Вернуться   Биткоин Форум > Разработка и Техническое Обсуждение
23 октября 2014, 12:29:08 PM   # 1
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Взлом Биткоин адресов.
500 Биткоинов взломаны в "мозговом кошельке" с паролем "bitcoin is awesome"
Адрес кошелька: 14NWDXkQwcGN1Pd9fboL8npVynD5SfyJAE
Приватный ключ: 5J64pq77XjeacCezwmAr2V1s7snvvJkuAz8sENxw7xCkikceV6e
подробнее...


Всем кто хочет заработать Биткоины без вложений - рекомендую сайт http://bitcoin-zarabotat.ru
Я разработал систему, через которую можно запросить оплату и / или оплатить с помощью Bitcoin paycode 6 символов. Я называю это Nakapay.

Я хотел бы получить на это глаза, но не уверен, если я делаю это правильно. До объявления ниже. Это та вещь, которая заслуживает BIP?

"Так что я работаю над чем-то в течение некоторого времени. Как и многие здесь, я уже давно чувствовал, что одна из основных вещей, имеющих Bitcoin назад от господствующего принятия является то, что фактические процедуры оплаты, которые мы используем в настоящее время являются слишком громоздкими, слишком чужды, и слишком сложны для обычных пользователей в первый раз, чтобы обернуть их умы вокруг.

Bitcoin в качестве платежной системы является сложным понятием, как оно есть; он не должен быть сложным в использовании.

Различные усилия пытаются решить эту проблему, но пользователи все еще ждут пользовательского интерфейса момент.

Я представляю вам Nakapay и детали можно найти на nakapay.com.

Nakapay является протоколом, который может быть использован в бумажнике Bitcoin на запрос и отправить Bitcoin без участия QR-коды, адрес электронной почты, гиперссылка, имена пользователей, пароли, Bluetooth, или конкретное местоположение. Это также кошелек агностик, то есть любой разработчик кошелек, который хочет, чтобы позволить своим пользователям использовать Nakapay могут сделать это.

Как это будет выглядеть в бумажнике?

Использование Nakapay означает один берет на себя роль либо торговца или клиента. Торговец может просто рассматриваться как объект или бумажник, который запрашивает Bitcoin; клиент является стороной, которая посылает Bitcoin.

Торговец просто использует совместимый бумажник Nakapay для создания счета-фактуры, который может быть сделан путем простого ввода количества Bitcoin продавец желает получить и ограничение по времени на фактуре. Бумажник представит paycode купец, состоящий из 6 символов с номерами 0-9 и буквами A-F. Они выглядят так, 398F22, AA90CA или 89DAA1. Торговец передает paycode сгенерированный заказчику любым способом, торговец желает.

Клиент, используя бумажник, который интегрирован Nakapay, входит в paycode в его кошельке. Его бумажник затем заполнит количество и адрес коммерсант запрашивает. Он также показывает, сколько времени клиент должен оплатить счет, прежде чем торговец может считать его недействительным. Клиент подтверждает, что все выглядит правильно и платит.

Какие процессы безопасности на месте?

Когда качки этой концепции различных разработчиков кошелька, я был встречен с озабоченностью отмечает, что такая система, в то время как удобно, небезопасна, поскольку сервер paycode может изменять счета-фактуру. Клиенты ввода paycode думая, что они платят .1 BTC их друг может непреднамеренно быть уплатив 10 BTC либо Nakapay или какой-то злоумышленник. Это, очевидно, законное беспокойство.

Есть 3 уровней защиты. Первый слой находится в пределах правил самого протокола. Путь, который генерируется paycode связано с содержанием самого счета-фактуры. Paycodes являются усеченным SHA-256 хешами, где paycode состоит из первых 6 символов хэша. Данные, хэшированный является содержанием счета: количество, адрес, имя торговца (не проверена или необходимости), метки времени выставления счета, и меток времени и время истечения срока действия. Сервер пытается фальсифицировать счета будут необходимы для создания и счета-фактуры, который генерирует paycode идентичную paycode введенного пользователем.

Во-вторых, счет-фактура, в том числе paycode, подписывается бумажнике купцами с использованием ключа принимающего адреса. Любой клиент (или купец, или кто-либо просто введя случайную paycodes для этого вопроса) получат подписанный счет и может подтвердить, что человек, который создал счет контролирует адрес внутри. Никто не может изменить фактуру без недействительности подписи. Таким образом, торговец кошелек, который генерирует счета-фактуры должны также запросить сгенерированный счет-фактуру от сервера paycode и только лечить paycode, как действительный и неизмененного, если подпись возвращается идентична подписи отправлено.

