Topic: Seguridad en blockchain.info. (Read 4254 times)

En realidad viene a ser lo mismo, porque bitcoin utiliza protocolos estándar de seguridad y cifrado, no hay implementado ninguno nuevo. Y la NSA intentó forzar los cifrados más potentes sin éxito, así que bitcoin ha de resultar inviolable para ellos:

http://www.spiegel.de/international/germany/inside-the-nsa-s-war-on-internet-security-a-1010361.html

Uno de los programas que más se les resiste es True Crypt, que creo que ya no se distribuye. Yo sigo usando la última versión y no pienso cambiar a otro.

Pero eso no es lo mismo que decir "la NSA ha buscado agujeros en bitcoin sin resultado", que es lo que has dicho mas arriba.

No pasa nada. Funciona bien. Si la gente no sabe diferenciar entre la cartera choricera de Mtgox u otro exchange con respecto a bc.info que es la propia cadena de bloques y que la clave esta en poder del usuario es que no sabe por donde anda.

Espero que nada grave. Que pasase lo de Mtgox con blockchain sería muy peligroso para bitcoin. Si se empieza a crear la idea de que bitcoin es muy fácil de robar la gente que no lo conoce no querrá sumarse, y eso no es nada bueno.

Blockchain amaneció hoy cerrado por presunto mantenimiento. ¿Que se traen entre manos?...

Es una noticia de hace tiempo. Snowden había publicado unas informaciones donde parecía que la nsa podía crackear casi cualquier cosa, lo que fue aireado de forma sensacionalista. Rápidamente criptografos y matemáticos dejaron claro que eso era pura basura. Vamos matemáticamente imposible. Las intervenciones las hacen con puertas traseras que "sugieren", a los fabricantes de software y con técnicas de espionaje más convencional. Creo que en este blog viene algo de aquello http://austinbitcoin.com/Blog/nsa-can-not-crack-anything-despite-what-the-feds-claim-bitcoin-is-ultra-safe

Las debilidades de bitcoin son las conocidas: la centralización de la minería que posibilita el ataque del 50% y la trazabilidad de las transacciones

¿Dónde puedo leer más sobre eso de la NSA que ha buscado sin resultado? Gracias.

Hola: pues si de verdad crees que el propio sistema de bitcoin tiene que tener agujeros o fallos, como dices, entonces date por j****o, puesto que, lamento comunicarte que en la wallet que vas a guardar bajo un ladrillo no están tus bitcoins. Allí sólo está la clave privada de la transacción que los contiene en la cadena de bloques, cadena que está públicamente difundida por el mundo mundial.

Pero, tranquilizate, lo de los agujeros es muy improbable, ya los ha buscado la NSA y sin resultado.

Por otra parte, existen una variedad casi infinita de troyanos especializados en guindarle las claves al usuario (además de algunos específicos para el mundo del BTC) de manera que, aunque utilices la última actualización de Bitcoin Core, si no has mantenido una estricta profilaxis en cuanto saques la wallet del ladrillo donde la tienes metida y la introduzcas....flush!

Estoy totalmente de acuerdo con Okae.... lo mejor es un ladrillo suelto en casa o dentro del colchón, porque pueden pasar muchísimas cosas. Las personas que no tengan un mínimo de seguridad en su wallet, puede ser objeto de un ataque o robo de bitcoins y una vez que se pierdan son imposibles recuperarlos. El propio sistema tiene que tener agujeros o fallos, que los mismos desarrolladores conocen y a su vez otros terceros. Lo único que me da tranquilidad es que mi wallet, no es de los más jugosos, seguro que hay otros más interesantes.

Me parece que había dicho que utilizo bc.info con cantidades no muy grandes y siempre en combinación con Multibit. Siempre he dejado claro que no era la seguridad perfecta, sino un compromiso operativo que me parece muy bueno. Creo que no es nada consecuente ir por ahí cogiéndosela con papel de fumar en el tema de seguridad de la cartera, para luego volcar montoooones de bitcoins en cualquier exchange, dejándolos ahí para tradear más cómodo; y ahí sí que no hay client side que valga. ¿Cuántos han sido goxeados o BitStampeados así?, cuando, mira tú por donde, se puede usar bc.info para enviar y retirar btcs del exchange, en cualquier momento, desde cualquier lugar, para minimizar el tiempo de exposición en esos cuchitriles, y desde bc.info, ya más tranquilamente, a tu cartera local.

pero de que te extrañas @dserrano5? si la peña en sus redes sociales ponen hasta cuando van al bater y cuando usan algo como esto creen que todo es seguro, si el mundo esta al revés, de que te extrañas?

amos que la gente no se preocupa de lo que debería ni de lejos, no creo que sea falta de informacion mas bien educación o actitud ante este tipo de cosas, por que informacion hay a punta pala y lo que no sepas, tu vecino seguro que si.

aun así tal como ya dije en mi post anterior, usadlo sin miedo pero con precaución, y desde luego siempre para cantidades pequeñas y cosas concretas, no confiéis 100% en algo así.

pd: al final lo mejor es tener un ladrillo medio suelto en tu casa y meter allí los jayares xD

Excepto que si abres y cierras la web N veces en 10 minutos, no se dispare nunca, o sea, que eso se tenga en cuenta .

