Cosine: Hé lộ bí ẩn đằng sau việc hack SIM, đình chỉ mạng chính bZx và IOTA

Tiêu đề gốc: "Slow Mist Cosine: Hé lộ bí ẩn đằng sau việc đình chỉ mạng chính IOTA, bZx và SIM bị hack, làm điều này có thể cải thiện bảo mật tài khoản | Đại học Sức mạnh Máy tính Toàn văn của khóa học mở video"
Nguồn gốc: Power Think Tank

Lý thuyết sức mạnh tính toán

Cuộc khủng hoảng dịch bệnh toàn cầu, văn phòng phân tán, chỉ tính từ tháng 2, nhiều sàn giao dịch, chuỗi công cộng chính thống, dự án DeFi phổ biến bZx và thậm chí cả tài sản kỹ thuật số cá nhân đã bị đánh cắp. Trong lĩnh vực tài sản kỹ thuật số, bảo mật là một chủ đề muôn thuở. Trong số này, Đại học Điện toán đã mời Yu Xian, chuyên gia bảo mật blockchain và người sáng lập SlowMist Technology, để chia sẻ những điểm chính về bảo vệ an ninh tài sản kỹ thuật số.

Cosine giải thích cách bảo vệ tính bảo mật của tài sản kỹ thuật số từ góc độ sử dụng khóa riêng, phán đoán về bảo mật dự án và lựa chọn Họ cho rằng có nhiều chi tiết có thể gây ra sơ hở trong việc quản lý khóa riêng và ví.

Điều chúng ta đang nói đến lần này là một số sự cố bảo mật của các sàn giao dịch, chuỗi công khai, ví và cá nhân. Quan trọng hơn, làm thế nào chúng ta có thể xử lý được Bảo vệ bản thân tốt hơn. Chúng tôi hy vọng việc chia sẻ này sẽ cung cấp cho mọi người ý tưởng về nơi có thể xảy ra các mối đe dọa. Có thể thính giả tham gia buổi phát sóng trực tiếp này không chỉ là cá nhân mà còn có một số sàn giao dịch, nhà thầu hay thậm chí là những người trong chuỗi cung ứng, tôi hy vọng họ có thể lấy được chút cảm hứng từ chia sẻ của tôi.

1
Khóa riêng, ví và thẻ SIM đã bị tấn công và các lỗ hổng bảo mật bị lộ do các sự cố bảo mật gần đây

Trước tiên hãy bớt nhạy cảm và nói về một số sự cố bảo mật được tiết lộ trong tháng qua.

Sàn đầu tiên là sàn giao dịch tiền điện tử Altsbit của Ý. Mặc dù số tiền tương đối nhỏ và đây là một sàn giao dịch tương đối mới, tuy nhiên, sàn giao dịch này ban đầu có một số tiền tương đối nhỏ và số tiền bị đánh cắp thực sự chiếm khoảng một nửa số tiền của họ nên họ tuyên bố phá sản.

Cái thứ hai là IOTA, Chúng tôi nhận thấy điều này Sự cố chủ yếu là do toàn bộ mạng chính của IOTA đã bị đình chỉ do sự cố này.

Bạn có thể tưởng tượng rằng một chuỗi công khai nổi tiếng có thể tạm dừng mạng chính. Điều gì sẽ khiến họ làm điều này? Điều gì đó?

Mạng chính của chuỗi công khai bị đình chỉ, chẳng hạn như Bitcoin và Ethereum. Nếu chúng bị đình chỉ, điều đó có nghĩa là không có hoạt động nào nữa có thể được thực hiện Đối với các giao dịch, các hợp đồng khác nhau chạy trên đó không thể được thực hiện bình thường và tổn thất sẽ rất lớn. IOTA đã làm như vậy vào thời điểm đó, vì ví chính thức của họ giới thiệu các thành phần của bên thứ ba và các thành phần của bên thứ ba đã bị hack, điều này ảnh hưởng gián tiếp đến nhiều người dùng ví chính thức của họ, dẫn đến khóa riêng và mật khẩu của họ bị đánh cắp. Các khoản thiệt hại đã được tính toán bao gồm khoảng 8,55 triệu IOTA bị đánh cắp, trị giá khoảng 2,3 triệu USD.

Khi sự việc xảy ra, toàn bộ cộng đồng và các quan chức đều rất sợ hãi. Họ không biết vấn đề ở đâu. Họ chỉ nhận được rất nhiều khiếu nại từ người dùng, nói rằng tiền của họ đã bị mất. Để điều tra vấn đề này, họ đã phải đình chỉ toàn bộ mạng chính.