В-третьих, Nakapay не собирается запустить эксклюзивный сервер paycode. Если количество субъектов действуют отдельные серверы, бумажники, порождающие счета может представить счета-фактуры на несколько серверов paycode. Клиенты могут использовать одинаковые paycodes к нескольким серверам paycode, а также, и в идеале все серверы должны возвращать одинаковые подписи счетов-фактур. Если, например, четыре из пяти серверов возвращают одинаковые подписи (счета-фактуры должны быть идентичны), и один возвращает другую подпись, можно сделать вывод, что либо счет-фактура была подделана, сервер держит старый счет, или пользователь представил счет-фактуру только на этот сервер перед последующим пользователем отправил его счет на пять серверов. Со временем, которое paycode серверы надежны, в сговоре, мошеннические, и т.д. ... будет разузнали.

В настоящее время, если вы хотите, чтобы запустить свой собственный сервер paycode, вы можете. Если вы хотите приобрести копию моего программного обеспечения, пожалуйста, свяжитесь со мной, и мы можем попытаться выработать сделку.

Как Nakapay намерены делать деньги?

Первоначально услуга будет работать бесплатно. В какой-то момент в будущем, если услуга считается жизнеспособным, удобным и надежным, план взимать плату с пользователей для выявления принимающую адрес продавца. Плата, которую я имею в виду где-то в районе .1% до .25%, что означает, что если Nakapay получает счет на 1 BTC в адрес торговца, он показывает все, что кому-либо с помощью paycode, за исключением адреса торговца пока гонорар .0025 BTC уплачивается на адрес платы, контролируемой Nakapay. После того, как плата выплачивается, сервер показывает весь счет. Нет подтверждений не требуется для выплаты вознаграждения.

Другие серверы paycode могут свободно работать в любой системе оплаты они хотят.

Где ваша документация API?

https://mega.co.nz/#!QBImCbrC! Xly7IS49gSuhvDzi5LtobVZXEiSsC7KcHoH8B-IqKjM

Я хотел бы использовать Nakapay, но нет кошельков, которые интегрировали его. Чем могу помочь?

Если вы являетесь пользователем Bitcoin, поощрять разработчиков кошельков, купцов и услуг Bitcoin вы используете, чтобы включить Nakapay в свои системы.

Если вы являетесь разработчиком Bitcoin, особенно бумажник или оплаты разработчик процессор, работа, чтобы включить Nakapay в свой кошелек или счет-фактура услуг.
Одна вещь, чтобы иметь в виду, что так же, как Bitcoin дополняет традиционные платежные системы, я себе Nakapay, как пополняя традиционные методы заполнения бумажника Bitcoin.

Я хотел бы говорить больше об этом с вами. Как я могу связаться с вами?

michael.nakapay@gmail.com"
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees


Как заработать Биткоины?
Без вложений. Не майнинг.


23 октября 2014, 12:32:48 PM   # 2
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Получил 1806 Биткоинов
Реальная история.





Только с 6 шестнадцатеричных цифр было бы слишком просто для кого-то "мой" эквивалент "адрес" так что я не вижу, как это может работать.

IMO QR коды являются лучшим подходом далеко.
CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 12:39:20 PM   # 3
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Но то, что они не могут сделать, это мое столкновение paycode и создать идентичную подписи счета-фактуры в целом.

Кроме того, с помощью модели федеративного paycode сервера, они должны были бы переписать существующий счет на нескольких серверах одновременно для того, чтобы быть эффективным.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 12:55:43 PM   # 4
 
 
Сообщения: 672
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Только с 6 шестнадцатеричных цифр было бы слишком просто для кого-то "мой" эквивалент "адрес" так что я не вижу, как это может работать.

IMO QR коды являются лучшим подходом далеко.


Мои мысли точно. Мой 3-летний графический процессор может генерировать SHA256 хэшей со скоростью около 70М / с. 6 шестнадцатеричных цифр == 2 ^ 24 комбинаций. 70м / 2 ^ 23 (комбинации в среднем, чтобы найти столкновение) составляет около 0,1 секунды времени, чтобы фальсифицировать paycode.

Подпись, кажется, не помогает, либо. Это лишь доказывает, что счет-фактура подписан кем-то. Конечно, если сервер paycode были поддельные счета-фактуры, они создают совершенно правильную подпись, подписанную собой.

Может быть, если счет-фактура и paycode и покрыли точно такой же набор данных, такая атака будет сложнее, но на первый взгляд это не кажется очень безопасным от MITM.
btchris сейчас офлайн Пожаловаться на btchris   Ответить с цитированием Мультицитирование сообщения от btchris Быстрый ответ на сообщение btchris

23 октября 2014, 12:56:32 PM   # 5
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Вопрос будет MITM атаки.

