מטבעות קריפטוגרפיים (ביטקוין וכד׳) - הפן הכלכלי-פוליטי-חוקי

[amidar]

@מתכנתברמת האבטחה אני שומר מטבעות ב Trezor wallet כשאפשר. אני שומר seeds ב Trezor password manager. ואני מתפעל את הארנקים ממכונות וירטואליות נקיות על host בתול. את הארנקים שנכפה עלי לשמור אני מצפין עם boxcryptor ומגבה על Dropbox.

וואו, ואני חשבתי שאני פרנואיד

 

[מתכנת]

@adamshalev הדהמת אותי, סחטיין!

Stellar Lumen, Qtum, Neo

שלושתם נתמכים Ledger ולכן אסיק שיכולים להיגזר מ- seed (שניים מתוכם מופיעים שנרשמו בפרוטוקול BIP44)
הוא תומך הרבה יותר מטבעות מאשר trezor והם מוסיפים עוד, לדוגמה הם כתבו שעובדים על מונרו.
אבל מה שמעיק בארנק הזה שהוא תומך עד 5 אפליקציות (סוגי מטבעות) במקביל, למעשה אוכל להסיר ולהתקין אחרים ללא חשש (למעט שחיקת הזיכרון הפנימי) כי בפעם הבאה שאתקין שוב את האפליקציות שהוסרו הכתובות יישמרו כמובן, אז מבחינה פרקטית יכול להוות חלופה טובה לניהול מטבעות מרובים עם VMs.

Trezor wallet

תומך פחות סוגי מטבעות כאמור, אתה יודע אבל האם תומך בכולם בו זמנית?

תפעלתי כל אחד מהם על מכונה נקיה נפרדת. אחרי שה-seed שמור במנהל ססמאות

אז אני מבין שלא השתמשת באותו seed לכל המטבעות, חתיכת overhead.

מכוון ל-20 מטבעות, עם חלוקה קרובה למשקל שוק.

אשמח אם תשתף במידה והיו לך איזשהם כללי אצבע או דגשים בבחירת המטבעות.

אם כי האסטרטגיה עובדת הכי טוב עם חלוקה שוות משקל בין המטבעות.

איזון איזון. בהתחשב בנהלי האבטחה הקשוחים מינון האקמול יהיה כמספר המטבעות מנחש שזאת הסיבה ללכת על משקל לפי שווי שוק.

טוב חפרתי יותר מדי, מקווה שתסלח לי..

אני פרנואיד

שמעתי פעם,
"העובדה שהינך פרנואיד אינה מבטיחה שלא רודפים אחריך..."

 

[adamshalev]

@מתכנת
אני משתמש ב-Trezor בעיקר בשביל השימוש כמנהל ססמאות, וזה משהו ש-ledger לא יודע לעשות.
יש גרסה חדשה של טרזור שכבר הזמנתי והיא אמורה לתמוך ביותר מטבעות. בכל אופן גם הטרזור הקיים אין לו בעיה להחזיק את כל המטבעות במקביל. כולם נגזרים מסיד אחד, אז למה שתהיה בכלל בעיה?
לא התעמקתי יותר מדי בעניין ה-seeds של המטבעות האחרים. אני תמיד יכול להזיז אותם, אבל האידאל זה כמובן לזרוק אותם לארנק פיזי.

אשמח אם תשתף במידה והיו לך איזשהם כללי אצבע או דגשים בבחירת המטבעות.

בגדול - לקנות את כולם, למעט דברים שהם לא מטבעות קריפטו כמו Tether, ולא את BitConnect כי זה כנראה פונזי. היו כמה דברים שרציתי לקנות וטכנית לא הצלחתי, בגלל דרישה לעבור דרך בורסות כאלו ואחרות.

 

[FIYaacov]

בגדול - לקנות את

כמה מהשווי הנקי שלך מופנה כלפי זה?

 

[מתכנת]

כולם נגזרים מסיד אחד, אז למה שתהיה בכלל בעיה?

Ledger אשכרה מוריד אפליקציה (בינארי) להתקן, כאשר כל אפליקציה יודעת לטפל בחתימת עסקאות של מטבע מסוים, בגלל שהתקמצנו על נפח האחסון הפנימי אין מקום ליותר מאשר 5 במקביל, לגבי הסיד נכון, לכן אפשר להסיר ולהתקין שוב פעם אחרת.

מנהל ססמאות, וזה משהו ש-ledger לא יודע לעשות.

בוסר (לא ניסיתי) PoC
https://github.com/LedgerHQ/blue-app-password-manager

בגדול - לקנות את כולם,

בקיצור top X ?!

