Чем опасна потеря приватного закрытого ключа криптокошелька выберите один ответ

Что такое приватный ключ?

Приватный (закрытый) ключ по своей сути является сложной криптографической формой. Он позволяет пользователю получить доступ к своей криптовалюте. Закрытый ключ является неотъемлемой частью криптовалюты Bitcoin и остальных альткоинов. Благодаря ему, владелец криптовалютного кошелька защищен от потерь и несанкционированного доступа к своим средствам.

При работе с криптовалютами пользователь получает публичный адрес и приватный ключ для транзакций криптовалют или токенов. На публичном адресе владельца криптокошелька находятся полученные им средства, с которого он также может их отправить любому другому пользователю. Но даже если у пользователя есть токены, полученные на его адрес, он не сможет их использовать без уникального приватного ключа. Публичный (открытый) ключ создается из приватного ключа с помощью сложного математического алгоритма. Обратный процесс, создания приватного (закрытого) ключа из публичного практически невозможен.

Приватный ключ может принимать несколько различных форм, но зачастую выглядит, как последовательность буквенно-цифровых символов. Такой подход затрудняет взлом криптовалютного кошелька хакерами. Важно хранить приватный ключ в безопасности, иначе доступ в ваш криптокошелек может быть скомпрометирован.

Кошелек пользователя хранит закрытый ключ. Когда в нем создается транзакция, программное обеспечение кошелька создает цифровую подпись, обрабатывая транзакцию с использованием закрытого ключа. Данный алгоритм защищает систему, поскольку единственным способом генерации значения цифровой подписи для любой перевода является использование приватного ключа. Подпись используется для подтверждения транзакции. Иными словами она гарантирует, что после совершения транзакции она не может быть отменена, а средства получены от конкретного пользователя. Если в транзакции произойдут изменения, то подпись к этой транзакции также изменится.

При потере пользователем приватного ключа от своего кошелька, доступ к нему для совершения транзакций будет безвозвратно потерян. Поэтому к безопасному хранению приватного ключа необходимо подойти максимально ответственно. Для сохранности закрытого ключа есть несколько проверенных и надежных способов.

Такие способы хранения приватных ключей называют холодными хранилищами, поскольку ключи хранятся без интернет-доступа с к ним. Есть еще так называемые горячие криптовалютные кошельки, они хранят закрытые ключи на устройствах или системах, подключенных к всемирной паутине.

Источник

Безопасны ли аппаратные криптокошельки? Уязвимости и меры предосторожности

Устранить уязвимость будет сложно — производитель должен изменить кошелек на аппаратном уровне. Проблема присуща не только KeepKey, но и другим криптокошелькам. Mining-Cryptocurrency.ru разобрался в выводах экспертов и в том, о каких других уязвимостях аппаратных кошельков стоит знать держателям криптовалют?

Навигация по материалу:

Суть атаки: используя атаку «сбой напряжения» (voltage glitching), мошенник может получить зашифрованную seed-фразу (набор из случайно сгенерированных слов, с помощью которого можно восстановить доступ к кошельку), а вместе с тем и доступ к средствам.

После этого кошелек открывает доступ к seed-фразе, требуя ввести девятизначный PIN-код. Он легко подбирается с помощью метода «полного перебора». Все — доступ к средствам есть. Весь процесс занимает 15 минут. Если вы технически подкованы, прочитайте подробный отчет экспертов Kraken Security Labs о процессе и результатах взлома кошелька.

Уязвимость характерна для каждого кошелька KeepKey в обращении. Эксперты Kraken Security Labs отметили, что производителю будет трудно оперативно устранить уязвимость простым обновлением — к сожалению, невосприимчивая к сбоям прошивка не появилась. Проблема присуща микроконтроллерам, а для ее решения необходимо аппаратное обновление устройства.

Разработчики KeepKey знают об проблеме

Кошельки KeepKey продает криптобиржа ShapeShift, купившая производителя в 2017 году. Еще в апреле 2019 года «этичному хакеру» Сергею Волокитину удалось взломать кошелек и установить на него собственное программное обеспечение, вызвав сбой напряжения.

