Topic: Sigurnost walleta (Read 1435 times)

Treba imati 30 BLUE tokena u walletu i tada se aktivira PRO verzija. U početku je bio BLUE wallet, ali je rebrendiran u FROST. Više o tome ovde: https://medium.com/@alexbadalyan/blue-releases-the-frost-wallet-93cfd4ee2058   
Ime BLUE PROTOCOL će služiti za SDK (software development kit) koja se intenzivno razvija i ako bude implementirano u berze tada vrednost BLUE tokena trebalo bi da bude veće.

Koliko sam ja upučen u Blue njihov token još uvjek ne radi ništa ali bi trebao služiti  za kontrolu smart contracta i traženja rupa kao na primjer u slučaju PRL-a na koji su oni upozoravali da ima rupu u smart contractu koja je i iskorištena.

Njihov službeni wallet  je BLUE Wallet dodatak za Crom.

Koliko sam ja razumijo sa BLUE tokinom plačaš provjeru smart contracta da li si je tvorac tokina ostavio neku rupu za varanje.

U Blue aidropu sam sudjelovao, ali moram priznati da sam prestao pratiti razvoj projekta nakon što sam u siječnju prodao gotovo sve tokene. Tada mi se nije svidjelo što su se nekako podcjenjivački odnosili prema nekih drugim projektima za koje su tvrdili da imaju kojekakve probleme u kodu. Zbog toga sam i prodao većinu tokena.

U svakom slučaju mi je drago vidjeti da su uspjeli razviti wallet. Znaš li možda nešto više o načinu kako se koristi BLUE token?

Malo se  još zna za BLUE PROTOCOL  i njihovom FROST Walletu . Sličan je metamasku.
Nije bio ICO i tokeni su podeljeni u Airdropu.  CEO Jameson Quave (@UniBanker) je ostavio posao kod VISA zajedno sa drugim programerima jer u vrhu VISA nisu imali sluha u vezi novih tehnolgija (npr. BlockChain) i krenuli su u novi projekat.
Misija im je jednostavnost i sigurnost u decentralizovanoj tehnolojgiji.
Osobno koristim Frost Wallet i zadovoljan sam. Slučajno sam jednom ukucao ForkDelta.io umesto ForkDelta.app i javio mi je da je fishing sajt.

Davanje private key-a kod korištenja decentraliziranih burzi je jedan od najnesigurnijih načina korištenja walleta i tih burzi. Ljudi, ako nemate love za hardware wallet, barem instalirajte MetaMask i koristite wallet preko njega. Na taj način nikome (osim MetaMask ekstenziji) ne odajete svoj private key.

Što se tiče samog pitanja, burze ne arhiviraju (ili barem ne bi trebale arhivirati) private key kod takve prijave walleta na DEX-ove. Ali nikad ne znaš što burza radi s tvojim private key-em jednom kad ga upišeš. Zbog toga sam napisao da je puno bolje koristiti besplatni MetaMask ili još bolje (ali i skuplje) hardware wallet.

Ustvari, kad malo bolje razmislim, korištenje DEX-ova (za one koji ne znaju, DEX su decentralizirane burze) je idealan primjer gdje je hardware wallet bolji od paper walleta. Sjećam se da smo jednom raspravljali zašto je hardware wallet bolji od paper walleta i tad mi nije palo na pamet korištenje DEX-ova. Ako kod registracije walleta na DEX koristite paper wallet, onda gubite svu sigurnost jer ste private key upisali u polje na DEX-u i on više nije siguran. Tu je puno bolje koristiti hardware wallet jer kod registracije walleta i dalje nigdje ne upisujete private key nego na uređaju potvrđujete svaku transakciju.

Jesi li siguran da traze Private key? Koliko znam to se nikome ne daje jer time moze da ti isprazni wallet. Meni to mirise na prevaru.

Privat Key kada se koristi kod registracije walleta kod raznih decentralizovanih berza (Forkdelta, IDEX, itd) oni to arhiviraju negde ili samo služi da povuče podatke iz ETH baze?

A gle... Da se bilo kakva informacija šalje preko Interneta na neki server, onda hardware wallet nema smisla. Jer cijeli smisao hardware walleta je da čuva private key (čak ga ni vlasnik ne zna) offline. Na taj način nitko ne može napraviti transakciju da korisnik hardware walleta fizički ne pritisne tipku na uređaju.

Mene recimo Ledger spasio kad je EtherDelta imala DNS napad. Upravo negdje oko trenutka DNS napada sam koristio EtherDeltu i da nisam imao Ledger uređaj, napadač bi dobio moj private key i lijepo bi se mogao pozdraviti s lovom.

Inače, za one koji ne znaju, DNS napad je kad haker izmijeni DNS zapis zbog čega velik broj (nekad više, nekad manje) ljudi upisivanjem ispravne adrese stranice ne posjeti tu stranicu nego njenu kopiju koju je napravio haker (ako je kopija dobra, posjetitelj niti ne zna da nije na pravoj stranici). To onda omogućuje hakeru da ukrate private key-eve tih ljudi. Ako se dobro sjećam, u tom napadu haker je "zaradio" oko $300.000 vrijednosti ETH-a.

Dobro, to već ima smisla. Ona prva varijanta je bila zabrinjavajuća Hvala na pojašnjenju.

Prvo sam krenuo pisati kako nisam dovoljno upućen u načine kriptiranja, ali tvoje pitanje me zainteresiralo jer imam ponešto love na Ledger Nano S uređaju pa sam malo "progooglao". Evo rješenja: https://support.ledgerwallet.com/hc/en-us/articles/115005297709-Export-your-accounts

Znači, nema nikakvog problema ako tvrtka Ledger propadne jer će uvijek postojati kompatibilni walleti na kojima možeš napraviti restore svojih privatnih ključeva.

Zar ovo ne znači da zavisiš od kompanije koja pravi wallet? Ako Ledger propadne i prestane proizvoditi wallete, a ti izgubiš svoj, kako ćeš iskoristiti recovery seed, ako samo Ledger uređaj može da ga dešifruje? Izvinjavam se na laičkom pitanju

^Ja ću samo ponoviti ono što je kolega I. Grozni napisao - NIJEDAN KRIPTO NOVČANIK NE DRŽI U SEBI KRIPTOVALUTE.