Pero en fin, de esta clase de tira y aflojas ya hace mucho tiempo que me he cansado. Quien quiere escuchar y acercar posiciones, lo hace, y quien no, pues no. Te regalo la última palabra si la quieres.

A ver hombre: si bc.info captura las claves privadas de un usuario con un código distinto del habitual es sencillisimo saberlo, no hace falta compararlo siempre!: basta con abrir y cerrar n veces una wallet, y si meten código malicioso alguna vez, entonces acabará saliendo un código distinto. Se comparan los códigos de las ejecuciones con el oficial y ya está.

De haber algo así hace mucho que se hubiese publicado y habría sido el fin de bc.info. otra cosa es que la página pueda ser secuestrada, eso si es real

¿Siempre miras el javascript que ejecutas? ¿Siempre siempre siempre? Lo que haya en el repo me la trae al pairo. Cada vez que visitas la web te vuelves a bajar el programa.

Entiendo que hablas con conocimiento de causa: Este es el código que se ejecuta en el navegador. Dime que parte copia para ellos la clave privada, emtonces.:
https://blockchain.info/es/r?url=https://github.com/blockchain/

Tan seguro como cualquier web wallet. Ellos tienen tu private key. Eso de "desencriptacion client side" es una mentira, ellos PUEDEN gastar tus Bitcoins.

Hombre claro : si hago una aplicación y utilizo una DLL de terceros que presenta fallos,  a ver como le explico la catástrofe al cliente, a mi no me mire oiga, que la usa hasta Linux.
En el mundo financiero la seguridad es fundamental, pero en bitcoin, sin terceros, no vale ninguna fisura, no tendría remedio. Es imprescindible que bitcoin qt no presente fallos ni vulnerabilidades ni en linux ni en windows.

Pobrecitos entonces, que tienen que verificar que linux y windows no tienen agujeros de seguridad… ni las CPUs…

Discrepo: Si una aplicación no funciona como se supone que debe de funcionar, es responsabilidad de la entidad que lo distribuye, independientemente de si no funciona a causa de un error del código directamente programado por ellos, como si lo hace por causa de algunos ensamblados incluídos en dicho programa, tanto da: haberlo testado primero.

Excepto que heartbleed no fue un problema en bitcoin, mientras que la cagada de bc.info sucedió en código hecho por ellos.

Ya... al menos los devolvió.
Si hubiera aprovechado el agujero de seguridad con malas intenciones y no los devolvía, el error sí habría tenido consecuencias irreparables.

A ver si este tipo de problemas no se repiten.

No, no hay ningún problema en crearte una wallet online en blockchain.info. Los enlaces que reportas  se refieren al problema que tuvo la página con el generador aleatorio, que ocasionó la producción de claves predecibles. Un error de programación que no tuvo consecuencias irreparables. Fue advertivo por un hacker "bueno" que robó algunas carteras como advertencia, pero luego las devolvió. Esa temporada usé unos pocos días multibit y tan pancho. El error  se subsano enseguida. Hay que recordar que ni siquiera bitcoin qt pasó sin errores: una versión padeció el "corazón sangrante".

Crearte una online wallet directamente en blockchain.info tiene sus problemas, sino no se habrían producido los robos de hace unos meses.

Blockchain.info reportó problemas de seguridad en el proceso de actualización de sus servicios que provocaron el robo de bastantes bitcoins de sus usuarios:
https://www.cryptocoinsnews.com/gentleman-hacker-returns-stolen-bitcoins-blockchain-info
http://www.telegraph.co.uk/technology/internet-security/11282783/Bitcoins-stolen-as-Blockchain.info-admits-security-flaw.html

No es así, ya lo he dicho algunas veces, Blockchain.info no guarda las claves, el proceso de cifrado/descifrado de las wallet lo hace un script en el navegador del cliente, los de Blockchain.info no las pueden ver, ni las almacenan.

Tú puedes descargarte la wallet y, una vez cerrada la página, pues la tienes con la misma seguridad que en Bitcoin QT.

