Topic: Non firmate digitalmente cose ignote. (Read 3083 times)

ultimamente sempre piu' utenti riportano il seguente fatto: il sito x mi ha fatto firmare una stringa y per verifiche a mia garanzia

riporto un esempio incollato da un utente


dal punto di vista del buon senso come ho gia' scritto:

solo l'idea che qualcuno dichiari di fare qualcosa "a mia garanzia"  (alias "per il mio bene")  mi fa rabbrividire.

poi trovo bizzarra l'idea che sono io (creditore) che devo firmare qualcosa (che non so neppure cosa sia) a mia garanzia
eventualmente sara' il debitore che mi deve dare le garanzie, non certo io !

Forse non tutti sanno che  c'e' anche questo interessante risvolto matematico:

quando firmiamo con bitcoin core un documento, creiamo la seguente stringa:
 
base64( leading byte + r + s )  dove r,s e' la firma ECDSA del testo

esiste un algoritmo semplice per ricavare la chiave pubblica data la firma e il testo firmato. (http://www.secg.org/sec1-v2.pdf pagina 47)

in pratica, firmando una cosa, noi rendiamo NOTA la nostra chiave pubblica.

ora, questo non e' di per se' grave, pero' va ricordato quanto segue:

1) finche e' noto solo l'address bitcoin, la chiave pubblica e' ancora ignota.

2) normalmente la chiave pubblica diventa nota quando viene fatta la prima transazione in outupt da un indirizzo.

3) Firmando un messaggio, noi rendiamo nota la chia pubblica anche se non e' stata fatta nessuna transazione in output da quell'indirizzo.

4) dulcis in fundo, e' indicata come buona norma svuotare completamente un indirizzo della quale e' stata fatta un'operazione di output
(e per questo nei wallet evoluti il resto viene inviato ad un indirizzo nuovo  creato da zero, e non all'indirizzo di partenza)


MORALE: NON firmate nulla con il wallet se non sapete ESATTAMENTE cosa state facendo e VOLETE farlo.

Dal wallet direi proprio di sì, a meno che ci sia qualche bug nel client che renda prevedibile la generazione dell'insieme delle chiavi in esso contenute.

Qui invece si stava ipotizzando una truffa legata a un singolo indirizzo. Questa è in teoria assolutamente fattibile, ma per l'appunto occorre

1) conoscere un indirizzo,
2) il suo contenuto attuale (questo è banale) e
3) mettere in opera un minimo di ingegneria sociale, prima per ottenere l'indirizzo del punto 1, e poi per convincere il legittimo proprietario a firmare con la corrispondente chiave privata una transazione preparata ad hoc.

Nel tuo caso specifico però sembra molto difficile che sia andata così.

ok, quindi mi assicurate che è impossibile firmare un msg che prenda tutto dal wallet. In effetti non poteva sapere quanto avevo vinto, prima ancora di giocare

Avevo capito che fosse stato rubato quanto vinto più quanto già presente su quell'indirizzo; se così non è, vedo ancora più improbabile che abbia firmato una transazione.

una transazione non può essere un assegno in bianco. Una volta firmata, autorizza il trasferimento di una somma X da un indirizzo A a B. X dev'essere prefissata e non si può cambiare dopo la firma

Ripeto sempre che sono ingnorantissimo sui bitcoin e non so cosa potrebbe essere accaduto, ma non è possibile una firma che "comanda" di svuotare l'address ?

no, nel suo caso era vuoto: ha prelevato 0.005 e gli è stata rubata la stessa somma

Si potrebbe anche fregarsene di quanto verrà prelevato, e preparare una transazione per l'ammontare già presente su quell'indirizzo.

quindi quando la firmi conoscono solo l'indirizzo di destinazione del prelievo ma non sanno ancora quanto preleverai, allora come fanno a stabilire l'importo della transazione rubata? Qualcosa non torna

