Vorsicht! Electrum unter Windows10

[Gast]

vor 2 Minuten schrieb david19:

Das kann ich leider in meinem Screenshots oben nicht sehen.

 

https://github.com/spesmilo/electrum/issues/5448

Ja, ich kann mir das auch nicht erklären. Die 40Euro sind bis jetzt niemals bei mir angekommen. Also die zwei Transaktionen. 

Ok bitte beantworten.

1. Ist dein Datei-Hash gleich wie die Github Version?

2. Wurde deine Adresse geändert nachdem du sie geprüft hast?

 

[Maaz]

Für mich klingt das nach dieser Electrum-Scam-Attacke: https://github.com/spesmilo/electrum/issues/5183

 

In älteren Versionen der Wallet ist es möglich, über boshafte Nodes einen Download-Link zu einer verseuchten Electrum-Version anzuzeigen.

Hast du eventuell so einen Link für das Electrum-Update verwendet?

Electrum sollte dir keinen Download-Link anzeigen, sondern nur auf eine neue Version hinweisen, die auf der Homepage heruntergeladen werden kann.

Du schriebst ja, deine Windows-Version hättest du vor zwei Jahren installiert. Welche Versionsnummer zeigt das Windows-Electrum dir denn aktuell an?

 

[battlecore]

vor 18 Stunden schrieb Arther:

Wie zum Beispiel Linux-Distributionen (z.B. Ubuntu oder Mint), die standardmäßig auf `sudo` setzen und damit jegliche Nutzertrennung bzw. Rechteverwaltung faktisch wirkungslos machen. Dadurch, dass fast jede Consumer-Malware für Windows gebaut ist ist dieses heute stärker gehärtet als eine übliche Linux-Distro.

Wie kommstn auf das schmale Brett? Wäre mir neu. Oder wieso muss ich immer sudo benutzen?

[battlecore]

vor 18 Stunden schrieb Rikki77:

Du musst halt ein Passwort eingeben.

Das ist doch wohl nicht zuviel verlangt. 

Allerdings könnte da schon ein Warnhinweis kommen.

 

Ja eben. Besser wäre das die Option der Verschlüsselung gar nicht ohne Passwort verfügbar ist. Wäre ja eine lgosche Konsequenz.

 

vor 16 Stunden schrieb alica:

Wenn kein Passwort gesetzt wird ist auch nichts verschlüsselt.

 

Es wird aber dennoch angezeigt das es verschlüsselt sei. Die Verschlüsselung kann man separat anwählen. Es wird dann aber nichts verschlüsselt.

[battlecore]

vor 6 Stunden schrieb Maaz:

Für mich klingt das nach dieser Electrum-Scam-Attacke: https://github.com/spesmilo/electrum/issues/5183

 

In älteren Versionen der Wallet ist es möglich, über boshafte Nodes einen Download-Link zu einer verseuchten Electrum-Version anzuzeigen.

Hast du eventuell so einen Link für das Electrum-Update verwendet?

Electrum sollte dir keinen Download-Link anzeigen, sondern nur auf eine neue Version hinweisen, die auf der Homepage heruntergeladen werden kann.

Du schriebst ja, deine Windows-Version hättest du vor zwei Jahren installiert. Welche Versionsnummer zeigt das Windows-Electrum dir denn aktuell an?

 

So kenne ich das von Exodus auch, da erscheint nur der Hinweis auf eine neue Version.

Ich mache mir für solche Adressen immer ein Bookmark im Browser, das erspart zumindest die Fehleranfällige Googlesuche.

Nutzt natürlich nix wenn der Browser verseucht ist. Wobei ich allerdings noch nie gehört habe das dann Bookmarks verändert werden. Zumindest kann ich mich nicht dran erinnern. Allerdings würde ich niemals ein Sync verwenden das Browser über mehrere Geräte weg synchronisiert, oder Lesezeichen synchronisiert.

Dummerweise muss man in irgendeinen sauren Apfel immer beissen. Egal wie man es macht.

[Ulli]

vor 53 Minuten schrieb battlecore:

So kenne ich das von Exodus auch, da erscheint nur der Hinweis auf eine neue Version.

