Topic: Soporte para Bit70 deshabilitado... (Read 229 times)

Que entiendo de tu post; el proceso, se que es TLS, pero como lo describes, es confuso y no lo digo porque no entienda de qué estamos hablando aquì ( Soporte para Bit70 deshabilitado) puedes explicar ese condensado, la idea es dejar vìas de entendimiento.

*El plugin no es hipotético.
**Los certificados, sino confiamos en los certificados, caemos en la Olla de "guisar" de que nada es seguro y todo es vulnerable. La vulnerabilidad en la programación son como los enunciados en las matemáticas, se pueden hacer muchos, pero siempre hay que comprobarlos matemáticamente.

Bueno, este problema lo tenemos en el presente. Yo tengo que fiarme de que el software que tiene acceso a mis claves privadas no tenga vulnerabilidades ni puertas traseras (es altamente improbable porque hay muchos ojos mirando pero desde el momento en que no lo compruebo por mi propia cuenta, estoy confiando en alguien). Del mismo modo, este hipotético plugin estaría en la misma posición. Más miedo me dan el TLS y esas "autoridades" entre comillas.

Interesantes Post!!
Se dieron un paseo por la privacidad (sistema-usuario) asì mismo se culpo  a quizás dos de los cinco desarrolladores mas conocidos e influyentes. Se hicieron algunos alardes técnicos del porque si y del porque no.

El tema de las "donaciones" es algo que parece  Bitpay olvidò...la realidad es que Bitpay representa un modelo de negocios asociado al bitcoincore exitoso.

Para los que busquen más informaciòn:
https://bitpay.com/
https://github.com/bitpay/bitcore#bitcore

Claro, por eso la idea de que el cliente BTC a través de un plugin gestione la autentificación del sitio, así un malware que tiene acceso al navegador no puede comprometer la seguridad del intercambio.

Pero si, en realidad, estamos solamente pasando el problema de un software (navegador) a otro (cliente BTC/plugin), que debe ser mantenido para que no tenga vulnerabilidades a través de los cuales el atacante pueda manipular el intercambio. Al final, BIP70 era justo un intento de resolver este problema (como también lo explica Antonopoulos en el video).

Lo ideal sería que haya una alternativa a BIP70 que 1) no dependa exclusivamente de los certificados SSL expedidos por "las autoridades" y 2) no deba ser implementada por cada cliente BTC por separado, sino que pueda ser añadida a todas las soluciones (tipo plugin o software complementario), para ahorrar el esfuerzo del mantenimiento. Pero puedo imaginarme que esto traería consigo otros problemas (como la confianza en las personas que mantengan este plugin) ...

En teoría el ataque mitm podría ser inyectando javascript para cambiar el logo qr y poder modificar la cantidad o la dirección a la que se envía el pago. Se podría combinar con phising y cambiar directamente la pagina que uno cree estar usando.
Yo creo que esto no es un problema de bitcoin en si ni de BIP21, si usas un navegador comprometido, tienes malware en tu equipo o no accedes al sitio a través de HTTPS lo que habría que cambiar es la seguridad y habitos en la navegacion por internet.
Yo tampoco soy ningún experto, lo único que se seguro es que no se nada 
Si te apetece ver un video de Andreas al respecto te lo dejo por aquí

https://www.youtube.com/watch?v=XZKydqYu1RY

Pensándolo un poco - no soy experto en el tema - lo ideal sería que en el proceso de pago, el vendedor pueda enviar un enlace BIP21 firmado digitalmente (usando no la clave de la dirección Bitcoin que usa para el pago obviamente, sino una clave única que se podría publicar en su página web), y que el cliente de BTC provea la infraestructura para almacenar y verificar este tipo de clave pública del vendedor y por ende la firma. Creo que con eso ya se podría reemplazar la mayor parte de la funcionalidad adicional que provee BIP70.

Está claro que eso sería una funcionalidad "adicional" al protocolo base de Bitcoin y por ahí los desarrolladores tampoco la querrán mantener. Quizá algun día los clientes de Bitcoin puedan ofrecer una estructura de plugins para funcionalidades de este tipo.

