, même à des programmes lancés à l'aide de sudo. Il est grand temps que nos systèmes de sécurité passe de l'enfance insouciante à des systèmes matures bien pensés. Les responsables qui définissent nos systèmes de sécurité d'aujourd'hui sont juste de gros incompétents.

C'est de l'open-source, tu es responsable...
Par ailleurs ou est l'incompétence ? Recommander SELinux pour résoudre un problème qui pourrait être résolu plus simplement avec l'encryption à la volée du portefeuille ? (autrement dit, recommander un bazooka pour tuer un moustique, n'est pas nécessairement un signe de grande compétence...)

Effectivement le système de base de sécurité de linux est fait à coup de ... Mais comment sont pensé les OS. Ne tape-t-on jamais sudo (tjs pour plus de programmes) ? Le serveur X (qui évolue) n'est -il pas lancé avec le bit setuid. Effectivement on peut tout faire avec les permissions de base, mais c'est pas vers cette voix là que s'oriente les distributions.
Pourquoi SELinux, Encrypter ton portefeuille n e marche que si tu as la garantie qu'aucun soft que tu lances en root ne va installer de keylogger sur ton OS. Pour faire simple si cela ne servait à rien la NSA n'aurait jamais conçu SELinux.
Tant que les softs que l'on fera tourner en root évolueront on n'aura aucune garantie de la sécurité, vu qu'une faille pourra se glisser à chaque évolution.

davout

legendary

Activity: 1372

Merit: 1008

1davout

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Que c'est naïf Cheesy

. Aujourd'hui la sécurité sous nunux est pensé à coup de sudo.

Justement non. La sécurité est pensée à base de privilèges, d'utilisateurs, de masques, de chroot etc.

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Chaque programme que tu lanceras en sudo pourra potentiellement te chouraves ton portefeuille.

That's not a bug, that's a feature baby.

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Comme le nombre de programmes ayant besoin de sudo augmentent en permanence l'introduction de failles de sécurité est permanente.

Citation needed ? Sur une variante de debian, à part l'installation d'un .deb je ne vois pas.

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Par contre avec une bonne configuration SELinux tu pourras avoir un portefeuille sécurisé car tu pourras en interdire l'accès, même à des programmes lancés à l'aide de sudo. Il est grand temps que nos systèmes de sécurité passe de l'enfance insouciante à des systèmes matures bien pensés. Les responsables qui définissent nos systèmes de sécurité d'aujourd'hui sont juste de gros incompétents.

C'est de l'open-source, tu es responsable...
Par ailleurs ou est l'incompétence ? Recommander SELinux pour résoudre un problème qui pourrait être résolu plus simplement avec l'encryption à la volée du portefeuille ? (autrement dit, recommander un bazooka pour tuer un moustique, n'est pas nécessairement un signe de grande compétence...)

davout

legendary

Activity: 1372

Merit: 1008

1davout

Quote from: gim on June 27, 2011, 07:08:54 AM

Edit: Je cherchais depuis quand ce thread est parti en vrille, mais en fait c'est depuis qu'il a été placé dans la section "Hors-sujet"...
D'ailleurs, si le sujet c'est Bitcoin, la moitié des threads qui sont ici ne sont pas (ou n'étaient pas) hors-sujet. Peut-être qu'il faudrait le renommer en "Expression libre" ou quelque chose dans le genre.

J'ai du le mettre dans hors-sujet parce qu'il ne rentrait pas vraiment dans les autres catégories, encore une fois, n'hésitez-pas à me dire si vous n'êtes pas d'accord.

gim

member

Activity: 90

Merit: 10

Quote from: anna.murphy on June 26, 2011, 06:23:31 PM

debian, canonical, microsoft etc...
Tu veux vraiment que je te donnes tous les noms de fabricants d'OS ?

Non, tous ces gens n'ont jamais accepté de prendre la moindre responsabilité.
Faute d'autorités compétentes pour l'assumer, les utilisateurs sont entièrement à charge de la sécurité de leur système.
Je vais citer le passage en majuscule qui existe (sous une forme ou sous une autre) dans les licences de ces OS...

