Дуглас Stebila и я недавно опубликовал новую статью о иерархических детерминированных кошельков:
http://eprint.iacr.org/2014/998
(Для того, чтобы появиться в финансовой криптографии 2015.)
Пользовательские резюме для bitcointalk.org
В виде наблюдается Виталиком и многие другие, можно восстановить мастер закрытого ключа в BIP32 совместимом бумажнике из открытого ключа матеры и любого (не затвердевший) ребенок закрытого ключа. Из того, что я понимаю, многие люди думают, что эта уязвимость является неизбежной. Тем не менее, мы придумали HD бумажник, который является безопасным, даже если до м-1 ребенок закрытые ключи просочились в стоимости хранения м мастер открытых ключей, при любом выборе м.
Как это работает:
Вместо того, чтобы один мастер приватный и открытый ключ у нас есть м мастер закрытых ключей д1,...,dм и открытые ключи Q1,...,Qм. (Секретные ключи мастера может быть получены детерминированы, так что нет никакой необходимости хранить все м из них, но мастер открытые ключи должны храниться в явном виде). В яй ребенок открытый ключ является линейной комбинацией Qя где коэффициенты определяются хэш я (Возможно, сцепляются с некоторыми семенами, которые могут или не могут включать в себя бумажник конкретной информации, такие как Qя.) яго ребенка закрытый ключ выводится аналогично из дя.
Безопасность:
Любой, кто может восстановить все м из основных частных ключей --- даже со знанием до м-1 мастер или ребенок закрытые ключи --- могут также решить так называемый "еще один" дискретная задача журнала. Поскольку эта проблема считается неразрешимой, поэтому тоже должна быть задача разорвать наш кошелек. Смотрите статью для получения дополнительной информации и предостережений.
На интуитивном уровне, противник, который узнает любой один мастер или ребенка закрытый ключ узнал только линейную комбинацию м мастер закрытых ключей, что уменьшает размерность пространства всех возможных основных частных комбинаций клавиш не более чем на один, и так м такие ключи необходимы, чтобы сломать бумажник.
Выпадать:
Следует признать, что это не поразительное открытие. Но она позволяет комбинированную казначей-аудитор случай использования, что невозможно с BIP32 кошельков:
аудитор: Компания может раскрыть свой главный ключ общественности к аудиторам или регуляторов, тем самым позволяя чрезвычайно детального надзора с почти незначительными накладными расходами.
Казначей: Казначей крупной компании может создать пары ключей ребенка для каждого отдела внутри компании, позволяя каждое завкафедрой контролировать свой бюджет без предоставления ему / ей доступа к денежным средствам, выделяемых на другие отделы.
С BIP32 бумажники, сговор между аудитором и руководителем отдела может бежать со всех средств компании. Наш новый HD бумажник устраняет эту уязвимость при условии, что числа м мастер-ключей превышает число T отделов в компании.
Спасибо за внимание. Приветствия.
-Гас Gutoski
|
|
||||||
6 января 2015, 8:09:45 PM
|
# 1 |
Сообщения: 6
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Взлом Биткоин адресов.
500 Биткоинов взломаны в "мозговом кошельке" с паролем "bitcoin is awesome" Адрес кошелька: 14NWDXkQwcGN1Pd9fboL8npVynD5SfyJAE Приватный ключ: 5J64pq77XjeacCezwmAr2V1s7snvvJkuAz8sENxw7xCkikceV6e подробнее... Всем кто хочет заработать Биткоины без вложений - рекомендую сайт http://bitcoin-zarabotat.ru |
|
|
|
Как заработать Биткоины?
Без вложений. Не майнинг.