Theo chúng tôi, tác động này là một sự kiện rất sâu rộng, nhưng ở Trung Quốc, ngoài việc chủ động theo dõi về sự kiện này, ngoài việc tiết lộ và tương tác với các quan chức cũng như một số người có liên quan trong cộng đồng trên Twitter, về cơ bản tôi không thấy các đội bảo mật khác phản hồi về vấn đề này.

Lúc đó chúng tôi phát hiện ra nguyên nhân bị hack là do ví chính thức phát hành phiên bản mới có tích hợp giao dịch mô-đun, tương đương với Có một chức năng trao đổi.

Một ví như vậy, phiên bản dành cho máy tính để bàn của nó sử dụng khung phát triển JavaScript rất nổi tiếng. Quyền truy cập của anh ta vào bên thứ ba cũng được nhúng thông qua một cuộc gọi từ xa bằng JavaScript. Điều này sẽ gây ra sự cố, nếu bên thứ ba bị chiếm quyền điều khiển hoặc bị hack, sau khi nội dung JavaScript bị thay đổi, nó có thể ảnh hưởng trực tiếp đến ví IOTA vì toàn bộ môi trường chạy của nó là JavaScript.

Như vậy về cơ bản có thể coi là có vấn đề với bên thứ ba. Người dùng chỉ cần mở ví này và kết nối với Internet song song. Với khóa riêng của bạn, mật khẩu và một số thông tin liên quan mà bạn có thể thao tác có khả năng lấy được mã JavaScript độc hại này. Đây là một trường hợp tấn công rất thực tế. Chúng tôi cũng xuất khẩu các báo cáo nghiên cứu bằng tiếng Trung và tiếng Anh.

Sau đó là bZx. bZx là một dự án DeFi. Trên thực tế, trước khi nó bị hack, chúng tôi biết rất ít về nó. Suy cho cùng thì , ở Trung Quốc Nó không được công bố rộng rãi và tương đối ít người sử dụng nó. Có phải vì sau khi nó bị hack một lần rồi bị hack lần thứ hai nên chúng ta mới thực sự quan tâm đến việc tại sao nó lại bị hack?

Trên thực tế, nguyên nhân cơ bản nằm ở toàn bộ mô hình kinh tế còn khiếm khuyết trong kiểm soát rủi ro. Theo quan điểm của chúng tôi, bao gồm cả dòng vốn chung trong các thỏa thuận này, v.v., chúng là những sai sót trong kiểm soát rủi ro trong mô hình kinh tế tổng thể trong và ngoài hệ thống. Vì vậy, theo hiểu biết của chúng tôi về vấn đề này, nó không phải là một vấn đề quá truyền thống, ví dụ như một lỗ hổng rất đơn giản như lỗ hổng trong hợp đồng thông minh trước đây hoặc một số quyền quá mức, vượt quá thẩm quyền, v.v.

Biến động này là một sự kiện tấn công chỉ có thể xảy ra bằng cách kết hợp các hệ thống bên trong và bên ngoài của toàn bộ mô hình kinh tế. Trước khi bị tấn công, các đội khác thực tế đã cảnh báo họ rằng có thể xảy ra vấn đề như vậy. Nhưng một trong những quy tắc thực thi mà những hacker ngầm này tuân thủ là phải thực hiện. Tức là bạn phải làm và cho mọi người thấy, bạn phải thực sự làm được, thay vì nói về những vấn đề có thể gặp phải.

Tất nhiên, cảnh báo sớm như vậy cũng tốt, nhưng nhiều khi các quan chức sẽ cảm thấy họ rất quen thuộc với hợp đồng thông minh và DeFi. Thế giới quá tự hào. Chỉ sau khi họ thực sự bị chơi thì mọi người mới nhận ra rằng rủi ro về mặt lý thuyết này sẽ thực sự xảy ra. Đây là một tiết lộ do bZx mang đến cho chúng tôi.

Theo quan điểm của chúng tôi, nó là đại diện cho nhãn phân cấp. Tuy nhiên, dù là phi tập trung hay tập trung thì đều có những rủi ro đi kèm.

Lần gần đây nhất chắc hẳn mọi người sẽ rất ấn tượng. Đó là vào cuối tuần vài ngày trước, người này tên là Josh Jones. Chúng tôi cũng đã đưa ra những suy đoán có liên quan. Vào thời điểm đó, anh ấy nói trên Reddit rằng anh ấy đã bị đánh cắp, số tiền có thể là hơn 1.500 Bitcoin và gần 60.000 BCH. Anh ấy nói rằng thẻ SIM của anh ấy đã bị hack. Thẻ SIM là một mô-đun rất quan trọng trong điện thoại di động. Nếu thẻ SIM bị hack chẳng hạn, thẻ SIM của tôi bị hacker sao chép, điều đó có nghĩa là tôi có số điện thoại di động của mình . Việc nhận bất kỳ thông tin nào, chẳng hạn như mã xác minh của nền tảng liên quan, có thể trực tiếp khiến rủi ro tiền của tôi trên nền tảng này bị ảnh hưởng.