Quote from: GPL

NO WARRANTY

11. BECAUSE THE PROGRAM IS LICENSED FREE OF CHARGE, THERE IS NO WARRANTY FOR THE PROGRAM, TO THE EXTENT PERMITTED BY APPLICABLE LAW. EXCEPT WHEN OTHERWISE STATED IN WRITING THE COPYRIGHT HOLDERS AND/OR OTHER PARTIES PROVIDE THE PROGRAM "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER EXPRESSED OR IMPLIED, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE. THE ENTIRE RISK AS TO THE QUALITY AND PERFORMANCE OF THE PROGRAM IS WITH YOU. SHOULD THE PROGRAM PROVE DEFECTIVE, YOU ASSUME THE COST OF ALL NECESSARY SERVICING, REPAIR OR CORRECTION.

12. IN NO EVENT UNLESS REQUIRED BY APPLICABLE LAW OR AGREED TO IN WRITING WILL AND COPYRIGHT HOLDER, OR ANY OTHER PARTY WHO MAY MODIFY AND/OR REDISTRIBUTE THE PROGRAM AS PERMITTED ABOVE, BE LIABLE TO YOU FOR DAMAGES, INCLUDING ANY GENERAL, SPECIAL, INCIDENTAL OR CONSEQUENTIAL DAMAGES ARISING OUT OF THE USE OR INABILITY TO USE THE PROGRAM (INCLUDING BUT NOT LIMITED TO LOSS OF DATA OR DATA BEING RENDERED INACCURATE OR LOSSES SUSTAINED BY YOU OR THIRD PARTIES OR A FAILURE OF THE PROGRAM TO OPERATE WITH ANY OTHER PROGRAMS), EVEN IF SUCH HOLDER OR OTHER PARTY HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGES.

END OF TERMS AND CONDITIONS

Edit: Je cherchais depuis quand ce thread est parti en vrille, mais en fait c'est depuis qu'il a été placé dans la section "Hors-sujet"...
D'ailleurs, si le sujet c'est Bitcoin, la moitié des threads qui sont ici ne sont pas (ou n'étaient pas) hors-sujet. Peut-être qu'il faudrait le renommer en "Expression libre" ou quelque chose dans le genre.

anna.murphy

newbie

Activity: 14

Merit: 0

debian, canonical, microsoft etc...
Tu veux vraiment que je te donnes tous les noms de fabricants d'OS ?

gim

member

Activity: 90

Merit: 10

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Les responsables qui définissent nos systèmes de sécurité d'aujourd'hui sont juste de gros incompétents.

Ah, il y a des responsables ?
Sur qui il faut tapper ?

jackjack

legendary

Activity: 1176

Merit: 1280

May Bitcoin be touched by his Noodly Appendage

Quote from: anna.murphy on June 26, 2011, 04:54:13 AM

Quote from: jackjack on June 18, 2011, 03:07:15 PM

T'as raison, il faut un utilisateur dédié
Avec un /home/bitcoin/.bitcoin/wallet.dat en 700

Il suffit d'un

Code:

su bitcoin
bitcoin

pour utiliser son compte, et personne ne peut y accéder

Que c'est naïf Cheesy

. Aujourd'hui la sécurité sous nunux est pensé à coup de sudo. Chaque programme que tu lanceras en sudo pourra potentiellement te chouraves ton portefeuille. Le problème vient de ce système de sécurité pourri nous obligeant à faire des sudo en permanence. Comme le nombre de programmes ayant besoin de sudo augmentent en permanence l'introduction de failles de sécurité est permanente.
Par contre avec une bonne configuration SELinux tu pourras avoir un portefeuille sécurisé car tu pourras en interdire l'accès, même à des programmes lancés à l'aide de sudo. Il est grand temps que nos systèmes de sécurité passe de l'enfance insouciante à des systèmes matures bien pensés. Les responsables qui définissent nos systèmes de sécurité d'aujourd'hui sont juste de gros incompétents.

Et qui lance un programme en qui il n'a pas une absolue confiance avec sudo ?
Le problème n'est pas de trouver la sécurité imparable mais de maximiser la sécurité avec un minimum de contraintes

anna.murphy

newbie

Activity: 14

Merit: 0

Quote from: jackjack on June 18, 2011, 03:07:15 PM

T'as raison, il faut un utilisateur dédié
Avec un /home/bitcoin/.bitcoin/wallet.dat en 700

