在今年的MIT比特币世博会上,硬件钱包厂商Ledger在会议现场演示了针对同行Trezor的五种攻击方式,此后,该公司还在其官网公布了具体的漏洞细节。可以预料到是,很多购买Trezor或其仿品硬件设备的用户们会坐不住了。还不了解这回事的读者,可以先阅读巴比特wendy小姐姐报道的这篇文章:《硬件钱包安全团队屡出奇招,Ledger向同行Trezor下手了》那么,我们是否就可以说,Trezor是不安全的,而Ledger就是更好的选择呢?当然不能如此简单下定论,我们也要听听另一方的解释。根据Trezor方面给出的回应来看,Ledger所提到的漏洞,均需物理访问,其中有部分已被Trezor解决,部分属于所有硬件设备都存在的问题,其余部分则是当前所有基于ST微芯片设备存在的问题,这也包括Ledger本身。通过这起事件,我们可以了解到,没有任何一个硬件钱包是可以做到100%安全的,重要的是用户要提高安全意识。以下为Trezor方面的回应:
优博讯:公司目前没有正式推出数字货币相关产品:优博讯在互动平台表示,公司参与了部分试点商户的智能POS软硬件更新升级,以便其参与此次深圳数字人民币的试点应用。但因目前数字人民币相关技术和应用标准还未正式发布,公司目前没有正式推出数字货币相关产品,请您注意投资风险,切勿跟风炒作。[2020/10/12]
我们希望借此机会解决、澄清以及回应Ledger在MIT比特币世博会上针对Trezor提出的声明。简单回应:
供应链攻击:超出范围,影响运输中的所有硬件,没有100%的解决方案,所有公司都有不同的方法来缓解这一问题;软件漏洞攻击:不可利用,已修复;侧通道PIN攻击:已修复;侧通道攻击标量乘法:不可利用,需要PIN;意外结束攻击:未完全披露,对基于ST微芯片的所有硬件设备都有影响,可通过口令缓解;首先,我们要强调的是,这些攻击都不是可远程利用的。所有演示的攻击向量,都需要物理访问设备,攻击者需要使用专用设备,并掌握专业的攻击技术,最后还需要时间。这就是为什么我们认为,这些问题对于绝大多数硬件钱包用户来说,它们的重要性是较低的。最近与币安合作展开的研究证实了这一点,只有5.93%的受访者认为物理攻击是对加密货币的最大威胁,而66%的受访者认为远程攻击是主要威胁。这5.93%的人群,可通过使用密码短语进行保护,通过这种方式可覆盖设备和恢复种子的物理安全性。
波场官方:Defi项目OKS与波场官方与孙宇晨本人没有任何关系:波场官方今日发布声明:波场社区近期盛传Defi项目OKS,经查该项目为社区开发者自行开发Defi项目,与波场官方与孙宇晨本人没有任何关系,合约并未经过官方审计,请投资者注意投资与黑客攻击风险,波场与孙宇晨不负任何责任。经与P网沟通,OKS与P网IEO也没有任何关系。OKS处于早期,投资风险极大,不鼓励投资者参与该项目。[2020/7/2]
币安的安全调查结果,样本为14471名受访者硬件钱包的主要用途,始终是保护资金免受恶意软件攻击、计算机病和各种其他远程威胁的侵害。虽然实现完美的物理安全是一个崇高的目标,但这一目标最终还是无法实现的,这是因为5美元扳手攻击的存在。此外,如果一个人有足够的资金、时间和资源,没有硬件障碍可抵御住他们的攻击。如果我们考虑到意外盗窃,那么他发现你的硬件钱包,并偶然拥有攻破这些设备所需装备,其可能性是相对较小的。
声音 | 李启威:LocalBitcoins如果没有现金交易 那就没有任何意义:据ambcrypto报道,LocalBitcoins近日取消现金交易选项。LTC创始人李启威称,LocalBitcoins如果没有现金交易那就没有任何意义。LocalBitcoins应该像一个去中心化解决方案,人们将其用作接触以及交易比特币的工具,工具不应该强调KYC程序,或者禁止个人以及国家。[2019/6/14]
5美元扳手攻击,https://xkcd.com/538/我们在设计Trezor设备时,考虑了上面解释的威胁模型——我们的主要重点是保护用户免受远程攻击。也就是说,结合强大的密码和至少基本的操作安全原则,即使是Ledger所提出的物理攻击,也不会影响到Trezor用户。知道了这一点,让我们看看Ledger在周日所提到的问题。问题1-供应链攻击