La stringa la devi firmare per il primo prelievo, ma poi se vuoi cambiare address per i successivi, devi firmarne 1 altra. Va firmata prima di richiedere il pagamento

ma scusa, la stringa la devi firmare una volta sola o tutte le volte che prelevi dal conto? Allo step in cui la firmi, hai già indicato l'importo che intendi prelevare?

non era proprio così, il giveaway era diverso.
l'utente xx dice "iscriviti come mio ref, sul conto del casinò ti vengono accreditati 0,005 btc che defvi giocare xx volte per prelevare.
non dico che la truffa l'ha fatta chi ha fatto la promozione, ma (se di truffa si tratta) non è una cosa demenziale per niente, perchè io non ho depositato niente, ma se tu ti iscrivi, depositi 1 btc, ne vinci 2, poi prelevi e dopo 10 minuti che ti è arrivato ilv prelievo si riprendono tutto, non è tanto demenziale visto il numero di utenti che hanno. Loro ti hanno pagato, poi se ti sei fatto fregare i btc son problemi tuoi 

Spesso gli utenti riutilizzano lo stesso indirizzo, e la cosa si può facilmente verificare tramite un qualsiasi explorer. Chiaramente la truffa ha senso (sempre che di una truffa effettivamente si tratti) solo se sull'indirizzo usato dall'utente siano presenti già altri fondi, in modo da riprendersi i 0.005 XBT assieme a tutto il resto.

Ciao!

sì lo so, ma evidentemente mi mancava un pezzo: hai scritto che si trattava di un giveaway, quindi qualcuno ti avrebbe donato quegli 0.005 BTC per poi riprenderseli con l'inganno a distanza di qualche ora... ma che senso ha? Tra l'altro per importi così piccoli il costo delle transazioni incide non poco. Se è veramente una truffa, è la più sfigata e demenziale della storia... ma forse ho capito male io.

si, ho scritto tutto qua
https://bitcointalksearch.org/topic/rubati-btc-anzi-satoshi-ma-come-hanno-fatto-1300015

in pratica ho ricevuto i bitcoin alle 7 di sera e dopo qualche ora sono spariti, l'intera somma.

no, scusa un attimo: prima hai ricevuto una transazione dal sito che ti ha fatto firmare la stringa, e poi è stata creata un'altra transazione in uscita dallo stesso tuo indirizzo? Ma i due importi coincidevano?

Il mio problema è stato proprio con betcoin.tm , dopo aver firmato la transazione con loro, i bitcoin che mi hanno inviato sono spariti dopo poche ore. Mi rimane sempre il dubbio che sia stata la transazione firmata, soprattutto perchè era un giveaway e molti si son ritrovati con il conto bloccato perchè a loro dire avevano creato multiaccount

riuscireste a fare un esempio pratico su questo possibile tipo di scam?

Intendo una transazione reale fatta da un address A ad un address B mostrando la tecnica passo passo, completa di hash firmati e da firmare ?

Capisco che richiede tempo ed è anche noioso, ma almeno avremmo una prova pratica dell'effettiva realizzabilità di tale cosa (cosa che da un punto di vista teorico ritengo perfettamente fattibile)

E' comunque una cosa senza senso per un sito di gambling, se perdi l'accesso a quell'indirizzo bitcoin cosa fai, non ricevi più la password? Far firmare una stringa alfanumerica, senza far capire di che si tratta, senza nemmeno un reale scopo, non ha il minimo senso

Il che andrebbe benissimo se ti facessero firmare un messaggio intellegibile del tipo "I'm the owner of the address 1xxx"; perchè mai devono proporti invece una stringa alfanumerica indecifrabile?

tecnicamente, betcoin.tm dice che la firma serve per verificarti, infatti se perde la password, te la manda solo se gli firmi un'altra cosa solo con l'indirizzo con il quale ti sei iscritto.

si infatti è come dice knonkodil, io nel dubbio ho usato un conto dove comunque avevo molto poco, vorrà dire che sposterò tutto

Gbianchi ti posso rispondere io, perchè ti obbligano 
O firmi quanto scritto, oppure non puoi prelevare, mi sembra una cosa assurda per un casinò.
Io per non correre rischi, ho aperto un portafoglio su blockchain e ho firmato con quello, ho prelevato e appena arrivate le conferme li ho spostati sul mio wallet

Come ti ha detto anche gbianchi firmare qualcosa che non si capisce non ha senso (va proprio contro il principio della firma, che significa "io sottoscrivo - quindi comprendo e sono d"accordo/autorizzo - ciò che c'è scritto nel messaggio").

