Hoeveel draagt ​​open source bij aan de veiligheid?

Er is een discussie gaande dat de open/gesloten bron van de crypto-portemonnee invloed zal hebben op de veiligheid op internet. Hier zullen we iets uitleggen over portemonneebeveiliging.

 

Open-source is inderdaad nuttig voor gebruikers en experts om audits en reviews uit te voeren. Open source leidt echter niet vanzelfsprekend tot veiligere oplossingen.

 

Soms kan open-source gemakkelijk door hackers worden gekraakt, omdat de bronnen, codes en hulpprogramma's direct beschikbaar zijn. Er zijn veel kwetsbaarheden in open source-producten zoals de Trezor, de bekendste open-source hardware wallet. *Referentie 1. Onherstelbare zaadextractie op Trezor - Een praktische en betrouwbare aanval. **Referentie 2. Kraak Trezor in 15 minuten.

 

In dit artikel onderzoeken we de basisprincipes van het evalueren van de beveiliging van een hardware wallet en waarom open-source niet noodzakelijkerwijs verband houdt met beveiliging.

 

Als we kijken naar de veiligheid van een cryptocurrency-portemonnee, zijn er vier lagen van beveiligingsproblemen die van fundamentele invloed kunnen zijn op de vraag of u uw crypto-activa kwijtraakt:

 

1) Willekeurigheid en veiligheid bij het genereren van sleutels/zaden.

2) Beveiliging en bescherming van private sleutel/seed.

3) Voorkom inbreuken tijdens het bestedingsproces of het ondertekenen van transacties met behulp van de privésleutel.

4) Social engineering-bescherming. Het product moet bijvoorbeeld krachtige methoden hebben om te voorkomen dat pincodes zichtbaar worden.

 

Hierna volgen voorbeelden van gebruiksscenario's van de vier beveiligingslagen:

 

1. Sleutel-/zaadgeneratie

Iedereen zou de beroemde zin van Andreas Antonopoulos moeten horen: "Niet je sleutels, niet je bitcoin.Wat is een sleutel, of preciezer: wat is een privésleutel? De privésleutel is een aanzienlijk willekeurig aantal van 256 bits. Als de sleutelgeneratie een bug of achterdeur heeft, kan uw crypto gemakkelijk worden gestolen door de persoon die die achterdeur heeft gemaakt.

Gebruikers kunnen expliciet een open-sourcecode van een open-source portemonnee controleren om te zien of de portemonnee betrouwbare sleutels genereert.

 

De ELLIPAL Titan heeft echter een speciale oplossing die andere closed-source portemonnees niet hebben. Gebruikers kunnen hun privésleutels of zaden importeren (via geheugensteuntjes) die ze hebben gegenereerd met behulp van software die ze vertrouwen. Gebruikers hoeven de portemonnee niet te vertrouwen omdat de sleutels ergens anders worden gegenereerd. Het is een onbetrouwbaar vertrouwen.

 

"ELLIPAL maakt het importeren van privésleutels mogelijk om alle zorgen die voortkomen uit het feit dat het een gesloten bron is, weg te nemen."

 

Aanvullende informatie voor nieuwe gebruikers: in een volledig functionele crypto-portemonnee zullen er veel onderliggende privésleutels zijn voor verschillende munten, berekend op basis van een zaadje. Dit werd door BIP32, BIP39 en BIP44 gedefinieerd als HD-portemonnee. Wanneer u uw portemonnee verliest, kunnen de geheugensteuntjes uw zaad terughalen en vervolgens uw privésleutels van al uw munten opnieuw aanmaken in een nieuwe portemonnee. Houd er dus rekening mee dat 'ezelsbruggetjes' een andere vorm van uw privésleutels zijn. Geef het alsjeblieft aan niemand; anders verliest u uw bezittingen.

 

2) Sleutel-/zaadbescherming

 

De basis van de bescherming van privésleutels is isolatie en geformatteerde toegang. Een SE-chip (Secure Element) is een veelgebruikte keuze voor ingenieurs om privésleutels in een hardwarewallet te beschermen. Een ander alternatief dat ook zeer effectief is, is om de hardware wallet te isoleren van externe verbindingen, met andere woorden, door hem air-gapped te houden.

 

Omdat er geen verbindingen zijn toegestaan ​​voor een portemonnee met luchtopening, gebruiken portemonnees zoals de ELLIPAL Titan QR-codes als communicatie-interface in plaats van USB of Bluetooth. Tijdens een QR-codescan worden de gegevens zichtbaar en moet de gebruiker de code handmatig scannen. Het formaat is open, gedocumenteerd en de inhoud kan eenvoudig worden geverifieerd om te controleren of er geen gegevens zijn gelekt. In tegenstelling tot open-source portemonnees is het open dataformaat van de ELLIPAL met de QR-code eenvoudiger en natuurlijker te controleren.