Tại sao chúng ta lại tin anh ấy hơn khi anh ấy nói rằng thẻ SIM đã bị hack? Đó là vì năm ngoái, có rất nhiều người dùng sàn giao dịch Coinbase. Tất cả là do thẻ SIM của họ đã bị hack, dẫn đến việc tiền của họ trên Coinbase bị đánh cắp. Theo quan điểm của chúng tôi, điều này có thể là do cùng một loại rủi ro, đó là bên thứ ba.

Trên thực tế, nó có cảm giác rất giống với IOTA đã đề cập trước đó. IOTA đã bị hack vì ví được nhúng vào sàn giao dịch của bên thứ ba . của. Vụ hack này và các vụ hack Coinbase và Josh Jones đều là do bên thứ ba.

Các phương thức tấn công thẻ SIM thực sự khá phổ biến, nhưng bạn không cần phải lo lắng quá nhiều ở Trung Quốc vì nước này đã qua rồi giai đoạn đầu Có nhiều sự hỗn loạn khác nhau giữa các nhà khai thác và thậm chí cả hành vi xấu xa trong nội bộ các nhà khai thác, bao gồm một số luật và quy định liên quan của chúng tôi. Số điện thoại di động của bạn sẽ không dễ dàng bị người khác sao chép.

Ở nước ta cách đây khoảng 10 năm, hiện tượng này khá phổ biến. Tuy nhiên, sức mạnh của các nhà khai thác ở nước ngoài có thể không mạnh bằng Trung Quốc của chúng ta, mọi người đều biết rằng trình độ cơ sở hạ tầng của nước ta rất mạnh. Nhiều nhà khai thác ở nước ngoài được điều hành bởi các doanh nghiệp tư nhân và sức mạnh kỹ thuật của họ không nhất thiết phải cao, một số thỏa thuận nội bộ có liên quan, bao gồm một số trong số đó, có thể là phiên bản rất cũ và quản lý kiểm soát rủi ro của họ có thể tương đối lạc hậu. thực sự là các nhà khai thác ở nước ngoài. Số điện thoại di động đã được sao chép thông qua kỹ thuật xã hội và các phương pháp khác.

Chúng tôi sẽ nhắc bạn về điều này. Nếu bạn là người dùng ở nước ngoài, ngoài việc sử dụng số điện thoại di động của bạn làm hai yếu tố , tốt nhất bạn nên sử dụng các ứng dụng xác thực phụ như Google Authenticator hoặc một số giải pháp cấp phần cứng.

Trên đây là một số điều đã được tiết lộ công khai trong tháng qua. Trên thực tế, vẫn còn nhiều điều chưa được công bố không được tiết lộ.

2
Làm cách nào để quản lý khóa riêng của bạn?

Chúng tôi đã thấy rất nhiều vấn đề trong tháng qua và chúng thực sự tồn tại cả bên trong lẫn bên ngoài. Ví dụ: mọi người trong nội bộ đều biết rằng khóa riêng là danh tính. Có những tài sản rất quan trọng trong khóa riêng, bao gồm ba điểm chính, từ việc tạo khóa riêng đến việc lưu trữ và sử dụng ba liên kết này, nếu không có sự cảnh giác trong bất kỳ liên kết nào, có thể theo thời gian sẽ trôi qua , khi gặp phải những rủi ro nhất định thì khả năng quay lại hoặc điều tra là rất thấp.

Khi chúng tôi thường đề cập đến khóa riêng tư, chúng tôi cũng đề cập đến những thứ như đa chữ ký, bao gồm một thuật toán rất phổ biến hiện nay được gọi là an toàn đa bên tính toán. , nhưng trong những ngày đầu, nhiều người thực sự cần quản lý một số tài sản nặng, đặc biệt là một số loại tiền tệ và việc hỗ trợ đa chữ ký của nó không được yên tâm cho lắm.

Ví dụ: Ethereum, mọi người đều biết rằng giải pháp đa chữ ký phổ biến của Ethereum được triển khai thông qua các hợp đồng thông minh. Tuy nhiên, hợp đồng thông minh đa chữ ký đã có vấn đề về bảo mật trong lịch sử và chúng tôi không thể tin 100% rằng có thể đạt được bảo mật tuyệt đối của nhiều chữ ký thông qua hợp đồng thông minh trên chuỗi.