Ultimamente ho notato che, anche qui nel forum, la firma dei messaggi viene utilizzata soprattutto per verificare in modo indiretto un'identità (se sono in grado di firmare un qualsiasi messaggio allora io sono il proprietario di questo indirizzo), e spesso passa in secondo piano il messaggio vero e proprio, che deve essere sempre chiaro, anche se spesso inutile nel contenuto, a chi firma.

Come strumento minimo (ma non credo sufficiente) di salvaguardia, bisognerebbe almeno provare a incollare la stringa alfanumerica proposta qui-> https://blockchain.info/it/decode-tx o qui -> https://coinb.in/#verify per verificare che non si tratti di una transazione, ma comunque ripeto come principio generale proprio non capisco per quale motivo uno dovrebbe essere indotto a firmare qualcosa che non è in grado di capire.

nella tua domanda c'e' gia' la risposta...

mi pare di capire che NON SAI cosa ti fanno firmare... e allora perche' dovresti firmarlo ?

a parte il rischio e' proprio il concetto... perche dovresti firmare un qualcosa di cui non sai il significato ?


queta e' l'ennesima pessima abitudine che ci hanno insegnato (in primis le banche, le assicurazioni ecc)
che andrebbe ERADICATA.

Io non sono sicuro di nulla ma nel dubbio trasferirei tutto in altro indirizzo ...

 
anche io vorrei sapere se c'è qualche rischio... Per la richiesta di prelievo su betcoin.tm ho firmato una stringa alfanumerica...
ovviamente non avevo letto questo post

Hai ragione tu, mi sono confuso con la blind signature, firmare un file vuol dire ricevere il file "in chiaro", fare l'hash del file (1 sola volta) e quindi criptare l'hash con la propria chiave privata (anche perchè se fosse altrimenti non si sarebbe mai in grado di sapere che cosa si sta effettivamente firmando).

Il problema è che se ti inviano una stringa alfanumerica "in chiaro" non è immediato comunque riconoscere a occhio se si tratta di una transazione o no.

EDIT: nel caso particolare della firma di una transazione però, si firma in realtà l'hash di un hash (vedi i punti 13,14 e 15 della risposta articolata in 19 punti che si trova qui http://bitcoin.stackexchange.com/questions/3374/how-to-redeem-a-basic-tx).
Adesso mi è venuto il dubbio di come funzioni esattamente la firma  


EDIT2: allora, in generale l'algoritmo ECDSA prevede che la firma consista nel criptare l'hash di un messaggio, nel caso particolare però della firma di una transazione bitcoin si è deciso di fare 2 volte l'hash della transazione e poi criptare il risultato ottenuto (per una questione di sicurezza, in questo caso non c'entra nulla la blind signature) ->

Using one round of SHA-256 is subject to a length extension attack, which explains why double-hashing is used.

Fonte: http://www.righto.com/2014/02/bitcoins-hard-way-using-raw-bitcoin.html

Di solito non perdo molto tempo a studiare queste cose (purtroppo non ho l'anima da scammer )
pero' penso che ci siano esempi anche molto piu' semplici di social engineering:

individuo un tipo X che ha dei wallet pubblicati (ad esempio quelli delle donazioni) con un po' di grana dentro.

con l'ausilio di qualche strumento forgio una transazione con tutte le txid dall'address di X ad uno mio,
e gia' che ci sono metto anche una lauta fee cosi' sono certo che passa velocemente

