Вернуться   Биткоин Форум > Разработка и Техническое Обсуждение
10 декабря 2014, 11:45:41 PM   # 1
 
 
Сообщения: 122
Цитировать по имени
цитировать ответ
по умолчанию Re: brainwallet.org оффлайн транзакция безопасная из повторно используемых значений R?

Взлом Биткоин адресов.
500 Биткоинов взломаны в "мозговом кошельке" с паролем "bitcoin is awesome"
Адрес кошелька: 14NWDXkQwcGN1Pd9fboL8npVynD5SfyJAE
Приватный ключ: 5J64pq77XjeacCezwmAr2V1s7snvvJkuAz8sENxw7xCkikceV6e
подробнее...


Всем кто хочет заработать Биткоины без вложений - рекомендую сайт http://bitcoin-zarabotat.ru
Я использую инструмент транзакций brainwallet.org (вhttps://brainwallet.github.io/#tx) В защищенной автономной среде для тратить бумажные бумажники.

С последними новостями, я беспокоюсь, может ли инструмент повторно использовать значения R. Исходный код здесь: https://github.com/brainwallet/brainwallet.github.io/blob/master/js/tx.js
jabetizo сейчас офлайн Пожаловаться на jabetizo   Ответить с цитированием Мультицитирование сообщения от jabetizo Быстрый ответ на сообщение jabetizo


Как заработать Биткоины?
Без вложений. Не майнинг.


11 декабря 2014, 12:02:19 AM   # 2
 
 
Сообщения: 2002
Цитировать по имени
цитировать ответ
по умолчанию Re: brainwallet.org оффлайн транзакция безопасная из повторно используемых значений R?

Получил 1806 Биткоинов
Реальная история.





Я подозреваю, что если эта программа была проблема с повторным использованием значений R, мы бы уже слышали об этом.

Однако, вполне возможно, что будущая версия программного обеспечения может представить проблему. Таким образом, вы должны избегать не используя новые версии программного обеспечения в будущем, пока после того, как новое программное обеспечение было хорошо рассмотрено.

Обратите внимание, что это программное обеспечение использует следующую команду для создания подписи:

Код:
вар подпись = eckey.sign (хэш);

Поэтому, даже если Java-программа от https://github.com/brainwallet/brainwallet.github.io/blob/master/js/tx.js не меняется, вы можете столкнуться с проблемой, если библиотека JavaScript, ваш браузер использует обновляются.
DannyHamilton сейчас офлайн Пожаловаться на DannyHamilton   Ответить с цитированием Мультицитирование сообщения от DannyHamilton Быстрый ответ на сообщение DannyHamilton

11 декабря 2014, 3:05:40 AM   # 3
 
 
Сообщения: 2366
Цитировать по имени
цитировать ответ
по умолчанию Re: brainwallet.org оффлайн транзакция безопасная из повторно используемых значений R?

Вы действительно не должны ничего от использования "brainwallet", Это было несколько серьезных уязвимостей в прошлом (например, с помощью небезопасный ГСЧ). Его анонимный автор получил свое начало, создавая его после того, как разочарование, что не больше людей используют H (пароль) строки ;. Совсем недавно создатель жаловался о том, мели, а затем через несколько часов спрашивать в # Bitcoin-разработчика за помощью, используя нашу библиотеку криптографических создать генератор Публичных очень высокой скорости (читай: brainwallet взломщик).

В общем, вы должны _never_ Используйте "бумажник мозг" (По крайней мере, из тех, которые сайт способствует), люди удивительно плохие источники случайности и часто, когда вы думаете, что быть "случайный" его на самом деле делает вас более предсказуемым. Человеческая память также довольно хрупкая, и многие люди спонтанно забыли строки, которые они использовали почти каждый день (и если вы используете ваш кошелек мозга каждый день вы собираетесь управлять просачиваться его) ... и структура, которая делает некоторые строки проще помните, чтобы они быстрее искать. Имейте в виде, что вы можете иметь атакующие с FPGA (или Основныеоперации) хозяйствами тестирования миллиардов в секунду.

Когда услуга сети скомпрометирована и их база паролей украдена, и люди узнают, что он не использовал соленых пароли каждый с оружием в руках, призывающих их грубо некомпетентные. Но brainwallets являются конечным несоленым паролем ... база данных по своей сути общественная все времени, есть огромное значение, придаваемое, и она не может быть эффективна соленой (если он может: просто случайно сгенерировать ключ, зашифровать его, и кроме того, что вместо соль...). И тем не менее, люди, которые развертывают несоленые пароли на частных серверах, которые позже компрометации (как, кажется, происходит на всех серверах в конце концов ...) трудно найти работу в будущем, но в Bitcoin создания дерьмовый JS или питона "brainwallet" инструмент и вы увенчались большой мозг на схеме конференции. Это странный мир.
gmaxwell сейчас офлайн Пожаловаться на gmaxwell   Ответить с цитированием Мультицитирование сообщения от gmaxwell Быстрый ответ на сообщение gmaxwell

11 декабря 2014, 10:30:50 AM   # 4
 
 
Сообщения: 1512
Цитировать по имени
цитировать ответ
по умолчанию Re: brainwallet.org оффлайн транзакция безопасная из повторно используемых значений R?

Любое программное обеспечение делает заключение следует сделать умную вещь и назвать несколько библиотек безопасности для случайного, и / или смешивать с природными вызовами / разработчиком / случайным. Каждый случайный Lib не следует рассматривать только потенциально потайной двери, когда используется исключительно (только в безопасности, когда операция XOR с другим источником), но и в равной степени вероятно, будут разбиты на любой платформе из библиотеки или отсутствии доступа к аппаратной / системы.

