Дескриптор кошелька биткоин что это
Программные кошельки для Bitcoin и безопасность
Поговорим немного про кошельки в криптовалютах. Под “криптовалютой”, я, в первую очередь, буду иметь ввиду Bitcoin. В других криптовалютах дело обстоит похожим образом и если вас интересуют детали, то можете покопаться самостоятельно.
Несмотря на продолжающийся хайп вокруг криптовалют и блокчейн как технологии, на мой взгляд, очень мало кто говорит про безопасность этих решений. Все концентрируются на различных плюсах, которые дает технология блокчейн, обсуждают майнинг и скачки курсов криптовалют, в то время как именно безопасность является критически важной, особенно когда речь идет о деньгах или о распределенных реестрах собственности. Вся информация для статьи взята из открытых источников, таких как https://bitcoin.org, https://en.bitcoin.it/wiki, https://bitcointalk.org, https://github.com и других.
Ниже будет неглубокий обзор кошельков криптовалют и их безопасности. Чем больше я погружался в эту тему при написании статьи, тем больше удивлялся тому, что в мире происходит так мало взломов и увода средств у пользователей того же Bitcoin. Но обо всем по порядку.
Что такое кошелек в криптовалютах
Разберемся немного с терминологией. Под кошельками в криптовалютах понимают одновременно:
Будем говорить про кошелек именно как про средство управления, хранения и проведения транзакций. Без кошелька вы не можете получить, сохранить или потратить ваши биткоины или средства в другой криптовалюте. Кошелек — ваш персональный интерфейс к сети криптовалюты, похожий на банковский аккаунт для фиатной валюты.
На самом деле безопасность хранения ваших средств в криптовалюте очень сильно зависит от того кошелька, который вы используете. А безопасность самого кошелька во многом основана на безопасности операций с закрытыми ключами.
Все кошельки подразделяются на “горячие” и “холодные”. «Горячим» называют криптовалютный кошелек, средства с которого можно потратить в любое время. «Холодный» кошелек действует совершенно противоположным образом. Он не предназначен для регулярного отправления криптовалюты, но тем не менее, средства на него можно получить в любое время. Самым простым “холодным” кошельком является лист бумаги, на котором записан закрытый ключ от вашего кошелька.
“Горячий” кошелек Bitcoin — это приложение, веб-сайт или устройство, которое управляет вашими закрытыми ключами. Самые популярные — это, конечно, приложения, как мобильные, так и десктопные, а также веб-сайты. Давайте чуть подробнее остановимся на каждом из этих видов и посмотрим, какие угрозы таит использование того или другого кошелька.
Так как кошельков существует очень много, я решил изучать только те, которые представлены на сайте https://bitcoin.org/. В качестве программных кошельков для персонального компьютера там представлены:
Требования к кошелькам
Первое на что обратим внимание — это на рекомендации самого сайта bitcoin.org относительно безопасности использования того или иного кошелька. При скачивании вам покажут 6 требований и информацию о том, какие требования каждым из этих кошельков соблюдаются, а какие нет. Большая часть этих требований прямо или косвенно связана с информационной безопасностью, а значит и с безопасностью ваших средств.
Вот эти требования, а также уровни соответствия этим требованиям.
Контроль за вашими деньгами
Так вот, не знаю, как вам, а мне совсем не нравится последние два уровня контроля. История про надежный пароль звучит вообще очень плохо. И дело тут даже не в том, что у пользователей большие проблемы с созданием, вводом и запоминанием по-настоящему надёжных паролей, а в том, что key-логгеры никуда не делись.
А уж если быть совсем реалистами, то вряд ли эти предупреждения кто-то читает. А если и читает, то далеко не каждый понимает, насколько здесь много проблем с безопасностью.
Проверка транзакций
Альтернативные решения имеют явные проблемы с безопасностью. Список серверов, в случае децентрализованной проверки, надо хорошо защищать. А то как бы очередной вирус не оставил в этом списке только один зараженный сервер.
А уж про стопроцентное доверие третьей стороне даже говорить не хочется.
Кстати, сторонники криптовалют любят в этом случае обращать внимание на то, что банковская система устроена похожим образом. Это конечно так. Вот только банки регулируются многочисленными стандартами, а уж если возникла новая проблема/уязвимость, то ваши средства защитит страховка. Поэтому криптовалютным сервисам еще есть куда расти.
Прозрачность
Больше всего мне нравится фраза “Любой разработчик в мире может провести аудит кода”. Ага, как же. Во-первых, разработчик должен неплохо знать конкретный язык программирования, на котором написан конкретный кошелек. А это сразу отсекает большой кусок от “любой разработчик в мире”.
Во-вторых, далеко не любой разработчик является одновременно специалистом по информационной безопасности или имеет опыт написания безопасного кода. Приведу банальный пример:
Откройте статьи от разработчиков PVS-studio и вспомните о том, какие ошибки порой совершают разработчики. Причем даже те разработчики, которые хорошо разбираются в вопросах безопасности (например, Скучная статья про проверку OpenSSL).
Поэтому полноценный аудит всего кода кошелька может сделать весьма ограниченное количество разработчиков. Большая часть которых и так имеет кучу интересных задач, помимо этого аудита. Даже если кто-то из них и заинтересуется этой задачей, то выполнена она будет только для определенного коммита в git. А значит, оценить безопасность кода в конкретный момент времени весьма непросто.
Что подразумевают ребята с сайта Bitcoin под фиксированной процедурой сборки точно понять не удалось. Со сборкой есть свои проблемы. Например, как понять, что полученная вами сборка или обновление собраны именно из правильных исходных кодов. Давайте будем реалистами – собирать кошелек из исходных кодов будут единицы. Лучшее, что вы можете сделать, это проверить хэш от свежескачанного инсталлятора с хэшем, который указан на официальном сайте. И надеется, что сайт не был скомпрометирован и там лежит именно корректный хэш, а также доверять разработчикам и сборщикам кошелька, а также администраторам сайта.
Чтобы уж совсем добить вопрос про исходные коды, я решил сам заглянуть в исходники Bitcoin Core, который по всем показателям, которые уже были описаны и тем, которые описаны дальше, занимает лидирующие позиции. Примеры кода и выводы, которые я сделал, бегло просмотрев исходники, смотрите ниже.
Бонус про прозрачность
Есть еще один интересный аспект, который я обнаружил совершенно случайно. Допустим, вы решили использовать кошелек Bitcoin Armory, который скромно позиционирует себя как BEST BITCOIN WALLET. В описании вы найдете – “Armory is the most secure and full featured solution available for users and institutions to generate and store Bitcoin private keys”. Забив в Google название кошелька, вы обнаружите, что у кошелька есть 2 сайта. Первый https://www.bitcoinarmory.com — коммерческий с красивыми словами, в топе выдачи. Второй https://btcarmory.com — более технический, на него вас приведет ссылка с https://bitcoin.org/.
Так вот, на техническом сайте, на главной странице в новостях, вы найдете предупреждение:
Коммерческий сайт такие глупости не пишет =) Вам же не надо переживать по таким глупым поводам.
Безопасность среды
Давайте тут тоже остановимся чуть подробнее.
Использование надежной двухфакторной аутентификации действительно может помочь решить многие проблемы с информационной безопасностью.
Ключевое слово тут “надежной”. А еще и правильно реализованной. А с этим не всегда все хорошо получается. Например, blockchain.info предложит вам старые добрые SMS в качестве второго фактора. Никому же не интересны те же рекомендации NIST в Special Publication 800-63B:
На безопасности компьютеров и мобильных устройств останавливаться подробно не будем. Достаточно почитать любой из отчетов Лаборатории Касперского или других серьезных игроков на рынке безопасности, чтобы самостоятельно сделать выводы.
Следующие два пункта не связаны напрямую с безопасностью хранения ваших средств. Поэтому подробно останавливаться на них я не буду, но приведу их тут для полноты картины.
Конфиденциальность
Комиссия
Подведем итоги
Все предъявляемые требования звучат очень разумно. Более того, этот список можно было бы еще расширить, чтобы повысить уровень безопасности.
Внимательно изучив все эти требования, вы хотите найти такой кошелек, который удовлетворял бы им по максимум. И вот тут наступает самое интересное. На https://bitcoin.org нет ни одного кошелька, который удовлетворял бы всем требованиям.
В лучшем случае, вы можете выбрать Bitcoin Core или Bitcoin Knots, для которых будет такая картина:
Или будете использовать Electrum, для которого такая картина:
Использование зеленого создает ложное впечатление полного удовлетворения требованиям. Полное соответствие —жирный зеленый цвет. Такое оформление было явно выбрано умышленно, а значит, создатели портала решили слегка поманипулировать обычным пользователем. Не хорошо это.
На этом можно было бы уже и закончить. Думаю, все уже представили насколько безопасно хранятся закрытые ключи в кошельках криптовалют. Но мы же на Хабре.
Работа с закрытыми ключами на примере Bitcoin Core
Пойдем чуть дальше и посмотрим, как происходит хранение и работа с закрытыми ключами на примере программных клиентов. Как мы уже выяснили, вредоносное ПО может получить доступ к закрытым ключам вашего кошелька. Вопрос в том, насколько легко или тяжело это сделать на самом деле.
Первым делом посмотрим, как это делает Bitcoin Core. Этот процесс неплохо описан в wiki самого Bitcoin. Как вы видели на скрине выше, этот клиент отмечен как один из самых продвинутых и удовлетворяющих большинству требований.
Закрытые ключи вашего кошелька хранятся вместе с другой информацией, в файле wallet.dat в формате “bitkeys”. Этот файл может быть зашифрован, а может и не быть =) По умолчанию, конечно, ничего не шифруется. Вы же грамотный пользователь и сами найдете нужную кнопку. Шифруется только информация о закрытых ключах с помощью алгоритма AES-256-CBC. При этом в качестве ключа шифрования используется так называемый мастер ключ – случайное число. При это сам мастер ключ шифруется на ключе, полученном из кодовой фразы с помощью SHA-512 и функции OpenSSL — EVP_BytesToKey. Количество раундов шифрования определяется скоростью компьютера, на которой происходит первоначальное шифрование.
После того ваш кошелек используется клиентом в обычном режиме. Это состояние называется “locked”. Если в какой-то момент, вам необходимо получить доступ к закрытым ключам кошелька, то вам необходимо ввести кодовую фразу в GUI клиента или воспользоваться командой walletpassphrase в RPC. В этом случае произойдет расшифрование закрытых ключей, и кошелек перейдет в состояние “unlocked”. В первом случае он будет находится в этом состоянии ровно столько, сколько необходимо для осуществления той или иной операции. Во втором случае, время через которое кошелек вернется в состояние locked определяется вторым параметром в RPC запросе!
Это выглядит очень мило. Обычный пользователь кошелька вряд ли запустит у себя сервер, если только не промахнется файлом. А вот злоумышленник…
С GUI и хранением той же passphrase в памяти тоже все не очень просто. Ребята реализовали специальный класс для хранения подобных данных – SecureString. Реализовали в общем-то неплохо, грабли с использованием memset успешно обошли. Но вот держат его в памяти дольше, чем следовало бы.
Например, так делает наш GUI (слегка подправил для наглядности, любопытным смотреть askpassphrasedialog.cpp:154):
В начале сделаем accept(), а только потом наш oldpass выйдет из области видимости и произойдет очистка. Понятно, что более безопасный код получится не такой красивый, как менее безопасный. Но мы же тут вроде с деньгами работаем?
На мой взгляд, это отлично подтверждает мое опасение на тему открытости исходников кошелька. Открытость исходных кодов не равно безопасность.
Постараюсь предвидеть первые комментарии и сразу ответить на них:
Я ничего не имею против криптовалют или технологии блокчейн. Наоборот, я всеми руками ЗА (это мое личное мнение, которое не в коей мере не является официальной позицией компании, в блоге которой размещена статья). Но раз уж мы начинаем работать с новой технологией, то надо делать это технически грамотно и не забывать об информационной безопасности.
Что такое биткоины
И можно ли на них зарабатывать
С начала 2017 года биткоин подорожал в 51 раз.
Деньги, которых не существует, стоят дороже нефти и золота. Расскажу, как на этом можно заработать.
В мае 2017 года я попробовала торговать биткоинами. За 2 недели заработала 30%. Потом за месяц потеряла 15%.
Торговля криптовалютой — занятие рискованное. Вот что следует знать, если вы любите такой риск.
В Н И М А Н И Е
В этой статье описан личный опыт автора. Если вы планируете покупать и продавать биткоины, рекомендуем сначала уточнить в поддержке своего банка, как банк относится к таким операциям, чтобы избежать внезапной блокировки.
Что такое биткоин
Биткоин — это цифровые деньги. Физически этой валюты не существует, есть только специальные реестры, в которых ведется учет, сколько у кого биткоинов и кто куда их переводит. Эти журналы называются блокчейнами.
Это похоже на то, как устроены безналичные платежи в банках: когда вы платите картой в магазине, вы тоже не передаете никому никаких физических денег или золота. Просто где-то в банковском реестре прописывается ваша операция.
Биткоины отличаются от обычной валюты тем, что реестры хранятся не централизованно в банках и платежных системах, а одновременно на всех компьютерах, которые заняты биткоинами. Любой человек может посмотреть все операции со всеми биткоинами за всю историю.
Реестры защищены криптографией. Подделать их одновременно у всех нельзя. Невозможно переписать данные в блоках и заявить, что у кого-то теперь есть миллионы. Биткоин в этом смысле довольно защищенный. Правда, уже существует атака, которая позволяет дважды рассчитаться одними и теми же биткоинами, поэтому сказать, что биткоин абсолютно безопасен, нельзя.
Откуда берутся биткоины
Обычную валюту выпускает государство. Очень опосредованно она связана с запасами золота, но по факту она не связана ни с чем — сколько государству нужно, столько оно и напечатает.
Биткоины не связаны с каким-то одним государством. Новые единицы биткоина появляются в процессе того, как компьютеры в этой платежной сети обслуживают нужды этой же самой сети.
Например, где-то в Китае человек заплатил биткоинами за пиццу. Эту операцию нужно записать в реестры на всех компьютерах, которые подключены к биткоиновой сети. Чтобы записать операцию в реестр, нужно припечатать ее специальной подписью, как сургучной печатью. Эту подпись нужно рассчитать, это сложная компьютерная задача.
Где-то в Венесуэле стоит компьютер, который обслуживает биткоиновую сеть. Он только что вычислил эту криптографическую подпись. В знак благодарности владелец этого компьютера получает вознаграждение в виде биткоин-копеечки.
Для венесуэльца, который установил компьютер в режим вычисления криптографических подписей, это выглядит так: его компьютер что-то там себе шуршит, а ему на счет капают биткоин-копейки. Компьютер как будто добывает биткоины, хотя на самом деле он просто шифрует и припечатывает чужие операции. Такая как бы «добыча» биткоинов называется майнингом.
На самом деле добываются не сами биткоины, а «сургуч» для защиты реестров. Биткоины — это вознаграждение за службу.
Количество биткоинов ограничено — их может быть максимум 21 000 000. Летом 2020 года майнеры добыли около 90% монет.
Майнинг — отдельная большая тема. В двух словах: оборудование дорогое, эффективность низкая, вам придется конкурировать с мегаваттными китайскими майнинговыми кластерами, которые строят на базе электростанций. О майнинге мы написали отдельную статью и опубликовали рассказ читателя.
Зачем нужен биткоин
Криптовалюта позволяет переводить деньги под псевдонимом и без участия банков.
в среднем стоит перевод биткоинов в начале апреля 2021 года, по данным bitinfocharts.com
За биткоины можно купить билет «Эйрбалтик», компьютер «Делл». Можно даже пожертвовать биткоины буддийскому храму в Сеуле.
Биткоинами торгуют на бирже, в них вкладывают деньги.
Для переводов и оплаты услуг используют биткоин-кошельки. В них хранятся цифровые ключи, необходимые для транзакций. Если вы потеряете приватный ключ, то деньги пропадут навсегда. Их нельзя вернуть, позвонив в банк. У системы биткоинов нет ни единого центра, ни регулятора. По данным chainalysis.com, около 20% биткоинов потеряно, на начало 2021 года это примерно 140 млрд долларов.
Под псевдонимом — это не анонимно
Реестры операций биткоина содержат всю историю операций за все время по всем кошелькам. Если вы купили за биткоины что-нибудь нехорошее, а потом как-то стало известно, что за вами числится этот кошелек, то заинтересованный человек сможет увидеть все ваши операции.
Например, если вы купили билет на самолет за биткоины и указали при оплате свои личные данные, то заинтересованные спецслужбы уже смогут вас идентифицировать.
Есть, конечно, средства полной анонимизации платежей, но они стоят дорого.
Это законно?
1 января 2021 года вступил в силу закон о цифровых активах. Теперь криптовалюта законна, но ее нельзя использовать для оплаты товаров и услуг в России. Биткоины можно выпускать, продавать и покупать. Все владельцы криптовалюты обязаны подавать налоговую декларацию.
Важное пояснение
Мы приводим базовую схему покупки и продажи биткоинов через обменник и биржу. Все примеры в рублях, чтобы было понятно.
Дальше вы можете оптимизировать схему под свои нужды: завести долларовую карту, зарегистрироваться в удобной платежной системе или искать анонимные пути обмена денег.
Универсального способа нет. Если у вас есть свой рецепт торговли криптовалютой — приходите в комментарии.
Как купить биткоин через обменник
Интернет-обменники работают по тому же принципу, что и уличные, меняющие евро и доллары. Они покупают биткоины по цене ниже биржевого курса, продают — дороже. На разнице зарабатывают.
В 2017 году я выбирала обменник на сайте-мониторинге «Локалбиткоинс». Покупка криптовалюты заняла 10 минут. Еще 20 минут биткоины шли на мой кошелек. В 2021 году «Локалбиткоинс» на территории России не работает.
Сейчас лучшие курсы обмена электронных денег можно выбрать на сайтах-мониторингах bestchange.ru и okchanger.com.
Как пользоваться. Вводим в поиске сумму, на которую хотим купить биткоины. Выбираем самый низкий курс, подходящий способ оплаты.
Для каждого обменника сайт-мониторинг дает отзывы и дополнительную информацию: какую минимальную сумму можно обменять, будут ли дополнительные комиссии и нужна ли верификация. Курс меняется в течение дня.
Выбираем подходящий обменник и переходим на его сайт.
Если продавец согласен на сделку, он резервирует нужную сумму. Когда вы перечислите ему рубли, он отправит на ваш кошелек биткоины. Теперь вы можете купить что-то или перевести монеты в более защищенный кошелек на ПК или флешке.
Минусы. Курс в обменниках сильно завышен.
Для больших сумм комиссии меньше. С обменниками можно договориться об индивидуальных условиях.
Рынок обменников в интернете никто не регулирует. Никто не гарантирует безопасность сделок. Если сомневаетесь — не переводите деньги либо попробуйте сначала обменять небольшую сумму. Учитывайте гигантскую комиссию обменников при покупке товаров или вложении денег в биткоины.
Как купить биткоин через биржу
Биржи — это интернет-площадки для торговли криптовалютой. На них встречаются продавцы и покупатели биткоинов. Если продавцов больше, курс падает. Если больше покупателей — растет.
Чтобы зарегистрироваться на небольшой бирже криптовалюты, достаточно адреса электронной почты, но чтобы торговать, придется пройти верификацию. Крупные площадки требуют скан паспорта или водительских прав, адрес и телефон. Чем больше сумма, которую вы меняете, тем больше персональных данных придется раскрыть.
Бирж много: binance.com, bitfinex.com, exmo.me, coinbase.com, cex.io. При выборе обратите внимание на два пункта: курс продажи валюты и система ввода денег.
Мой опыт. В 2017 году мне подошла биржа «Эксмо». Я переводила рубли на нее через «Киви». Хотя теперь этот способ уже исключили. Деньги шли на биржу почти 2 часа. Перевод в биткоины мгновенный.
Как пользоваться. На сайте биржи нажимаем «Купить криптовалюту» и вводим нужную сумму. Биржа принимает платежи с карт «Виза» и «Мастеркард».
Минусы. Биржи иногда блокируют вывод средств на 1—2 дня после пополнения счета. Объясняют это правилами платежных систем. Информация о блокировках указана на странице ввода денег.
Сэкономить можно, если использовать долларовую или евровую карту или зарегистрироваться в международных платежных системах Payeer или ADVCash и пополнять через них. В этом случае комиссии могут быть меньше.
Чтобы подобрать самый удобный и дешевый способ обмена, придется зарегистрироваться и верифицироваться в нескольких сервисах. Придумайте заранее, куда будете записывать пароли и кому готовы дать паспортные данные.
Анонимные способы ввода и вывода денег дороже легальных и намного рискованнее. Пользоваться биткоинами — все равно что ходить по улице в маске, но с прозрачными карманами. Система не раскрывает владельца кошелька, но все транзакции записываются в открытом блокчейне. Иногда госслужбам удается связать биткоин-кошельки с реальными людьми по IP-адресу или адресам доставки покупок.
Чтобы достичь анонимности, пользователи несколько раз переводят деньги между новыми биткоин-кошельками, используют анонимную сеть «Тор» и биткоин-миксеры, например bitcoinmix.org. В миксере транзакции разных пользователей дробятся и смешиваются. В итоге остается тайной, кто, сколько и кому перевел. Услуга обходится в 1—5% от суммы.
На форумах можно найти человека, который обменяет биткоины на наличные деньги. Отследить их также почти невозможно. Впрочем, такой способ обмена очень рискованный: на форумах можно наткнуться на мошенников и остаться без денег.
Как продать биткоин
Допустим, с тех пор как вы купили биткоины, их курс настолько вырос, что перерос все ваши издержки на комиссии и переводы. Пора продавать биткоины и забирать заработанные деньги. В этой ситуации можно снова воспользоваться обменниками либо вывести деньги через биржу.
Опыт. Я вывожу средства с биржи «Эксмо» на карту «Виза» или «Мастеркард». Перевод с биржи на карту занимает меньше минуты.
Комиссия. Биржа берет за вывод денег 3—6%. Переводить биткоины на кошелек биржи можно без комиссии.
Не переводите биткоины прежде, чем вам отправят за них рубли. Транзакцию в биткоинах нельзя отменить.
Как зарабатывать на биткоинах
В сети можно найти много обучающих видео, блогов и форумов, где обещают доход 20% в месяц. Общий смысл: покупать биткоины по минимальному курсу с минимальными комиссиями и продавать по максимальному курсу и тоже с минимальными комиссиями.
Кажется, что торговать валютой просто, но не стоит рисковать сразу. Курс биткоина меняется очень быстро и резко. Для начала попробуйте торговать суммой, которую не жалко потерять. Когда получится стабильно зарабатывать, можно играть по-крупному.
Меньше всего рисков при торговле по тренду. Для этого нужно завести деньги на биржу, дождаться момента, когда курс упал и только начинает расти, а затем купить биткоины и ждать, когда курс достигнет пика. С такой стратегией безопаснее не хранить биткоины на бирже, а переводить их на отдельный кошелек.
Торги на бирже — это работа. Игроки следят за курсом валют постоянно, сверяются с китайскими биржами. Чтобы не пропускать колебания курса, можно настроить оповещения в приложении биржи. Как только биткоин начнет падать или расти, сработает будильник.
Еще зарабатывать можно на ICO. Initial Coin Offering — это аналог краудфандинга или выхода на биржу. Вы вкладываетесь в новую компанию, стартап, а за это получаете токены — подобие акций. Если повезет и компания вырастет, получите доход.
Закон устанавливает общие требования для ICO: токены должны выпускать в информационной системе, которая входит в реестр ЦБ. Как это будет работать на деле, пока непонятно. Раньше компании выходили на ICO без продукта и настоящего бизнеса, просто с целью собрать деньги с вкладчиков и уйти в закат. Поэтому вкладывайте в компании на свой страх и риск.
Вложения в ICO и в новые криптовалюты — высокорисковые. Чтобы оценить перспективность стартапа, нужно разобраться в блокчейн-технологиях и бизнесе.