Provo a contattare X e magari blandirlo un po': uh che figata che hai fatto e bla bla bla,
vorrei donarti qualcosa, e provo a sparare una supercazzola per farmi firmare qualcosa prima della fantomatica donazione
(mi firmi un "autografo"...  devo far vedere al mio capo che ti ho davvero fatto una donazione a questo indirizzo.... boh un po' di fantasia)
se non becca pazienza, ma se becca (perche' non sa di questi pericoli) ...

mi faccio firmare la transazione.

la sparo in rete

ciao ciao bitcoin di X

sara' perche' e' tardi e sono un po' addormentato... ma secondo me funziona

Il rischio è il seguente:

- tu vuoi prelevare dei btc da A e metterli su un tuo indirizzo x
- A prepara una transazione da A e x, la firma ma non la trasmette
- A prepara una seconda transazione, dal tuo indirizzo x (ovvero dall'output della transazione del punto precedente, di cui adesso ha già pronto il txid) di nuovo ad A, fa l'hash di questa seconda transazione e ti invia questa transazione incompleta stringa di 64 caratteri
- tu firmi la stringa (in questo modo A completa l'"assemblaggio" della seconda transazione)
- A trasmette la prima transazione, tu ricevi i btc e quindi A può dire di averti pagato
- un'ora dopo A trasmette anche la seconda transazione e si riprende i btc che ti aveva inviato (a meno che tu non li abbia spostati subito; faccio notare per inciso che in realtà c'è un caso ancora peggiore, A potrebbe trasmettere alla rete le due transazioni contemporaneamente e queste potrebbero essere convalidate nello stesso blocco! -> http://bitcoin.stackexchange.com/questions/1726/can-multiple-transactions-transferring-the-same-bitcoin-be-done-in-one-block)

Ovviamente qualora nell'indirizzo su cui vuoi essere pagato ci fossero già altri output non spesi di altre transazioni, A sarebbe in grado con questo stratagemma non solo di riprendersi i propri btc ma anche di svuotare completamente il contenuto del tuo indirizzo (preparando una transazione ad hoc).

Tutti i dati necessari per fare una transazione (txid di transazioni che hanno portato i btc nel nostro indirizzo, l'indirizzo stesso) sono pubblici; ciò che distingue il legittimo proprietario di un indirizzo da tutti gli altri è solo la possibilità di firmare la transazione (operazione che tra l'altro comporta la comunicazione della chiave pubblica, altrimenti non avrebbe senso chiedere a qualcuno di firmare qualcosa se poi non si è in grado di verificare la firma).

Da notare infine che in tutto questo A non verrebbe nemmeno a conoscenza della chiave privata di x, ma visto che la funzione della chiave privata è solo quella di firmare (e di produrre la relativa chiave pubblica per la verifica) non cambierebbe nulla (se non che l'indirizzo x rimarrebbe sicuro dopo il furto, bella consolazione )

Spero di spiegarmi ...
Da quello che ho capito puoi firmare solo una transazione in ingresso e dirottarla su altro address. Se io svuoto le transazioni in ingresso non possono in alcun modo firmare transazioni che ancora non sono avvenute o sbaglio qualcosa?
Ossia: se ho BTC su un address rischio solo se non sposto le transizioni in ricezione. Se lo svuoto e lo riempio non dovrebbe esserci modo per prendere i BTC.

Restando in tema ho notato che betcoin per il prelievo vuole che verifichi il wallet firmando una stringa alfanumerica, secondo voi è affidabile oppure c'è da preoccuparsi?

Nessun problema. E' che avendolo scritto pochi post prima mi pareva passato inosservato :-)

Ti riferisci a me picchio! Scusa ma pensavo di averti messo in quote!!! Invece non l'ho fatto.

mea culpa

[diciamo pure che ieri quando sono entrato nel forum avevo in corpo qualche bicchiere extra.]