Компания знает об уязвимости, но полагает, что надежно справляется со своей основной задачей — защитить ключи пользователя от удаленных атак. Представители ShapeShift считают, что вероятность потери средств минимальна. Злоумышленник должен получить кошелек, а также обладать специализированными знаниями, навыками и опытом в области проектирования оборудования, разработки программного обеспечения и программой для взлома PIN-кода.

«Если кто-то посторонний получает физический доступ к вашему устройству, а также располагает необходимым временем, навыками и инструментами, он всегда сможет сделать с устройством все, что захочет, минуя любой существующий цифровой замок, — писала компания в июне.

Опять же, это касается любого аппаратного кошелька».

Производитель обещал сделать прошивку менее восприимчивой к атаке сбоя напряжения. Но, как видим, полностью устранить уязвимость не вышло.

Уязвимости кошельков Ledger

Основные производители аппаратных кошельков — это Ledger, Trezor, KeepKey, Digital BitBox, Coinkite, BitLox, CoolWallet и CryoBit. Каждый из производителей топовых аппаратных криптокошельков обещает обеспечить наивысший уровень защиты средств. Однако «этичные хакеры» и эксперты по кибербезопасности находили способ взломать каждый из них.

Устройства Trezor и Ledger — самые популярные на рынке. С точки зрения аппаратного и микропрограммного обеспечения, KeepKey очень похож на Model T от Trezor. Единственные существенные различия можно найти в корпусе, дизайне и архитектуре, а также в программном обеспечении.

В декабре 2018 года ряд уязвимостей устройств Trezor и Ledger обнаружили эксперты компании Wallet.fail. Проблемы были в программном и аппаратном обеспечении, прошивке и веб-интерфейсе. Взлом кошельков эксперты продемонстрировали публично на 35-й ежегодной конференции Chaos Communication Congress. Исследователи отметили, что кошельки демонстрируют системные и повторяющиеся проблемы. Избавиться от части из них можно, заменив микроконтроллеры или обновив прошивку.

Кошельки Ledger и Trezor устроены по-разному. В первых используются два микроконтроллера: специальный криптографический Secure Element и универсальный, управляющий внешним подключением и подтверждающий транзакции. Взломать криптографический чип сложно, а вот универсальный — нет.

Вот что сделали исследователи во время демонстрации:

В ответ представители Ledger заявили, что выводы экспертов интересны, но продемонстрированные атаки сложно осуществить на практике: все они требуют физического доступа к устройству.

Уязвимости кошельков Trezor

Уязвимости Trezor обсуждаются еще с 2017 года, проблемы безопасности устройства находил также «этичный хакер»-подросток Салим Рашид. Компания устранила все дыры в течение нескольких дней. Рашид также выявил уязвимости в устройствах Ledger, позволяющую внедрить в кошелек зловредный код и изменять адреса исходящих транзакций. Хакер предостерегал пользователей от покупки подержаных устройств, поскольку их легко перепрошить. В этот раз компания исправила уязвимость четыре месяца спустя.

В аппаратном кошельке Trezor используется всего один универсальный чип на базе архитектуры ARM, отвечающий и за криптографию, и за подключение устройства. Казалось бы, взломать его должно быть просто, ведь злоумышленникам достаточно получить доступ лишь к флеш-памяти кошелька, на которой хранится seed-фраза, но разработчики надежно защитили прошивку. Тем не менее исследователи Wallet.fail нашли управу и на него через аппаратную часть кошелька при непосредственном доступе к устройству.

Кошелек Trezor эксперты взломали той же самой атакой «сбоя напряжения». Пониженное напряжение вызвало сбой и перезагрузку. Чтобы сохранить seed-фразу во время обновления, устройство поместило ее в оперативную память, которую смогли считать исследователи. Эксперты подчеркнули, что это возможно только в случае, если пользователь не установил пароль. Команда Trezor признала уязвимости и пообещала устранить их, но подчеркнула, что для того, чтобы ими воспользоваться, злоумышленники должны получить физический доступ к кошелькам.

В марте этого года Attack Lab, исследовательское подразделение Ledger, также нашло несколько уязвимостей в аппаратных кошельках Model T и Model One своего главного конкурента Trezor. Согласно сообщению в блоге компании, сотрудники Ledger связались с Trezor, чтобы рассказать о найденных уязвимостях. Trezor смогла решить все, кроме одной. После этого специалисты Ledger поделились проблемами в статье, а позже и публично на конференции MIT Bitcoin Expo в Бостоне.