Kada stvarno razmislite malo šta to znači onda je puno lakše prihvatiti sve novine i prilagoditi razmišljanje novom kripto svijetu. Mi ih zovemo kripto novčanicima ali mislim da to možda nije najpametnije jer tako odmah stvarmo u glavi sliku tradicionalnog novčanika s lovom unutar njega. Kripto novčanik je zapravo samo sučelje da pristupiš svojoj lovi koja se nalazi unutar samog blockchaina i već backupirana na sva računala koja vrte full node tog coina. To istovremeno osigurava ogromnu redundaciju i sigurnost no s druge strane ako izgubiš svoj privatni ključ/seed lova i dalje postoji samo joj nitko više neće pristupiti.

Aha znači nema nikakvog backupa koji se treba raditi, već se svi tokeni koji su bili na starom ledgeru mogu vratiti sa jednim recovery seedom koji se upiše u novi (prazni) ledger. Čip sam vrati sve wallete koji su bili na starom ledgeru na temelju seeda bez potrebe da se spaja igdje na vanjski server. Hvala ti puno na odgovoru objasnio si mi hrpu toga:)

Ma ne... Kao prvo, na Ledger Nano S uređaju u jednom trenutku možeš imati 3 do 4 aplikacije (za svaki coin/token ti treba jedna aplikacija na uređaju). Ako sam dobro shvatio (a nisam siguran da jesam), svaki Ledger Nano S uređaj u sebi ima identičan čip (ajmo ga nazvati kripto čip) kojim kriptira private key svakog walleta. Razlika od korisnika do korisnika je upravo taj recovery seed.

Znači u slučaju da izgubiš Ledger Nano S, pokvari se, ukradu ti ga... Kupiš novi s identičnim "kripto čipom" koji ćeš onda obnoviti sa recovery seed riječima koje imaš doma. Na taj način će uređaj koji ima identičan "kripto čip" ponovo kriptirati/dekriptirati private key-eve svih walleta koristeći postojeći recovery seed.

Nisam baš stručnjak u kriptografiji tako da ovo nije stručno objašnjenje (zato onaj izraz "kripto čip") nego više način kako sam ja shvatio funkcioniranje Ledger Nano S uređaja. Nadam se da si shvatio (a i da sam ja dobro shvatio i opisao ti ).

Hvala na odgovorima I.Grozni i Slackovic! Sad mi je malo jasnije kako to funkcionira, no i dalje ne razumijem kako Ledger iz jednog seeda može obnoviti sve wallete koji su na njemu (upravo sam provjerio na Ledger-ovoj web stranici i podržavaju 712 coinova), a bez da skine odnekud backup sa svim tim walletima.

Tj. ako imamo stari ledger koji je izgubljen i kupimo novi da napravimo recovery - kako novi (prazni) ledger zna koliko je kojih walleta bilo na starom walletu? Po meni jedino tako da se kriptirani walleti pošalju u nekakav server u vlasništvu firme Ledger i tamo stoje kao backup.

Evo, kolega ovcijisir ti je lijepo objasnio drugo pitanje, a ja ću još samo dodati odgovor na prvo pitanje. Ne sjećam se točno kako sam ja generirao svoj seed ali prilično sam siguran da računalo ne mora biti spojeno na Internet dok to radiš. Nisam 100% siguran u to ali nema mi logike da mora biti spojeno na Internet jer ti seed određuješ za uređaj koji onda pomoću tog seed-a kriptira private key. Taj seed se ne zapisuje nigdje online nego uz uređaj dobiješ papirić na koji zapišeš seed.
U slučaju da se nešto dogodi uređaju, na novom uređaju samo napraviš recovery sa seed-om koji si upisao u prvi uređaj i nema problema.

Apsolutno nikakvih komplikacija nema propadne li firma Ledger ili uništiš fizički svoj uređaj. Bitno je da na sigurnom mjestu imaš pohranjenu frazu uz pomoću koje su kreirani svi novčanici za sve 'valute' koje posjeduješ. I da razbijemo odmah famu oko hardverskog ili bilo kojeg drugog novčanika... NOVČANIK NE ČUVA TVOJE COINE! Jedino što je bitno u cijeloj priči je fraza uz pomoću koje se kreiraju privatni i javni ključevi kojih si samo ti vlasnik i koji su dokaz postojanja određenog iznosa coina koji pripadaju adresama čiji si ti vlasnik. Ljudi često misle da su njihovi coini u njihovom novčaniku, a novčanik je u biti samo čuvar kripto ključeva i adresa. Dakle, ako imaš svoju frazu bila ona BIP 39 ili BIP 44 itd. svoj novčanik bez ikakvih problema možeš obnoviti na bilo kojem kompatibilnom novčaniku bilo da je on papirnati, softverski ili hardverski novčanik.

Jedna stvar koja me uvijek zanimala u vezi Ledgera je da li se računalo mora spajati na internet prilikom upisivanja seeda?

I što se događa ukoliko propadne firma koja je napravila Ledger? Koje bi to komplikacije nosilo za sobom?

sve ovisi naravno dali samo čuvaš kripto ili ga trejdaš
ali, od pouzdanih multi assets walleta preporučam Coinomi i Jaxx
i naravno, želim svim novajlijama da što prije skupe lovu za Ledger i da hodlaju do iznosa koji su si zacrtali 

Gde ti je avanturisticki duh? Gde je tu hladan znoj koji oblije lice kad shvatis da imas virus na racunaru ili da ti je neko hakovao email adresu koju koristis za crypto business? Salu na stranu, tvoj savet je na mestu, ali samo ako si zaradio pristojnu sumu. Ova druga resenja su prihvatljiva za nas koji smo se prikljucili pre nekoliko meseci.

od silne paranoje i kombinacija kako napraviti ekstra siguran wallet pogubiti ćete se u istraživanju
skupite novac za Ledger, makar trajalo godinu dana, ali ga skupite i naručite
i problem riješen 

ne znam zasto ali sad sticajem okolnosti koristim neki stariji telefon motorola moto g i vidim da su cak i osnovne aplikacije postale zahtevne da jednostavno nista ne sljaka :/ tako da mislim da bi postojao rizik oko nekompatibilnosti walleta u buducnosti ili jednostavno trokiranje telefona xd

Točno, cold wallet, jedino ovo je način da iskoristimo stari mobitel, koji vjerojatno negdje skuplja prašinu. Besplatna alternativa Ledgeru ili sličnim profi rješenjima.
Na svoj prijašnji post bih još dodao prije svih opcija: Resetirati uredjaj na tvorničke postavke.

