-----НАЧАТЬ PGP MESSAGE ----- ПОДПИСАЛИ
Hash: SHA256
Я думаю, что это какое-то технический вопрос, так что я положил его в этот подфорум.
Как большинство из вас должен знать, (регулярные) Bitcoin операции проходят проверку подлинности с помощью подписей ECDSA. Подпись ECDSA пара «(г, s)» из двух чисел, где первый один «г» является полностью независимым от подписанного сообщения и (государственных или частных) ключей пользователя, подписавшего в. Это зависит исключительно от случайного числа «к» выбранной в момент формирования подписи, а на основной эллиптической кривой и ее генератора (secp256k1 в случае Bitcoin).
Из-за того, как работает ECDSA, это значение «к» должно оставаться в секрете, потому что знание «к» для одной подписи уже позволяет взломщику вычислить закрытый ключ. Различные вопросы безопасности вызывают тот факт, что этот секрет «к» должен быть выбран во время создания подписи. Бедные реализации бумажника выбраны «к» предсказуемым образом и позволили злоумышленникам украсть монеты. Другим известным возникает слабость, если такое же количество «к» используется в двух различных сигнатур. Если это произойдет, злоумышленник может вычислить закрытый ключ, а также, даже если значение «К» не известно ему. Обратите внимание, что можно легко обнаружить ли «K» был использован дважды, потому что это приводит к двум подписям с тем же значением «г».
Я хочу обратить ваше внимание на еще одно нападение, что (насколько мне известно) не обсуждались в контексте Bitcoin еще, что также прибывает из того, что реализация бумажника свободно выбирает «к»:
а) можно просочиться секретной информацией о закрытых ключах.
б) Это может быть сделано таким образом, что невозможно обнаружить никем, кроме самого нападающего.
в) две подписи из того же секретного ключа достаточно, чтобы просочиться полный ключ.
Это позволяет злую реализации бумажника Bitcoin просачиваться закрытыми ключами, даже в автономном режиме настройки, который фактически гарантирует, что никакой информации, кроме совместимых сделок не оставить бумажник.
Обратите внимание, что эта атака не только влияет закрытый код бумажники с потенциально вредоносными функциями. Каждая реализация ECDSA, которые не могут быть проверены пользователем потенциальный риск. Это включает в себя огромные библиотеки, такие как OpenSSL, потому что ее чисто громадность, а также любой реализация оптимизированной для повышения производительности или времени атаки сопротивления. Можно утверждать, что это было бы лучше для форума бумажники использовать совершенно простую реализацию ECDSA. Благодаря своей автономной природе, временные приступы не имеют никакого отношения, и производительность не так важно, как вам не нужны миллионы подписей в секунду в протоколе Bitcoin.
Я записал подробности этого нападения в документе, который вы можете найти здесь:
https://www2.informatik.hu-berlin.de/~verbuech/klepto-ecdsa/
Комментарии очень приветствуются, я с нетерпением жду интересное обсуждение этой атаки.
-----НАЧАТЬ PGP SIGNATURE -----
Версия: GnuPG v2.0.22 (GNU / Linux)
iF4EAREIAAYFAlSBvPIACgkQzNQUeKMPfH9fTAD + IOxTzXlP + j6UsKYMCH4AP + ер
qXxHKdcn5By67EY8cg8A / 3G62zp55OMVXzsLFzNCcA5PfvKpYu2KgM / 1XRkPV5Gq
= bKDi
-----END PGP SIGNATURE -----
|
|
||||||
5 декабря 2014, 2:19:57 PM
|
# 1 |
Сообщений: 27
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Взлом Биткоин адресов.
500 Биткоинов взломаны в "мозговом кошельке" с паролем "bitcoin is awesome" Адрес кошелька: 14NWDXkQwcGN1Pd9fboL8npVynD5SfyJAE Приватный ключ: 5J64pq77XjeacCezwmAr2V1s7snvvJkuAz8sENxw7xCkikceV6e подробнее... Всем кто хочет заработать Биткоины без вложений - рекомендую сайт http://bitcoin-zarabotat.ru |
|
|
|
Как заработать Биткоины?
