Creatorii de conținut și agenții de marketing din spațiul Bitcoin au responsabilitatea de a ajuta utilizatorii să adere la etosul „nu ai încredere, verifică”.
Acesta este un editorial de opinie al lui Shinobi, un educator autodidact în spațiul Bitcoin și gazdă de podcast Bitcoin orientată spre tehnologie.
În decembrie 15, 2021, Revista Bitcoin a anunțat că fiecare participant la conferința Bitcoin 2022 va primi un portofel hardware gratuit din Arculus.
Arculus se face reclamă drept „Portofel Arculus Secure Crypto Cold Storage," și se angajează în destul de mult fluturarea mâinii comparându-se cu dispozitivele hardware existente de gestionare a cheilor din spațiu, promovând „autentificarea în trei factori”, libertatea de a se baza pe „corduri sau Bluetooth” și autointitulându-se „modul mai sigur de a vă stoca cripto-ul”. Dacă sunt sincer, acest lucru declanșează fiecare steag roșu care este posibil pentru mine în ceea ce privește dispozitivele nesigure. Site-ul său web nu oferă o explicație adecvată a arhitecturii, face comparații vagi cu alte dispozitive care nu sunt exacte și nu există un cod open-source real pentru ca produsul să fie verificat nicăieri (într-o solicitare de comentarii pentru acest articol, Arculus a răspuns că este lucrează pentru ca aplicația software utilizată în acest dispozitiv să fie deschisă).
Ca Revista Bitcoin contribuabil Am foarte multe probleme cu toată această situație, de la natura parteneriatului, până la dispozitivul în sine și modul în care a fost gestionat în ceea ce privește percepția publicului după anunț. Spre creditul său, David Bailey (CEO-ul BTC Inc, care operează Revista Bitcoin și Bitcoin 2022) a fost foarte frontal recunoscându-și responsabilitatea pentru parteneriatul cu furnizorul înainte de a efectua „diligența” corespunzătoare.
Revista Bitcoin depune eforturi amănunțite pentru a verifica dacă partenerii și sponsorii săi sunt actori de bună-credință care sunt sinceri în intenția lor de a construi în comunitatea Bitcoin,” a Revista Bitcoin a spus reprezentantul ca răspuns la întrebările adresate pentru acest articol.” Revista Bitcoin au oferit feedback despre produse legate de aspectele de securitate și design ale experienței portofelului hardware - preocupările legate de confidențialitate au fost luate în considerare în măsura în care sunt luate în considerare în orice decizie de parteneriat Revista Bitcoin face.”
Acestea fiind spuse, cred că există încă probleme masive cu întreaga situație.
Nu aveți încredere, verificați
Una dintre principiile de bază ale acestui spațiu este „nu ai încredere, verifică”, dar realitatea este că cu cât trece mai mult timp și cu cât acest spațiu crește, cu atât devine mai dificilă urmărirea acestui principiu. Există multe instrumente, produse și servicii Bitcoin acolo pentru care utilizatorii trebuie să evalueze și să verifice detaliile, așa că, inevitabil, o mare parte din această verificare este externalizată către cifre și publicații de renume din spațiu. Oricât de mult urăsc să o spun, într-o oarecare măsură cu cât acest ecosistem crește mai mare, cu atât realitatea va deveni mai inevitabil. Fiecare poate, în principiu, să verifice totul singur, dar timpul și efortul necesar pentru a face acest lucru nu sunt practic pentru toată lumea. Oamenii au vieți, obligații și lacune în cunoștințe care ar trebui să fie completate pentru a face acest lucru. Majoritatea oamenilor vor trebui inevitabil să externalizeze acest lucru într-o anumită măsură.
Acesta este ceea ce mă deranjează atât de mult la acest aranjament dintre Arculus și Revista Bitcoin. Nu cred că s-a făcut suficient pentru a verifica afirmațiile făcute de Arculus cu privire la securitatea sa și modul în care aceste afirmații au fost încorporate în publicitatea sa, înainte de a ajunge la o înțelegere în care fiecare participant la Bitcoin 2022 ar avea ocazia să ia acasă un card Arculus pentru gratuit. Într-un ecosistem construit pe verificarea personală a lucrurilor, în care a face asta devine din ce în ce mai insuportabil, oamenii și mărcile cu acoperire mare și cu multă încredere acordată în ei au o responsabilitate serioasă de a efectua efectiv due diligence înainte de a recomanda oamenilor din acest spațiu să folosească lucruri. , darămite să le pună ștampilele de aprobare dându-le gratuit la un eveniment.