Za sve što si napisao služi Ledger Nano S.
I aktivan mobilni može biti bezbedan i važi sve već gore napisano samo bi dodao kvalitetan plaćeni antivirus na mobilnom uređaju i ne skidati ne proverene aplikacije.

Mali prijedlog za jednostavni cold wallet:
Stari smartphone (Android) koji ne koristite.
- resetirati uredjaj na tvroničke postavke
- postavite dosta kompleksnu power on sifru za telefon
- uključite kriptiranje Android sustava
- instalirate neki od kvalitetnih walleta
- spremite Recovery Phase na sigurno
- na wallet prebacite crypto coine koje želite
- isključite telefon (izvadite bateriju)

Kad sredstva zatrebaju ponovo uključite uredjaj.

 

Nadam se da će, uz skeniranje oka, postojati i drugi načini kako "ući" u wallet. Jer uvijek postoji mogućnost nezgode (pa i smrti) gdje se onda više ne može skenirati oko. Recimo, ja sam svojoj supruzi ostavio PIN za Ledger i zna gdje se nalazi recovery phrase. Nikad ne znaš što mi se može dogoditi...

ne funkcionisace skeniranjem oka i to je najveca prednost posto je to jedini metod koji nije hakabilan

Na većini uređaja koji čitaju otiske može da se "snimi" nekoliko otisaka, tako da povreda jednog prsta ne bi trebala da utiče na korisnika.

Pročitao sam još jednu zanimljivu vest. Sony pravi hardverski novčanik za kripto valute. Za razliku od trenutnih rešenja koja se povezuju preko USB-a, Sony-jev wallet će se povezivati beskontaktno. Verujem da će ulazak ovakovelike kompanije pozitivno uticati na percepciju kripto valuta i širenje njihove primene.

Na koji način će funkcionirati? Preko otiska prsta? Ako da, to ima potencijalne probleme. Što ako se ošteti prst?

Nisam imao prilike da koristim ni trezor ni nano ledger ali ce sledece godine izaci biometrijski fizicki wallet. Posto sam ukljucen u projekat trebalo bi da resi i problem memorije i problem ako se izgubi wallet sta onda i tako nekee stvari jedino sto ce vrlo verovatno biti nesto skuplji od ova 2 oko 160$

to je točno, ljudi se boje pobrisati, imala sam pitanja vezana baš za tu situaciju "šta ako pobrišem app"? u panici, ono dali će mi coini nestati :-)
ali ipak, je tlaka, trebali su više memorije staviti u stick svakako

Istina, ima malo memorije. Ali ako ne koristiš neki wallet, slobodno ga obriši sa uređaja. Kad ćeš ga u budućnosti trebati, ponovo ga instaliraš i nema problema.

Ja sam imao problem s memorijom kad je trebalo nadograditi firmware - pisalo je da nema dovoljno memorije. Obrisao sam sve wallete, nadogradio firmware i ponovo instalirao wallete na njega. Nije bilo nikakvih problema.

mene iritira puno 
ko da nisu mogli na taj stick staviti bar gigu memorije, ne, oni stave par kilobajta...
Ledger Blue nije ništa bolji, on ima samo duplo veću memoriju

Mene malo iritira količina memorije na Ledgeru, zbilja ima premalo prostora, za 3-4 valute max

Ne znam kako je kod Trezora, ali tu "uskoro" podršku za Cardano kod Ledgera čekam već više od pola godine

Inače, što se tiče Monera, Ledger ga podržava ali ne preko svoje native aplikacije Ledger Live nego preko third party aplikacije "GUI and CLI Monero client". Više informacija ovdje.

Gledam Trezor bi uskoro trebao podržati Monero, da li itko od vas koristi Trezor?

E to je već malo drukčije. Ove prevare koje ja uglavnom vidim pogađaju ljude koji pokašavaju zaraditi na kriptovalutama a ne koristiti ih. Znači bounty hunteri, traderi a od njih očekujem više.

Ta prevara gore koju si spomenuo je već malo složenija mi smo još uvijek na tipu daj mi 500kn ja ti vratim 5000kn pa ako na to ljudi padaju onda stvarno. A očito padaju, takvih mi nije žao, to smatram prirodnom selekcijom.

A da se treba boriti protiv prevara, treba. Ja čim vidim neku prijavim ako je moguće. Evo jučer je niknuo na našem dijelu foruma neki shill za ponzi pa sam odmah prijavio i već je obrisano, a mislim i da je korisnik baniran. Samo to je tu na forumu a ne znam šta napraviti s tim prevarama na telegramu, twitteru...

Mislim da će masovna adopcija doći kroz neki projekt koji će korisnicima ponuditi samo dio mogućnosti kripto valuta uz značajno pojednostavljenje i prividno povećanu sigurnost. Možda nešto kao Bakt, baš se spremam otvoriti jedan topic na tu temu već neko vrijeme, pa možda preko vikenda i stignem. Ako koristiš tako neko kompletno rješenje ni ne vidiš ove prevare o kojima pričamo. Drugi problem šta će se vjerojatno pojaviti i neke nove.

Vrlo slično ovom Signatum scamu

https://coinmarketcap.com/currencies/signatum/#social

tobožnji airdrop, kladim se da se i tu dosta ljudi upecalo

da zaista treba svaki dan citati dok se ne nauci I svki put kad se procitao drugacije e cini I iygleda lakse nego prvi put citano. Hvala vam od srca sto pomzete nma novajlijama.

Evo primjer jednog pokušaja prijevare putem Telegrama pa da vidite na što su sve prevaranti spremni.