Вот какие уязвимости нашли сотрудники Attack Lab:

Какие меры предосторожности нужно соблюдать при работе с аппаратными кошельками?

Главный риск компрометации устройства — физический доступ к нему злоумышленников. Если кошелек попадет в чужие «квалифицированные» руки, он точно будет взломан — это лишь вопрос времени.

У мошенников целый арсенал приемов, с помощью которых они могут получить доступ к средствам пользователя кошелька: атака посредника, перепрошивка или распространение фейковых устройств, взлом компьютера, к которому подключен кошелек, обход PIN-кодов, аппаратный имплант, потеря или кража seed-фразы, простая слежка.

Чтобы обезопасить свои крипто-активы, соблюдайте простые меры предосторожности:

Аппаратные кошельки по-прежнему максимально надежны

Аппаратные кошельки могут защитить средства клиентов от наиболее распространенных атак: вирусов, вредоносных программ и хакеров. При этом устройства так же беспомощны, как и любые другие кошельки, когда речь заходит о защите устройств клиентов от физических атак.

Но не торопитесь выбрасывать свой аппаратный кошелек или искать ему альтернативу, поскольку:

Важно, что производители признают проблемы безопасности и работают над их устранением. У них действуют баунти-программы поддержки, а выявленные уязвимости стараются исправить как можно скорее. Выбирая кошелек, обращайте внимание на открытость производителя и его готовность решать проблемы безопасности своих устройств.

Что вы думаете о безопасности аппаратных кошельков? Теряли ли вы средства с них? Поделитесь своими мыслями и историями в разделе комментариев ниже!

Дата публикации 18.12.2019
Поделитесь этим материалом в социальных сетях и оставьте свое мнение в комментариях ниже.

Источник

Что такое приватный ключ для крипто-кошелька? Как его создать и где хранить?

Начало работы с биткоином и другими криптовалютами может показаться достаточно сложным процессом для новичков, однако изучение основ и главных правил является обязательной задачей, если вы действительно решили серьезно заняться криптоактивами.

Безопасность — то, чему нужно уделить особое внимание. И здесь одним из важнейших пунктов является понятие публичных и приватных ключей. В этой статье мы рассмотрим последние.

Навигация по материалу:

Что такое приватный ключ?

Приватный ключ (еще его называют закрытым ключом) — это особая комбинация символов, которая предоставляет доступ к хранящимся на счету криптовалютам. Только человек, который знает ключ, может перемещать и тратить монеты.

В самом простом случае (подробнее об этом ниже) система сама генерирует приватный ключ, после чего на его основе создается публичный (открытый) ключ. Публичный и приватный ключ представляют собой буквенно-цифровые комбинации, которые связаны друг с другом. При этом это однонаправленная связь — зная приватный ключ, можно узнать публичный, однако зная публичный ключ, приватный узнать нельзя.

Приватный ключ — это сложная криптограмма, созданная путем применения алгоритма шифрования; она также служит своего рода подписью при отправке транзакций.

В видео ниже наглядно показано, как работают приватные и публичные ключи:

Как выглядит приватный ключ?

Давайте посмотрим на примере биткоина, как выглядит приватный ключ. В основе Bitcoin лежит алгоритм шифрования SHA-256, который создает 256-битное число, состоящее из нуля и единицы.

Однако пользоваться таким длинным набором очень неудобно и, к тому же, ключ должен быть зашифрован. Поэтому приватный ключ от биткоин-аккаунта создается в виде 32-байтного числа, который состоит из 64 символов. На каждый символ приходится два значения (ноль или единица) из вышеназванного 256-битного числа. При этом используются цифры от 1 до 9 и буквенные символы от A до F.

Пример приватного ключа :

B4653223363AA61F20BD08FC233AC37262

Но некоторые исследователи полагают, что с развитием и усовершенствованием квантовых технологий, появятся способы взлома блокчейна.

Также стоит сказать, что с развитием криптосферы, появились разные форматы для хранения приватных ключей. Это альтернативные форматы, которые называются «Форматом Импорта Кошелька». Их три:

В этих форматах хранится один и тот же ключ. Каждый формат может быть легко преобразован в любой другой.