Без вложений. Не майнинг.
|
5 декабря 2014, 3:31:22 PM
|
# 2 |
|
Сообщения: 2366
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Получил 1806 Биткоинов
Реальная история. Я хочу обратить ваше внимание на еще одно нападение, что (насколько мне известно) не обсуждались в контексте Bitcoin еще, что также прибывает из того, что реализация бумажника свободно выбирает «к»: Он несколько раз обсуждался. Например. а также http://www.mail-archive.com/bitcoin-development@lists.sourceforge.net/msg02721.htmlИз-за этого я толкнул очень трудно для встраиваемых аппаратных реализаций (которые делают ECDSA по своей природе несколько unaudiable использовать derandomized АДС ... который помогает, но не полностью, так как он может выбрать просачиваться только очень редко, так что случайная проверка не будет поймать его , Для того, чтобы убедить их, я создал реализацию ECDSA подписания со следующими забавными свойствами: (1) Одна подпись утечки закрытого ключа, но только для злоумышленника, и никто другой, даже если они знают о задней двери. (2) Если собрать чуть более 16 подписей, с различными или одинаковыми ключами, от одной жертвы злоумышленника (и никто другой) может, с экспоненциально возрастающей вероятностью, восстановить дополнительные 256-битным секрет, такие как мастер закрытого ключ , (3) подписание лицом без гражданства (не требуют дополнительной памяти за пределами функции ECDSA подписания и determinstic-- всегда будет давать одни и те же подписи за тот же ключ, сообщение, независимо от повторения или в каком порядке они были введены. Очевидный путь для улучшения будет использовать ослепила подпись, но делать это будет запретить устройство подписания от проверки сообщения, которое что-то мы обычно хотим, без дополнительного ЗУПА. |
|
|
|
|
5 декабря 2014, 3:37:19 PM
|
# 3 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Я думал, что идея создания K детерминированный, а не случайное была лучшим решением, все вокруг (и из памяти уже есть RFC, который описывает, как именно это можно сделать).
|
|
|
|
|
5 декабря 2014, 3:41:01 PM
|
# 4 |
|
Сообщения: 2366
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Я думал, что идея создания K детерминированный, а не случайное была лучшим решением, все вокруг (из памяти уже существует RFC, который описывает, как это можно сделать). Просто "детерминистический" не полный фикс, хотя это может помочь .. потому что в то время как это детерминированный кто-то, кто не знает секретный ключ не может сказать, если процедура последовало. Вы можете использовать два самостоятельно созданных подписчик, что оба знают секретный ключ и сравнение их результатов, однако ... что прошлое, почему я пытался заставить человек использовать каноническую реализацию, а не некоторые АПЧРК строительства для derandomization. |
|
|
|
|
5 декабря 2014, 3:44:51 PM
|
# 5 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
...использовать каноническую реализацию, а не некоторые АПЧРК строительства для derandomization. Разве это не то, что точка RFC является (т.е. каждая реализация должна иметь точно такой же результат, если они правильно следовали RFC)? |
|
|
|
|
5 декабря 2014, 4:41:49 PM
|
# 6 |
|
Сообщения: 2366
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Разве это не то, что точка RFC является (т.е. каждая реализация должна иметь точно такой же результат, если они правильно следовали RFC)? Да. Но RFC делает (IMO) стратегическую ошибку, используя запутанные объяснения мотивированы, показывая, что конструкция идентична уже существующей стандартизированную CSPRNG. В результате, некоторые исполнители в пространстве Bitcoin рвоты над ним и просто реализовать что-то AdHoc как H (ключ || сообщений). Можно утверждать человек, которые делают это не имеют бизнес-авторинг криптографического программного обеспечения для других людей, чтобы использовать, но мы живем в мире where-- для различных reasons-- людей, которые не имеют никакого бизнеса писать криптографическое программное обеспечение для других, чтобы использовать иногда делают.Тем не менее, решение не является полным ... так как многие пользователи будут использовать два независимых реализаций и сравнить все их выходы только для проверки наличия побочных каналов? |
|
|
|
|
5 декабря 2014, 4:59:41 PM
|
# 7 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Тем не менее, решение не является полным ... так как многие пользователи будут использовать два независимых реализаций и сравнить все их выходы только для проверки наличия побочных каналов? Может быть, лучше RFC может помочь (или, может быть, BIP)? ИМО, имеющих "стандарт" является ключевым моментом (при условии, что работает, как ожидалось, и будучи детерминированным можно легко проверить на соответствие). Будучи большим поклонником "регрессионные тесты" Я нашел ECDSA Sigs быть немного PITA. |
|