Javio sam se u jednu grupu da nisam dobio tokene, a sudjelovao sam u kampanji. Nakon nekoliko dana „natezanja“ s adminima dobio sam poruku (PM) od njihovog supporta. Barem je tako izgledalo… Ime je bilo OK (NazivProjekta Support) i pitao je sva prava pitanja (npr. jesam li ispunio support formu koju je stvarno trebalo ispuniti) pa sam se krenuo dopisivati s njim. Napisao je da su s mojim korisničkim računom imali problema i da ga moram potvrditi. Rekoh - OK, kako da potvrdim? Na to mi čovjek odgovori da je potvrđivanje računa moguće jedino na način da pošaljem ETH ili BTC sa walleta na neku adresu i onda će mi taj ETH ili BTC (ovisno što pošaljem) biti vraćen zajedno s tokenima. Tu mi se već upalila „lampica za uzbunu“, ali ipak sam odlučio nastaviti razgovor (iako sam shvatio da je u pitanju prijevara). Čovjek mi je rekao da moram poslati 0.5 ETH ili 0.05 BTC na wallet za otključavanje računa. Kad sam mu rekao da je prevarant jer traži da pošaljem ETH u vrijednosti $100 da bi dobio tokene u vrijednosti $50, onda se naljutio

Uglavnom, poanta priče je da nikad, ali stvarno NIKAD ne šaljete kripto nekome, a da u službenoj Telegram grupi niste provjerili radi li se o prijevari. Siguran sam da niti jedan projekt neće tražiti da pošaljete kripto valutu kako bi otključali račun.

Najžalosnije je što će se na ovakav tip prijevare „upecati“ dosta ljudi. OK, ovdje je lik malo pretjerao s iznosom. Ali da je tražio da mu se pošalje 0.1 ETH za otključavanje računa, siguran sam da bi jako puno ljudi palo na to. Kripto je još uvijek "u povojima" i treba proći vremena da se takvim ljudima stane na kraj. Do tada treba biti jako pažljiv što šaljete i kome šaljete jer se ipak radi o vašem novcu.

Imam ok passworde za sve bitno, koristim 2FA za sve bitno, ništa ne dajem da pamti, nikad ne koristim SMS ili ona 'prvi nadimak' backup pitanja.

Za airdropove imam iste passworde, wallete sa privatnim ključevima na dropboxu, u to mi se uđe brat bratu za 7 minuta uz kavu. Jednostavno me nije briga za to i ako netko želi moje shitcoine - pa izvoli.

OK, ima smisla da mobitel s Google Authenticator aplikacijom mora biti zaštićen. Moj je zaštićen otiskom prsta/PIN-om tako da stvarno nema šanse da netko uđe, čak i ako ga izgubim. Što se tiče SMS 2FA, to ne koristim jer čemu plaćati SMS-ove kad besplatno imam Google 2FA.
Aplikacija kod skeniranja QR koda upiše i naziv stranice jer kako bi se inače korisnik snašao među hrpom kodova? Ja ih imam sigurno 10-tak. Osim toga, možeš promijeniti naziv u nešto drugo, ali ostaje pitanje kako ćeš znati koji kod je za koju stranicu.

Besplatna verzija Avasta u sebi ima uključenu opciju Avast Password, nalazi se pod karticom privacy i potrebo ju je ručno uključiti, kad se postavi Master password lozinke su kriptirane i gubitkom master lozinke nema mogućnosti povrata spremljenih lozinki.
Nakon unosa lozinki iz Chromea u Avast Password nemojte zaboraviti pobrisati history u Chromeu.

Google 2FA je vjerojatno siguran, no uvijek postoji šansa da mobitel padne u nečije ruke, a ako nema passcode lock osoba može vrlo jednostavno ući u aplikaciju na mobitelu i pročitati kod. Također, kad se skeniraju QR kodovi za 2FA preko mobitela, aplikacija najčešće doda ime stranice koja se verificira, pa je još lakše skužiti koji je potreban kod. I 2FA preko SMS-a se lako može srediti kloniranjem sim kartice.
Na ovoj stranici piše što se dogodilo jednom čovjeku s sms-ovima: https://premium.wpmudev.org/blog/why-two-factor-authentication-isnt-always-totally-secure/

Što nije dobra stvar? Koristiti 2FA svugdje gdje je dostupna? Nije mi jasno zbog čega i baš bi volio pročitati koji je razlog. Ne kažem da je to glupost, ali bio sam uvjeren da Google 2FA nije moguće zaobići.

Apsolutno nikad ne odabirem da mi browser cuva sifru. Nikad. I koristim 2FA za sve što mogu, ali navodno ni to nije dobra stvar. Ima nekih likova na twitteru koji su strucnjaci za sigurnost, budem probao malo iskopati te profile pa cu poslati ovdje.

Nisam siguran da li ovu diskusiju treba da vodimo na javnom forumu, jer na jedan ili drugi nacin otkrivamo previse o nacinima na koji funkcionisemo. Mada, kud svi tud i mali Mujo
Izbegavam da mi browser snima lozinke, ali ponekad greskom kliknem na Yes
Nema sigurne zastite, ali generalno ne koristim istu lozinku na vise mesta. Trudim se da mi lozinke slede neku logiku, pa najcesce pogodim iz 3-4 pokusaja kad zaboravim sta sam stavio.

Meni browser automatski sprema lozinke, što je s jedne strane dobro, jer ukoliko zaboravim lozinku ona ostane spremljena u računalu (browseru). Loše je s te strane jer ukoliko netko dobije pristup računalu, onda ima i pristup lozinkama. Da budem iskren puno više problema sam imao sa zaboravljanjem lozinki (i zapravo me spasilo to što je browser pamtio lozinke, jer sam mogao rekonstruirati 90% svih lozinki koje su mi bile potrebne kad mi se oštetio USB stick na koji spremam lozinke). Do sada na sreću nisam imao problema s time da mi je netko ukrao lozinke.

Najbitnije lozinke ne dajem browseru da ih pamti, te ih držim kriptirane u text fajlu na usb sticku i pamtim ih. Također na USB stick spremam i privatne ključeve od BTC i ETH walleta. Ti walleti mi služe za cold storage. Također bitno je napomenuti da se transakcija, barem ETH-a, a vjerojatno i BTC može izvršiti i offline sa cold walleta i to tako da se sama transakcija (tko je kome poslao koliko novaca i sve potpisano privatnim ključem) može izvršiti i offline na sigurnom računalu. I tako potpisana transakcija se prebaci na online računalo te se pošalje preko MEW-a. Niti u jednom trenutku privatni ključ ne bude na "nesigurnom" računalu koje ima pristup internetu. Odličan pristup ukoliko vam je sigurnost jako bitna iako nije baš najelegantniji što se tiče brzine.