Il suffit d'un

Code:

su bitcoin
bitcoin

pour utiliser son compte, et personne ne peut y accéder

Que c'est naïf Cheesy

. Aujourd'hui la sécurité sous nunux est pensé à coup de sudo. Chaque programme que tu lanceras en sudo pourra potentiellement te chouraves ton portefeuille. Le problème vient de ce système de sécurité pourri nous obligeant à faire des sudo en permanence. Comme le nombre de programmes ayant besoin de sudo augmentent en permanence l'introduction de failles de sécurité est permanente.
Par contre avec une bonne configuration SELinux tu pourras avoir un portefeuille sécurisé car tu pourras en interdire l'accès, même à des programmes lancés à l'aide de sudo. Il est grand temps que nos systèmes de sécurité passe de l'enfance insouciante à des systèmes matures bien pensés. Les responsables qui définissent nos systèmes de sécurité d'aujourd'hui sont juste de gros incompétents.

mozox

newbie

Activity: 8

Merit: 0

C'est ce que l'on appel jeter l'argent pas la fenêtre Grin

Belarrius

member

Activity: 77

Merit: 10

Mettez vos Wallet sous Free-BSD.

La le mec qui c'est fais avoir par un Malware était sous un Windows Seven, avec probablement un petit anti-virus comme Avast et le firewall Windows.... RIEN je dit RIEN d'étonnant à ce genre de vol...

Moi meme j'ai un petit ordi portable dans le placard que je branche de temps en temps à internet avec mon Wallet deden "Sous Free-BSD" j'ai très peut de BTC "1..2...3 max" car je suis un petit mineur.

Mais sérieusement, ou avais-t'il la tete ce gars là ? Planquer sont fric sous un vieux Windows... Bref, c'était mon avis.

Cordialement,

jackjack

legendary

Activity: 1176

Merit: 1280

May Bitcoin be touched by his Noodly Appendage

T'as raison, il faut un utilisateur dédié
Avec un /home/bitcoin/.bitcoin/wallet.dat en 700

Il suffit d'un

Code:

su bitcoin
bitcoin

pour utiliser son compte, et personne ne peut y accéder

gim

member

Activity: 90

Merit: 10

Quote from: toogreen on June 18, 2011, 12:06:10 PM

Comme dit jackjack, pour avoir une machine compromise sous Linux il faut vraiment avoir couru après. Voilà ce que je voulais dire dans mon message précédent: Si on utilise Linux, déjà en partant on voit nos chances de se faire hacker réduire de 99.9%.

Méfie-toi, vu l'enjeu, on trouvera vite des programmes qui vont soudainement aller fouiner dans ~/.bitcoin alors qu'ils prétendent faire autre chose.
Et nombre de gens vont exécuter ces programmes avec le même utilisateur que celui qui a lancé le client Bitcoin.

La seule vraie façon d'être protégé c'est de générer une clé offline, et sous un système d'exploitation minimal inspecté en détails par la communauté.
Reste le problème du porte-monnaie de tous les jours, qu'il faut bien placer sur une machine.

Je pense que le risque que des programmes voleurs de bitcoins arrivent tôt ou tard à s'introduire dans une distribution n'est pas du tout négligeable.
Contre cela, le chiffrement du porte-monnaie est un premier pas, mais forcément on trouvera toujours des mots de passe faibles ci ou là.

Une autre solution serait que le client Bitcoin ne soit jamais accessible aux utilisateurs normaux, et qu'il soit lancé avec les permissions d'un utilisateur dédié. Mais bon, encore une fois, on trouvera des moutons qui vont "sudo ce_qu_on_leur_a_dit_de_faire"... (Personnellement, il m'arrive rarement de manger de l'herbe, mais je ne me sens pas complètement à l'abri!)

toogreen

newbie

Activity: 32

Merit: 0

Comme dit jackjack, pour avoir une machine compromise sous Linux il faut vraiment avoir couru après. Voilà ce que je voulais dire dans mon message précédent: Si on utilise Linux, déjà en partant on voit nos chances de se faire hacker réduire de 99.9%.

jackjack

legendary

Activity: 1176

Merit: 1280

May Bitcoin be touched by his Noodly Appendage

Oui oui comme celui des banques, j'avais bien compris Wink

mais je pensais à un clicklogger avec capture d'écran (50x50px pas besoin de plus) autour du curseur

Dilbert

newbie

Activity: 5

Merit: 0

Quote from: jackjack on June 18, 2011, 10:34:25 AM

Quote

Cela dit, même une passphrase "à la PGP" peut être piratée par un keylogger (et les keyloggers ça existe aussi sous Linux)... Le mieux serait que le logiciel affiche un "clavier virtuel", comme le font certaines applications bancaires.