Sin embargo, el hecho que esta solución tan simple no exista todavía, indica que quizá habrá algún problema con ella (posibles ataques MitM a la publicación de la clave pública en la página web del servicio/procesador?). Por lo menos, me puse a googlear un poco y no encuentro nada al respecto.

Edit: Creo que en realidad esta solución "ya existe" en la forma de que si un vendedor o procesador de pagos publica un enlace BIP21 lo enviará por HTTPS al navegador del comprador, y por lo tanto ya está firmado con su certificado. Entonces el problema estará en otro lado. Tendré que leer bien como funcionan los ataques MitM a BIP21.

La diferencia base entre BIP70 y BIP21 es una autentificación para evitar ataques tipo MITM (la solución no la tiene porque implementar el protocolo de bitcoin, ya existe HTTPS, TSL, SSL ), si no se usa esta forma de pago es por una cuestión política ya que BIP70 abre la puerta a una autoridad central que emite los certificado validos, AML/KYC, listas negras, etc.. y eso esta totalmente en contra de la filosofía del Bitcoin. Eso creo entender, tampoco es un tema del que haya indagado mas que a raíz de este hilo.

BitPay que para mas inri usa su versión modificada de BIP70 y dejo de dar soporte a BIP21, no permite el uso de VPN o TOR y el mayor problema radica en las fees que supuestamente son necesarias para realizar el pago. La gente que usa este sistema podría estar pagando hasta un 500% mas fees de transferencia necesarias y eso da lugar a crear una idea equivocada de las fees en la red de bitcoin, por no decir que actúan de forma deshonesta y se aprovecha de sus usuarios.

Correcto, la alternativa es a BitPay no a BIP70, la opción siempre fue BIP21 y ahora LN.

Supongo que en la mayoría de ocasiones sera BIP21 o BOLT11 (LN), seguiré investigando  

OpenNode allows you to accept Bitcoin (BTC) from every Bitcoin user. Never restrict your business to accept only certain types of wallets.

OpenNode invoices are compatible with all Bitcoin Improvement Protocols (BIPs) including BIP21, BIP70, and Bolt, and Lightning Network wallets.


OpenNode hace bien poco que piden KYC, existen varias alternativas sin KYC. La mejor alternativa que sigue la filosofía libre seria BTCPayServer.

Interesante ¿dónde puedo encontrar información (técnica) sobre esa solución? Estuve viendo la página de OpenNode y la documentación para desarrolladores pero ahí lo único que veo es como interactuar con el procesador de pagos OpenNode - que es, como BitPay, un servicio centralizado - a través del API. No menciona un protocolo de "pagos" independiente de OpenNode que pueda ser implementado por otros prestadores de servicios y vendedores.

Pero si OpenNode ofrece una técnica independiente y solo soy yo el burro que no la encuentra   bienvenida sea. Hacen referencia a algún tipo de "invoice" pero no encuentro bien como funcionan. Supongo que usarán BIP21 o alguna variante (en un post hacen referencia a BIP21 y BIP70).

La lista de alternativas que vi en el hilo eran alternativas a BitPay, no a BIP70/BIP21.

En el mismo hilo se dan varias alternativas a BIP70 una que he probado es la de opennode. Al parecer no hay nadie interesado en seguir desarrollando bip70.
La respuesta de Pieter Wuille lo deja muy claro

Tropecé por ese hilo en algún momento pero lo ignoré porque gran parte es pelea entre los que están a favor y en contra de BitPay. La verdad no entiendo porqué la gente se emociona tanto con este tema, como si fuera un tema de vida o muerte. A veces en los dos reddits de Bitcoin (y en algunos hilos de acá también) me siento como volver al jardín de infantes

Pero hay un post de Pieter Wuille que es interesante. Dice que se elimina de Bitcoin Core porque "nadie lo usa" y "solo cuesta trabajo de mantenimiento". He leido en otro lado que también quieren sacar OpenSSL del código y BIP70 es uno de los dos componentes que lo necesita.