Mene je osobno najviše strah cryptolockera i zato pokušavam sve važnije informacije držati što dalje od računala na raznim usb stickovima.


Što se tiče Avasta ja isto koristim njega, no nisam primjetio da ima mogućnost sigurnog spremanja lozinki. Jedno pitanje što se tiče Avasta: Da li je sama datoteka u kojoj su spremljene lozinke zaštićena enkripcijom? Da li moraš unijeti kakvu lozinku da bi dobio pristup spremljenim šiframa? Ukoliko ne moraš ne vidim razliku između njega i spremanja lozinki u browseru.

Što se tiče password managera isprobao sam Keepass. To je besplatni software koji preporučam, iako ga ne koristim jer nikako da uhvatim vremena i unesem sve šifre u njega. Aplikacija je portable, što znači da se može spremiti na USB stick i tako pokretati, tj. ne zahtjeva instalaciju na računalo. Također se može spremiti u više kopija npr. na više raznih USB stickova. Šifre se kriptiraju i da bi dobio pristup šiframa treba unijeti glavnu šifru. Odlična altenativa spremanju u browser i puno sigurnija.

Ja koristim i to način da se automatski sinkronizira između svih mojih uređaja ali samo za lozinke koje nisu velike važnosti. To uključuje i neke male burze na koje se spajam po principu "get in, get out faster" i registracije za neke ico projekte za koje radim bounty. Dok recimo nikad ne bi povjerio lozinku za binance/coinbase ili neku od kladionica na kojoj imam lovu (fiat ili BTC).

Smatram to podnošljivim rizikom za ono što pruža. Recimo imam jedan folder s bookmarkom svih burzi na kojima imam račun i sve šifre su tako spremljene. Neke burze imaju i 2FA a neke i nemaju i nije me previše briga jer ih koristim samo za prodaju tokena i i instant withdraw. A daje mi mogućnost kada dobijem vijest da je neki token izlistan da se instant spojim s kućnog kompa, poslovnog kompa, laptopa ili mobitela i iskoristim priliku. Također sinkroniziram bookmarke između svih tih uređaja.

Sigurnost je skoro pa nula budući da je dovoljno da mi haker probije jedan uređaj ali opet bi morao pogoditi točno pravu burzu u pravo vrijeme (tih 10 minutado pol sata) kada imam sredstva na njoj da mi nešto mazne a i iznosi nisu baš neki.

Vrlo rijetko, gotovo nikad ne koristim opciju spremanja lozinke u pregledniku. Jedino ako me stvarno nije briga hoće li mi netko saznati tu lozinku ili neće. Radije koristim opciju "Zapamti me" nego da mi preglednik spremi lozinku. Ne znam zašto, ali to mi baš djeluje jako nesigurno.

Nisam nikad koristio aplikacije za spremanje lozinki pa to ne mogu komentirati, ali ovo spremanje lozinke u preglednik ne bi preporučio. Ma najbolje je ne koristiti nikakve tehnike "pojednostavljivanja" prijava jer time samo olakšavamo posao "hakerima".

Da li koristite opciju da vam Chroeme spremi lozinku, da ju ne upisujete svaki put?
Ja koristim besplatni Avast a s njime je došao neki pod program za generiranje i spremanje lozinki. Meni dobro dođe za generiranje lozinke a i spremi je u neki svoj zaštićeni format.
Kako se vama čini ta vrste zaštite?

Znam da nije pametno, ali nemam bolji način. Stvarno ne mogu za svaku web stranicu imati drugu šifru jer bi izludio.

Osim toga, svaki site koji drži do sebe (a takvi bi trebali biti svi na kojima imam osjetljivije podatke) lozinke ne čuva spremljene u "plain text" formatu nego ih sprema njihov hash. Odnosno, tako je bilo prije 10-tak godina kad sam se aktivno bavio web developmentom (vjerujem da je sad sve to dovedeno na još viši nivo). Znači, kod registracije korisnik upiše lozinku, a u bazu se spremi njezin hash. Onda kad se kasnije korisnik želi prijaviti, prije provjere u bazi opet se od lozinke koju je korisnik upisao stvori hash i provjeri odgovara li onom spremljenom u bazi. Naravno, hash algoritam koji se koristi trebao bi raditi samo "u jednom smjeru", odnosno ne bi smjelo biti moguće iz hasha dobiti lozinku. Prije 10-tak godina za to se koristio md5 hash, a sad ne znam što se koristi. Malo sam zahrđao u tom pogledu 

I još dodatno, na takvim stranicama koristim 2FA tako da čak i ako mi netko sazna šifru, ne može ući.



Naravno da smo svi komforni kad su u pitanju lozinke. Pogotovo kad ih koristimo na dnevnoj bazi. Nema čovjeka koji će pratiti pravila za sigurne lozinke (barem 12 znakova; barem 2-3 broja, 2-3 specijalna znaka; mijenjanje lozinki svakih par mjeseci; za svaki web koristiti različitu lozinku...). Ali da ne moramo koristiti baš datum rođenja i slične stvari koje je lako pogoditi, to je istina.

Ako sam dobro shvatio sta si htio reći, to ti isto nije dobro. Dosta da jedan site na kojem koristiš tu kompliciranu lozinku bude provaljen i lozinka ti završi na ko zna koliko listi koje se prodaju po dark webu. Vjerojatno nisi osobno toliko zanimljiv nekom hakeru ali već i ovo što si ovdje napisao te može kompromitirati nekada u budućnosti ako postaneš zanimljiv. Recimo zbog enormnog skoka BTC-a. Meni si recimo napisao točnu količinu btc koju imaš ali to je mislim bilo u PMu pa je valjda više privatno ali recimo da btc napravi x1000 i ti to napišeš javno možeš odjednom postati interesantan. Općenito dosta nas ovdje na forumu dijeli dosta povjerljive informacije....kao u onom topicu kada smo pisali o našim portfolijima kriptovaluta.