Ngay cả khi tôi không thực hiện hợp đồng thông minh và thực hiện việc tạo đa chữ ký ngoài chuỗi trên bộ giao thức, vẫn có không có gì đảm bảo rằng nó sẽ tuyệt đối. Nhưng ở đây chúng ta sẽ cảm thấy thoải mái hơn. Lý do là phương pháp này đã được xác minh vô số lần trong lịch sử, nếu có sự cố xảy ra, về cơ bản mọi người đều có thể nghĩ rằng có một vấn đề rất, rất lớn với toàn bộ chuỗi công khai hoặc cơ sở hạ tầng của các chuỗi công khai nổi tiếng này. Lúc này, không còn chỉ là một số trường hợp cá nhân nữa mà chắc chắn là một vụ việc có quy mô rất lớn.

Vì vậy, từ góc độ xác suất và kiểm tra mã liên quan, bao gồm cả tần suất sử dụng, nhiều người sẽ thích những giải pháp gốc như BTC Một giải pháp minh bạch , chứ không phải là hợp đồng thông minh có nhiều chữ ký do bên thứ ba viết. Mặc dù các hợp đồng thông minh này đã vượt qua kiểm tra bảo mật nhưng chúng tôi không tin tưởng vào hợp đồng thông minh và các máy ảo cơ bản của chính hợp đồng thông minh.

Vì vậy, trong những ngày đầu, nhiều người đã tạo khóa riêng theo cách rất thời đồ đá. Người ta nói rằng sau khi khóa riêng được tạo, chẳng hạn như khóa riêng hoặc cụm từ ghi nhớ, thông qua nhiều bản sao và bản sao, nhiều người sẽ chịu trách nhiệm. Những người này ban đầu có thể rất tin tưởng lẫn nhau, ví dụ như nếu có ba người, nếu bất kỳ hai người nào lấy được khóa riêng hoặc các đoạn từ ghi nhớ thì họ có thể tạo thành một khóa riêng hoàn chỉnh.

Nhưng câu hỏi đầu tiên là ai sẽ thực hiện việc đó khi tạo khóa riêng? Môi trường anh ấy làm việc có an toàn không? Anh ấy nói rằng anh ấy đã xóa nó sau khi hoàn thành và có một số cách nhất định để khôi phục dữ liệu đã bị xóa. Điều này không giải quyết được vấn đề uy tín ngay từ đầu và sẽ gieo mầm mống đáng nghi ngờ hoặc nghi ngờ. Vì những vấn đề này mới ở giai đoạn đầu nên rất khó điều tra rõ ràng.

Bước tiếp theo là lưu trữ, cách đặt khóa riêng ở nơi an toàn.

Cái còn lại là sử dụng, cuối cùng bạn vẫn phải sử dụng, bạn phải chơi những đồng tiền này hoặc bạn phải chuyển chúng , vân vân. Chỉ cần bạn sử dụng nó, dù trực tiếp hay gián tiếp, bạn sẽ có khả năng kết nối mạng, hay môi trường hoạt động của bạn vào thời điểm đó có an toàn không?

Trên thực tế, nhiều vụ việc nội bộ gần đây xoay quanh khóa riêng. Các khóa riêng vừa đề cập đều ở cấp độ blockchain. Nó là rất cốt lõi, rất cơ bản và ở mức độ rất thấp.

Ở toàn bộ cấp độ hệ thống, chẳng hạn như sàn giao dịch hoặc ví, để vận hành, có nhiều mô-đun kinh doanh khác nhau, chẳng hạn như chuyển tiền tệ sang -giao dịch tiền điện tử, Giao dịch tiền tệ hợp pháp, chuyển khoản giữa các ví, nạp tiền, phản ánh, v.v. Bao gồm một số phương pháp mới hiện nay, chẳng hạn như giao dịch hợp đồng, đòn bẩy và bạn có thể có quyền giám sát quỹ và bạn có thể sử dụng bên thứ ba.

Khi chúng tôi xem xét các vấn đề bảo mật, khi một thứ được nâng lên cấp cao hơn và hướng đến người dùng nhiều hơn, thì độ phức tạp bảo mật tổng thể sẽ tăng lên . Phóng to lên. Vì vậy, chúng tôi cũng phát hiện có nhiều trường hợp bị hack, hoặc bị đánh cắp coin do thiếu kiểm soát rủi ro ở cấp trên hoặc nền tảng quản lý liên quan đã bị hack.

Nhiều người có thể nghĩ rằng nền tảng quản lý của tôi, làm sao tin tặc có thể nhìn thấy được? Trên thực tế, miễn là bạn được kết nối với Internet, máy tính của bạn có thể bị cấy Trojan hoặc vi-rút, điều này có thể khiến quyền của các nền tảng liên quan này bị đánh cắp.