Non mais si ta machine est compromise (sous Linux il faut l'avoir voulu...) c'est plus la peine de chercher...
Un clavier virtuel est totalement inutile, un keylogger devient très rapidement un clicklogger

Le clavier virtuel auquel je pensais pourrait afficher les caractères de façon aléatoire (Logitelnet de la Socgen fait ça pour les chiffres).

jackjack

legendary

Activity: 1176

Merit: 1280

May Bitcoin be touched by his Noodly Appendage

Quote from: azorni on June 18, 2011, 08:32:29 AM

Quote from: jackjack on June 18, 2011, 08:22:27 AM

Quote from: azorni on June 18, 2011, 07:44:02 AM

Quote from: jackjack on June 18, 2011, 07:26:56 AM

Quote

De nos jours un mot de passe même comprenant des caractères spéciaux (!:@% etc) est considéré comme crackable avec du matériel dédié, et ce jusqu'à une longueur de douze caractères.

Source?

https://en.bitcoin.it/wiki/Securing_your_wallet#Password_Strength

Tu as traduit la page avec Google Traduction pour faire un contre-sens de ce genre?

« Brute-force password cracking has come a long distance, a previously thought secure password of random [a-Z] [0-9] [!-~] of 8 characters long can be trivially solved now (using appropriate hardware)... The recommended length is at least 12 characters long. »

Ben si une longueur d'au moins 12 caractères est recommandée, ça veut dire par contre-apposition qu'en dessous de 12 caractères, ça peut-être cracké, non ?

Non pas vraiment, lorsqu'un mot de passe de n caractères est bruteforçable, on conseille n+4 ou 5 plutôt...
De plus, lis la phrase d'en-dessous

Quote

even 10 years from now when even a 12 character password might be too short.

"même dans 10 ans, lorsque les mots de passe de 12 caractères seront peut-être trop courts"
Si on est pas sûrs que dans 10 ans ils soient trop court, c'est qu'ils le sont pas aujourd'hui

Quote

Cela dit, même une passphrase "à la PGP" peut être piratée par un keylogger (et les keyloggers ça existe aussi sous Linux)... Le mieux serait que le logiciel affiche un "clavier virtuel", comme le font certaines applications bancaires.

Non mais si ta machine est compromise (sous Linux il faut l'avoir voulu...) c'est plus la peine de chercher...
Un clavier virtuel est totalement inutile, un keylogger devient très rapidement un clicklogger

Dilbert

newbie

Activity: 5

Merit: 0

Cela dit, même une passphrase "à la PGP" peut être piratée par un keylogger (et les keyloggers ça existe aussi sous Linux)... Le mieux serait que le logiciel affiche un "clavier virtuel", comme le font certaines applications bancaires.

toogreen

newbie

Activity: 32

Merit: 0

Commencer par utiliser Linux au lieu de Windows est déjà pas mal plus sécuritaire. Et non c'est pas extrême comme précaution tant qu'à moi, ça fait assez longtemps qu'on averti les utilisateurs Windows que leur système n'est pas sécuritaire, c'est le temps qu'ils se réveillent.

Dilbert

newbie

Activity: 5

Merit: 0

C'est vrai que c'est un peu étrange de livrer un produit sans protection des clés. C'est comme si PGP avait été livré sans passphrase pour protéger les clés privées. Mais ça ne concerne que l'implémentation logicielle courante, pas le système en lui-même.

azorni

newbie

Activity: 10

Merit: 0

Quote from: jackjack on June 18, 2011, 08:22:27 AM

Quote from: azorni on June 18, 2011, 07:44:02 AM

Quote from: jackjack on June 18, 2011, 07:26:56 AM

Quote

De nos jours un mot de passe même comprenant des caractères spéciaux (!:@% etc) est considéré comme crackable avec du matériel dédié, et ce jusqu'à une longueur de douze caractères.

Source?

https://en.bitcoin.it/wiki/Securing_your_wallet#Password_Strength

Tu as traduit la page avec Google Traduction pour faire un contre-sens de ce genre?