Da se razumijemo i sam radim dosta grešaka, svakako sam kriv i za to da sam već previše istinitih informacija podijelio na ovom forumu. Sram me je i reći šta mi je bila šifra kad sam se prvi put prijavio na ovaj forum. Recimo samo da bi vjerojatno sam napisao program u 5 minuta koji bi na prosječnom računalu provalio tu šifru brute force napadom u sat ili dva. Promjenio sam je negdje kada sam prešao pola puta od full membera do senior membera kada mi je sinulo da ovaj račun zapravo ima solidnu vrijednost, pogotovo sada kada su uvedeni meriti.

Možda je malo off topic ali ja bi odmah ukinuo onu zaštitu povratka šifre preko pitanja i odgovora. Npr. Djevojačko prezime vaše Majke i slična pitanja. To je samo takva pomoć hakerima da ne mogu vjerovati da ozbiljne stranice to nude kao opciju u vremenu facebooka. Mogu se kladit da više od 50% ljudi koji to koriste istovremeno imaju odgovore na svom facebook profilu dostupne svima.



To radimo vjerujem svi. Samo je pitanje do koje mjere. Ja sam recimo do nedavno radi komfora prilikom putovanja često koristio mjenjačnice i neke novčanike dok sam spojen WiFi hotela. Da je netko pratio, a nije teško, mogao mi je maznuti poprilično toga. U međuvremenu sam sve promjenio i zaključio da takve stvari više neću raditi.

Baš me je ono predavanje na temu Enigma stroja što sam poslušao u sklopu Verity okupljanja natjeralo da još jednom razmislim o osobnoj sigurnosti i promjenim dosta svojih standardnih loziniki. Više nemam ni jednu lozinku za bilo šta vrijedno a da ne sadrži brojeve, velika i mala slova i neke znakove te minimalno 8 znakova, a češće 10 ili 12. Imao sam i prije ali ih je većina bila na istu shemu za lakše pamćenje a sad sam i to promjenio. Ljudski faktor je uvijek slaba točka.

Mislim da ću dodati i periodičke promjene svih važnijih šifri a već sam dodao i neke enkripcije. U svakom slučaju čak i da Verity projekt propadne drago mi je što sam sudjelovao u onom njihovom probijanju šifri jer mi je pokazao da je zapravo vrlo jednostavno šifrirati podatke i da ima hrpa open source softvera za to.

Oprostite na dužem postu koji je više tok misli nego neki dobro konstruirani i osmišljeni post ali tema je škakljiva a ni sam još nisam 100% siguran šta ću sve napraviti a za djelove za koje jesam siguran nema smisla podijeliti na forumu jer ih onda treba promjeniti

Što se tiče lozinki, ljudi su još uvijek jaaako komforni po pitanju izrade lozinki. Ja osobno imam dvije - jedna dosta komplicirana koja mi služi za osjetljivije podatke i jedna malo manje komplicirana za ostale podatke. Naravno, gdje god je moguće koristim 2FA.

Inače, kad već pričam o korištenju glupih lozinki... Sjećam se kad mi je na poslu (IT-evac sam) došao korisnik sav izbezumljen da mu je provaljeno u Gmail i obrisani su mu svi mailovi. Prvo što sam ga pitao je koja mu je bila lozinka (koju je taj netko, naravno, promijenio). Odgovor je bio - moj datum rođenja...  Stvarno ne mogu razumjeti ljude koji zbog vlastitog komfora svjesno riskiraju gubitak često i vrlo vrijednih podataka... Takvi će naučiti tek kad im podaci nestanu.

Slažem se u potpunosti sa idejom dodavanja još par karaktera koji nisu copy-paste, dovoljan je jedan da se automatizovanim softverima dosta oteža posao, inače je tema vrlo aktuelna i mislim presudna kad je u pitanju šira rasprostranjenost kripto valuta, jednostavno ljudi su navikli da im neko čuva novac, šifre ili slično ukoliko budu prevareni, ali jedna generacija je dovoljna da se to promeni, i za 20-30 godina će svi verovatno funkcionisati po principu da sami čuvaju svoje šifre (kao što su štekali novac kući pre banaka i kartica)...

Mislim da wallet ne bi bio siguran kad bi ovisio o pouzdanosti uređaja. Ali isto tako zbog te činjenice je JAKO VAŽNO naglasiti da je važnije na sigurnom držati taj recovery seed nego sam uređaj. Uređaj je ipak zaštićen PIN-om, a ako netko sazna recovery seed ništa ga ne sprečava da kupi Ledger i ubaci te riječi u njega te na taj način dođe i posjed vaših kripto valuta. Osim toga, ja sam jednu kopiju ostavio kod svojih za slučaj da kod mene doma dođe do poplave, požara ili neke druge katastrofe u kojoj bi izgubio recovery seed.

Ovo boldovano mi je konacno (donekle) razjasnilo neke stvari. Uvek sam se pitao kako se ljudi mogu osloniti na parce hardvera koje se lako moze pokvariti, a mrzelo me da guglam odgovor

Vrlo važna tema. Za svakog newbie-ja je to obavezno štivo, koji se svaki dan čita dok se svaka reč ne nauči napamet. Hardware valet je sigurno najsigurniji način za akumlaciju crypto valuta, ali mobilni telefon je najlakši za dnevne potrebe, ali trba da bude stalno zaključan, da ima na sebi antivirus i da se otključava sa otiskom prstiju sa dodatno zaštitom za aplikacije gde držimo crypto valute.

Zist vredne informacija I dobr clanak. Sve phvale. samo malo mi s cini da je sve to komplikovano.

Morace jos jedna implementacija da padne instaliranje robota u wallet i onda ako te neko kidnapuje skeniras levim okom i izadje mali robotic i ubije tog koji te je oteo xDDD Vrednost neprocenjiva )

Ma nije to za nas smrtnike. To je za one koji stvarno imaju sredstava u kriptu. Zamisli da imaš recimo 10 miljuna dolara u BTC, pa svjesno na lažnu adresu staviš 1 ili 2. Po meni bi moglo upaliti. Naravno da bi bolilo da ostanes bez 10-20% svog bogastva ali puno manje nego da ostaneš bez svega ili da naude tebi samome ili bližnjima.

Tu pričamo zapravo o konttoli štete, znači krećemo od toga da je sitacija vrlo loša po nas i pokušavamo spriječiti najgore a za takav slučaj mislim da je lažni novčanik dosta dobro rješenje.