Scherzo, scherzo ma lo smile mi e' rimasto nella tastiera ;-) 

gbianchi , picchio non diceva a te per l'ignore, ma perchè ha scritto la stessa cosa due post prima di un altro utente, ma oggi è natale è voglio essere buono 

piuttosto, non so se hai letto, ho scritto quello che ho firmato nel wallet dove sono spariti
https://bitcointalksearch.org/topic/m.13355847

ma scherzi ? leggo sempre con attenzione quello che scrivi !

in questo caso:

1) non vorrei appesantire troppo il thread di benvenuto, ho il terrore di renderlo troppo pesante
e manca ancora tutta una sezioncina sull'acquisto/vendita di beni servizi

2) voglio aspettare cosa succede a questo thread. Non so se ne esiste un altro,
come chiedevo all'inizio ad HostFat, e se non ce ne sono altri, se rimane qui
o viene spostato in qualche altra sezione !

comunque scusa se ti ho dato l'impressione di ignorarti,
veramente ti leggo sempre con piacere

Ho come la sensazione di essere nell'ignore list di qualcuno -(

Potresti inserire queste info nel topic di benvenuto: sembrano tecnicismi ma non lo sono assolutamente, anzi.
Magari questo thread affonda e si perde nelle pagine precedenti: aggiungilo lì.

Il punto da sottolineare più volte è proprio questo.

Se cercate "sign a message" qui nel forum troverete molte situazioni in cui si invita qualcuno a firmare un messaggio come metodo per dimostrare di essere il proprietario di un certo indirizzo (ad esempio, se non si è sicuri dell'identità di un account - sospetto di account rubato - si può chiedere alla persona in questione di firmare un messaggio con un suo indirizzo - un indirizzo riportato nel forum molto tempo fa e quindi ricollegabile a quell'account in tempi non sospetti)

Di solito in questi post l'attenzione è sul "sign" (come si fa a firmare?, cosa significa?) e quasi mai sul "message", che però è altrettanto importante!

Con la propria firma si dichiara di essere l'autore del messaggio che si sta firmando! Se nel messaggio c'è scritto (ovviamente nel linguaggio del protocollo bitcoin): "io possessore della chiave privata dell'indirizzo x autorizzo il trasferimento di tutti gli input non spesi dal mio indirizzo all'indirizzo y" e io lo firmo, ho appena creato una transazione (è così che funzionano tutti i client)!
A quel punto basta che questo messaggio sia trasmesso alla rete e io ho speso in maniera irrecuperabile i miei btc.

Potresti collegare questa discussione dalla discussione di benvenuto.

Siccome la prudenza non e' mai troppa, ho deciso di scrivere due righe su questo argomento.

Prima una piccola premessa tecnica: come e' noto,quando voi spedite dei bitcoin verso
qualche indirizzo, oppure quando un qualche utente  li spedisce ad un vostro indirizzo,
viene eseguita una "transazione".

Una transazione, in estrema sintesi, non e' altro che una piccola stringa di caratteri,
firmata digitalmente dal proprietario dell'indirizzo.

Quindi e' importante che se qualcuno vi sottopone un file, un testo, una stringa esadecimale,
insomma una qualsiasi forma di documento e vi chiede di firmarlo digitalmente (col vostro wallet),
EVITATE DI FARLO se non sapete ESATTAMENTE cosa state firmando, ne siete consapevoli,
e avete la VOLONTA' di farlo.

la firma digitale e' l'equivalente di una firma nella vita reale, e come nella vita
reale se qualcuno vi chiede di firmare qualcosa lo fate solo se siete ben consapevoli
di cosa state firmando (a parte chi vi prende per sfinimento tipo le banche )
allo stesso modo, anzi con ancora maggor attenzione dovreste comportarvi nel
mondo bitcoin, dove quando una cosa e' fatta NON SI TORNA INDIETRO.

Ovviamente questo vale anche per altre forme di firma digitale, ma essendo in un forum
Bitcoin, dove firma digitale = spedizione denaro, direi che sensibilizzare sull'argomento e' importantissimo !

(nota per HostFat: non so in che sezione mettere questa piccola nota, e non so
se era gia' stata scritta da qualcuno, io non ne ho mai viste, ma se c'e' gia' cancella pure)