声音 | Citadel首席执行官:没有一个认识的投资组合经理对加密市场感兴趣:据CCN报道,Citadel对冲基金的首席执行官兼创始人Ken Griffin表示,没有任何一个他认识的投资组合经理告诉他对加密市场感兴趣,认为应该购买加密货币。 Griffin表示很难为一种自己不相信的产品提供流动性,仍然对比特币感到头疼。[2018/7/20]
“供应链攻击”是所有硬件设备都存在的永恒问题,无论它们受到多大程度的保护。一件硬件无法检查自身,并验证其完整性。硬件认证并不是一个解决方案,因为硬件修改是可被添加的,这会导致设备确认它是真的。此外,我们所有的制造过程都是在欧盟,在那我们会紧密控制整个制造过程。
演示将任意恢复词注入到Ledger硬件钱包,演示人:SaleemRashid问题2-软件漏洞攻击
在Trezor代码库测试期间,Ledger研究人员发现了两个问题,他们也确认了我们的代码对恶意行为者的抵抗力很强。尽管这些漏洞无法利用,但我们还是修复了它们。我们想利用这个机会,感谢Ledger再次确认Trezor源代码是高质量编写的。问题3-侧通道攻击PIN
在TrezorOne钱包上的侧通道攻击PIN确实是令人印象深刻的,我们赞扬Ledger的努力。同时,我们要感谢Ledger负责任地向我们披露这个问题。这种攻击向量,可通过将TrezorT模型上的数据存储方式向后移植到TrezorOne而解决。问题4-侧通道攻击标量乘法
此漏洞假定攻击者拥有用户的PIN,并拥有对设备的物理访问权限,以及最终的密码短语。掌握了以上所有,攻击者就完全掌握了硬件钱包所保管的所有资金。问题5+6意外结束攻击
这两个问题实际上是相同的,但6比5听起来更好。尽管如此,我们对Ledger宣布这一问题感到惊讶,特别是在Ledger明确要求不公布这一问题之后,因为这可能会影响整个微芯片行业,而不仅仅是硬件钱包。由于Ledger目前正在与芯片制造商谈判,我们也将避免泄露任何关键信息,除了此攻击载体也是资源密集型的,其需要实验室级的设备来操作微芯片以及深入的专业知识。Ledger,我们仍在和ST讨论中,请不要提及攻击细节,好吗?如果你是一名Trezor钱包用户,并害怕针对设备的物理攻击,我们建议你设置一个受密码保护的钱包。在最佳情况下,可使用多个密码进行组合保护。密码将完全缓解此攻击向量。虽然应该赞扬硬件测试和遵守负责任的披露,但最后一个问题的披露,似乎还为时过早。SatoshiLabs首席执行官MarekPalatinus表示:我们要感谢Ledger实际演示了我们自设计Trezor以来所意识到的所有攻击方式。因为我们意识到没有硬件是100%安全的,所以我们引入了密码短语的概念;除了合理的可否认性之外,还消除了很多物理攻击,比如这次Ledger提到的。结论
Ledger在MIT比特币博览会上的陈述概要整个事件对我们来说是一个宝贵的教训。我们需要传达一些我们已知的信息:没有硬件是不可破解的,根据你的安全模型,你可以使用一些工具来减轻威胁。而对于那些担心物理攻击的用户来说,设置合理否认和操作安全的密码是可行方法。而对于关注远程攻击的用户来说,其实没有发生任何变化。我们将在未来继续推广密码短语功能,以及其他操作安全策略,以确保您的安全。
编者按:本文来自白话区块链,作者:刘怡嘉,Odaily星球日报经授权转载。他从小信奉遵守的行事原则就是“当第一”:第九届新概念作文大赛第一;北京大学历史学系年级第一;湖畔大学第一位90后学员;创.
凡是涉及到币,就一定离不开挖矿。以太坊网络中,想要获得以太坊,也要通过挖矿来实现。那么,说到挖矿,就一定离不开共识机制。比特币的共识机制是PoW(工作量证明机制).
目前,加密货币领域的绝大多数人都在期待着比特币ETF。但英国《金融时报》周六报道称,独立投资管理公司Invesco宣布推出“全球最大的区块链ETF”.
继2018年10月推出高端视频访谈节目《直面大佬》采访知名比特币投资人李笑来之后,博链财经又携手36氪独家战略合作媒体《Odaily星球日报》推出深度在线互动访谈栏目——《牛熊启示录》.
2018年已经过去了,我很怀念它。不是因为已经发生的这么多事情,而是因为它为未来的十年奠定了一个基调。在已经结束的这一年里,美国股市在10月开始了暴跌,神话终究还是逃不过现实.
文:昊华编辑:邓龙日益复杂的国际环境,给跨境贸易带来了很多问题。尤其在跨境支付和结算以及贸易融资和交易结算中,因各个国家政策不同,清关、税务、退件等问题困扰着跨境物流企业.