Wobei bei Exodus ja gefühlt jeden Monat geupdatet wird. Der Hinweis erscheint im Programm und durch Klick wird installiert und dann Neustart.

Bei Electrum gibts ja sehr selten mal Updates...und hier lädt man doch die neuste Version manuell von der Seite runter, oder?

[battlecore]

vor 5 Minuten schrieb Ulli:

Wobei bei Exodus ja gefühlt jeden Monat geupdatet wird. Der Hinweis erscheint im Programm und durch Klick wird installiert und dann Neustart.

Bei Electrum gibts ja sehr selten mal Updates...und hier lädt man doch die neuste Version manuell von der Seite runter, oder?

Wie das bei Electrum läuft weiss ich nicht genau.

Bei Exodus erscheint nur der Hinweis. Allerdings aheb ich auch viele Versionen verpasst, kann sein das es auch mal anders lief zwischendurch.

[Arther]

1 hour ago, battlecore said:

Wie kommstn auf das schmale Brett? Wäre mir neu. Oder wieso muss ich immer sudo benutzen?

Solange du als User keine binaries (z.B. sudo) ausführst mit denen du Root-Rechte erhältst ist alles gut. Der Einsatz von sudo ist aber halt der Standard-Weg unter diversen Distros, z.B. Ubuntu oder Mint. Und der sudo Befehl ist nicht speziell geschützt, d.h. Malware mit Nutzerrechten kann sehr einfach manipulieren, was denn eigentlich ausgeführt wird, wenn du sudo eintippst.

[david19]

Sorry Leute für die später Antwort. Habe vorsichtshalber mein PC formatiert. Habe aber vorher nochmal alles gecheckt. Und tatsächlich!!

Ich hatte die Maleware Version geupdated Electrum 4.0.0 im Jahr 2020.🥵  Ich habe nämlich auf meinem PC die Setup.exe dazu gefunden. Und warscheinlich erst danach das richtige Update gemacht auf 4.1.5 Und genau da war der Wurm drin. Aber das war vermutlich nachdem ich meine großen Summen überwiesen hatte. 

Also der Fehler liegt nicht an Electrum, sondern vor dem Bildschirm. Und es ist ein Jammer, das mir das PHP Laravel Entwickler passiert ist. Das war mir eine Lehre.

Bearbeitet 19. Dezember 2021 von david19

[battlecore]

Am 17.12.2021 um 16:16 schrieb Arther:

Solange du als User keine binaries (z.B. sudo) ausführst mit denen du Root-Rechte erhältst ist alles gut. Der Einsatz von sudo ist aber halt der Standard-Weg unter diversen Distros, z.B. Ubuntu oder Mint. Und der sudo Befehl ist nicht speziell geschützt, d.h. Malware mit Nutzerrechten kann sehr einfach manipulieren, was denn eigentlich ausgeführt wird, wenn du sudo eintippst.

Ja dann ist sudo der Standardweg, aber ohne Passworr gehts nicht.

[Arther]

2 hours ago, battlecore said:

Ja dann ist sudo der Standardweg, aber ohne Passworr gehts nicht.

Unter Windows sind die UAC GUIs speziell geschützt, so dass z.B. Keylogger keinen Zugriff darauf haben, was man da eingibt. Unter Linux ist das nicht so, sobald du dir mit Nutzerrechten Root-Rechte holst mit z.B. sudo hast du jegliche Nutzertrennung in Bezug auf Malware überflüssig gemacht.

Früher (zu Windows XP Zeiten) haben Linuxer gewitzelt, Windows habe nicht einmal eine saubere Nutzertrennung... heute ist es genau umgekehrt.

Bearbeitet 19. Dezember 2021 von Arther

[rheingold]

vor 20 Minuten schrieb Arther:

Unter Windows sind die UAC GUIs speziell geschützt, so dass z.B. Keylogger keinen Zugriff darauf haben, was man da eingibt. Unter Linux ist das nicht so, sobald du dir mit Nutzerrechten Root-Rechte holst mit z.B. sudo hast du jegliche Nutzertrennung in Bezug auf Malware überflüssig gemacht.

Ein Standardnutzer hat unter Linux keine Rootrechte und kann sie auch nicht mit sudo erlangen.

