johan
20.06.2011 17:43 Terárium pro ještěry
Чё-то я не понял этой вашей хуиты с биткойнами. Поставил прогу, она сразу завелась, не спрашивала никаких логинов-паролей, висит в трее, шуршит хардом, файл кошелька лежит, как я понял, в открытом виде, заходите кто хотите, что хотите берите?
Recommended by:
@eurekafag,
@238328
41 comment
recommend
bookmark
subscribe
файл кошелька лежит
в открытом виде
заходите кто хотите
что хотите берите, йоу!
да
так это же хорошо. можно заработать пол-миллиона зеленых не напрягаясь
а свой основной файл кошелька лучше тру криптом шифровать
Почему этой фичи нет в самой программе, вот в чём вопрос.
бэкдор для заработка полумиллиона?
Вот хз, хз.
Прога эта твоя, скорее всего, — сам кошелёк биткоин. Хардом шуршит — скачивает "блоки" из распределённой сети (читай: всю историю транзакций), должна скачать все, потом перестанет шуршать. Чтобы "зарабатывать" монетки, нужен другой софт — гугли bitcoin miner.
Похуй на историю. Почему не шифрует-то?
Что "шифрует"? При запуске создаёт новый кошелёк. Считай, файл кошелька и есть твоя сущность, пароль и кошельки в одном лице. Разумеется, логин и пароль у тебя никто не будет спрашивать. Есть файл кошелька — есть доступ к "счёту".
Если ты про шифрование самого файла кошелька — да, есть такое дело: уведут файл — уведут монетки, если было чо. Пароль к файлу должны сделать в ближайших новых версиях, после таких-то историй успеха в интернетах.
ПРЕДВЕЩАЮ ПОЯВЛЕНИЕ RUCOIN'ОВ И ПРОЧИХ КОИНОВ, АНАЛОГИЧНЫХ ТЕПЕРЕШНИМ ВАЛЮТАМ
Предвещаю площадку "сделай свой клон биткоина за 5 минут бесплатно без смс мокрые писечки скачать порно содомия расчленёнка".
в твоём кошельке хранятся секретные части твоих bitcoin-адресов, которые на самом деле ни что иное, как пары ключей ECDSA: публичную часть будет подписывать какой-то владелец биткоина для создания транзакции, приходящей на этот адрес. В свою очередь ты, чтобы расплатиться этими биткоинами с кем-то другим, подпишешь секретным ключом этого адреса публичный ключ получателя.
В общем случае, биткоин-клиент не обязан заботиться о том, чтобы другие программы не украли секретные ключи из wallet.dat. Разграничение доступа — это забота ОС. Но, неверующие в юниксвей разработчики иногда суют секретные ключи в дополнительный криптоконтейнер, под *ещё один* ключ (=пароль=passphrase). Целиком полагаться на такой способ защиты своих секретных ключей глупо, поскольку это равноценно «выравниванию» стойкости каждого хранимого ключа на стойкость пароля, закрывающего контейнер — которая часто очень низкая.
В принципе, я согласен, что клиенту bitcoin не помешало бы более безопасное хранилище для секретных ключей, но ТОЛЬКО при условии адекватной защиты (уже зашифрованного) wallet.dat средствами ОС. Мало того, все мейнстримные ОС предоставляют специальное безопасное хранилище ключей для приложений (gnome-keyring и аналоги), которое в идеале должно использоваться для этих целей.
Вообще, проблема мастер-пароля для паролей для ключей от хранилищ секретных ключей стара и неспецифична для клиента bitcoin. Вот почитайте, например, почему пиджин хранит пароли к аккаунтам в плейнтексте: http://developer.pidgin.im/wiki/PlainTex... . В двух словах: эта проблема не должна решаться средствами отдельной программы, эта проблема должна решаться на уровне ОС. Точно так же как проблема физического доступа к секретным данным не должна решаться средствами ОС, а должна решаться на уровне *физической* же охраны железа. Поэтому пиджин не пытается создать у юзера иллюзию безопасности, пряча пароль за простеньким алгоритмом обфусцирования, а наоборот пытается заострить его внимание на проблеме, полагаясь на средства ОС для разграничения доступа (на account.xml права доступа устанавливаются user-only).