Кроме того, должны быть чеки дисквалифицировать весь процесс, если какой-либо отдельный элемент или случайная функция кода в целом не может грубости тесты. Что делать, если функция getRandom в коде возвращается все 0s или 1S или же значение каждого вызова? Вероятно, не случайно. Более творческое мышление может обнаружить и прервать на других несовершенных случайных сценариев, которые ранее были замечены в библиотеках или были введены в коде.

Случайная функция должна быть разобщенной в коде, с методами / API, чтобы проверить каждый элемент энтропии, и мы должны иметь алгоритм стандартной-практику на предквалификационный отбор и выявлять наихудшие виды сломаны, которые могли бы привести к потерянной монете. Публикация и сообщества пересмотреть эту функцию мета-кода и требовать его использования от тех, кто работает любой сервис Bitcoin.


Я присоединяюсь настроение, что это не стоит развивать какие-либо "головной мозг" основанный бумажник, и что люди, которые доверяют людям, чтобы сделать свои собственные ключевые фразы не люди будут доверять с фразами людей.

Я предполагаюсь сделать создатель brainphrase-к-детерминированным кошелек, но даже если он использовал десять минут времени GPU хеширования с помощью различных комбинированных ключевых функций деривации на ключевую фразу, он все еще не может быть безопасным, будучи ограниченным неограниченной изобретательностью манекенов с использованием легко угадываемые пароли.
deepceleron сейчас офлайн Пожаловаться на deepceleron   Ответить с цитированием Мультицитирование сообщения от deepceleron Быстрый ответ на сообщение deepceleron

11 декабря 2014, 11:06:18 AM   # 5
 
 
Сообщения: 1260
Цитировать по имени
цитировать ответ
по умолчанию Re: brainwallet.org оффлайн транзакция безопасная из повторно используемых значений R?

котировка
Любое программное обеспечение делает заключение следует сделать умную вещь и назвать несколько библиотек безопасности для случайного [...]

... или использовать детерминированный RFC6979 ECDSA подписания без каких-либо обращений к случайным
http://tools.ietf.org/html/rfc6979
amaclin сейчас офлайн Пожаловаться на amaclin   Ответить с цитированием Мультицитирование сообщения от amaclin Быстрый ответ на сообщение amaclin

11 декабря 2014, 1:15:42 PM   # 6
 
 
Сообщения: 122
Цитировать по имени
цитировать ответ
по умолчанию Re: brainwallet.org оффлайн транзакция безопасная из повторно используемых значений R?

Вы действительно не должны ничего от использования "brainwallet", Это было несколько серьезных уязвимостей в прошлом (например, с помощью небезопасный ГСЧ). Его анонимный автор получил свое начало, создавая его после того, как разочарование, что не больше людей используют H (пароль) строки ;. Совсем недавно создатель жаловался о том, мели, а затем через несколько часов спрашивать в # Bitcoin-разработчика за помощью, используя нашу библиотеку криптографических создать генератор Публичных очень высокой скорости (читай: brainwallet взломщик).

В общем, вы должны _never_ Используйте "бумажник мозг" (По крайней мере, из тех, которые сайт способствует), люди удивительно плохие источники случайности и часто, когда вы думаете, что быть "случайный" его на самом деле делает вас более предсказуемым. Человеческая память также довольно хрупкая, и многие люди спонтанно забыли строки, которые они использовали почти каждый день (и если вы используете ваш кошелек мозга каждый день вы собираетесь управлять просачиваться его) ... и структура, которая делает некоторые строки проще помните, чтобы они быстрее искать. Имейте в виде, что вы можете иметь атакующие с FPGA (или Основныеоперации) хозяйствами тестирования миллиардов в секунду.

Когда услуга сети скомпрометирована и их база паролей украдена, и люди узнают, что он не использовал соленых пароли каждый с оружием в руках, призывающих их грубо некомпетентные. Но brainwallets являются конечным несоленым паролем ... база данных по своей сути общественная все времени, есть огромное значение, придаваемое, и она не может быть эффективна соленой (если он может: просто случайно сгенерировать ключ, зашифровать его, и кроме того, что вместо соль...). И тем не менее, люди, которые развертывают несоленые пароли на частных серверах, которые позже компрометации (как, кажется, происходит на всех серверах в конце концов ...) трудно найти работу в будущем, но в Bitcoin создания дерьмовый JS или питона "brainwallet" инструмент и вы увенчались большой мозг на схеме конференции. Это странный мир.

Я никогда не использовал бы бумажник мозга, мой вопрос был только о безопасности инструмента для подписания сделок (https://brainwallet.github.io/#tx). Это удобно использовать для подписания сделок отсутствует, так как вам нужно только живой ОС и веб-браузер. Я использовал его в течение года без проблем, но если я правильно понимаю, что вы говорите brainwallet.org имеет плохую репутацию и не должен использоваться из-за того, что ... Вы бы рекомендовать другой аналогичный инструмент?

http://bitkey.io ?
jabetizo сейчас офлайн Пожаловаться на jabetizo   Ответить с цитированием Мультицитирование сообщения от jabetizo Быстрый ответ на сообщение jabetizo



Как заработать Биткоины?

Bitcoin Wallet * Portefeuille Bitcoin * Monedero Bitcoin * Carteira Bitcoin * Portafoglio Bitcoin * Bitcoin Cüzdan * 比特币钱包

bitcoin-zarabotat.ru
Почта для связи: bitcoin-zarabotat.ru@yandex.ru

3HmAQ9FkRFk6HZGuwExYxL62y7C1B9MwPW