[Arther]

9 minutes ago, rheingold said:

Ein Standardnutzer hat unter Linux keine Rootrechte und kann sie auch nicht mit sudo erlangen.

Der Unterschied ist für das besprochene hier irrelevant. Das Thema ist "sichere Betriebssysteme" und ich habe argumentiert, dass die üblicherweise verwendeten Linux-Distributionen nicht sicherer sind als Windows und das Windows im Gegenteil sogar Sicherheitsmechanismen hat die es unter Linux nicht gibt und welche Windows gegen eine Reihe wichtiger Angriffe absichert (u.a. privilege escalation durch keylogging).

Bearbeitet 19. Dezember 2021 von Arther

[rheingold]

vor 3 Minuten schrieb Arther:

Der Unterschied ist für das besprochene hier irrelevant.

Falsche Behauptungen deinerseits sind nicht irrelevant. Bin dann mal raus hier.

[battlecore]

vor 4 Stunden schrieb Arther:

Unter Windows sind die UAC GUIs speziell geschützt, so dass z.B. Keylogger keinen Zugriff darauf haben, was man da eingibt. Unter Linux ist das nicht so, sobald du dir mit Nutzerrechten Root-Rechte holst mit z.B. sudo hast du jegliche Nutzertrennung in Bezug auf Malware überflüssig gemacht.

Früher (zu Windows XP Zeiten) haben Linuxer gewitzelt, Windows habe nicht einmal eine saubere Nutzertrennung... heute ist es genau umgekehrt.

Sudo ist wie bei Windows die erweiterte Nutzerrechte.

Sudo wird z.b. von Linux angefordert wenn ein Programm die Standardnutzerrechte übersteigt, wie bei Windows. Dann kann man entscheiden ob man das macht oder nicht. Und nach beenden des Programmes werden die Sudorechte automatisch wieder entzogen.

Selbst wenn ich mir selbst Rechte als Systemverwalter gebe muss ich immer noch Sudo für derartige Programme einräumen die über die Standardrechte hinauswollen. 

Programme die ich als Systemverwalter einrichte haben dadurch nicht automatisch diese Rechte.

Selbst ein einfaches bash kann nicht machen was es will.

So kenne ich das jedenfalls. Aber ich bin auch nicht ein Linuxspezialist. Ich nutze es seit ewig schon aber da es so gut wie nie knifflig wird bestand nie die Notwendigkeit da so ultratief einzutauchen wie früher bei Windows wo man ohne sehr tiefe Detailkenntnisse oft nicht weiterkam.

Aber egal wie, ohne ein Mindestmass an Überlegungen kann man überall auf die Nase fallen.

Meine Wallets hab ich z.b. immer auf mehreren Nutzerkonten. Jeder Nutzer ist für eine einzelne Wallet und hat nur Nutzerrechte. Ein Zugriff auf die anderen Nutzerkonten ist nicht möglich, sie sind nur sichtbar aber nicht lesbar.

Bearbeitet 19. Dezember 2021 von battlecore

[battlecore]

vor 4 Stunden schrieb rheingold:

Ein Standardnutzer hat unter Linux keine Rootrechte und kann sie auch nicht mit sudo erlangen.

Richtig, Sudo ist nicht Superuser SU.

SU entspricht eher Adminrechten. 

Bearbeitet 19. Dezember 2021 von battlecore

[Jokin]

vor 5 Stunden schrieb rheingold:

Ein Standardnutzer hat unter Linux keine Rootrechte und kann sie auch nicht mit sudo erlangen.

Korrekt.

Man muss einem User erst sudo-Rechte zuweisen indem man ihn der sudoer-Group zuweist.

Versucht ein normaler User per sudo Befehle auszuführen ohne in der Gruppe zu sein, dann gibt's sofort eine Meldung an den Admin.

vor 6 Stunden schrieb Arther:

Unter Linux ist das nicht so, sobald du dir mit Nutzerrechten Root-Rechte holst mit z.B. sudo hast du jegliche Nutzertrennung in Bezug auf Malware überflüssig gemacht.

Daher gibt man Ottonormal-Usern natürlich keine sudo-Rechte.