Для чего нужен приватный ключ?

Приватный ключ выполняет две основные функции. Первая — это надежное хранение криптовалюты, так как только тот, кто знает закрытый ключ, может проводить операции с этими активами. Вот почему нужно быть предельно внимательным при создании ключа, и ни в коем случае не показывать его третьим сторонам, а также не хранить в интернете, и в идеале даже на компьютерах, которые подключены к интернету.

Вторая функция — это подпись транзакций. Приватный ключ также является цифровой подписью. Как уже было сказано выше, к каждому приватному ключу привязан уникальный публичный ключ или адрес.

При отправке BTC-транзакции в сеть ноды проверяют соответствие адреса отправителя с его публичным ключом, при этом информация о закрытом ключе остается секретной для всех, даже для валидаторов. Как только будет получено необходимое количество подтверждений, транзакция будет доставлена получателю.

Как создать надежный приватный ключ?

А теперь поговорим об одном из самых важных моментов — как создать такой ключ, чтобы он обеспечил надежное хранение криптовалютных активов. Сгенерировать приватный ключ можно при помощи нескольких сервисов.

Бумажные кошельки

Преимущество этого способа в том, что ключи хранятся в оффлайне. Одним из проверенных сервисом, при помощи которого создать приватный ключ под силу даже новичку, является сервис bitaddress.org. Нужно выполнить три простых действия:

Шаг 1. Перейдите по ссылке выше. На экране появится окно с набором рандомных буквенных и числовых символов. Двигайте мышкой по экрану до тех пор, пока процент случайности не достигнет 100%:

Шаг 2. Когда показатель достигнет 100%, на экране появится QR-код и хеш приватного ключа:

Шаг 3. Распечатайте новосозданные ключи или можно также переписать ключ на бумагу.

Декстопные кошельки

Процесс генерации ключа в декстопных кошельках очень простой. Самые популярные — кошелек Exodus, Electrum, Jaxx. Ключ будет создан в полностью автоматическом режиме.

Рассмотрим этот процесс на примере кошелька Exodus :

Для надежности файл с ключом скопируйте на носитель, к которому нет интернет-доступа, например, на флешку. Также можно переписать ключ на лист бумаги.

Онлайн-кошельки

Криптовалютные онлайн-кошельки также позволяют создать приватный ключ. В некоторых он генерируется автоматически, а в некоторых его можно создать самостоятельно.

Очень важно ознакомиться с условиями конкретного кошелька. Рекомендуется выбирать те, которые хранят ключи не на сервере, а на стороне пользователя.

Например, таким сервисом является Bitcoin Wallet Blockchain.

Раньше в этом сервисе можно было получить ключи автоматически, однако с недавних пор эту опцию убрали. Теперь это можно сделать путем создания мнемонической фразы. Мнемоническая фраза — это особый список слов, которые впоследствии преобразовываются в хеш приватного ключа. В кошельке Blockchain мнемоническая фраза состоит из 12 слов.

Чтобы получить приватный ключ, нужно сделать следующее :

Система сгенерирует приватный ключ, который вы найдете в нижней части окна в разделе «Derivation Path».

Brain Wallet («мозговой кошелек»)

Этот способ считается более надежным, так как создателем своего ключа является сам пользователь. Однако он подойдет более продвинутым пользователям.

Этот метод называется Brain Wallet, т.е. «мозговой кошелек», так как ключ генерируется мозговыми усилиями владельца будущего ключа, и заключается в том, что пользователь должен придумать любую фразу или число и зашифровать его через алгоритм SHA-256.

Создавая ключ этим способом, нужно помнить всего одно правило: чем сложнее будет фраза/число, тем надежнее будет приватный ключ.

Конечно, можно в качестве ключа использовать и число 1. И вы будете смеяться, но есть пользователи, которые так и сделали.

Хешем числа 1 в системе SHA-256 является следующее значение:

Если вы пройдете по ссылке, то увидите, что за последние несколько лет этот ключ использовался в более чем 1200 транзакциях и на нем было совершено операций почти на 5 BTC:

Аналогичную ситуацию можно наблюдать и при использовании известной фразы «Быть или не быть» в качестве приватного ключа:

Эти примеры показывают, что выбор надежного приватного ключа — этап, к которому нужно отнестись максимально серьезно.