|
7 января 2015, 12:16:29 AM
|
# 2 |
|
Сообщения: 2366
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Получил 1806 Биткоинов
Реальная история. Как отмечает Виталиком и многие другие Это явно называется в спецификации, не folkore или откровения. котировка можно восстановить мастер закрытого ключа в BIP32 совместимом бумажнике из открытого ключа матеры и любого (не затвердевший) ребенок закрытого ключа. Из того, что я понимаю, многие люди думают, что эта уязвимость является неизбежной. Тем не менее, мы придумали HD бумажник, который является безопасным, даже если до м-1 ребенок закрытые ключи просочились в стоимости хранения м мастер открытых ключей, при любом выборе м. Очень интересное наблюдение! Хотя это, возможно, более хрупкие в каком-то смысле, что вы можете думать, что может выпустить закрытый ключ надежно, но на самом деле вы не можете, потому что если вы утечку слишком много вы сломаны. Это трудно написать программу, которая будет действовать только небольшое ненулевое число раз, например, он падает и забывает, что он уже выполнил одно раскрытие, конечно, пользователь не может рассчитывать на то, помню такие вещи. Так что я думаю, что это будет явное улучшение и вполне может быть стоит увеличение результирующего мастер открытого ключа размером только для дополнительной надежности, я не знаю, что на практике это будет безопасно разрешить намеренного использовать. Ваш аргумент безопасности лежит на 1MDLP, но мы на самом деле использовать эти ключи в контексте ECDSA. Неспособность решить DLP (или 1MDLP) не доказуемо приводят к безопасности ECDSA и ECDSA показывает другую (случайное) линейное соотношение с ключами в вопросе; это спрятать, что это может подорвать безопасность схемы. Например, представьте себе, если одноразовое значение было секретируют но постоянным. Экспромтом, я не вижу причин, что является проблематичным для безопасности вашего строительства. Хотя в излишней осторожности мы специально построили BIP32, чтобы избежать постоянной любой линейной связи из беспокойства потенциальных взаимодействий с ECDSA, которые мы не смогли доказать, не существует. |
|
|
|
|
7 января 2015, 12:17:25 AM
|
# 3 |
|
Сообщения: 478
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Схожее предложение Будет ли ваш метод быть поставлена под угрозу, если только, скажем, м / 0/0 и т / 1/0 частные ключи были известны? Возможно, одна утечка методология ключа защищена бы хорошо, если бы мы могли отделить каждый используемый ключ ниже его собственного пути (не разделяя же прямой родитель с каким-либо другим сгенерированным ключом) |
|
|
|
|
7 января 2015, 11:42:10 AM
|
# 4 |
|
Сообщения: 111
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Я немного запутались в своей работе, в описании вашего кошелька, потому что d используется для представления основных закрытых ключей и дочерние закрытых ключей.
Я не могу понять, если это новый HD бумажник или просто много старых HD кошельков, которые каждый в отдельности, быть подвержены тем же атакам, которые вы пытаетесь избежать? EDIT извините, у меня плохое зрение, я пропустил шляпу на верхней части письма, я буду читать его снова и посмотреть, если я могу понять |
|
|
|
|
7 января 2015, 6:08:52 PM
|
# 5 |
|
Сообщения: 1260
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Отличная идея! Люди спрашивают о таком роде
вещи в прошлом. Потребительный случай действительно важен для будущего Bitcoin. |
|
|
|
|
7 января 2015, 6:22:32 PM
|
# 6 |
|
Сообщения: 2366
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Отличная идея! Люди спрашивают о таком роде Можете ли вы помочь мне понять, как это было бы полезно на практике? Количество переносимой утечки линейно по размеру scriptpubkey. Просто давая партия случайный адрес также достигает этого. Используя гомоморфный вывод является привлекательным для случаев, когда линейный размер не является приемлемым. вещи в прошлом. Потребительный случай действительно важен для будущего Bitcoin. |
|
|
|
|
7 января 2015, 7:40:35 PM
|
# 7 |
|
Сообщения: 1260
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Отличная идея! Люди спрашивают о таком роде Можете ли вы помочь мне понять, как это было бы полезно на практике? Количество переносимой утечки линейно по размеру scriptpubkey. Просто давая партия случайный адрес также достигает этого. Используя гомоморфный вывод является привлекательным для случаев, когда линейный размер не является приемлемым. вещи в прошлом. Потребительный случай действительно важен для будущего Bitcoin. Очевидно, что случаи использования, представленные в документе, являются убедительными. Я не полностью понимаю ваш вопрос в связи с отсутствием технической экспертизы, но это звучит как Вы говорите, что утечка все равно будет слишком большой чтобы быть практичным? В документе говорится: котировка В частности, организация с т отделы безопасности от сговора между Аудитор и все руководители отделов, если он использует наш HD бумажник с параметром м > T Мое понимание было то, что было до сих пор, нулевой допуск какой-либо утечка закрытых ключей в HD. Если это неправильным или лучшие способы сделать это, просьба уточнить. |
|
|
|
|
7 января 2015, 10:19:15 PM
|
# 8 |
|
Сообщения: 1218
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Мое понимание было то, что было до сих пор, нулевой допуск какой-либо утечка закрытых ключей в HD. Если это неправильным или лучшие способы сделать это, просьба уточнить. Это не является правильным во всех сценариях. Закрытые ключи могут быть либо закаленные или нормально. Закаленные закрытые ключи не могут просочиться родительским ключом. Даже при незакаленных закрытых ключей утечка только ключа недостаточно, чтобы просочиться родителя, а также. Вы должны просачиваться дочерний секретный ключ и открытый ключ родительского скомпрометировать закрытого ключа родительского. |
|
|
|
|
7 января 2015, 10:32:06 PM
|
# 9 |
|
Сообщения: 1260
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
привет DT!
