实体解析加密钱包伪安全:鱼和熊掌如何兼得?

项目 Likelib 395 浏览

一、为什么要拥有加密硬件钱包?

近年来区块链技术的迅速发展,使得加密资产逐渐走入大众的视线。目前全球拥有2000多亿美元的加密资产市值,超过2000种的加密资产,侧面反映着加密资产规模正在高速增长。

英国一名早期挖矿者“丢失”7500枚比特币,如今高达3亿多人民币。

2009年英国威尔士一名32岁的IT工作者詹姆士•豪威尔斯参与电脑挖比币。2013年无意间扔掉了硬盘,其宣称意外丢失的硬盘中存储着7500枚比特币私钥,当前市值高达3亿多人民币,至今尚未寻回。基于早期加密资产没有适合的存储方式,导致储存在硬盘的私钥也存在丢失的风险。

2019年5月7日,黑客在区块高度575012处从币安热钱包中盗取7000枚比特币。

根据币安官方公告显示,币安交易所发现大规模的安全漏洞,黑客能够通过此漏洞获得大量用户API密钥,2FA代码以及其他可能的信息盗取加密货币。币安称,该笔交易是唯一受影响的交易。

(图片来自币安官网公告)

据某安全公司调查,被盗的币安热钱包地址为:1NDyJtNTjmwk5xPNhjgAMu4HDHigtobu1s

目前该热钱包地址依然存在余额,余额为3612.69114593。 目前被盗的7000个比特币散落在40多个黑客控制的钱包地址当中,并没有发生转移。

加密资产存储成为加密资产投资者不可忽视的需求。

2018年9月份,人民网就转载一篇《加密资产交易平台再现被盗,安全问题成隐患》文章。近年来,已经发生了众多的盗币事件,主要集中在加密资产管理平台被攻击、智能合约漏洞、个人密钥丢失或窃取等方面。如今个人密钥如何保存成为加密资产投资者不可忽视的问题。

如果准备长期投资加密资产,建议投资者将所持币种存在软件钱包中,金额较大的,则要准备硬件钱包,即冷钱包,以防止交易平台被盗窃而带来损失。

众所周知,只要连接网络,就需要时时刻刻堤防网络黑客带来的威胁,那如何怎么保护区块链资产的安全。答案就是:冷钱包。冷钱包也称为硬件钱包,由于私钥不接触网络,相对安全性较高。不过由于业务场景的快速迭代以及推广需求,无论热钱包还是冷钱包都会有一些安全隐患会被忽视。

二、软件钱包的主要风险

一个加密钱包软件的使用,包含了以下三点安全要素。

1. 网络安全

从软件启动到进行交易的一套完整的过程,其中涉及业务的过程中需要连接网络,安全数据等都存在一定的风险。

2. 软件功能的核心数据安全

传统软件的功能如核心代码未加密,软件自身无校验,中间人数据劫持等。

3. 业务场景安全

针对钱包软件的独有业务场景,如助记词的不安全保存,交易密码设置弱口令,货币价格走势数据被替换等也将会给用户在使用钱包的安全上造成很大的危害。

数据来源:360安全

三、硬件钱包的安全性要素

硬件钱包是一种实体设备,私钥储存在设备内的受保护区域中。相对而言,硬件钱包安全系数比软件钱包要高,而且一款真正意义上安全的钱包主要包涵了三方面的安全性要素:网络隔离,系统完整性保护,钱包种子保密。

1.网络隔离

即是给私钥创建了一个隔离环境。现有的手机和电脑与外界通过网络连接,私钥很容易遭到黑客从网络发动的远程攻击,这时候就需要硬件钱包专门保管私钥或者钱包种子。

2.系统完整性保护

指的是硬件钱包系统能够保护自身关键部件不受非法篡改。任何系统都存在被攻击的可能性,在攻击发生的时候,具备系统完整性保护能力的硬件钱包能够发现攻击并作出相应的安全响应。

目前针对系统完整性保护缺失的攻击主要有供应链攻击和邪恶女佣攻击。所谓供应链攻击,指的是硬件钱包在生产或者运输过程中被他人修改过,植入恶意软件或者篡改系统逻辑。举个例子,如果一款基于安卓系统的钱包使用了安卓提供的随机数产生器,而该随机数产生器被更换为黑客可以预测的伪随机数产生器,那么该钱包产生的全部种子、私钥都是黑客可以预测的。而黑客要完成收割,甚至都不需要受害人的钱包联网。如果缺乏系统完整性保护,不能发现此类攻击,用户的资金就有被完全收割的风险。

和数软件最新发布的UTON钱包,24K黄金外壳奢侈打造,保证私钥储存够“冷”够安全,是最可靠的数字资产守护神。

在技术层面上,UTON钱包采用首创虹膜采集器生成密钥及基于Ubuntu系统的硬件钱包离线升级专利技术,提升密码强度和安全防护级别,多重密码技术,多重签名技术,多方共同管理资产,冷端构建交易和签名,热端联网广播交易,彻底杜绝黑客入侵。

邪恶女佣攻击,英文叫做Evil Maid Attack,主要指的是钱包设备可能短暂被他人控制。如果设备缺乏系统完整性保护,那么这段时间就有可能被利用来植入恶意软件,例如底层逻辑被替换掉,实际转账地址变为黑客指定的地址,或者在收到某些指令后显示钱包种子的助记词,等等。

3.钱包种子保密

网络隔离和系统完整性保护提供的安全很重要,但仍然是不够的。如果攻击者拿到了物理设备,还要保证攻击者无法从设备里提取钱包种子信息,而一般的软件钱包或者类软件钱包很难保障这一点。

这三个安全性能都是相对普遍适用的,不管什么样的钱包系统,都可以用这三条标准去衡量其安全性。软件钱包由于其先天限制,很难满足这些要求。相比之下,硬件钱包则具备比较好的安全基础。

作为一款硬件冷钱包,UTON最大的特点就是安全,四重防护安全管理全球优质区块链资产:

一重防护:首创通过虹膜采集器生成密钥,极大提升密码强度。

二重防护:首创基于Ubuntu系统的硬件钱包离线升级专利,加强硬件钱包安全防护级别。

三重防护:冷热端分离,冷端构建交易和签名,热端联网广播交易,杜绝黑客入侵。

四重防护:多重密码技术,多重签名技术,多方共同管理资产,为资产护航。

总结来看,钱包系统的安全性可以归结为“三有一无”,三有即必须具备网络隔离、系统完整性保护、钱包种子保密这三条安全特性。一无,就是“无系统攻防假设”,特意指出钱包系统的安全性不能建立在系统攻防假设上,尤其不能以系统攻防假设替代系统完整性保护。


声明:本文为文章作者或转发者向区势传媒的投稿,观点绝不代表区势传媒立场,亦不构成任何投资意见或建议。

评论(0)

最新评论