Просте запам'ятовування складної фрази дозволяє будь-якому користувачеві тримати мільйони доларів цифровий готівки фактично у власній голові, без необхідності зберігати будь-які записи на комп'ютері.
Однак, виявляється, що розум є дивно вразливим місцем, і не складає особливих труднощів підібрати ключ до ваших крипто-активів.
В інтерв'ю Кастеллуччі прагнув підкреслити, що хоча створений ним інструмент може бути використаний злочинцями, він сподівається, що його дослідження будуть стимулювати користувачів Bitcoin до пошуку кращих методів безпеки для захисту своїх заощаджень.
Ви можете кричати з дахів, що хтось слабкий і вразливий, але багато людей просто будуть все заперечувати без наявності працюючого докази концепції. Я думаю, що концепція, яка дозволяє людям вибирати свої власні паролі і фрази для високопродуктивних додатків, є в корені помилковим підходом до безпеки.
початок проекту
Натхненний цим прикладом, Кастеллуччі створив оригінальну програму-зломщик Brainflayer, яка могла видавати 10 000 паролів, передбачаючи всі можливі варіанти.
Коли він повернувся до свого комп'ютера, на якому була запущена програма, він знайшов 250 ВТС, вже витягнутих з чужого гаманця завдяки уязвимостям в технології Brainwallet.
Кастеллуччі був поставлений в скрутну ситуацію. У нього було два варіанти - взяти кілька BTC як оплату за свої дослідження, і попередити користувачів гаманців, що їх безпеку під загрозою, або спробувати зв'язатися з ними за допомогою інших засобів. Зрештою, йому вдалося зв'язатися з власником і переконати його перемістити біткоіни в більш безпечний гаманець.
"На якийсь час я просто перестав працювати над своїми дослідженнями" сказав він. "Я сподівався, що проблема піде. Адже багато експертів говорили, що brainwallet має багато вразливостей."
Коли проблема не зникла, він вирішив повернутися до досліджень, стверджуючи, що це його обов'язок - розкрити вразливість, щоб користувачі могли вжити відповідних заходів і підвищити свій рівень захищеності.
Кастелуччі недавно написав в блозі:
Ідея полягає в тому, що якщо хтось на кшталт мене виявляє помилку, він повинен зробити певні зусилля і розслідувати її перш, ніж розповісти спільноті. Я робив це в минулому, і я думаю, що це правильний підхід.
майбутнє технології
Також він запропонував тим, хто використовує brainwallet, розглянути поліпшену реалізацію даної ідеї - WarpWallet.
Проте, Кастеллуччі радить тим, хто використовує гаманці на brainwallet, застосовувати набори випадкових чисел і символів. А ще краще використовувати diceware - процес, за допомогою якого паролі створюються за допомогою пари генераторів випадкових чисел.
Це дійсно дуже важко, втримати людей від вибору клички собаки і свого дня народження в якості пароля. Ніякої скрипт не може врятувати людей, які використовують "P @ ssw0rd". Багатьом користувачам здавалося, що довга фраза в якості пароля цілком безпечна. Однак я довів, що це не завжди вірно.
Кастелуччі не сказав точно, скільки ключових фраз Brainflayer здатний вгадувати на одному комп'ютері. Але він натякає, що якщо його програма буде запущена в ботнет, то цифра може наближатися до ста мільярдів ключових фраз в секунду. Більш того, він говорить, що програма PassPhrase оптимізована для завдання швидкої генерації ключів Bitcoin і сканування блокчейна.
Для найбільш ефективного сканування і перевірки блокчейна він використовував метод, відомий як фільтр Bloom. Його результат поки не досягає трильйона ключових фраз в секунду, про що раніше попереджав Сноуден, маючи на увазі досягнення АНБ. Проте, це може здивувати багатьох людей, які вважають, що їх ключові фрази є безпечними.
Бюро знахідок
Коли його запитали, як він планує продовжити свою роботу, Кастеллуччі сказав, що він все ще в процесі планування наступних досліджень. Він працює над додаванням нових інструментів в brainwallet, як і в Brainflayer. У тому числі це режим, який буде сканувати "погані" приватні ключі.
Але поки залишається більше запитань, ніж відповідей:
Хто буде відпрацьовувати подібні уразливості?
І які правові наслідки можуть настати для білих хакерів, які намагаються запобігти майбутнім зломи?