 

"ELLIPAL's QR-code in open dataformaat is zelfs nog eenvoudiger te verifiëren dan open-sourcecode."

 

Naast het beschermen van de privésleutels met behulp van software tegen manipulatie en aanvallen, kunnen technici de hardware upgraden om nog meer bescherming te bieden. Er zijn bijvoorbeeld anti-manipulatie- en anti-demontagefuncties toegevoegd aan de hardware van de ELLIPAL Titan om te beschermen tegen supply chain-aanvallen en kwaadaardige dienstmeisjes.

 

Als je rekening houdt met een hardwareportemonnee van dichtbij met robuuste software- en hardwarebescherming, zullen hackers jaren nodig hebben om het systeem te kraken. Aan de andere kant kunnen hackers gemakkelijk opnieuw compileren en kennen ze de aanvalspunten van een open-source portemonnee.

 

"Voor een goed beschermde closed-source portemonnee als de ELLIPAL Titan kunnen hackers er jaren over doen om het systeem te kraken, vergeleken met open-source portemonnees waar de code direct beschikbaar is om te worden uitgebuit."

 

3) Uitgavenproces

 

Het crypto-bestedingsproces (transactie) wordt door gebruikers meestal vergeten als het over de bescherming van privésleutels gaat. Tijdens het uitgeven is het aanvalspunt gericht op het online gedeelte, namelijk de APP. Vanwege het online karakter van de APP is het gemakkelijk om aangevallen te worden door hackers. Bij een neptransactie kunnen uw munten naar het adres van de hacker worden gestuurd in plaats van naar het uwe.

 

Een eenvoudige functie die de gebruiker kan beschermen, is het tonen van het adres van de ontvanger door de volledige transactiegegevens te decoderen. Het maakt niet uit of uw portemonnee gesloten of open source is; Als het u niet elk deel van uw transactiegegevens duidelijk kan laten zien, is het niet veilig.

 

"ELLIPAL Titan toont alle transactiegegevens duidelijk op het grote scherm en op de APP, zodat gebruikers deze kunnen verifiëren voordat ze deze indienen."

 

4) Sociale engineering

 

Ongeacht hoe technisch veilig een portemonnee ook is, veel mensen verliezen hun bezittingen omdat ze het slachtoffer zijn van social engineering-aanvallen. Het gluren van de pincode of een oplichter die zich opdringt als klantenondersteuning, social engineering-aanval is vooral de reden dat mensen hun munten verliezen.

 

Een product met een goed beveiligd ontwerp zou gebruikers moeten helpen dit soort problemen te voorkomen. Deze hebben geen betrekking op het feit dat de portemonnee wordt geopend of een gesloten bron is. Als je eenvoudige cijfers als pincode gebruikt en jezelf kwetsbaar maakt voor meegluren, kan open-source je niet helpen. Als een portemonnee 2-factor bescherming heeft, zoals de ELLIPAL Titan, is deze moeilijker te bekijken en veiliger dan open source.

 

"ELLIPAL Titan is ontworpen om uw cryptocurrency te beschermen tegen de meest eenvoudige maar onvoorstelbare aanvallen."

 

----------------

We hebben in essentie gesproken over portemonneebeveiliging en open source. Er kan worden geconcludeerd dat ze niet noodzakelijkerwijs met elkaar verband houden.

Vanuit een ander gezichtspunt biedt open source de hele gemeenschap de kans om het product te verbeteren op het gebied van softwarefuncties en beveiliging. Dit beperkt zich echter alleen tot het softwaregedeelte. Hoe de hardware en applicatie zijn ontworpen, is nog steeds niet te controleren. Het is altijd van cruciaal belang dat gebruikers de beveiliging en cryptocurrency begrijpen om hardware wallets met het hoogste beveiligingspotentieel te kunnen gebruiken.

 

 

referentie

1) https://donjon.ledger.com/Unfixable-Key-Extraction-Attack-on-Trezor/

2) https://www.financemagnates.com/cryptocurrency/news/kraken-says-trezor-wallets-can-be-hacked-in-15-minutes/

3) https://github.com/ELLIPAL/js-ellipal

4) https://github.com/ELLIPAL/air-gapped_qrcode_data_format

5) https://github.com/ELLIPAL/upgrade-file-verification-tool

6) https://www.youtube.com/watch?v=vt-zXEsJ61U