Khi chúng tôi phân tích một sự cố bị tấn công hoặc một sự cố tiền tệ bị đánh cắp, cách tiếp cận của chúng tôi chắc chắn là triệt phá nó từ trên xuống dưới. Chia thành nhiều phần lớp và mô-đun, chúng ta sẽ sử dụng phương pháp đơn giản nhất, được gọi là phương pháp loại trừ. Việc loại bỏ từng mảnh, từng mảnh cuối cùng sẽ quyết định gốc rễ của nó ở đâu.

Nhưng quá trình này thực sự rất tốn thời gian. Quá trình tốn nhiều thời gian nhất có lẽ phải mất hơn hai tháng trước khi chúng tôi tiết lộ sự thật . Khám phá. Khoảnh khắc cả nhóm biết được sự thật, chúng tôi gần như rơi nước mắt và cảm thấy đờ đẫn trong giây lát.

Chúng tôi hiểu sâu sắc rằng bất kỳ sự cố nào, theo quan điểm của chúng tôi, cũng giống như giải quyết một tội phạm và chúng tôi cần sử dụng phương pháp loại trừ để liệt kê ra mọi khả năng, sau đó loại bỏ từng khả năng một. Và nhiều khi mô tả của nhiều người có vấn đề, nếu bạn phải xem xét kỹ lưỡng, trí nhớ của anh ta cũng có thể bị lỗi, thậm chí có thể anh ta đang cố tình gây hại, bạn phải xem xét kỹ lưỡng.

Trên thực tế, không có nhiều vụ án được giải quyết thành công trong lịch sử của chúng ta. Tỷ lệ các vụ án có thể giải quyết được có thể chỉ nhiều hơn một nửa. Điều này không có nghĩa là nó hoàn toàn có thể. . Xác suất lấy lại số tiền bị đánh cắp sau khi phá án thậm chí còn thấp hơn.

Bởi vì mọi người đều biết rằng các giao dịch tiền điện tử là minh bạch và hiển thị trên chuỗi, nhưng tính minh bạch này chỉ giới hạn ở các giao dịch và sẽ không được ghi lại. IP của bạn, quyền riêng tư của bạn trong thế giới thực.

Khi theo dõi trên chuỗi, một trong những điểm thú vị hơn là cuối cùng những đồng tiền này sẽ được chuyển đổi thành tiền đấu thầu hợp pháp, nhưng A vấn đề về độ dài thời gian.

Tôi có thể quay lại để đổi nó sau khi cơn bão đi qua trong vài năm tới, và cuối cùng bạn sẽ đổi nó lấy tiền hợp pháp. Chúng tôi đã tìm thấy nhiều trường hợp họ rất muốn chuộc lại nó.

Nếu chúng ta là tin tặc ngầm, bất kể sử dụng phương pháp nào, cho dù tiền có bị đánh cắp thông qua sơ hở trong các ví trao đổi này hay không, hoặc Cho dù đó là lừa đảo nhiều người dùng khác nhau và đánh cắp tiền của họ hay mã hóa máy chủ và máy tính của bạn thông qua ransomware, bạn phải trả cho tôi Bitcoin hoặc Monero, v.v. Dù thế nào đi chăng nữa, nếu tôi đánh cắp những đồng tiền này, tôi sẽ tìm cách rút chúng ra.

Điều này liên quan đến việc tiền của bạn sẽ được chuyển đến sàn giao dịch. Trước khi tham gia sàn giao dịch, ngày càng có nhiều phương pháp thực hành chuyên nghiệp được sử dụng. Nó sẽ trải qua một nền tảng trộn tiền tệ. Sự tồn tại của các nền tảng trộn tiền này là một loại trò chơi dành cho những người khác có nhu cầu rửa tiền. Số tiền tôi rửa ở đó mỗi lần không được quá nhiều, không quá nhiều nghĩa là tốc độ của tôi sẽ chậm, ngoài ra, tôi có thể sẽ tìm thêm vài công ty để cùng nhau rửa, lý do là nếu công ty của bạn gặp khó khăn , Bây giờ, tất cả các chuỗi bằng chứng về hoạt động rửa tiền của tôi trên nền tảng của bạn đều có thể được tìm thấy và bạn thậm chí sẽ ghi lại IP của tôi, v.v.

Những phương pháp này không đặc biệt hiệu quả khi đối mặt với một số siêu cường. Như vậy các bạn có thể thấy, rửa coin cũng là một nghệ thuật, không hề dễ dàng, phong trào càng lớn thì khả năng bị lộ càng cao.

Cuối cùng, sau khi thoát khỏi việc trộn tiền, bạn phải tham gia vào một số sàn giao dịch nổi tiếng, vì chúng có tiền hợp pháp các kênh để thoát ra và ở đây một lần nữa Nó liên quan đến danh tính và số tài khoản của bạn trên sàn giao dịch này. Các hacker chuyên nghiệp sẽ không bao giờ sử dụng danh tính riêng của họ để đăng ký các sàn giao dịch này. Các KYC khác nhau, các danh tính khác nhau và thậm chí cả nhận dạng video của họ đều có thể là giả mạo.