Да, я знал об этом; Я прочитал бумагу и это представляется уместным: котировка К сожалению, эти закаленные ключи не хватают мастеру общественной собственности ключа: их открытые ключи не могут быть получены из открытого ключа мастера. |
|
|
|
|
7 января 2015, 10:43:50 PM
|
# 10 |
|
Сообщения: 1218
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
котировка К сожалению, эти закаленные ключи не хватают мастеру общественной собственности ключа: их открытые ключи не могут быть получены из открытого ключа мастера. Это не так велико, из ограничения, как вы могли бы думать, по крайней мере, не в большинстве случаев. Закаленные ключи используются для производства основных "ветви" а затем незакаленных ключи используются для лаврового листа. Там не много сценариев, где бы поставить под угрозой лишь несколько, но не слишком много ключей листьев и также не ставит под угрозу ключа родителя (филиал) в то же время. Еще О.П. интересная академическая концепция, но я согласен с gmaxwell в том, что сценарии, в которых было бы обеспечить дополнительную безопасность ограничено. |
|
|
|
|
7 января 2015, 11:02:04 PM
|
# 11 |
|
Сообщения: 1260
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Спасибо за объяснение ... Я понимаю и согласен.
Я поторопился и думал, что это будет защиты намного больше утечек. Мой первоначальный комментарий имел в виду тот факт, что у людей есть выразили желание более высокой безопасности, когда разделяя общий ключ для целей аудита. |
|
|
|
|
8 января 2015, 12:17:22 AM
|
# 12 |
|
Сообщения: 478
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Вопрос:
Если одна утечка может быть допущено, почему бы не просто указать, что конечная ветвь должна использовать только 0, как это индекс. Таким образом, нет двух ключей одного и того же прямого родителя не всегда генерируется. Ex. В настоящее время, поколение бумажник работает как: м / 0' / 0/0 м / 0' / 0/1 м / 0' / 0/2 м / 0' / 1/0 м / 0' / 1/1 м / 0' / 1/2 Но если мы можем терпеть одну утечку за прямой материнской утечки, поэтому не ?: м / 0/0/0/0 м / 0/0/1/0 м / 0/0/2/0 м / 0/1/0/0 м / 0/1/1/0 м / 0/1/2/0 Как может кто-то с М сговариваются с кем-либо с двумя секретными ключами, если все частные ключи отдельных прямых родителей? |
|
|
|
|
8 января 2015, 12:31:23 AM
|
# 13 |
|
Сообщения: 1260
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
если они могут подвергнуть закрытый ключ «Гроссмейстер», то они могли?
|
|
|
|
|
8 января 2015, 3:14:45 AM
|
# 14 |
|
Сообщения: 6
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Спасибо всем за комментарии. Это здорово, чтобы получить такую обратную связь высокого качества, так быстро! Это проще для меня, чтобы получить возможность отправлять отклики на один раз. Вот оно.
