Blockchain.info не безопасно - Мой кошелек Пароль Stealer (Передает «Verifier»)

Не принимали меня это давно: http://i.imgur.com/y905u.png

Да, она проходит все "испытатели", Оповещение остановило выполнение скрипта, но после того, что есть "Не изменен", Я использовал MS Paint, чтобы удалить контрольную сумму и потенциально уникальные идентификаторы.

Не стесняйтесь игнорировать / думаю, что это подделка / и т.д. на свой страх и риск (злоумышленник может изменить ее, чтобы отправить пароль на их сервер). Я не планирую выпустить доказательство концепции, если нет достаточного спроса на нее.

Я ничего не имею ничего против blockchain.info, но я не буду беспокоить найти цитату blockchain.info говоря, как они принимают грузы предосторожностей (неэффективная) безопасности .. Просто сказать вашему blockchain бумажник не является безопасным.

Блин, почему я не думал об этом?

Вы только что изменили JavaScript в вашем собственном браузере. Javascript является Bitcoin-клиентом, и если вы изменяете клиент, то, конечно, вы можете изменить его, чтобы напечатать пароль или закрытые ключи и т.д. Было бы тривиальным изменить Bitcoin-Qt источника, чтобы добавить окно предупреждения, который печатает пароль в аналогичным образом.

Это, как работает сервис, на стороне клиента.

Не могли бы вы быть более конкретным относительно того, что "не безопасно" предполагается иметь в виду и какой тип атаки можно было бы сделать с этим?

Насколько я могу сказать сейчас: что piuk говорит, вы просто показывая свой собственный пароль.

EDIT: только что видел ваш другой поток о ТЮРЬМЕ и BLOCKCHAIN.INFO и дерьмо? Я с трудом веруя, не имеют какой-то личных проблем с blockchain.info. Это чистая FUD в моих глазах.

должны были бы конечный пользователь установить браузер-плагин для достижения этой цели ...

Цитата: TradeFortress 23 декабря 2012, 12:00:22 PM

. . . Просто говоря, ваш кошелек blockchain не является безопасным.

Это просто глупо. Вы написали свою собственную программу, чтобы сделать то, что вы хотите это сделать, то вы запускали эту программу, и вы расстроены, что ваша программа делает то, что Вы проектировали это делать?

Как это отличается от перезаписи Bitcoin-Qt программы, компиляции, а затем запустить его.

Глупо, просто глупо.

это не действительно ли проблема только если "отметка" скачал ваш клиент Bitcoin вместо реальной?

Ах, дайте ему отдохнуть, он явно не понимает, как эти яваскрипта работы Испытателей.

Цитата: underminer от 23 декабря 2012 года, 4:26:41 PM

это не действительно ли проблема только если "отметка" скачал ваш клиент Bitcoin вместо реальной?

Да, я считаю, что это называется "фишинга",

Создание веб-страницу, которая выглядит как веб-сайт blockchain.info в. Используя методы социальной инженерии, пытаются обмануть людей в случайно приходят на ваш сайт в то время как обманывая их, полагая, что они находятся на реальном сайте blockchain.info. Получить их ввести свой пароль.

Такой обман может использовать URL-адрес, такой как blockchain.com, blockchain.net, blockchain.edu, blickchain.info, b1ockchain.info, bl0ckchain.info, bitchain.info и т.д.

Цитата: piuk от 23 декабря 2012 года, 1:43:49 PM

Только я не изменял. Это S уязвимость системы безопасности, вы никогда не пытаться сделать криптографию с JavaScript.

Я мог бы сделать, скажем, Chrome Bitcoin наблюдател плагин. Затемнение код для предотвращения обнаружения, и ждать, пока люди войти с blockchain.

Если вы сделали настольный клиент, это не произошло бы из-за песок бокса.

Во всяком случае, я буду работать на атаки на основе сети в настоящее время.

Цитата: TradeFortress 23 декабря 2012, 10:19:27 PM

вы никогда не пытаться сделать криптографию с JavaScript.

Что это тогда?

Можно сделать форму входа, плагины не могут захватить, кстати.