Naravno da je puno bolje rješenje da nitko ne zna da uopće imaš lovu ali onda si ne možeš kupiti zlatni lambo s tablicama Kripto Kralj 

Moguće. Možda mi je odatle i došla ta ideja. Makar, ako netko ide otimati osobu, sigurno zna koliko ima love tako da neće povjerovati kad otvoriš lažni wallet.

Pa šta nije da već postoji tako nekakva opcija na nekom harware walletu? Tipa imaš dvije šifre i ako te otmu daš onu koja vodi na lažni račun na kojem držiš neki mani iznos love kako bi izgledalo uvjerljivo. Ko da sam čitao nešto o tome.

Protiv takvog načina krađe nema zaštite. Ako te otmu, mogu te prisiliti da uđeš u wallet na bilo koji način. Eventualno mi pada na pamet (za ovaj wallet kojeg ZeljkoNemet spominje) jedan zanimljiv feature - u glavni wallet ulaziš tako da skeniraš desno oko, a u "lažni" wallet (koji ima vrlo malo love) ulaziš skeniranjem lijevog oka. Na taj način čak i ako te netko otme, možeš ući u lažni wallet i pokazati mu da nemaš para. Jedino ako otmičar zna da imaš para... Tu te ništa ne može spasiti.

A što ako te otmu i prisile da ga pogledaš? Vrlo lako mogu zamisliti takav scenarij.

Novi ICO za koji radim Gigzi planira ubaciti biometric security u kripto (odnosno hardware walete koji ce se otkljucavati skeniranjem oka).

Izrada ovoga je u toku vec su skontali kako da od zenice oka kreiraju unique key. Prednost ovoga je sto je ovo bukvalno jedini wallet koji nije hackabilan uopste, jer je svaka zanica razlicita i svako ce imati unique key.

Cak i da izgubite/neko vam ukrade wallet niko nece moci da ga otkljuca sem naravno ukoliko vam je izvadio oko xD Dobra stvar je takodje sto cete moci da porucite novi walet i ponovo ga otkljucate bez ikakvih problema

Hvala na puno informacije!

Očito da to za Monero nije lako izvesti. Ajde, nadajmo se da će taj Coinomi i podržati Monero uskoro. Moneru je tako nešto prijeko potrebno!

Ne razumijem to kompliciranje... "Mass adoption" se ne može dogoditi dokle god je teško i komplicirano imati kupljeni coin na svom walletu. I da se razumijemo, prosječnom korisniku kojem računalo služi za čitanje vijesti i slanje mailova je instalacija nekog softvera i skidanje cijelog blockchaina iznimno komplicirano. Naravno, u ovom slučaju mislim na Monero jer većina drugih projekata ima vrlo dobre mobilne wallete gdje je prilično jednostavno poslati i primiti coin ili token.

Svi ozbiljni walleti imaju problem s Monerom jer za Monero ne postoji light wallet. Coinomi radi već duže od godinu dana u suradnji s Monerovim programerima da naprave siguran Monero light wallet, a da svaki korisnik walleta ima svoju passphrase i svoje privatne klučeve. Za sve postojeće wallete ili treba skinuti cijeli blockchain ili korisnik nije u posjedu svog novčanika (poput Freewalleta) izuzev My Monero web wallet. Znači ništa od ležernog korištenja na mobitelu ili tabletu, ako želiš stvarno biti u posjedu svog novčanika.

Dobar post

Ako koristite MEGA Chrome ekstenziju 3.39.4, prestanite ju koristiti, promjenite važne šifre, prebacite sredstva, ta verzija ekstenzije prikuplja informacije s kojima se prijavljujete na Google, Facebook, MyEtherWallet, MyMonero, Github, Microsoft Live i moguće neke druge.

Reddit -> The MEGA Chrome extension has been compromised and includes functionality to steal your cryptocurrency

Ova ideja sa dodatnom sigurnošću kroz dodavanje još par karaktera koji nisu copy pase mi se baš sviđa.

Za čuvanje vrednih coina neizbežno je uzeti Ledger Nano S.
Moji walleti su otvoreni na MyEtherWallet-u, ali transakcije radim isključivo na mobilnom telefonu. Od aplikacije koristim imToken i Trust. Na mobilnom ima antivirus (kupljeni, nikako Free), u aplikacije ulazim sa Fingerprintom a kod transakcije uvek se traži dodatna lozinka.
Koristim kompleksne lozinke od preko 20 karaktera. Lozinku stavljam copy - paste ali, npr. 5,11,22 karaker ubacujem ručno (oni fale u lozinci), da bi izbegao mogućnost da mi se očita lozinka copy - paste.
Mislim da je ovo zadovoljavajući način zaštite za sada.

Odličan članak! Hvala što si podijelio sve to s nama. Ja upravo gledam koji bih wallet najbolje iskoristio za pohranu Monera. Sviđa mi se hardverski Ledger Nano S, ali mi nisu baš jasni oko Monero podrške. Koliko sam čitao na njihovoj stranici, Monero nije naveden kao prodržan, a nije mi niti jasno hoće li i biti u potpunosti podržan ili ne te da li da čekam da se Monero podrži ili da skinem instalaciju sa getmonero.org/downloads/. Ne znam ima li tko da ima iskustva što bi bilo najbolje za čuvanje Monera?

Budući sam jučer imao nezgodu s jednim (sva sreća ne glavnim) walletom, odlučio sam napisati jedan post o sigurnosti. Kripto svijet je još uvijek relativno nereguliran i kad vam netko "očisti" wallet, ne može se napraviti skoro ništa osim gledati svoj ETH, BTC ili neku treću kripto valutu na tuđem walletu. Ali zato se takav scenarij može spriječiti. I ne, nemojte razmišljati "pa neće se valjda meni dogoditi". Tako sam i ja razmišljao (pogotovo jer sam IT-evac pa sam imao stav "tko meni išta može"). Zaštita kripto walleta je ustvari jednostavna - treba spriječiti da netko sazna private key od walleta. Najjednostavnije je nabrojati razne načine kako se zaštiti, a ja ću krenuti od najsigurnijih pa prema najmanje sigurnim načinima.