Вы собираетесь должны полагаться на систему CA и OpenSSL (и вы, возможно, заметили различные серьезные проблемы с этим в последние месяцы).
CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 12:58:22 PM   # 6
 
 
Сообщения: 672
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Кроме того, с помощью модели федеративного paycode сервера, они должны были бы переписать существующий счет на нескольких серверах одновременно для того, чтобы быть эффективным.

Злоумышленнику потребуется только DOS других серверов таким образом, что сервер злоумышленника это единственный работающий сервер, который остается (это похоже на то, что может случиться с клиентами Электрума, которые не делают полный SPV, клиент Электрум действительно делает полный SPV, но есть по крайней мере один клиент я знаю, что использует серверы Электрум, но не делает SPV).
btchris сейчас офлайн Пожаловаться на btchris   Ответить с цитированием Мультицитирование сообщения от btchris Быстрый ответ на сообщение btchris

23 октября 2014, 1:07:48 PM   # 7
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Только с 6 шестнадцатеричных цифр было бы слишком просто для кого-то "мой" эквивалент "адрес" так что я не вижу, как это может работать.

IMO QR коды являются лучшим подходом далеко.


Мои мысли точно. Мой 3-летний графический процессор может генерировать SHA256 хэшей со скоростью около 70М / с. 6 шестнадцатеричных цифр == 2 ^ 24 комбинаций. 70м / 2 ^ 23 (комбинации в среднем, чтобы найти столкновение) составляет около 0,1 секунды времени, чтобы фальсифицировать paycode.

Подпись, кажется, не помогает, либо. Это лишь доказывает, что счет-фактура подписан кем-то. Конечно, если сервер paycode были поддельные счета-фактуры, они создают совершенно правильную подпись, подписанную собой.

Может быть, если счет-фактура и paycode и покрыли точно такой же набор данных, такая атака будет сложнее, но на первый взгляд это не кажется очень безопасным от MITM.

Это делает на самом деле. Сама paycode является производной от содержания счета-фактуры и генерируется сам торговцем. Paycode затем вводит в тело счета-фактуры и все, что подписано с использованием получающего адреса продавца.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 1:10:40 PM   # 8
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Кроме того, с помощью модели федеративного paycode сервера, они должны были бы переписать существующий счет на нескольких серверах одновременно для того, чтобы быть эффективным.

Злоумышленнику потребуется только DOS других серверов таким образом, что сервер злоумышленника это единственный работающий сервер, который остается (это похоже на то, что может случиться с клиентами Электрума, которые не делают полный SPV, клиент Электрум действительно делает полный SPV, но есть по крайней мере один клиент я знаю, что использует серверы Электрум, но не делает SPV).

Это интересно, но она может быть легко написана в логику плательщика бумажника, что если такое случится, никто не получает зарплату. Например, предположим, что есть 5 серверов paycode работает. Если 4 нечувствительны и один остается - бумажник будет знать, что что-то неладно, и бумажник просто не позволяет какой-либо оплаты с помощью этого метода на всех.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 1:15:12 PM   # 9
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Опять вы не обрабатываете MITM атаки.

Клиент может * думает * они имеют 4 действительных серверов - но они могут быть на самом деле все будет MITM атака.

Как вы * проверить * сервера?

CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 1:24:54 PM   # 10
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Бумажник определяет, какие paycode серверы, из которых можно вытащить счетов-фактур. Если 4 сервера изменяют содержимое счетов-фактур, есть 2 возможности. Либо все подписи совпадают, это означает, что все они нападают таким же образом, в то же время одним и тем же человеком ... или подписи все разные, и в этом случае никто не заплатили, потому что ни один разработчик бумажника не будет писать его приложение в таким образом, что, когда paycode посылается, и 5 различных подписей получены, выбирается случайный один.

Кроме того, хороший разработчик бумажника будет требователен, какие сервера он использует. Таким образом, вместо того, чтобы использовать сервер Nakapay, плюс 4 других неизвестного происхождения, он использует 5 серверов, которые слабо считать заслуживающим доверия.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 1:27:38 PM   # 11
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Опять же - я не думаю, что вы * * остановились векторы атаки, но я желаю вам удачи с этим.

Мое личное мнение заключается в том, что вы должны рассмотреть "хитрость" и как это может быть в состоянии использовать с вашей идеей.
CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 1:33:03 PM   # 12
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Просто быстрый вопрос - предположим, что сам сервер также подписал счет-фактуру. Поэтому, когда вы вводите код, ваш кошелек представлен не только с подписью купца, но и подписью сервера paycode на основе известного, статический, получающий адрес. Будет ли такая вещь остановить нападение?

Теперь любое олицетворение Nakapay, например, необходимо будет также контролировать общеизвестный Nakapay адрес.

То же самое со всеми другими серверами paycode. Таким образом, подписи счета-фактуры, полученные от торговцев, все возвращаются одинаково, но сервер подпись paycode все должна соответствовать их соответствующим приемным адресам.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 1:39:10 PM   # 13
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Но опять-таки * как вы обеспечить это *?