Arhitectură neclară
Arhitectura hardware a dispozitivului Arculus este descrisă foarte vag în hârtia ei albă. Stabilește utilizarea unui „element sigur”, dar descrie doar evaluarea de securitate a dispozitivului (EAL6+), nu modelul real de cip.
Acest lucru nu este verificabil cu informațiile de pe site, dar pare să aibă un design similar cu portofelele hardware Ledger, unde 100% din manipularea cheilor, semnarea și alte operațiuni se fac pe elementul securizat (ca răspuns la întrebările pentru acest lucru). articol, Arculus a verificat că acesta este cazul). Acest lucru ar însemna că întregul model de securitate este construit în jurul unui cip cu sursă închisă. Acum, în mod evident, mulți oameni din acest ecosistem sunt deranjați pur și simplu de faptul că ceva este sursă închisă, dar realitatea este că utilizarea unui astfel de produs este o alegere pe care utilizatorii individuali o pot face singuri. Popularitatea produselor precum Ledger, care se bazează în întregime pe un element de sursă închisă, sigur și nimic altceva, arată clar că cel puțin unii utilizatori Bitcoin consideră că este un compromis acceptabil. Cu toate acestea, acesta nu este singurul aspect problematic al arhitecturii Arculus, sau mai degrabă, cu lipsa totală de claritate asupra arhitecturii sale.
Există numeroase verificări de securitate care sunt efectuate de dispozitivele de semnare hardware înainte ca acestea să efectueze efectiv operațiunea de semnare. Acestea sunt verificări automate de siguranță gestionate de dispozitivul hardware pentru a se asigura că tranzacțiile rău intenționate nu sunt semnate care ar putea duce la pierderea de bani de către utilizator. Nimic de pe site-ul web Arculus sau de orice material publicitar pe care l-am văzut nu menționează verificările importante pe care ar trebui să le facă un dispozitiv înainte de a semna efectiv o tranzacție, cum ar fi:
- Verificarea faptului că adresa de modificare utilizată este generată de fapt din semințele mnemonice ale utilizatorului
- Verificarea faptului că orice adresă de modificare care este cu semnătură multiplă este compusă din cheile adecvate (și nu o adresă rău intenționată cu cheile atacatorilor capabile să cheltuiască monede sau o cale de derivare non-standard pe care nu o veți putea recupera singur)
- Dacă dispozitivul este capabil să stocheze alte XPUB-uri utilizate într-un portofel cu semnături multiple, pentru a putea efectua verificarea de mai sus
- Verificări de siguranță pentru a vă asigura că cheia corespunzătoare este utilizată pentru a semna o tranzacție (de exemplu, au avut loc atacuri care ar putea păcăli un portofel să semneze o tranzacție despre care crede că este pentru bitcoin cash cu chei bitcoin)
Într-o solicitare de comentarii pentru acest articol, Arculus a fost întrebat ce tip de verificări de securitate face dispozitivul înainte de a semna o tranzacție. Mai exact, am întrebat dacă adresele modificate se verifică pentru a mă asigura că sunt valide și fac parte din portofelul utilizatorului. Acesta a fost răspunsul Arculus:
„În primul rând, cardul trebuie să fi fost conectat anterior cu telefonul care generează tranzacția. Adresele de modificare, la fel ca toate adresele, sunt generate pe baza cheilor private de pe card în sine. Semnarea oricărei tranzacții necesită trei factori de autentificare:
- Ceva pe care îl știi: PIN-ul cardului tău de șase cifre
- Ceva ce ești: biometria ta
- Ceva ce ai: cardul tău fizic Arculus Key
„Cardul nu va semna o tranzacție fără toți cei trei factori de autentificare. Este de remarcat faptul că pinul cardului de șase cifre este stocat pe card în sine, iar contorul pentru încercările eșuate de PIN este stocat și pe cardul propriu-zis. După trei încercări eșuate de PIN, cardul este resetat, iar utilizatorul trebuie să-și restabilească prin fraza de recuperare.”
Pe baza acestui răspuns, trebuie să concluzionez că niciunul dintre tipurile de verificări de securitate și adrese enumerate anterior nu sunt efectuate pe dispozitiv. Acest lucru este șocant, având în vedere că astfel de verificări de securitate sunt destul de standard în majoritatea portofelelor hardware din ecosistem. Este deosebit de șocant, având în vedere afirmațiile publicitare ale acestui dispozitiv Arculus fiind „modul mai sigur” de a stoca cripto.