Đây là một chuỗi ngành công nghiệp hacker ngầm rất hoàn chỉnh và tất cả đều phụ thuộc vào tiền để mua nó. Vì vậy, ví dụ, nếu tôi đánh cắp 100 triệu đô la Mỹ tiền xu, cuối cùng chúng sẽ được rửa bởi nhiều trung gian khác nhau, tôi có thể đã giẫm phải bẫy và tiền của tôi sẽ không thể thoát ra, v.v., và cuối cùng 23% sẽ bị đánh cắp Mười, đã được coi là rất may mắn.

3
Làm thế nào để đánh giá dự án này có an toàn hay không?

Vấn đề chính mà nhiều người quan tâm là dự án đó an toàn hay không an toàn. Đánh giá thế nào?

Đây không phải là một việc dễ dàng nhưng chúng tôi vẫn cung cấp một số cơ sở để nhận định, có thể dùng làm tài liệu tham khảo cho mọi người.



Đầu tiên, liệu có đội ngũ an ninh nội bộ tốt không? Hoặc một người cốt lõi có kinh nghiệm bảo mật phong phú sẽ chịu trách nhiệm kiểm tra, điều này rất quan trọng. Tôi có thể không có đội an ninh, nhưng điều đó không quan trọng, tôi có kinh nghiệm phong phú, tôi có thể kết nối R&D, vận hành và bảo trì, vận hành, v.v. và thúc đẩy toàn bộ công việc xây dựng an ninh một cách có trật tự.

Làm thế nào để đánh giá việc có đội ngũ an ninh nội bộ hoặc nhân sự nòng cốt là đúng hay sai? Thật khó để trả lời điều này vì ngành này thường dựa vào truyền miệng. Vì vậy, chúng ta có thể cần gặp nhiều người hơn, hoặc biết nhiều người hơn để đưa ra những đánh giá chính xác hơn.

Thứ hai, nó chưa được cơ quan an ninh chuyên nghiệp bên thứ ba kiểm tra bảo mật trong sáu tháng qua và kết quả kiểm tra bảo mật đã được công khai. Theo chúng tôi, yêu cầu này vẫn còn hơi khó khăn.

Vì toàn ngành đang phát triển rất nhanh nên trong vòng nửa năm đã được cơ quan an ninh kiểm tra chưa? Tốt nhất là nên một tổ chức rất chuyên nghiệp và nổi tiếng. , và các báo cáo liên quan có sẵn để công chúng xem xét. Tuy nhiên, chúng tôi nhận thấy rằng nhiều bên tham gia dự án thực sự không muốn công khai báo cáo kiểm toán nội bộ của mình vì xét cho cùng, chúng có thể liên quan đến quyền riêng tư của dự án, điều mà chúng tôi hiểu rất rõ.

Tuy nhiên, chúng tôi cũng thấy rằng nhiều bên tham gia dự án ở nước ngoài thực sự rất sẵn lòng để các tổ chức kiểm toán này minh bạch hóa báo cáo của họ. Hãy công bố điều đó .

Thứ ba, có các cơ quan an ninh bên thứ ba có sự hợp tác chặt chẽ lâu dài và liên tục. Vì bảo mật đòi hỏi sự phát triển lâu dài như đã đề cập ở trên nên sẽ có một hoặc nhiều tổ chức bảo vệ chuyên nghiệp bên thứ ba rất thân thiết để hợp tác. Nếu có mối quan hệ liên tục như vậy và một số cuộc tấn công thiên nga đen xảy ra, tổn thất có thể được dừng lại nhanh hơn.

Theo quan điểm của chúng tôi, việc bị hack là điều không thể tránh khỏi. Không ai dám nói mình chưa bị hack. Điều này là chắc chắn. Tất nhiên, không nhất thiết phải chắc chắn liệu đồng xu có bị đánh cắp hay không. Thực sự có một số đã làm tốt hơn và số tiền đó không bị đánh cắp.

Nhưng việc bị hack trên mạng công cộng như Internet quả thực có thể xảy ra bất cứ lúc nào, kể cả do người trong cuộc thực hiện. Vì vậy, đây là hiện tượng rất phổ biến nên hãy bình tĩnh giải quyết.

Chỉ cần bạn không thua lỗ quá nhiều, hoặc không có tâm lý xấu xa, mờ ám, thì thực tế là bạn bình tĩnh. Thay vào đó, bạn có thể giành được sự ủng hộ rộng rãi hơn từ cộng đồng.