 

[adamshalev]

@מתכנת טרזור נוקטים בגישה שונה. הקוד הכבד (להבנתי) רץ על chrome app ומתקשר עם המכשיר רק לצורכי הצפנה/האשינג וכד. המכשיר עצמו אגנוסטי למטבעות למעט היכולות הקריפטוגרפיות שמטבעות שונים דורשים. יכול להיות שאני טועה. בכל אופן די בוודאות אין טעינה של בינאריים למכשיר בשום שלב.

כיוון שהטרזור הוא מנהל הססמאות הראשי שלי שאני משתמש בו כל יום כמעט, אני צריך קצת יוצר מ PoC. אבל טוב לדעת שיש עוד תחרות בשוק. המנהל ססמאות שלהם מאד בסיסי וחסר בו הרבה יכולות.

בקיצור - top X.

כמה מהשווי הנקי שלך מופנה כלפי זה?

יותר מדי (יכאב אם זה הכל ילך לאפס מאופס), ולא מספיק בשביל שזה ישנה משהו במאסטר פלאן.
כאשר ביטקוין יכפיל את עצמו בעוד 10 זה כבר יהיה מעניין.
אחוזים אגב זאת לא השאלה היחידה. אם יש לך תיק של 10,000 שח ו-20% ממנו זה ביטקוין, אתה בסיכון גבוה או נמוך?

 

[מתכנת]

הקוד הכבד (להבנתי) רץ על chrome app ומתקשר עם המכשיר רק לצורכי הצפנה/האשינג וכד. המכשיר עצמו אגנוסטי למטבעות למעט היכולות הקריפטוגרפיות שמטבעות שונים דורשים.

גם ledger נוקטים בגישה הזו, הבינארי שיורד (להבנתי) הוא המימוש הקריפטוגרפי של המטבע.

בכל אופן די בוודאות אין טעינה של בינאריים למכשיר בשום שלב.

למעט עדכון קושחה כמובן..
ב- ledger יש app manager דרכו מתקינים את האפליקציות, נדרש אישור בהתקן.

כיוון שהטרזור הוא מנהל הססמאות הראשי שלי שאני משתמש בו כל יום כמעט

זה נושא מעניין בפני עצמו,

1. אם אתה משאיר אותו מחובר כל הזמן (נניח במשרד) אז הוא בסיכון גניבה, לעומת זאת נעיצה-שליפה בתכיפות תגרום לשחיקה מוקדמת של השקע usb (לא מתכוון לשאול על ההרגלים שלך אלא לנתח את המצב)
   (בהנחה ואשאיר אותו מחובר) האם ניתן להגדיר idle time מינימלי בו ההתקן ינעל ויידש PIN לפתיחתו ?
2. הסתמכות על ההתקן לשימוש יומיומי יכולה להוביל בקלות ל self DoS, אם יאבד או סביר יותר ינזק, כמה זמן ייקח לקנות חדש ולשחזר.....?!

 

[adamshalev]

@מתכנת אני לא משאיר אותו בשום מקום. הוא על המחזיק מפתחות שלי.
קניתי את הגרסה החדשה Trezor T לאשתי, ואנחנו נגדיר אותו עם אותו seed אז הם יהיו interchangeable.
כמו כן אני מכיר אנשים עם טרזור, במקרה הכי גרוע אשתמש זמנית בשלהם (אדרוס עם ה seed שלי).
כמו כן, לא העזתי להתחיל להשתמש בטרזור כמנהל ססמאות לפני שווידאתי שאני מסוגל תוכנתית בלבד, ללא החומרה, לחלץ מקובץ הססמאות המוצפן שיושב בדרופבוקס את כל הססמאות בהינתן ה seed. זה מצריך קוד פייטון שתפרתי עם עזרה של טרזור ומצריך לקמפל ספריות על לינוקס/מאק. לזה התכוונתי מקודם שזה ״אפשרי״ אבל לא פשוט.

לגבי נעילה אוטומטית - הוא אכן ננעל לבד. זה לא בר הגדרה ממה שאני מכיר אבל לוקח לו לא יותר מ10 דק של אי שימוש לפני שהוא דורש pin code לפתיחה.
המכשיר כמובן משמיד את עצמו אחרי מספר נסיונות כושלים.

 

[מתכנת]

אני מסוגל תוכנתית בלבד, ללא החומרה, לחלץ מקובץ הססמאות המוצפן שיושב בדרופבוקס את כל הססמאות בהינתן ה seed. זה מצריך קוד פייטון שתפרתי עם עזרה של הCEO של טרזור ומצריך לקמפל ספריות על לינוקס/מאק. לזה התכוונתי מקודם שזה ״אפשרי״ אבל לא פשוט.

החכמתי, תודה.

הגרסה החדשה Trezor T

תקן אותי אם אני טועה, הדגם הזה בטוח הרבה יותר היות שלא דורש הזנת PIN על המחשב (ואולי גם בשחזור אפשר להזין את הסיד ישירות למכשיר?!).