Teatrul Securității
Lipsa de transparență asupra arhitecturii este un semnal roșu major pentru mine, dar cele mai mari preocupări ale mele sunt aspectele arhitecturii care sunt de fapt explicate foarte bine pe site. În realitate, aceste două opțiuni de design prezentate ca o îmbunătățire masivă a securității față de alți concurenți nu sunt altceva decât un teatru de securitate și sunt efectiv anulate dacă smartphone-ul utilizat pentru a interacționa cu dispozitivul este compromis de malware.
Prima decizie problematică de proiectare este în procesul de generare a frazei mnemonice reale și a cheilor private pe dispozitiv. Bazat pe hartie alba, acest proces nu pare să permită entropia furnizată de utilizator și, deși nici un număr mare de alte portofele bine-cunoscute din spațiu nu o fac, aceasta este o caracteristică lipsită care face ca evaluările generale ale lui Arculus să sugereze că este mai sigur. decât altele, după cum am subliniat mai sus, foarte problematice.
În plus, conform hârtiei albe, semințele mnemonice sunt de fapt afișate pe smartphone pentru procesul de backup. Nu este clar dacă sămânța este generată chiar de cardul Arculus sau de pe smartphone-ul utilizatorului, dar adevărul este că chiar nu contează. Afișarea semințelor mnemonice pe aplicația pentru smartphone înseamnă că, indiferent de locul în care este generată, aceasta este prezentă pe smartphone la momentul generării în timpul procesului de inițializare. Acest lucru subminează complet izolarea cheilor de pe un dispozitiv hardware din motive de securitate.
În plus, conform cărții albe, acesta solicită de fapt utilizatorului să reintroducă întreaga frază de bază în aplicație pentru a o confirma. Aceasta înseamnă că aplicația de tastatură a telefonului dvs. obține, de asemenea, acces la fraza de bază în timpul generării tastei. Dacă telefonul este compromis în timpul procesului de inițializare, cheile dvs. sunt compromise.
Al doilea aspect problematic al designului este că utilizatorul introduce codul de autentificare pe smartphone-ul propriu. Acesta este facturat ca un nivel suplimentar de securitate: „Toate tranzacțiile necesită să introduceți codul PIN și să vă atingeți cardul pentru a vă autentifica”, se arată în cartea albă. „Aplicația verifică dacă GGUID (identificatorul unic global) al cardului și cheile publice ale contului se potrivesc cu informațiile stocate.”
Dar realitatea este că a fi introdus pe smartphone înseamnă că dacă telefonul tău este compromis, pinul poate fi achiziționat de actorul care ți-a compromis telefonul, oferindu-le acces la cel de-al doilea mecanism de autentificare. Portofelele hardware au avut codul introdus în mod tradițional pe dispozitivul însuși sau au folosit o schemă în care pe ecranul dispozitivului este afișat un bloc numeric amestecat, astfel încât atunci când introduceți codul pe un computer, acesta nu dezvăluie care este codul pentru computerul respectiv. .
Așadar, având în vedere problemele de arhitectură și comunicarea modelelor de securitate către utilizatori, de ce naiba sunt publicate pe site-ul său comparații cu mâna, precum cele de mai sus? Graficul de mai sus pretinde o securitate superioară celorlalte „depozite frigorifice”. Dar aceasta este o afirmație dovedit falsă, așa cum am menționat mai sus.
Multe alte portofele hardware, indiferent de specificul arhitecturii lor de securitate hardware, sunt infinit mai sigure decât Arculus pur și simplu datorită faptului că vă afișează semințele mnemonice doar pe dispozitivul însuși și nu o trimit și nu o afișează pe un dispozitiv de calcul general. ca smartphone-ul tău.
În plus, tendința portofelelor hardware alimentate cu baterie este foarte nouă, iar majoritatea dispozitivelor care au fost vândute în acest spațiu de ani de zile consumă energie atunci când sunt conectate printr-un cablu, neavând baterie internă. Care este scopul de a face o comparație „fără taxă necesară”? Afirmația în jurul acesteia este inexactă în a sugera că alte soluții de depozitare la rece necesită o „încărcare” și nu servește niciunui scop util, cu excepția creării unei categorii fără sens care să adauge percepția că acesta este un produs superior.
Imaginea de mai sus este un alt exemplu de afirmații complet neîntemeiate care nu reprezintă nimic mai mult decât farfurie incoerente în încercarea de a picta Arculus în mod favorabil prin marketingul său.