El problema, como dice deserrano5, es que si alguien llega a controlar maliciosamente blockchain.info podría hacer que el script de cifrado/descriptado, te birlase las claves. Bien, pero un problema así sería complicado de darse porque, primero auditan los scripts, y en segundo lugar no sería un "vaciado" al estilo de los exchanges (esos sí que son infumables, sin excepción alguna) porque sólo afectaría a los usarios, a medida que se conectasen y, aún a éstos, sólo a los que no tuviesen el segundo factor activado, por lo que sería muy lento, lo que daría lugar a muchas alarmas y a que se pudiese parar pronto.

Yo hace mucho que uso blockchain.info en combinación con Multibit y estoy muy muy satisfecho. Este cliente lo uso más que nada cuando cae blockchain.info. Cuando más lo he usado, fue el año pasado cuando blockchain.info tuvo un problema con el generador de números aleatorios, y se comprometió la seguridad de las claves de algunas carteras, pero sin consecuencias irreparables.

Para evitar grandes pérdidas si se diese el caso improbable de que blockchain.info se viese comprometido y, además, yo estuviese entrando en una de mis carteras ese preciso momento, tengo mis BTCs repartidos en varias carteras, ninguna de más de 0.4 BTC como mucho.

Seguramente no tengo tantos BTC como algunos de esta página y no tengo paranoias de seguridad, con PC's o discos duros guardados en cajas fuertes y totalmente aislados de internet. Me limito a usar TrueCrypt para encriptar mis wallets, un buen antivirus, prácticas higiénicas y tengo un sistema nemotécnico de contraseñas. Todo ello me parece razonablemente seguro y puedo disponer instantaneamente de mis BTCs, para comprar o vender, lo que, dicho sea de paso, a veces es maaaaalo muuuuuuy malo

Hola. Disculpá Dserrano, pero qué es el soft fork del BIP66 y a que te refieres con los SPV.

En mi opinión es bastante sencillo
¿Quieres tener el control total de tus bitcoins en una wallet instalada en tu pc o prefieres que estén depositados en un servicio de terceros?

Bueno, no lo digo solo yo:



Que a día de hoy estemos sin problemas no garantiza que mañana no vaya a haberlos. Y una vez los haya y la gente se encuentre sin coins, ya no hay vuelta atrás.

Hace un par de años decías algo muy parecido te conteste algo parecido a lo de hoy y aquí estamos sin problemas. Blockchain tiene una APP para chrome y firefox, que evitaría ese supuesto, también han explicado que controlan el código del sitio para detectar cualquier cambio, y en el hipotético caso de que todo falle y eso ocurriese, y yo por ejemplo entrase via web con el javascript activo....El hacker aún así necesitaría mi contraseña secundaría sin la cual no podría acceder a los fondos.


¿Y si blockchain desaparece? Tras cada login te envían un backup a donde lo configures, con multibit se puede importar.


Dicho todo lo anterior, ¿es posible que pueda fallar a pesar de todo? Sí, evidentemente. Pero es muy improbable. Aún así lógicamente no es recomendable usarlo para grandes cantidades.

Opino que bc.info es uno de los puntos más calientes de la red ahora mismo. Alguien con acceso de escritura al servidor web puede reemplazar el javascript y hacerse con todas las coins de los usuarios que accedan después del hack. Más que probablemente, hay gente intentándolo en este preciso momento. Es cuestión de tiempo que caiga. En bc.info no hay cartera fría, no hay cartera en primer lugar (las coins no las guardan ellos), por lo que un ataque de estas características no tiene la ventaja de estar limitado por el contenido del hot wallet. Según uno entre, sus claves privadas quedarían expuestas.

Un nodo es el sitio donde tener las coins. Tal como se ha visto después del soft fork del BIP 66, los SPV también están sujetos a problemas.

bueno no hay nada seguro al 100% eso lo tengo bastante claro y no vamos a hablar de la muerte por que no es el caso .

que si blockchain es seguro? hombre, es bastante seguro, que si yo lo utilizaría para tener grandes cantidades de bitcoins allí, pues no, como tu bien dices usa lo para mover pequeñas cantidades y ya esta, pero esto es como todo, es como el que usa exchanges para tradear, tendrás todas tus bitcoins allí? yo jamas tendría todos los huevos en el mismo cesto no se si me entiendes...

Usa esos servicios siempre que los necesites, pero el groso de tu dinero en tu wallet y bien protegidos

Es seguro nuestro wallet en blockchain.info?
Ultimamente estan ocurriendo cosas y me preguntaba si los que tienen bitcoins en sus wallets pueden estar comprometidos de alguna manera.
Yo personalmente tengo algunos satoshi allí para trastear un poco pero me sabria mal perderlos.Tengo el factor doble activado y la doble contraseña para envio.
No se.....que opinais vosotros?
Un saludo y pasad buen dia!!!