Некоторые сервисы предоставляют опцию создания «мозгового кошелька», например, тот же bitaddress.org.

Чтобы воспользоваться этой функцией, нужно перейти по вкладке «Умный кошелек»:

Далее нужно ввести фразу (обратите внимание, что ее должно быть невозможно или как минимум трудно угадать), подтвердить еще раз и нажать на кнопку «Просмотр». Сайт сгенерирует приватный ключ, который можно распечатать или переписать на бумагу:

Плюс этого способа в том, что даже потеряв приватный адрес, его можно восстановить, если преобразовать ее через стандартный алгоритм SHA-256 — такие конвертеры легко найти в интернете, например, этот.

Приватный ключ можно вообще не записывать, если вы уверены, что запомнили фразу, а адрес нужно записать, чтобы на него можно было перевести биткоины.

Но если вы все еще очень боитесь, что кто-то сможет узнать ваш даже супер-сложный ключ, то есть еще один способ создания приватного ключа, который обеспечит 1000% безопасности. Возьмите монетку, подбрасывайте ее 160 раз подряд и записывайте «0», если выпала решка и «1», если выпал орел. После этого полученное число можно преобразовать в алгоритме SHA-256, и вы получите очень надежный приватный ключ, так как вряд ли кто-то сможет подбросить монету так же как вы.

Как правильно хранить приватные ключи?

Важно не только создать надежный ключ, но и правильно его хранить. В общем есть три варианта хранения ключей:

При этом какой бы способ вы не выбрали, важно помнить, что доступ приватному ключу должен быть только у вас.

А теперь расскажем, какие есть варианты хранения :

Перенос приватных ключей (свиппинг)

В некоторых случаях может потребоваться импорт приватного ключа, например, из бумажного носителя в кошелек. В этом случае важно понимать, что вы создаете вторую копию, что крайне не рекомендуется. Особенно это важно исключить, если ключ был получен от другого человека — ведь не исключен вариант, что он может воспользоваться доступом к средствам с плохими намерениями.

В подобной ситуации лучше всего прибегнуть к свиппингу. Его принцип очень простой. Нужно создать новый приватный ключ в кошельке, который вы планируете использовать. После этого перевести средства со старого адреса на новый. Таким образом в итоге у вас получится новый приватный ключ, известный только вам, в единственном варианте, и средства будут в безопасности.

Использовать свиппинг стоит в таких случаях:

Приватный (закрытый) ключ в отличие от публичного — это секретная информация, которую не должен знать никто, кроме его владельца. Тот, кто владеет закрытым ключом — владеет хранящимися на нем средствами.

Поэтому очень важно обеспечить надежное хранение и не забывать о методе свиппинга, особенно при утрате доступа к хранилищу ключа или если оно попало в руки других людей. Если придерживаться этих простых правил, то ваши криптовалютные активы всегда будут в безопасности.

Источник

Безопасность криптокошелька: как не потерять все свои средства?

Безопасность криптокошелька: какие правила стоит соблюдать?

В предыдущей статье мы разбирали, какие существуют кошельки для хранения криптовалют. Однако у любого типа кошелька или способа хранения есть свои уязвимости. Имеется определенный свод рекомендаций, которых стоит придерживаться для того, чтобы не потерять свои деньги.

Это могут быть как общие правила хранения криптовалют, так и конкретные примеры дополнительной защиты вашего горячего или холодного кошелька. Сначала мы разберем базовые правила безопасности хранения, а потом рассмотрим частные примеры.

Основные правила безопасности

Крайне рекомендуется заводить отдельную почту для ваших аккаунтов бирж и криптокошельков. Ваш основной почтовый адрес, который используется для повседневных нужд, не подойдет. Есть большой риск, что он уже давно взломан и слитые данные хранятся на площадках в даркнете. Если злоумышленник получит доступ к вашей почте, он легко сможет через эту почту поменять пароль на вашем кошельке. Рекомендуется заводить google почту, поскольку она является наиболее защищенной.

Стоит пользоваться защищенными сетями. Не стоит заходить в кошелек или биржу по публичному вай-фаю. Такое действие также может привести к перехвату ваших данных злоумышленниками. Поэтому пользоваться нужно домашними сетями или защищенным мобильным интернетом.