Priviți secțiunea „Leading-Edge Privacy” din graficul de mai sus de pe site-ul web Arculus. Ce înseamnă chiar „ultra-protecție pentru datele tale financiare personale sensibile”? Întregul portofel este construit în jurul unei aplicații pentru smartphone. Aplicația de portofel trebuie să preia datele soldului despre bitcoinul dvs. de undeva - care, conform răspunsului Arculus la întrebările mele, este un mediu bazat pe cloud care se bazează pe parteneri terți pentru datele blockchain. Acest lucru face ca afirmația de a oferi confidențialitate de vârf să fie complet falsă. Scurgeți toate datele soldului dvs. de active către Arculus, precum și potențial partenerilor săi terți dacă face interogări individuale de sold acelor parteneri în loc să descărcați toate datele în sine pentru a procesa interogările privind soldul utilizatorilor.
Ca un ultim exemplu de marketing iresponsabil, inexact și înșelător al acestui produs, Arculus a postat asta cu un link către Econoalchemist's redactare amănunțită pe generarea verificabil de chei din propriile zaruri care folosesc entropie și împărțirea frazei mnemonice în mai multe bucăți folosind protocolul XOR al Coldcard.
Aceasta este probabil una dintre cele mai sigure modalități de a genera chei private și de a configura o copie de rezervă plauzibilă pentru ele, fără a le expune vreodată la un computer în rețea. Arculus susține că dispozitivul său, care vă expune semințele mnemonice la smartphone-ul dvs. în timpul procesului de inițializare, este mai sigur decât metoda de mai sus de a genera chei din aruncările manuale de zaruri pe un dispozitiv cu aer întrefier pe care Econoalchemist a documentat-o în scrierea sa.
Acest lucru nu este adevărat și este o afirmație complet lipsită de etică și iresponsabilă. Procesul pe care Arculus îl folosește pentru a genera chei și pentru a oferi utilizatorului fraza mnemonică pentru a le susține este obiectiv mai puțin sigur decât procesul documentat de Econoalchemist. Unul expune mnemonicul utilizatorului la smartphone-ul său, celălalt nu.
O piatră de temelie Bitcoin
Expresia „nu ai încredere, verifică” este o piatră de temelie a acestui ecosistem, dar, așa cum am discutat mai sus, nu este practic pentru mulți, dacă nu majoritatea, din acest spațiu să ducă acel sfat până la rădăcina a tot ceea ce fac. referitoare la Bitcoin. Acest lucru, în opinia mea, impune educatorilor, creatorilor de conținut și personalităților publice din acest spațiu o responsabilitate etică serioasă de a-și face temele atunci când intră în lumina publică și fac recomandări cu privire la produse și practici către populația mai largă de Bitcoiners.
Este destul de greu să înțelegeți bine Bitcoin și instrumentele disponibile pentru a interacționa cu acesta și să luați o decizie în cunoștință de cauză cu privire la cele mai sigure instrumente de utilizat pentru a vă îndeplini obiectivele. Creatorii de conținut care nu își asumă responsabilitatea de a informa oamenii cu acuratețe face acest lucru și mai dificil.
Cred că, pentru a avea vreun impact pozitiv sau prezență în acest ecosistem, Arculus trebuie să își schimbe fundamental strategia de comunicare și marketing și să regândească o parte din arhitectura produsului său. Soluțiile hardware pentru depozitarea la rece nu ar trebui în niciun moment să expună semințele mnemonice către un smartphone sau un computer - acest lucru subminează în primul rând întregul scop al gestionării cheilor private cu un dispozitiv hardware. În plus, având în vedere o gaură atât de evidentă în întregul model de securitate, ei nu ar trebui să se angajeze în marketing cu declarații atât de cavalieri și inexacte despre superioritatea securității lor în comparație cu alte dispozitive de pe piață astăzi.
Până când aceste două lucruri nu vor fi abordate într-un mod serios și material, eu personal nu cred asta Revista Bitcoin ar trebui să se asocieze cu o astfel de companie. Cred că este atât iresponsabil, cât și lipsit de etică să te asociezi cu o companie care se angajează într-un marketing atât de înșelător și cu practici de securitate slabe date Revista Bitcoinrolul lui în acest ecosistem.
Aceasta este o postare pentru oaspeți a lui Shinobi. Opiniile exprimate sunt în întregime proprii și nu reflectă neapărat cele ale BTC Inc sau Revista Bitcoin.