« Brute-force password cracking has come a long distance, a previously thought secure password of random [a-Z] [0-9] [!-~] of 8 characters long can be trivially solved now (using appropriate hardware)... The recommended length is at least 12 characters long. »

Ben si une longueur d'au moins 12 caractères est recommandée, ça veut dire par contre-apposition qu'en dessous de 12 caractères, ça peut-être cracké, non ?

ploum

sr. member

Activity: 428

Merit: 254

N'oublions pas que, en dehors de l'aspect technique de la sécurité (où je trouve que les gens se déresponsabilisent beaucoup trop), il y a le simple bon sens.

Si tu as 500.000$, tu ne les gardes pas en billets en dessous de ton matelas! Ni même dans une banque de quartier.

Et bien bitcoin, c'est pareil: si tu en as beaucoup, tu diversifies. Tu en mets sur différents ordinateurs, tu en mets certains sur différents comptes en ligne (en fonction de la confiance que tu leur donne).

Garder 25000btc sur ton ordinateur personnel que tu utilises tous les jours pour aller sur le web (et sous Windows qui plus est), je suis désolé mais c'est tendre le bâton pour se faire battre.

Ce genre d'utilisateurs est déjà à la base de la majorité du spam qu'on reçoit mais là, ils s'en foutaient (pour info, un commentaire légitime sur vingt reçu sur mon blog provient d'une machine qui, d'après spamhaus, est reconnue pour avoir envoyé du spam dans les dernières 24h. Cela signifie que 1/20ème de mes commenteurs, sur un blog pourtant orienté geek/linux, a une machine infectée et reconnue comme telle).

Et bien voilà, maintenant, les utilisateurs réalisent que c'est important de sécuriser sa machine.

jackjack

legendary

Activity: 1176

Merit: 1280

May Bitcoin be touched by his Noodly Appendage

Quote from: azorni on June 18, 2011, 07:44:02 AM

Quote from: jackjack on June 18, 2011, 07:26:56 AM

Quote

De nos jours un mot de passe même comprenant des caractères spéciaux (!:@% etc) est considéré comme crackable avec du matériel dédié, et ce jusqu'à une longueur de douze caractères.

Source?

https://en.bitcoin.it/wiki/Securing_your_wallet#Password_Strength

Tu as traduit la page avec Google Traduction pour faire un contre-sens de ce genre?

unclescrooge

hero member

Activity: 868

Merit: 1000

Quote from: azorni on June 18, 2011, 06:15:40 AM

Bonjour,

je connais bitcoin depuis janvier environ et j'ai entammé un long fil sur le site liberaux.org:

http://www.liberaux.org/topic/46885-bitcoin/

La nouvelle récente sur le vol d'un fichier wallet a énormément réduit ma confiance envers le système.

Je m'autocite:

Quote

Certes, on savait depuis le début que le fichier wallet doit être protégé scrupuleusement, et que de nombreuses précautions doivent être prises. Le gars qui s'est fait volé a été particulièrement imprudent. N'empêche, on est obligé d'admettre que cela remet sérieusement en question la sécurité du système.

Dès le début Nakamoto a choisi de placer la sécurité de l'accès aux clefs privées sous la responsabilité du système d'exploitation. Et les hackeurs ont vite compris que c'est bien là le point de faiblesse. C'est bien beau d'avoir des paires de clefs à courbes ellyptiques, ça ne sert pas à grand chose si leur accès est protégé par un mot de passe mémorisé par un être humain.

Certes, il y a tout un tas de précautions qui peuvent être prises pour éviter tout problème. Créer un utilisateur dédié sur un système unix, faire tourner le logiciel sur une machine virtuelle sous Windows, bloquer les ports sensibles, etc. Mais clairement ça remet fondamentalement en question l'utilisabilité du logiciel.

En fait cette histoire me fait douter de l'utilité de la cryptographie pour le grand public (et je me considère comme faisant partie du grand public). De nos jours un mot de passe même comprenant des caractères spéciaux (!:@% etc) est considéré comme crackable avec du matériel dédié, et ce jusqu'à une longueur de douze caractères. Douze caractères, c'est long.

En fait la cryptographie assymétrique c'est un peu comme une porte blindée: c'est solide mais ça sert pas à grand chose si c'est pour la mettre à l'entrée d'une maison en bois ou d'une maison dont les fenêtres sont grandes ouvertes.

Commentaires bienvenus sur ce fil ou sur celui de liborg

C'est ridicule. C'est comme si on remettait en cause les pieces de monnaie parce qu'elles peuvent être volé. Ou les emails parce que les mots de passe peuvent être craqués.