Диверсификация

Первое и самое важное правило — это диверсификация. Или, по-простому, разделение. Данное правило — это успех абсолютно любой инвестиции, и хранение криптовалюты — не исключение. Никогда нельзя держать все 100% своих средств на одном кошельке или физическом носителе. Многие инвесторы и трейдеры часто говорят: «Не клади все яйца в одну корзину».

Чтобы не потерять все свои средства от одной неудачной инвестиции или после взлома одного единственного кошелька или аккаунта на бирже, необходимо разделить их.

Вы можете разделить средства, которые вы хотите постоянно торговать на несколько бирж и горячих кошельков. Тогда при закрытии биржи или взломе одного из кошельков вы не лишитесь всех ваших средств сразу.

Так же и с холодным кошельком. Разделите средства на разные кошельки и флешки, тогда шанс потерять все сразу сводится к нулю.

На самом деле, данное правило можно принимать в любых аспектах своей жизни, а в особенности в финансах. Вы можете вложить в криптовалюту только определенный процент от ваших денег. Деньги, которые вы отложили на криптовалюту, также разделите по разным активам. А все эти активы разложите по разным кошелькам: горячим, биржевым, холодным аппаратным. Тогда риск случайной неудачи и банкротства станет минимальным.

Больше копий паролей!

Говоря про холодный способ хранения, не стоит забывать делать дополнительные копии записей ваших паролей на бумаге или покупать несколько флешек. Тогда, если вы потеряете один носитель с данными, у вас всегда будет запасной. Возможно, это и очевидный совет, но очень действенный.

Будьте внимательны

Поэтому немаловажным фактором является внимательность. Прежде чем войти в свой аккаунт, всегда проверяйте название сайта в самой поисковой строке. Если вы введете свои данные на таком подставном сайте, то они тут же появятся у злоумышленников. Тогда вы можете попрощаться со своими средствами.

2FA Autentificator

2FA Autentificator – это приложение на смартфон, которое генерирует случайный код каждые 30 секунд. Каждый раз, когда вы будете входить в ваш кошелек, он будет запрашивать данный код. Так вы сможете дополнительно защитить себя от взлома вашего кошелька по сети.

Данный метод является дополнительной защитой буквально к любому биржевому аккаунту или горячему кошельку. Обычно все биржи и кошельки сами предлагают установить дополнительную защиту в виде данного кода. От этого никогда не стоит отказываться, поскольку данный метод защиты эффективен против взломов аккаунтов и кошельков.

Даже если злоумышленник смог взломать ваш логин и пароль от биржи, он никогда не сможет и не успеет найти данный код для входа. Таким образом, вы сильно обезопасите свои средства. Одно из самых популярных подобных приложений — это двухфакторная аутентификация от Google.

Лицензированные биржи

Пока что большая часть криптовалютных бирж не имеет никаких специальных лицензий и гарантий, что ваши средства находятся в безопасности. Даже самые популярные и большие биржи не имеют каких-либо государственных лицензий. Поэтому на них жестко не давит законодательство разных стран. А значит, есть риск того, что биржа в один момент закроется по каким-либо причинам.

Чтобы минимизировать данный риск, регистрируйтесь на лицензированных биржах, например, лихтенштейнских или швейцарских (Lykke). Такие биржи имеют лицензии и работают легально. Поэтому вашим средствам ничего не угрожает. Однако нужно помнить, что на таких биржах вам обязательно нужно будет пройти процедуру верификации пользователя и подтвердить свою личность и местонахождение.

Безопасность криптокошелька – залог успешных инвестиций

Применяйте все вышеперечисленные способы защиты в реальной практике. Тогда вы сможете быть спокойны за свои инвестиции и прибыль в криптовалюте.

Работая с криптовалютой, всегда нужно помнить о правилах ее хранения. Важно придерживаться принципа диверсификации и всегда быть начеку, стараться не совершать ошибок и поддерживать безопасность криптокошелька.

Помните, что криптовалюта — это очень специфичная область и к ней нужен особый подход, в том числе и в хранении. От ваших действий будет зависеть сохранность вашей криптовалюты. Выбирая любой из данных способов, не забывайте о безопасности, тогда вы гарантированно сможете стать успешным инвестором!

Источник