Я думаю, с помощью HTTPS и системы СА (как еще?).

Там было много недавних нападений, сделанных на HTTPS и системы СА, так что я бы очень осторожно о повышении уровня безопасности его.

CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 1:49:46 PM   # 14
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Ну SSL это дано, но с системой подписи я предлагаю, я не уверен, что это даже необходимо.

Цель состоит в том, чтобы знать, что конкретный paycode соответствует конкретной фактуре И что счет не был изменен. Если несколько серверов возвращаются одинаковые торговые подписи, и все они возвращаются действительные подписи сервера, не кажется ли сертификат действителен до значения. Так что если вы используете сервер, вы бы просто опубликовать принимающий адрес и подписать все действительные счета-фактуру с ним. Любой человек с возможностью имитировать свою подпись также контролирует ваш кошелек.

Даже это, предполагая, что используются несколько серверов, не достаточно, чтобы отвлечь платеж - они должны сделать это на другие сервера, а также убедить бумажники, что такие счета-фактуры являются законными.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 1:58:15 PM   # 15
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Но как клиент * получить действительные подписи * серверов в первую очередь?

(Это вектор атаки, скорее всего, будет использоваться)
CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 2:12:36 PM   # 16
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Подпись не публикуется, а принимающий адрес, который всегда используется этим конкретным сервером. Все это передается через POST в моем API.

Так, например, давайте предположим, что счет-фактура выглядит следующим образом ...

1BsxY5CntmGxhiG6oRoWMQH46NJGzFbhdm
CIYAM
1BTC
24 часа
123abc
HIqMau / YWyWnWDqdtCwDvpKgNg3esXRij6C8bYoSqjrN7bAvUJRsK0epASyzug65ilC3CTMfrDX7M9fznWLbLM0 =
HPCymODWJcKkiM351czoB6uBIaKHMHueKpO2uGbvCAtjTBdD1F0yJ0 / PWHMMNh / H7gIkUjsmuLLC6ZB4aTHmCLM =

Есть две подписи. Первые строки 1-5, подписанные 1BsxY5CntmGxhiG6oRoWMQH46NJGzFbhdm, которые могли бы быть вашим получающее адрес в приведенном выше примере. Во-вторых, линии 1-6, подписанные известными адреса принимающей Nakapay, что закодирована в кошельках, которые тянут счета-фактуры от Nakapay.

Вы можете убедиться, что 1MDwHwniq6qnbieBhhU1kZbgZuhoajc7MD подписал.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

23 октября 2014, 2:36:16 PM   # 17
 
 
Сообщения: 1862
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Хорошо - хорошо, что делает немного больше смысла.

У меня нет времени, чтобы смотреть на него более сейчас, но надеюсь, что я помог, по крайней мере позволит вам объяснить вашу систему немного лучше.
CIYAM сейчас офлайн Пожаловаться на CIYAM   Ответить с цитированием Мультицитирование сообщения от CIYAM Быстрый ответ на сообщение CIYAM

23 октября 2014, 3:14:35 PM   # 18
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Нет проблем. Как я уже говорил, я даже не думаю, что вторая подпись надо ... но то, что я узнал, качки в том, что разработчики осторожничают в крайности, так что, если вторая подпись должна быть частью протокола, прежде чем они будет интегрировать его, то это то, что должно быть сделано.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

26 октября 2014, 6:50:48 PM   # 19
 
 
Сообщения: 629
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Сталкиваясь для более подробного обсуждения.
michaelmclees сейчас офлайн Пожаловаться на michaelmclees   Ответить с цитированием Мультицитирование сообщения от michaelmclees Быстрый ответ на сообщение michaelmclees

29 октября 2014, 1:05:12 AM   # 20
 
 
Сообщения: 252
Цитировать по имени
цитировать ответ
по умолчанию Re: Nakapay - Ищу обратной связи и обсуждения

Не могли бы вы, возможно, проиллюстрировать вашу идею графически или с картинками, а не текстовое описание на основе?

Может помочь мне получить мою голову вокруг него.
NanoAkron сейчас офлайн Пожаловаться на NanoAkron   Ответить с цитированием Мультицитирование сообщения от NanoAkron Быстрый ответ на сообщение NanoAkron



Как заработать Биткоины?

Bitcoin Wallet * Portefeuille Bitcoin * Monedero Bitcoin * Carteira Bitcoin * Portafoglio Bitcoin * Bitcoin Cüzdan * 比特币钱包

bitcoin-zarabotat.ru
Почта для связи: bitcoin-zarabotat.ru@yandex.ru

3HmAQ9FkRFk6HZGuwExYxL62y7C1B9MwPW