 

[adamshalev]

לא דורש הזנת PIN על המחשב

זה נכון, לא יודע עד כמה זה הופך אותו ליותר בטוח. ההזנה של הpin במחשב היא scrambled, אז keylogger לא יכול לדעת מה ה-pin. אולי אחרי מספיק האזנות הוא יכול להסיק משהו סטטיסטי אבל אפילו אם כן, לנוזקה על מחשב אין שום תועלת ב-pin אם היא לא משיגה את המכשיר פיסית. ה-pin מגן על הגישה למכשיר ואין לו קשר ל-seed.

ואולי גם בשחזור אפשר להזין את הסיד ישירות למכשיר?!

זה יהיה אידאלי, ויש מצב שזה מה שיהיה (לא יודע באמת).

 

[עש לילה]

@adamshalev אתה משקיע משאבים דומים בהגנת סייבר על חשבונות המסחר ה"רגילים" שלך? או שההתייחסות למטבעות הווירטואלים שונה בעיניך.

 

[מתכנת]

ההתייחסות למטבעות הווירטואלים שונה

חשבתי שזה דבר פשוט.
בקריפטו טעות עלולה להיות בלתי הפיכה.
בחשבון מסחר רגיל גם צריך משנה זהירות אבל גם אם "נפלת" הסיכון נמוך בהרבה.

 

[adamshalev]

@adamshalev אתה משקיע משאבים דומים בהגנת סייבר על חשבונות המסחר ה"רגילים" שלך? או שההתייחסות למטבעות הווירטואלים שונה בעיניך.

למעט העובדה שמכלול הסיכונים בקריפטו הוא שונה, התשובה לשאלה שלך היא חד משמעית כן.
הגישה לחשבון מסחר היא ממכונה ווירטואלית נקיה. החשבון ב IB מוגן ב 2 factor auth וססמא מגונרטת ארוכה ששמורה רק בטרזור.

 

[מתכנת]

הגישה לחשבון מסחר היא ממכונה ווירטואלית נקיה.

גם על הוסט בתול?

 

[Roi]

@adamshalev מה דעתך על Iota?

 

[adamshalev]

גם על הוסט בתול?

כולם על אותו הוסט. אין על הוסט כלום חוץ מvmware.

@adamshalev מה דעתך על Iota?

שזה עלה יפה בגלל שת״פ עם מיקרוסופט.

 

[Roi]

דה מרקר הפציצו היום בכתבות על הנושא...

 

[מתכנת]

כולם על אותו הוסט. אין על הוסט כלום חוץ מvmware.

זאת אומרת שגם המערכת העיקרית שלך היא VM. יפה מאוד.
חשבתי על זה פעם, חששתי מביצועים אבל בעיקר נרתעתי בגלל הצורך לרתק משאבים (זיכרון ואולי דיסק) לטובת VM שאפעיל בהמשך העבודה ולהסתפק בפחות בעבודה שוטפת. (יודע שאפשר לעדכן זיכרון on the fly אבל מלחיץ אותי)

 

[adamshalev]

זאת אומרת שגם המערכת העיקרית שלך היא VM. יפה מאוד.
חשבתי על זה פעם, חששתי מביצועים אבל בעיקר נרתעתי בגלל הצורך לרתק משאבים (זיכרון ואולי דיסק) לטובת VM שאפעיל בהמשך העבודה ולהסתפק בפחות בעבודה שוטפת. (יודע שאפשר לעדכן זיכרון on the fly אבל מלחיץ אותי)

אכן הכל על VMs כל אחת עם מטרה שלה. מפרט המחשב בהתאם - 16 ג’יגה זכרון (אם כי זה לפעמים לא מספיק), דיסק 512 ג’יגה ssd (אל תחשוב אפילו לשים את המכונה הווירטואלית על דיסק צב) יעודי למכונות ודיסק 128 ג’יגה ssd לhost, מעבד i7 עם שמונה ליבות.

 

[מתכנת]

אכן הכל על VMs כל אחת עם מטרה שלה. מפרט המחשב בהתאם - 16 ג’יגה זכרון (אם כי זה לפעמים לא מספיק), דיסק 512 ג’יגה ssd (אל תחשוב אפילו לשים את המכונה הווירטואלית על דיסק צב) יעודי למכונות ודיסק 128 ג’יגה ssd לhost, מעבד i7 עם שמונה ליבות.

מפרט של הלפטופ שלי זהה לחלוטין למעט אחסון קטן יותר שני דיסקים ssd-256
ביומיום 10GB RAM בשימוש ולא פעם מגרד את המקסימום. בעיה. במחשב הבא מקווה שיהיה 32GB ואז אוכל באמת לעבוד רק על VM.