Хотя это, возможно, более хрупкие в каком-то смысле, что вы можете думать, что может выпустить закрытый ключ надежно, но на самом деле вы не можете, потому что если вы утечку слишком много вы сломаны. Это трудно написать программу, которая будет действовать только небольшое ненулевое число раз, например, он падает и забывает, что он уже выполнил одно раскрытие, конечно, пользователь не может рассчитывать на то, помню такие вещи. Так что я думаю, что это будет явное улучшение и вполне может быть стоит увеличение результирующего мастер открытого ключа размером только для дополнительной надежности, я не знаю, что на практике это будет безопасно разрешить намеренного использовать. Я, конечно, согласен, что
Не забывайте, что там может быть и другими виды использования этого кошелька в стороне от отказоустойчивости (который по общему признанию, не убийца приложение). Казначей-аудитор один, но я не мог думать ни о каких других. Я отвечу на вторую часть Вашего комментария позже. Приветствия. |
|
|
|
|
8 января 2015, 3:54:56 AM
|
# 15 |
|
Сообщения: 6
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Если одна утечка может быть допущено, почему бы не просто указать, что конечная ветвь должна использовать только 0, как это индекс. Таким образом, нет двух ключей одного и того же прямого родителя не всегда генерируется. Короткий ответ: Каждый ключ, независимо от того, где в иерархии, в конечном счете является линейной комбинацией м мастер-ключи. Таким образом, в общей сложности м ключи, собранные из любого места в иерархии достаточно, чтобы сломать бумажник. Менее короткий ответ: Мы даже не удосужились явным образом определить, как один генерирует дочерние ключи за пределами первого уровня. Один простой способ сделать это состоит в следующем. (м перегружена; позволять N быть количество мастер-ключей). Первый N дочерние ключи м / 0 через м / п-1 обозначены как "мастер" ключи для м /"0", Последующее N дочерние ключи м / п через м / 2n-1 находятся "мастер" ключи для м /"1" и так далее рекурсивно. Так, например, м /"0"/ 0 и м /"1"/ 0 являются линейными комбинациями оригинала N мастер-ключи г1,...,dN. |
|
|
|
|
8 января 2015, 4:58:33 AM
|
# 16 |
|
Сообщения: 478
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Если одна утечка может быть допущено, почему бы не просто указать, что конечная ветвь должна использовать только 0, как это индекс. Таким образом, нет двух ключей одного и того же прямого родителя не всегда генерируется. Короткий ответ: Каждый ключ, независимо от того, где в иерархии, в конечном счете является линейной комбинацией м мастер-ключи. Таким образом, в общей сложности м ключи, собранные из любого места в иерархии достаточно, чтобы сломать бумажник. Менее короткий ответ: Мы даже не удосужились явным образом определить, как один генерирует дочерние ключи за пределами первого уровня. Один простой способ сделать это состоит в следующем. (м перегружена; позволять N быть количество мастер-ключей). Первый N дочерние ключи м / 0 через м / п-1 обозначены как "мастер" ключи для м /"0", Последующее N дочерние ключи м / п через м / 2n-1 находятся "мастер" ключи для м /"1" и так далее рекурсивно. Так, например, м /"0"/ 0 и м /"1"/ 0 являются линейными комбинациями оригинала N мастер-ключи г1,...,dN. Читали ли вы нить я связан? Методология генерации написано там. |
|
|
|
|
8 января 2015, 5:02:28 AM
|
# 17 |
|
Сообщения: 478
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Если одна утечка может быть допущено, почему бы не просто указать, что конечная ветвь должна использовать только 0, как это индекс. Таким образом, нет двух ключей одного и того же прямого родителя не всегда генерируется. Короткий ответ: Каждый ключ, независимо от того, где в иерархии, в конечном счете является линейной комбинацией м мастер-ключи. Таким образом, в общей сложности м ключи, собранные из любого места в иерархии достаточно, чтобы сломать бумажник. Менее короткий ответ: Мы даже не удосужились явным образом определить, как один генерирует дочерние ключи за пределами первого уровня. Один простой способ сделать это состоит в следующем. (м перегружена; позволять N быть количество мастер-ключей). Первый N дочерние ключи м / 0 через м / п-1 обозначены как "мастер" ключи для м /"0", Последующее N дочерние ключи м / п через м / 2n-1 находятся "мастер" ключи для м /"1" и так далее рекурсивно. Так, например, м /"0"/ 0 и м /"1"/ 0 являются линейными комбинациями оригинала N мастер-ключи г1,...,dN. ТЛ; др вы даете ревизор A и R, но и вы даете только один ключ на одно отделение для каждого отдела. м / 0/0/0 переходит в DEPT A м / 0/1/0 переходит в DEPT B м / 0/2/0 переходит в DEPT C так что никто на ветвях не знает закрытые ключи, а м / 0 / х / у не известно, где х находится в диапазоне [0, 2], и у больше 0. Если я аудитор, и я хочу провести аудит DEPT C: Шаг1: Выведите первый уровень s0 = Н (0, А) t0 = Н (0, R), A0 = s0 * A R0 = t0 + R Х0 = А0 + R0 Шаг2: Выведите второй уровень s0,2 = Н (2, А0) t0,2 = Н (2, R 0) = ± 0,2 s0,2 * A0 R0,2 = t0,2 * R0 X0,2 = ± 0,2 + R0,2 Шаг 3: Выведите третий уровень s0,2,0 = Н (0, ± 0,2) t0,2,0 = Н (0, R0,2) A0,2,0 = s0,2,0 * ± 0,2 R0,2,0 = t0,2,0 * R0,2 X0,2,0 = A0,2,0 + R0,2,0 Так A0,2,0 с R0,2,0 будет MPK DEPT C использовали для генерации ключей под ним. Кроме того, аудитор может генерировать слишком ... но зная, R, A0,2,0, R0,2,0, a0,2,0 и r0,2,0 не должны позволять, чтобы решить нарушителей, для r0,2 , ± 0,2, а или г ... по крайней мере, я так думаю ... Это то, что мне интересно, ... Пока прямые родители с несколькими (фактически используется) дети никогда не происходит, это должно быть хорошо ... Я думаю. |
|
|
|
|
8 января 2015, 8:09:59 AM
|
# 18 |
|
Сообщений: 84
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
просто подождать и посмотреть БКИ потока двигается вверх и down..with чашки частных ключей: р
|
|
|
|
|
8 января 2015, 4:50:48 PM
|
# 19 |
|
Сообщения: 111
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
хорошо я положил некоторые очки для чтения на но я все еще пытаюсь понять несколько вещей
котировка В дальнейшем хэш хэш-функция (я, с) 7 → (α1,..., Аш) производит м-набор целых чисел по модулю р Я скопировать и вставить выше из раздела 4 документа, но некоторые из символов изменились, так что вы, возможно, придется обратиться к оригинальной работе Во всяком случае, я не очень понимаю, как именно происходит это м-кортеж, кто-то может выписать явный пример Менее короткий ответ: Мы даже не удосужились явным образом определить, как один генерирует дочерние ключи за пределами первого уровня. Это является основной частью кошелька, поэтому он должен быть очень важно, чтобы определить его. котировка Один простой способ сделать это состоит в следующем. (м перегружена; позволять N быть количество мастер-ключей). Первый N дочерние ключи м / 0 через м / п-1 обозначены как "мастер" ключи для м /"0", Последующее N дочерние ключи м / п через м / 2n-1 находятся "мастер" ключи для м /"1" и так далее рекурсивно. Так, например, м /"0"/ 0 и м /"1"/ 0 являются линейными комбинациями оригинала N мастер-ключи г1,...,dN. Как вы можете дать кому-то в отделе свой собственный набор мастер-ключей, так что они могут получить свои собственные ключи, не давая им возможность получать фактические отмычки? В вашем примере выше есть N мастер-ключи и вы используете первый N дочерние ключи в качестве "мастер" ключи для м /"0", Так что если вы даете кому-то мастер-ключи к т /"0" то вы фактически давая им возможность решить для фактических отмычек. Я не понимаю, как вы это обойти. Конечно, это может быть глупые вопросы, потому что я не в полной мере понять вашу систему, но любая помощь в понимании это ценится. |
|
|
|
|
8 января 2015, 6:13:50 PM
|
# 20 |
|
Сообщения: 6
цитировать ответ |
Re: HD бумажника, который допускает утечку некоторых закрытых ключей детей
Как вы можете дать кому-то в отделе свой собственный набор мастер-ключей, так что они могут получить свои собственные ключи, не давая им возможность получать фактические отмычки? Ты прав. Это было ошибкой с моей стороны. Извини за это. (К сожалению, любой, кто когда-либо читает эту тему навсегда после того, как в настоящее время необходимо, чтобы пролистать этот кусок глупости. Вот в чем проблема с форумами. Grr ...) То, что я сказал, работает, если вы обнаруживаете только общественности ключи для M /"0", М /"1"И т.д., но не частные ключи м /"0", М /"1", Если вы хотите иерархию многоуровневой в использовании казначея случае (в котором все в корпоративной лестнице получает закрытый ключ) с этим кошельком, то я вижу два варианта:
|
|
|
|
Как заработать Биткоины?
Bitcoin Wallet * Portefeuille Bitcoin * Monedero Bitcoin * Carteira Bitcoin * Portafoglio Bitcoin * Bitcoin Cüzdan * 比特币钱包
bitcoin-zarabotat.ru
Почта для связи: bitcoin-zarabotat.ru@yandex.ru
3HmAQ9FkRFk6HZGuwExYxL62y7C1B9MwPW
Bitcoin Wallet * Portefeuille Bitcoin * Monedero Bitcoin * Carteira Bitcoin * Portafoglio Bitcoin * Bitcoin Cüzdan * 比特币钱包
bitcoin-zarabotat.ru
Почта для связи: bitcoin-zarabotat.ru@yandex.ru
3HmAQ9FkRFk6HZGuwExYxL62y7C1B9MwPW
Регистрация для новых участников, на данный момент не доступна. Просим извинения за временные неудобства.