1. Hardware wallet

Hardware wallet je po mojem mišljenju najsigurnija metoda zaštite walleta. Radi se o uređaju na kojem je fizički potrebno pritisnuti tipku da bi se odobrila transakcija. Private key u niti jednom trenutku "ne izlazi" iz uređaja pa tako čak ni vlasnik uređaja ne zna koji je private key njegovog walleta. Najpopularniji uređaji su: Ledger i Trezor. Oba proizvođača imaju više proizvoda. Ja osobno koristim Ledger Nano S i jako sam zadovoljan (ne, nije mi hakiran Ledger wallet nego MetaMask wallet - za više detalja pogledajte drugu temu). U slučaju kvara ili krađe uređaja, kupi se drugi uređaj i svi walleti se vrate pomoću recovery seed (skupina riječi koja se dobije kod prvog pokretanja uređaja).
Jedina mana koja mi pada na pamet je to što se ne može koristiti wallet za sve valute nego samo za one za koje postoji softver. Tako ja još uvijek čekam podršku za Cardano (ADA) na Ledger walletu.
Dodatni nedostatak (ne bih bar rekao mana) je što je hardware wallet jedini kojeg treba platiti (ipak se kupuje uređaj kojeg je netko trebao prizvesti). Zbog toga svatko za sebe treba procijeniti u kojem trenutku je dobro dati npr. 100 eura za Ledger Nano S. Sigurno nitko na uređaju od 100 eura neće držati kripto u vrijednosti 200 eura.

Korisni linkovi:

• Ledger
• Trezor

2. Paper wallet

Paper wallet je ništa drugo nego komad papira na kojem su napisani podaci o walletu. Postoje rasprave je li paper wallet sigurniji od hardware walleta ili nije, ali ja ipak smatram da nije. Ako paper wallet netko ukrade, vrlo lako može doći do private key-a, a kod hardware walleta ipak postoji dodatna razina zaštite - PIN.
Paper wallet se najčešće koristi za sredstva koja korisnik planira dugoročno držati na walletu jer čim se private key s paper walleta upotrijebi za prijenos sredstava, taj paper wallet postaje nesiguran (jer je private key dospio online i samim time paper wallet gubi svoj smisao). Zbog toga korisnici paper walleta kod prebacivanja sredstava prebacuju sva sredstva (tzv. wallet sweep) na drugi wallet. Naravno, dio sredstava se može poslati na jedan wallet (npr. na burzu), a ostatak na drugi paper wallet. Bitno da se sredstva ne ostavljaju na paper walletu nakon što je private key jednom iskorišten.

Korisni linkovi:

• Kako napraviti BTC paper wallet
• Kako napraviti ETH paper wallet

*VAŽNO: Za još veću sigurnost, paper wallet bi se UVIJEK trebao raditi na čistom računalu (znači računalo koje nema instalirane kojekakve programe uz koje bi mogao biti i virus/keylogger/trojan) koje nije spojeno na Internet.


3. Add-ons za preglednike

Ovaj način zaštite walleta je siguran koliko je sigurno računalo na kojem se koristi. Recimo, meni je u jedan takav wallet provaljeno neki dan (link na početku posta) jer sam se malo "zaigrao". Inače, jedan od najpopularnijih dodataka je MetaMask. Instalira se na Chrome, Firefox ili Operu (na službenoj stranici metamask.io nema informacije o dodatku za Microsoft preglednike IE i Edge) i kod svake transakcije otvara se prozor u kojem se (nakon što se upiše lozinka za ulazak u MetaMask) potvrđuje transakcija. Slično kao kod hardware walleta, samo što se lozinka za MetaMask (ili bilo koji drugi wallet) upisuje preko tipkovnice. Zbog toga su ovakvi walleti ranjivi na razne keyloggere, viruse, trojance i slične informatičke gadosti.

Korisni linkovi:

• MetaMask
• JAXX wallet

4. USB stickovi

Dosta ljudi koristi USB stickove za spremanje private key-a. To je dosta nesigurno jer se private key mora copy&paste-ati na stranicu na Internetu (npr. MyEtherWallet). Vrlo često sam vidio da ljudi u žurbi umjesto adrese walleta copy&paste-aju njegov private key. Ako se to dogodi, odmah i bez odgađanja treba sva sredstva s tog walleta prebaciti na neki drugi sigurni wallet. U suprotnom će netko kad-tad shvatiti da se radi o private key-u i pokupiti sva sredstva s walleta. Inače, od private key-a se lako može doznati adresa walleta ali suprotno (da se iz adrese sazna private key), logično, ne vrijedi.
Za one koji su ipak odlučili na ovaj način čuvati svoje private key-eve imam jedan savjet. Koristite BitLocker enkripciju da bi zaštitili sadržaj USB sticka. Ovdje su upute kako to napraviti. Bitno je napomenuti da obavezno spremite recovery key na sigurno mjesto (kod postavljanja BitLocker zaštite Windows će vam ponuditi da spremite recovery key). Najbolje ga je isprintati i spremiti negdje na sigurno. Za pristup USB sticku koristi se lozinka, a recovery key se koristi u slučaju da se BitLocker zaštita želi maknuti. Upravo zbog toga što Recovery Key nije potreban za korištenje USB sticka, najbolje ga je isprintati i spremiti na sigurno (npr. sef). Naravno, uvijek postoji mogućnost da ćete izgubiti USB stick (u tom slučaju nalaznik bez šifre može jedino formatirati stick; do podatak ne može) pa je sve private key-eve koje imate na njemu pametno spremiti još negdje (npr. isti onaj sef gdje vam je i recovery key).


Zaključak
Još jednom ću ovo napisati... Shvatite zaštitu vašeg walleta ozbiljno, naročito ako im je vrijednost velika. Ako neki coin ili token ne koristite za trejdanje, nemojte ga ostavljati na burzi. Radije skinite službeni wallet i čuvajte ga na njemu (većina službenih walleta se isto tako može pohraniti na USB stick). Ako trejdate, trejdate pametno i na burzama koje su koliko-toliko poznate (iako je u prošlosti bilo primjera krađe kripto sredstava s poznatih burzi).
I još nešto... Nikad, ali BAŠ NIKAD nemojte razmišljati "ma neće se to meni dogoditi". Dovoljna je sekunda nepažnje, instalacija nekog naizgled bezazlenog freeware programa da se dogodi sranje.