El tema es que BIP70 nunca fue una función muy conocida. Yo solo me tropecé con ella hace unos años porque había pagado algunas cosas a través de BitPay. Pero me pareció dentro de todo una función interesante y mucho más fácil de usar que el método tradicional, y me hubiera gustado verlo integrado a más servicios, para tener más seguridad que la dirección de BTC y el monto están bien.

Entiendo que parte de la controversia es porque BitPay usa una versión modificada del protocolo. Pero el problema sigue siendo: nunca se promocionó mucho BIP70, por ello todos lo conocen como "el protocolo raro de BitPay", y entonces si BitPay lo modifica con funciones "hostiles", todos las asocian con BIP70. En lo que sí estoy de acuerdo que está muy mal que BitPay haya requerido este protocolo como único disponible. Siempre debería ser una oferta más, "para los burros como yo" .

El hilo lo ha empezado una persona que critica el cambio, lo interesante del hilo es la discusión que se forma. Los comentarios de personas que conocen bien el protocolo a nivel técnico explican el porque de las decisiones.
Yo tampoco estoy nada de acuerdo con el troll que inicia el hilo 

Aunque entiendo el odio que existe hacia Bitpay por ser la mayor proponente de esa característica, estoy en desacuerdo con el post de reddit ya que el OP esta insultando a los contribuyentes que generalmente no son pagados.

Ademas en uno de los comentarios sugirieron que, si quieren mantener el BIP-70 deberían pagar programadores para seguir manteniendo la característica e implementarla de manera sencilla cosa que me parece sensata.

Pues yo espero que desaparezca BitPay porque es una basura y en cuanto al BIP70 pues que metió mas problemas que beneficios. Un "gran" aporte de mike hearn y gavin andresen

Recomiendo leer este hilo en ingles, ahí esta todo lo que necesitas para comprender el tema de BIP70
why_dont_i_get_to_choose_bip_70_removed_by_default

Yo estoy en contra de la deshabilitación de BIP70. O al menos deberían proveer una solución alternativa.

El Payment Protocol tenía sus problemas, pero era un mecanismo que mejoraba mucho la experiencia de los usuarios novatos. Porque te daba la posibilidad de verificar datos como el nombre y la página web de la empresa que solicita el pago y no aceptaba otra cosa que no era el monto exacto a pagar.

El gran problema era que durante el proceso de pago se revela la dirección IP del comprador. Sin embargo, esta también se revela cuando el usuario se conecta a la página web del vendedor y realiza el "checkout", y en ambos casos se pueden usar mecanismos como Tor para prevenir que se revele la dirección. (BitPay bloqueó estos accesos via Tor, pero esto es un problema de BitPay y no de BIP70!).

Está obviamente BIP21 como alternativa más rústica (las "URLs Bitcoin"), pero el problema es que existe una forma de atacarlo via un ataque de MitM (a través de un intermediario).

Sin embargo, que Core deshabilite BIP70 no es el final del protocolo, porque como no es parte del protocolo de Bitcoin no pueden impedir usar una cartera que lo habilite.

Hace tiempo vi quejas referente al protocolo que utilizaba Bitpay, ya que es difícil de implementar inclusive ellos lo admiten en esta publicación.

https://bitpay.com/blog/bitpay-and-payment-protocol/

Y al mismo tiempo se volvió una empresa que requiere KYC para tu hacer tus pagos, cosa totalmente absurda.

...pero solo de manera predeterminada.

Las mejoras y las actualizaciones son varias pero en ese espectro de características hay una que tiene controversia y es el soporte para BIT70, que viene deshabilitado de manera predeterminada.

Lo que desde el punto de vista técnico es un mensaje, no lo use, pero en el sentido práctico es un mensaje claro a Bitpay y en consecuencia a sus usuarios, pero la pregunta es cuando va desaparecer y si esto realmente va suceder.

El tema de la centralizaciòn es un punto obvio para entender el punto de los desarrolladores. Pero pienso que hay un trasfondo màs allá. (¿?)

Investigando encontre este post donde Bitpay hacia su lanzamiento en el foro, siguen siendo la misma gente hoy en dìa. (¿?)