- "
- 2021
- 2022
- Despre Noi
- acces
- Conform
- Cont
- precis
- dobândite
- peste
- Suplimentar
- adresa
- adrese
- Promovare
- sfat
- TOATE
- Cu toate ca
- sumă
- a anunțat
- Anunț
- O alta
- oriunde
- aplicaţia
- aplicație
- adecvat
- arhitectură
- în jurul
- articol
- activ
- Avocat Colaborator
- Autentificare
- Automata
- disponibil
- acumulator
- deveni
- devenire
- înainte
- fiind
- mai mare
- Cea mai mare
- Pic
- Bitcoin
- Bitcoin Cash
- bitcoineri
- blockchain
- marci
- BTC
- BTC Inc.
- construi
- cablu
- capabil
- Bani gheata
- Categorii
- CEO
- Schimbare
- taxă
- Verificări
- cip
- alegere
- alegeri
- pretinde
- creanțe
- închis
- cod
- Monede
- Depozitare la rece
- comentarii
- Comunicare
- comunitate
- companie
- comparație
- concurenți
- complet
- compuse
- calculator
- tehnica de calcul
- Conferință
- conţinut
- Nucleu
- ar putea
- crea
- Creatorii
- credit
- cripto
- de date
- afacere
- descris
- Amenajări
- detalii
- dispozitiv
- Dispozitive
- dificil
- diligență
- în timpul
- Pământ
- ecosistem
- Editorial
- efort
- Eforturile
- Intrați
- a intrat
- Mediu inconjurator
- mai ales
- etic
- Ethos
- evalua
- eveniment
- toată lumea
- tot
- exemplu
- Cu excepția
- existent
- experienţă
- și-a exprimat
- factori
- Caracteristică
- feedback-ul
- financiar
- date financiare
- First
- următor
- Gratuit
- Libertate
- faţă
- fundamental
- câștigă
- General
- genera
- generator
- generaţie
- Oferirea
- La nivel global
- Goluri
- bine
- mare
- Oaspete
- Vizitator Mesaj
- Manipularea
- Piese metalice
- Portofel hardware
- Portmoneuri hardware
- având în
- ajutor
- Acasă
- Cum
- Totuși
- HTTPS
- imagine
- Impactul
- important
- îmbunătățire
- Incorporated
- individ
- informații
- informat
- scop
- problema
- probleme de
- IT
- în sine
- Cheie
- chei
- cunoştinţe
- mare
- strat
- carte mare
- ușoară
- LINK
- făcut
- major
- FACE
- Efectuarea
- malware
- gestionate
- administrare
- de conducere
- manual
- Piață
- marketing
- Marketing
- masiv
- Meci
- material
- materie
- mijloace
- model
- Modele
- bani
- mai mult
- cele mai multe
- multiplu
- Natură
- în mod necesar
- nevoilor
- număr
- numeroși
- obligațiuni
- deschide
- open-source
- cod open-source
- operaţie
- Operațiuni
- Opinie
- Avize
- Oportunitate
- Altele
- propriu
- Hârtie
- parte
- parteneri
- Asociere
- oameni
- personal
- fizic
- astupat
- Podcast
- Punct
- sărac
- popularitate
- populație
- pozitiv
- posibil
- putere
- prezenta
- destul de
- principiu
- intimitate
- privat
- Cheile private
- probleme
- proces
- Produs
- Produse
- protocol
- furniza
- furnizează
- furnizarea
- public
- chei publice
- scop
- scopuri
- evaluare
- RE
- Realitate
- a primi
- recomandând
- Recupera
- recuperare
- reflecta
- cu privire la
- încredere
- solicita
- necesita
- necesar
- Necesită
- răspuns
- responsabilitate
- rulouri
- Siguranţă
- Said
- schemă
- Ecran
- sigur
- securitate
- sămânţă
- fraza de sămânță
- serios
- Servicii
- set
- indicat
- semna
- asemănător
- teren
- SIX
- smartphone
- So
- Software
- vândut
- soluţii
- unele
- ceva
- Spaţiu
- specific
- petrece
- Sponsori
- standard
- Declarații
- pas cu pas
- depozitare
- stoca
- Strategie
- prezentat
- superior
- luare
- Robinet
- terț
- Prin
- timp
- astăzi
- Unelte
- tradiţional
- tranzacție
- Tranzacții
- Transparență
- Încredere
- Tipuri
- înţelegere
- unic
- utilizare
- utilizatorii
- Verificare
- verifica
- Impotriva
- Portofel
- Portofele
- website
- Ce
- Ce este
- dacă
- hartie alba
- OMS
- mai larg
- fără
- de lucru
- valoare
- ar
- ani