Nakamoto a mis en place un système qui, jusqu'à présent, s'est révélé très sûr (par là j'entends que la double depense et la creation frauduleuse de bitcoins est impossible).

Maintenant la securité des clés privés est un autre sujet, et ne t'inquiètes pas qu'elle va être adressé dans les prochaines versions des clients bitcoins. ça ne remet pa en cause les bitcoins, ça remet en cause la securité des portefeuilles wallet.dat.

Nan vraiment, ça ne remet absoluement pas en cause le système bitcoin...

azorni

newbie

Activity: 10

Merit: 0

Quote from: jackjack on June 18, 2011, 07:26:56 AM

Quote

De nos jours un mot de passe même comprenant des caractères spéciaux (!:@% etc) est considéré comme crackable avec du matériel dédié, et ce jusqu'à une longueur de douze caractères.

Source?

https://en.bitcoin.it/wiki/Securing_your_wallet#Password_Strength

jackjack

legendary

Activity: 1176

Merit: 1280

May Bitcoin be touched by his Noodly Appendage

Dans la prochaine version le wallet.dat sera chiffré
Après ça, si les gens sont pas foutus de trouver un mot de passe solide faut pas venir pleurer... Cette déresponsabilisation à tout-va de la société devient insupportable

Quote from: gim on June 18, 2011, 07:24:15 AM

Peut-être que ça fera (enfin) prendre conscience aux gens que leur système d'exploitation est juste un gros gruyère...

+1
Mais en fait non, ils n'en prendront jamais conscience ça demanderait de se renseigner, de réfléchir, ... (cf ligne 2)
C'est plus facile de taper sur le programme qui se fait pirater

gim

member

Activity: 90

Merit: 10

Quote from: azorni on June 18, 2011, 06:15:40 AM

La nouvelle récente sur le vol d'un fichier wallet a énormément réduit ma confiance envers le système.

Peut-être que ça fera (enfin) prendre conscience aux gens que leur système d'exploitation est juste un gros gruyère...
Et juste pour cette raison, je trouve cette période plutôt saine. Même si tout ça va changer très bientôt (c'est la préoccupation numéro 1 des développeurs en ce moment).

PS: je trouve ça hilarant d'entendre des exclamations du style « mais j'utilise un anti-virus! »

azorni

newbie

Activity: 10

Merit: 0

Bonjour,

je connais bitcoin depuis janvier environ et j'ai entammé un long fil sur le site liberaux.org:

http://www.liberaux.org/topic/46885-bitcoin/

La nouvelle récente sur le vol d'un fichier wallet a énormément réduit ma confiance envers le système.

Je m'autocite:

Quote

Certes, on savait depuis le début que le fichier wallet doit être protégé scrupuleusement, et que de nombreuses précautions doivent être prises. Le gars qui s'est fait volé a été particulièrement imprudent. N'empêche, on est obligé d'admettre que cela remet sérieusement en question la sécurité du système.

Dès le début Nakamoto a choisi de placer la sécurité de l'accès aux clefs privées sous la responsabilité du système d'exploitation. Et les hackeurs ont vite compris que c'est bien là le point de faiblesse. C'est bien beau d'avoir des paires de clefs à courbes ellyptiques, ça ne sert pas à grand chose si leur accès est protégé par un mot de passe mémorisé par un être humain.

Certes, il y a tout un tas de précautions qui peuvent être prises pour éviter tout problème. Créer un utilisateur dédié sur un système unix, faire tourner le logiciel sur une machine virtuelle sous Windows, bloquer les ports sensibles, etc. Mais clairement ça remet fondamentalement en question l'utilisabilité du logiciel.

En fait cette histoire me fait douter de l'utilité de la cryptographie pour le grand public (et je me considère comme faisant partie du grand public). De nos jours un mot de passe même comprenant des caractères spéciaux (!:@% etc) est considéré comme crackable avec du matériel dédié, et ce jusqu'à une longueur de douze caractères. Douze caractères, c'est long.

En fait la cryptographie assymétrique c'est un peu comme une porte blindée: c'est solide mais ça sert pas à grand chose si c'est pour la mettre à l'entrée d'une maison en bois ou d'une maison dont les fenêtres sont grandes ouvertes.

Commentaires bienvenus sur ce fil ou sur celui de liborg

Topic: Comment j'ai perdu confiance dans ce projet (Read 7617 times)