Đây cũng là điểm thứ tư mà chúng ta đang nói đến. Chúng ta cần những thành viên cốt lõi. Thái độ của họ đối với an ninh phải bình tĩnh và cởi mở. Nếu có vấn đề thì hãy thừa nhận sai lầm thay vì chỉ hô khẩu hiệu.

Ví dụ: chúng tôi đã thấy nhiều bên tham gia dự án viết trên trang web chính thức của họ rằng khả năng bảo mật của tôi rất mạnh mẽ và xuất sắc. Ngay cả cấp độ Zeus cũng có cảm giác như đủ loại danh từ, tính từ sẽ xuất hiện, tất nhiên những khẩu hiệu này thực ra chẳng có ý nghĩa gì. Chúng tôi biết vấn đề của anh ta có thể nảy sinh ở đâu, bởi vì chúng tôi là một đội bảo mật rất chuyên nghiệp, đối với những hacker ngầm chuyên nghiệp đó, tất nhiên họ cũng có thể biết rằng họ có thể biến khẩu hiệu của bạn thành một cách quan trọng để tát vào mặt bạn trong tương lai.

Thứ năm, hãy hết sức kính trọng và tôn trọng công tác an toàn. Trên thực tế, tôi nghĩ điều này không chỉ vì sự an toàn, trong ngành này, bất kể bạn làm gì, tất cả mọi người từ trên xuống trong toàn bộ chuỗi ngành và các mắt xích ở giữa đều phải đầy kính trọng, bao gồm cả sự tôn trọng thích đáng.

4
Chọn loại ví phần cứng nào an toàn?

Gần đây, chúng tôi cũng đã xem xét một số ví phần cứng. Sau khi hoàn tất quá trình kiểm tra các ví phần cứng này, chúng tôi đã đưa ra một bản tóm tắt, loại ví phần cứng nào an toàn và mạnh mẽ.

1. Tốt nhất là hỗ trợ đủ loại tiền tệ chính thống;

Điều này không tuyệt đối, chúng tôi chỉ nghĩ ở góc độ yên tâm thôi, vì về nguyên tắc, một người sẽ không có nhiều hơn hai loại ví phần cứng, vì bạn có quá nhiều thì không nhất thiết phải là một điều tốt và bảo mật thực sự không có nghĩa là bảo mật tuyệt đối. Thực tế có rất ít ví phần cứng thực sự an toàn.

2. Các mô-đun phần cứng liên quan được sử dụng ở cấp độ phần cứng đều là những tiêu chuẩn quốc tế hàng đầu và chuỗi cung ứng sản xuất và phân phối cũng đạt tiêu chuẩn hàng đầu notch;
span>

Nhiều nhóm sản xuất ví phần cứng chắc chắn không phải là những người xuất sắc hoặc chuyên nghiệp trong các loại chip, mô-đun khác nhau và các thành phần của phần cứng.. Lúc này, bạn phải dựa vào nhiều tiêu chuẩn quốc tế hàng đầu, dù không biết cách sử dụng cũng phải sử dụng tốt. Bao gồm chuỗi cung ứng bạn chọn, sản xuất, bao gồm cả giao hàng, bạn phải chọn những sản phẩm chất lượng cao và đỉnh cao này.

3. Thiết kế bảo mật kết hợp giữa mô-đun phần cứng và phần sụn hoàn toàn là hạng nhất;

Firmware đơn giản là một hệ điều hành. Nó chắc chắn không được sửa đổi dựa trên Android. Nhiệm vụ của Android không phải là tạo ra một ví phần cứng. Việc ghép nối các mô-đun phần cứng và phần sụn cũng như thiết kế bảo mật của việc ghép nối giữa chúng phải ở mức hàng đầu.

4. Phần cứng sử dụng Bluetooth, USB và các mô-đun giao tiếp bên ngoài khác, đây là những quy trình tiêu chuẩn an toàn mới nhất;

5. Tốt nhất ví phần cứng nên có màn hình để người dùng có thể xác nhận một cách trực quan tính chính xác của địa chỉ đích khi chuyển tiền;

6. Môi trường máy tính hoặc điện thoại di động nối mạng được sử dụng bởi ví phần cứng hỗ trợ phải thuần khiết và duy nhất;

Không Nếu bạn chắc chắn thì đừng nhầm lẫn với những trường hợp khác. Ví dụ: nếu tôi chắc chắn thì điều đó không quan trọng với tôi, vì tôi biết bảo mật máy tính của tôi rất tốt. Nhưng nếu chúng ta không chắc chắn, tốt nhất nên nói rằng đó là một máy ảo độc lập và một máy tính độc lập, chuyên thực hiện một số thao tác trên các tài sản quan trọng.