Такие дела.
Подмонтирую раздел с нужным файлом из livecd, спижу пароль и был таков. С зашифрованным файлом такое не пройдёт, а сложность пароля выбирает сам пользователь.
%%ты ещё пароли на стороне сервера предложи хранить не в хэшах, так как эта задача ос: не допустить злоумышленников к этой базе, %%пёс
*нормальные* ОС шифруют х̶о̶м̶я̶к̶ личные файлы каждого пользователя. СЪЕШЬ ты со своим livecd, пёс.
ну в принципе можно было бы шифровать каким-нибудь распространенным алгоритмом. Публичный ключ — какая-нибудь соль, а приватный — пароль пользователя, хотя в тонкостях я не особо
алсо да, если серьёзно, то даже из-под livecd ключи из gnome-keyring ты не вытащишь (потому что он хранится в шифрованном виде, ключ чаще всего равен паролю пользователя на вход, хоть и не обязательно). Так зачем каждой софтине велосипедировать, особенно если есть простое апи?
Бредятина вроде.
в каком месте?
В месте введения лишней сущности. ОС дожна предоставлять программам интерфейсы для взаимодействия с железом. И больше ничего не должна.
а вот и нет. Интерфейсы для взаимодействия с железом предоставлял ДОС, и это пройденный этап. Современные ОС всегда, в обязательном порядке *разграничивают доступ* программ к ресурсам, в том числе к железу.
> глючный ecryptfs
> фризы при rtorrent и даже при работе с firefox
НЕТ, СПАСИБО
> gnome-keyring БЛЕАДЬ
Намана, пусть разграничивает. Но шифровать, думается мне, должен софт.
> Вот почитайте, например, почему пиджин хранит пароли к аккаунтам в плейнтексте: http://developer.pidgin.im/wiki/PlainTex... .
ЕБАНЫЙ В РОТ! Я ВИЖУ ВСЕ СВОИ ПАРОЛИ =_="
и я сижу из-под небезопасной СПЕРМЫ
современная сперма таки умеет ACL емнип. Посмотри, потыкай, должно быть шоколадно.
ок, принимается. Но ты согласен, что делать такое шифрование в *каждой* софтине, которой нужно хранить что-либо секретное, — это велосипедирование?
Не лучше ли воспользоваться сервисом, который предлагает ОС — отлаженным, надёжным, — тем более, что они уже есть?..
А помимо прочего пароли от жабберцов — это и пароли к почте и к стиму и к пайпел и к личному кабинету пластиковой карты .....
Как эпично я могу соснуть, ох щи
а, я один из тех мудаков, у которого один пароль на всё ._.
ты уже ДВАЖДЫ соснул: впервые тогда, когда поставил на всё один пароль, а потом ещё и в /28, рассказав об этом всем. Даже небу, даже гуглу.
я ж не рассказал сам пароль?
нет, но всё равно облегчил потенциальному злоумышленнику работу. ССЗБ.
С точки зрения "проебать сразу все парлоли" — может и лучше.
ну я же намекаю, что системный криптосервис в разы надёжнее самописного.
А схуяли?
исходя исключительно из предположения о том, что над ним работали больше, чем над очередным велосипедом :)
Гхм... Т.е. эти ваши свободные и открытые sosnooley?
ээээ. В каком месте, я не заметил.
> предлагает ОС
> gnome-keyring
> gnome
чё ещё спизданёшь?
gnome — хорошая OS!
да ты же совсем гей .\_/.
http://msdn.microsoft.com/en-us/library/...
http://developer.apple.com/library/ios/#...
на, enjoy!