|
|
|
5 декабря 2014, 5:10:59 PM
|
# 8 |
|
Сообщения: 2366
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Может быть, лучше RFC может помочь (или, может быть, BIP)? Стандарт имеет важное значение. И да, мы могли бы вновь заявить RFC6917 таким образом, больше людей будет найти легко осуществить из BIP ... и это может быть мудрым. Но на самом деле в Bitcoin пространстве далеко слишком много людей пишут свой собственный криптографический код, и мало что делают никаких усилий для реализации передового опыта в других отношениях тоже. Например. до libsecp256k1 Я знаю не реализации для secp256k1, который даже пытался закрыть sidechannels синхронизации. В идеале, должен существовать хорошо, хорошо рассмотрел, библиотека систем работают, что другие люди не будут беспокоить сделать реализацию передовых методов в ...ИМО, имеющих "стандарт" является ключевым моментом (при условии, что работает, как ожидалось и быть детерминированным можно легко проверить). Из обсуждения, это не ясно для меня, если я четко объяснить, почему я продолжаю говорить, что это не достаточно: Проблема заключается в том, что ваше зло устройство может следовать RFC, пока не попросят подписать сделку оплачиваемую конкретного адресата или каждый 1000-й раз наудачу и никогда в первые 100 подписей ... и поэтому вы не можете проверить, не-злобности, если вы не проверить каждый выход. Можно проверить каждый выход (при условии осуществления использует стандарт), но в основном никто не будет. Она упс бар, сужает экспозицию, и т.д. ... но без дополнительной магии это не исключает риск. Это также одна причина, по которой отсутствует подпись не является заменой для мульти-подписи. |
|
|
|
|
5 декабря 2014, 5:14:57 PM
|
# 9 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Это не ясно для меня, если я четко объяснить, почему я продолжаю говорить, что это не достаточно: Проблема заключается в том, что ваше зло устройство может следовать RFC, пока не попросят подписать сделку уплаты конкретного адресата или каждый 1000-й раз случайным образом и никогда в первые 100 подписей ... и поэтому вы не можете проверить, не-злобность, если вы не проверить каждый выход. Да - я понимаю, что - я не в отношении себя с "злые реализации" но только неправильные (которые могут оставить вас открыты для более простых атак). Это также одна причина, по которой отсутствует подпись не является заменой для мульти-подписи. Также понятно, (и, возможно, Шамир является другой метод, когда один рассматривает защиту больших объемов офлайновых средств). |
|
|
|
|
5 декабря 2014, 5:17:25 PM
|
# 10 |
|
Сообщений: 27
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Детерминированный выбор «к», к сожалению, не решает проблему, потому что вы не можете проверить, что выбор без знания секретного ключа. Поскольку вся точка автономного / встроенный бумажник, что ключ никогда не покидает бумажник, нет никакого способа для пользователя, чтобы убедиться, что «к» были выбран в соответствии с RFC6979 или что-нибудь, так. Так как «к» должно быть секретом, нет никакого способа, чтобы решить эту проблему. Это обсуждается в работе, а также.
Классический ECDSA: Знание «к» подразумевает знание (ключ) «D», а не наоборот. Детерминированный ECDSA: Знание «к» равно знанию «г» и наоборот. |
|
|
|
|
5 декабря 2014, 5:20:15 PM
|
# 11 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Детерминированный выбор «к», к сожалению, не решает проблему, потому что вы не можете проверить, что выбор без знания секретного ключа. Понял - но отсутствует устройство не имеет закрытый ключ и, вероятно, могли бы показать, что, если он может сделать это, то он также может отображать "К" значение, которое затем может быть проверено с помощью другого автономного устройства. |
|
|
|
|
5 декабря 2014, 5:28:56 PM
|
# 12 |
|
Сообщений: 27
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Понял - но отсутствует устройство не имеет закрытый ключ и, вероятно, могли бы показать, что, если он может сделать это, то он также может отображать "К" значение, которое затем может быть проверено с помощью другого автономного устройства. Да, но только сдвигает доверие от одного автономного устройства к другому. Вы должны знать, что любой из них должным образом выполняют свою работу. Глядя ли «отсутствует проверка устройство» делает свою работу не легче, чем смотреть действительно ли автономный бумажник осуществлять ECDSA в соответствии со стандартами. |
|
|
|
|
5 декабря 2014, 5:34:18 PM
|
# 13 |
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Да, но только сдвигает доверие от одного автономного устройства к другому. Вы должны знать, что любой из них должным образом выполняют свою работу. Глядя ли «отсутствует проверка устройство» делает свою работу не легче, чем смотреть действительно ли автономный бумажник осуществлять ECDSA в соответствии со стандартами. Так что вы думаете, что multisig или Шамира бы решить эту проблему (как я не ясно, каким образом вы могли бы создать * идеальный * система - может быть такая вещь на самом деле не возможно)? |
|
|
|
|
5 декабря 2014, 5:36:18 PM
|
# 14 |
|
Сообщений: 27
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
(1) Одна подпись утечки закрытого ключа, но только для злоумышленника, и никто другой, даже если они знают о задней двери. (2) Если собрать чуть более 16 подписей, с различными или одинаковыми ключами, от одной жертвы злоумышленника (и никто другой) может, с экспоненциально возрастающей вероятностью, восстановить дополнительные 256-битным секрет, такие как мастер закрытого ключ , (3) подписание лицом без гражданства (не требуют дополнительной памяти за пределами функции ECDSA подписания и determinstic-- всегда будет давать одни и те же подписи за тот же ключ, сообщение, независимо от повторения или в каком порядке они были введены. Очень интересно. Я буду смотреть на вашу атаку. |
|
|
|
|
5 декабря 2014, 5:58:02 PM
|
# 15 |
|
Сообщения: 2366
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Детерминированный выбор «к», к сожалению, не решает проблему, потому что вы не можете проверить, что выбор без знания секретного ключа. Мы знаем, и каждое сообщение здесь указывает на это.котировка Поскольку вся точка автономного / встроенный бумажник, что ключ никогда не покидает бумажник, нет никакого способа для пользователя, чтобы убедиться, что «к» были выбран в соответствии с RFC6979 или что-нибудь, так. Это может быть точка для _you_, но на самом деле дело в том, чтобы быть в автономном режиме, перенося ключ между двумя устройствами в автономном режиме является вариантом для некоторых .. это, конечно, вариант для тестирования ... и даже просто тестирование повышает уверенность, хотя его не полная уверенность по причинам, перечисленные. Например. без детерминизма каждого устройство от заводской линии может быть утечка ключей в каждой подписи, и никто не мог сказать, не хватает успешного реинжиниринга устройства. С детерминизма, зло может быть только прерывистым и избежать обнаружения ... так как только один пользователь загрузки статический ключ тестирования и проверки вывода ловил случай, когда утечки устройств устройство в каждой подписи.Если отсутствует устройство просто HSM, который подписывает все то очевидное решение: ослепить подписи. Это тривиальное с Шнорром, но даже для ECDSA есть схема, которая должна работать для этого. В противном случае, multisignature, кажется, единственным разумным исправить. Любой из доказательств ZK является слишком сложным и дорогим в расстойках. Ваша статья предлагает устройство создать доказательство, но то, вероятно, из-за сложности вопроса мудр для многих подписантов (бег ак * G под ЗУП очень дорогой вычисления), лучше бы ослепить подпись, а затем использовать доказательство ZK к доказать устройства, что ослепила подпись является чем-то, что хочет подписать ... это работает лучше, потому что существующие конструкции имеют быстрые контролер. котировка Вы должны знать, что любой из них должным образом выполняют свою работу Да, если у вас нет надежных устройств вы просто не повезло. Ни одна система не может спасти вас. Если _все_ ваших устройств одновременно плохо они могут просто испускать свой ключ вместо подписи и ваш онлайн хосты могут просто позвонить домой, чтобы сообщить об этом.Там должно быть некоторое предположение о честности. Разумный один является то, что вы будете использовать несколько устройств, и, по меньшей мере, один из ваших устройств будет честен, или по крайней мере не служит тот же злой хозяин. При том, что безопасные системы предположения может быть построены, без него не защищенной системы не может быть построена. Понял - но отсутствует устройство не имеет закрытый ключ и, вероятно, могли бы показать, что, если он может сделать это, то он также может отображать "К" значение, которое затем может быть проверено с помощью другого автономного устройства. Отображение K не представляется разумным. Лучше просто подписать два раза и сравнить результаты: они должны быть одинаковыми. Если вы действительно хотите, чтобы показать K, лучше показать H (K). В противном случае кто-то может просто использовать выявленный K немедленно поставить под угрозу безопасность, если они могли видеть экран устройства. |
|
|
|
|
5 декабря 2014, 6:02:55 PM
|
# 16 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Отображение K не представляется разумным. Лучше просто подписать два раза и сравнить результаты: они должны быть одинаковыми. Если вы действительно хотите, чтобы показать K, лучше показать H (K). В противном случае кто-то может просто использовать выявленный K немедленно поставить под угрозу безопасность, если они могли видеть экран устройства. Действительно ли один придется беспокоиться о гадости, как кулачки, принимая снимки экрана вашего форума компьютера. |
|
|
|
|
5 декабря 2014, 6:04:40 PM
|
# 17 |
|
Сообщений: 27
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Так что вы думаете, что multisig или Шамира бы решить эту проблему (как я не ясно, каким образом вы могли бы создать * идеальный * система - может быть такая вещь на самом деле не возможно)? Я не смотрел на тех, кто еще. Лучшее решение, которое я могу себе представить, до сих пор было бы сочетание из следующих действий: 1.) Детерминированный выбор «к» с учетом определенного стандарта (RFC6979 или, может быть способом EdDSA о делать это) 2.) доказательство с нулевым знанием о том, что «к» действительно был выбран в соответствии с процедурой. Это было бы вполне возможным, так как утверждение «существует SKEY таких, что К равно Н (Skey || письмо || соли) и Публичные равна точка генератора, умноженную на SKEY», очевидно, является утверждением NP и существует неинтерактивная нулю -знание доказательства для любого утверждения НП. Обратите внимание, что это ничего не изменит для протокола Bitcoin. Доказательство только для самого пользователя, чтобы убедиться, что его бумажник работает должным образом, он не должен быть отправлен в сеть Bitcoin. Но возникает новая проблема: как реализовать доказательство таким образом, что гарантирует, что мы не создаем новые боковые каналы утечки? |
|
|
|
|
5 декабря 2014, 6:15:24 PM
|
# 18 |
|
Сообщения: 2366
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Но возникает новая проблема: как реализовать доказательство таким образом, что гарантирует, что мы не создаем новые боковые каналы утечки? Любая система, которая имеет звук нулевой knoweldge будет иметь случайный вход. Например. строительство CRS СНАРК, которая является лишь отдаленно для практической реализации НП доступны, что я знаю свободно rerandomizable. Может быть, единственное доказательство возможно, если вы отказываетесь разумность на ZK но криптографический разрыв в системе ZK может сделать его утечку секретного ключа.Эта сложность является частью почему я ранее предложил альтернативу, если запрашивающее устройство онлайн слепой запрос подписи, затем дать устройству подписания ZKP, что ослепил сообщение подписываемый это сообщение подписываются ... Результатом является, что sidechannel снижается до 1 бит (знак / не знаком), если запрашивающее устройство и автономный прибор не сговорились. (Также вышеупомянутый факт, что гораздо легче проверить доказательство, чем создать его) С вашей рецензии, котировка Еще один контр-мера была бы строго не использовать любой адрес больше-десять раз Это не решить: Ключ может быть утечка в одной подписи, и злоумышленник может мчаться пользователя в сети; и ключи «в будущем», если они известны устройства также могут быть просочилась в то же время, используя методы, которые я описал. |
|
|
|
|
5 декабря 2014, 6:19:28 PM
|
# 19 |
|
Сообщения: 1862
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
Мне кажется, что использование multisig или Шамир будет технически намного проще, чем пытаться использовать сложные (и не очень хорошо боевые испытанные) такие вещи, как с нулевым знанием доказательства (правда, те за пределами моих нынешних технических навыков, чтобы действительно понять).
Для любой организации, которая имеет много автономного BTC, чтобы защитить Я уверен, что они всегда хотят, чтобы эти средства взаперти несколько автономных устройств, а не один в любом случае. (Так что я не совсем уверен, если проблема должна быть решена на всех - то почему это действительно необходимо) |
|
|
|
|
5 декабря 2014, 6:36:12 PM
|
# 20 |
Сообщений: 27
цитировать ответ |
Re: Идеальное Offline Кошельки Может еще теча Bitcoin Частные ключи
@gmaxwell:
Я согласен с вами, что ZK очень дорого и трудно обеспечить. С «лучшим, что я могу себе представить, до сих пор» Я хотел выразить, что я очень неудовлетворен с любым предлагаемым решением до сих пор. Обновление: Пардон, вы никогда не утверждал, что. Вы только что сказали, что только злоумышленник может расшифровать данные просочились. Тогда это разница между нашими атаками, так как мои вредоносные подписи доказуемо ничем не отличаются от обычных. |
|
|
|
Как заработать Биткоины?
Bitcoin Wallet * Portefeuille Bitcoin * Monedero Bitcoin * Carteira Bitcoin * Portafoglio Bitcoin * Bitcoin Cüzdan * 比特币钱包
bitcoin-zarabotat.ru
Почта для связи: bitcoin-zarabotat.ru@yandex.ru
3HmAQ9FkRFk6HZGuwExYxL62y7C1B9MwPW
Bitcoin Wallet * Portefeuille Bitcoin * Monedero Bitcoin * Carteira Bitcoin * Portafoglio Bitcoin * Bitcoin Cüzdan * 比特币钱包
bitcoin-zarabotat.ru
Почта для связи: bitcoin-zarabotat.ru@yandex.ru
3HmAQ9FkRFk6HZGuwExYxL62y7C1B9MwPW
Регистрация для новых участников, на данный момент не доступна. Просим извинения за временные неудобства.