7. Ví phần cứng nên hỗ trợ quản lý bảo mật đa chữ ký;

Tính toán nhiều chữ ký hoặc nhiều bên là một cách hay. Tất nhiên, đa bên vẫn còn một chặng đường dài phía trước, đa bên có thể giải quyết các chuỗi cung ứng khác nhau tốt hơn, bởi vì các cơ chế đa chữ ký đều khác nhau và không có giải pháp chung. có thể biến giải pháp này thành một giải pháp tổng quát hơn, điều mà chúng tôi rất mong đợi.

8. Thiết kế ghi và lưu trữ ghi nhớ và thậm chí đồng quản lý là cách tốt nhất để giới thiệu các phương pháp SSSS;

Nói một cách đơn giản, khi tôi chia các từ ghi nhớ chẳng hạn, có thể thiết kế thành 2-3 hoặc 3-5. Khi nói đến phiên âm, tôi không nói rằng người ta phải ghi nhớ tất cả các từ. Tất nhiên, nếu sau khi sao chép, tôi có thể đảm bảo rằng mình sao chép vài bản, chẳng hạn tôi sẵn sàng lấy hai bản, 2-3 bản, có thể gộp lại thành một danh sách ghi nhớ hoàn chỉnh.

9. Không thể bỏ qua tính bảo mật vật lý của ví phần cứng;

Ví dụ, nó có thể chống thấm nước, chống cháy, chống sét tốt hơn không, v.v. Ví dụ, nếu tôi ngã xuống sàn, nó có thể bị vỡ. Điều này rất xấu hổ. Và khi nó bị hư hỏng thì không thể khôi phục lại một cách hoàn hảo, điều này có thể khiến tôi không bị một số người trong chuỗi cung ứng giả mạo trong quá trình giao hàng.

10. Đừng bỏ qua cơ chế bảo mật nâng cấp firmware và phần mềm hỗ trợ;

Bây giờ bạn có thể ổn. Có thể nếu phần sụn bạn nâng cấp và khóa riêng được tạo ra rất yếu và ngẫu nhiên, đồng thời một cửa hậu được cài độc hại thì sẽ rất rắc rối. Nó khác với câu nói Internet truyền thống rằng bạn nên nâng cấp kịp thời, đề xuất của chúng tôi dựa trên một tiền đề, đó là khi bạn có đủ nhu cầu sử dụng hoặc không có lỗ hổng nghiêm trọng thì đừng nâng cấp dễ dàng.

11. Nhóm bảo mật ví phần cứng có đủ sức mạnh để phân tích những thiếu sót của các nhóm ngang hàng và việc tiết lộ thông tin này đã đạt được danh tiếng kỹ thuật rộng rãi trong ngành;

Những người tham gia bảo mật thực ra là những hacker đằng sau họ, giống như chúng tôi làm trong lĩnh vực bảo mật. Nếu bạn không có Một số kiến thức cơ bản về hacker, điều gì sẽ xảy ra?Bạn có thể làm tốt công việc an toàn không? Chúng tôi vẫn còn nóng nảy nên cãi nhau là chuyện bình thường. Điểm mấu chốt là bạn phải thực sự có năng lực và có thể xuất bản một số báo cáo nghiên cứu của mình, thay vì nói rằng bạn luôn gửi một số tài liệu PR nói rằng bạn an toàn và bảo mật.

12. Từ việc tạo, lưu trữ đến sử dụng khóa riêng, tính bảo mật gần như tuyệt đối của khóa riêng là yêu cầu cơ bản nhất;

13. Mã nguồn mở.

Quan điểm của chúng tôi về nguồn mở là thế này. Điều đó không có nghĩa là bạn sẽ mở nguồn ngay khi bạn xuất hiện. Điều này không thực tế .

Mọi người đều biết ngành này. Trên thực tế, kinh doanh thường là một công việc lộn xộn. Nếu bạn là nguồn mở, bạn có thể bị các đồng nghiệp của mình thuê ngoài .. Tôi đã sao chép trực tiếp. Vì vậy, nguồn mở là một quá trình, không dựa trên cảm xúc. Khi tôi nói nguồn mở, ý tôi là nguồn mở. Tôi cũng muốn tham gia kinh doanh, tôi cũng muốn kiếm tiền, và tôi cũng muốn sống. Nhưng nguồn mở là một quá trình từng bước một, điều chúng tôi rất mong đợi là khi bạn trở thành người đứng đầu trong ngành, bạn có thể mạnh dạn mở nguồn, bạn sẽ luôn là người dẫn đầu và để họ theo đuổi bạn. Cảm giác này rất tốt.

Trên đây là chia sẻ của mình, cảm ơn bạn.

Liên kết nguồn: weixin.qq.com

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia