Sözlük / Cüzdanlar ve saklama
Beyin cüzdanı
- Beyin cüzdanı nedir?
- Beyin cüzdanları, ezberlenen bir ifadeyi hash'leyerek doğrudan bir özel anahtara dönüştürür; araştırmacıların büyük ölçekte boşalttığı ve artık bakımı sürdürülen hiçbir cüzdanın sunmadığı bir tasarımdır.
Cazibesi açıktı: bir cümle ezberleyin, hiçbir şey taşımadan sınırı geçin, cüzdanı karşı tarafta yeniden oluşturun. Kusur da aynı ölçüde basitti, çünkü insanlar tahmin edilebilir cümleler seçiyor ve bir saldırgan adayları çevrimdışı olarak ücretsiz test edebiliyor. 2016 tarihli bir akademik çalışma, 2011 ile 2015 arasında 1.806 Bitcoin tutan 884 beyin cüzdanı tespit etti ve bunlardan 21 tanesi dışındaki hepsi boşaltılmıştı.
Nasıl çalışır
Durum: beyin cüzdanları, 2015 yılında herkese açık kırma araçları ortaya çıktıktan sonra terk edildi ve hâlihazırda bakımı sürdürülen hiçbir cüzdan bu seçeneği sunmuyor. Cihaz tarafından üretilen kurtarma ifadeleri bunların yerini tamamen aldı.
Yapı tek satır koddur. İfadeyi alın, üzerinde SHA-256 çalıştırın ve ortaya çıkan 32 baytı özel anahtar olarak kabul edin. Tuz yok, rastgele bileşen yok, kasıtlı bir yavaşlatma yok. Dolayısıyla aynı ifade, dünyada bu ifadeyi aklına getiren herkes için aynı anahtarı üretir ve bu da bir sırrı bir arama problemine dönüştürür.
Saldırganlar bundan doğrudan yararlanır. Bugüne kadar bakiyesi olmuş her adresin listesini oluşturur, listeyi hızlı bir üyelik yapısına yükler, ardından aday ifadeleri milyonlarca kez hashler: şarkı sözleri, kutsal metin ayetleri, film alıntıları, eski sızıntılardan şifreler ve bu kaynaklardan permütasyonla elde edilebilecek her dizi. Her hash, adres listesiyle mikrosaniyeler içinde kontrol edilir. Ryan Castellucci saldırıyı Ağustos 2015'te DEF CON 23 etkinliğinde gösterdi ve tekniği rutin hale getiren brainflayer aracını yayımladı. Aynı araştırma ekibi, yeni para yatırmaları gözleyen yaklaşık bir düzine rakip boşaltıcı saydı; bu yüzden bakiyesi olan bir beyin cüzdanı genellikle bir gün içinde, çoğu zaman da dakikalar içinde boşaltılıyordu.
Düzeltilemeyecek kısım, cümlenin insan tarafından seçilmesidir. Özgün olduğunu düşündüğünüz bir cümle bile, rastgele bir anahtarın kapladığı 2 üzeri 256 alanından çok daha küçük bir arama uzayında yer alır ve saldırganın yalnızca insanların gerçekten seçtiği ifadelere ihtiyacı vardır.
Nerede karşınıza çıkar
Beyin cüzdanları tarihseldir, ancak fikir yeni adlarla geri dönmeye devam ediyor, bu yüzden tanımaya değer. Keybase tarafından 2014 yılında yayımlanan WarpWallet, kavramı scrypt ve PBKDF2 ile buna ek olarak tuz görevi gören bir e-posta adresiyle kurtarmayı denedi; bu, tahmin başına maliyeti artırır ama girdiyi bir insanın seçtiği gerçeğini değiştirmez.
Güncel karışıklık, gerçek bir kurtarma ifadesini ezberlemekle ilgilidir. Bir donanım cüzdanı tarafından üretilen on iki kelime, 128 bit makine entropisi taşır ve siz onları ayrıca ezberleseniz de ezberlemeseniz de güçlü kalır. Kendi uydurduğunuz bir ifade ise hayal gücünüzde ne kadar entropi varsa onu taşır, ki bu hissettirdiğinden çok daha azdır. Bir site, uygulama veya “özel seçilmiş kurtarma ifadesi” aracı sizden aklınıza gelen bir cümle yazmanızı isteyip karşılığında bir cüzdan vaat ediyorsa, onu kapatın.
Beyin cüzdanı vs parola
Beyin cüzdanı sırrın tamamıdır; BIP-39 parolası ise makine tarafından üretilen kelimelerin üzerine eklenen ek bir faktördür. Saldırının şeklini bu fark belirler. Bir beyin cüzdanını denemek için saldırganın bir kelime listesinden ve elektrikten başka bir şeye ihtiyacı yoktur, çünkü adresler herkese açıktır. Bir parolayı denemek için saldırganın elinde zaten kurtarma kelimeleriniz olmalıdır, yani saldırı ancak fiziksel bir ihlalden sonra başlar. Zayıf insan girdisi her ikisinde de tehlikelidir, ancak yalnızca biri para yatırıldığı andan itibaren tüm internete açıktır.