Konkret als Beispiel auf meinen Bitcoin-Full-Node bezogen:

Es gibt den User root - der hat keine ssh-Rechte.
Für ssh gibt es einen anderen User, der in der sudo-Gruppe ist, der darf auch das System aktualisieren. Dessen Sicherheit ist die "Unbekanntheit" und fail2ban.
Der User "bitcoin" darf den Bitcoin-Fullnode ausführen und Lightning ausführen, er hat aber keine sudo-Rechte und darf die Software nicht aktualisieren.

Auf diese Weise ist mein Linux schon "relativ" sicher.

Natürlich kann ein normaler Linux-User auch Programme starten wie z.B. Keylogger. Aber das ist dann sein persönliches Problem wenn er das tut. Diese Keylogger gefährden nicht das Gesamtsystem oder andere User.

Genauso ist es bei Windows. Da kann jeder User seine eigenen Programme ausführen. Auch einen Keylogger. Aber auch da wird bei einem entsprechend abgesicherten System nicht das Gesamtsystem gefährdet.

Das Problem sind die Betriebssysteme, die von Endanwendern installiert werden, da kümmern sich die Leute nicht um Rechte und der User hat dann mit einer kurzen Passworteingabe sofort auch die Adminrechte erteilt.

Das passiert bei einem Linux genauso einfach wie bei einem Windowssystem.

 

Daher: Friede sei mit euch 🙂 

[Arther]

Linux als Server-System ist sowieso nochmal was ganz anderes, da dort Dienste in getrennten VMs oder eben sinnvoll mit getrennten Nutzerkonten laufen können.

1 hour ago, Jokin said:

Endanwendern

Ja, die sind das Problem, nicht das Betriebssystem :-). Die Geschichte, Windows sei von Hause aus unsicher (oder unsicherer als "Linux") war vor 15 Jahren korrekt, heute nicht mehr. Ich habe schlicht ein Beispiel angeführt wo Windows Design-bedingt mehr Mechanismen zur Sicherheit bietet als es bei Linux-Systemen der Fall ist. Ich bin selber ein ziemlicher Fan von Linux, wieso eine technische (wohl allgemein-abwertend aufgenommene) Bemerkung zu Linux so viel Drama erzeugt - keine Ahnung.

Selbstredend gibt es aber natürlich hauptsächlich Malware für Windows aufgrund der großen Verbreitung.

Bearbeitet 19. Dezember 2021 von Arther

[battlecore]

vor 13 Stunden schrieb Arther:

Selbstredend gibt es aber natürlich hauptsächlich Malware für Windows aufgrund der großen Verbreitung.

Das ist genau das Problem. Was nutzt ein gut abgesochertes System wenn es drölfhundert Schädlinge gibt die bekanntermassen trotzdem immer wieder durchkommen.

Dazu das bei Windowsnutzern weitverbreitete freiwillige Installieren aller möglichen ungesunden Programme. Bei Linuxnutzern ist das Verhalten eigentlich anders, da man dort eh nicht völlig bescheuerten Spielkram nutzen kann sind Linuxnutzer in der Regel eher welche die ein solides System für bestimmte aufgaben haben wollen.

Daher ist die Einschätzung das Linux sicherer ist eben doch richtig. Das ergibt sich auch aus dem Gesamtbild einfach.

[maxkane12]

habe ein Chromebook geschenkt bekommen und möchte damit als zweites Gerät in der Crypto arbeiten. Was halten Sie von diesem OS?

 

Danke

 

[Jokin]

vor 2 Stunden schrieb maxkane12:

habe ein Chromebook geschenkt bekommen und möchte damit als zweites Gerät in der Crypto arbeiten. Was halten Sie von diesem OS?

 

Danke

 

Chrome OS speichert alles in der Cloud.

Kannst mit Crypto arbeiten solange du bei Börsen konsequent 2FA aktivierst.

Wallets würde ich da nur mit geringem Guthaben liegen lassen.

[maxkane12]

vor einer Stunde schrieb Jokin:

Chrome OS speichert alles in der Cloud.

Kannst mit Crypto arbeiten solange du bei Börsen konsequent 2FA aktivierst.

Wallets würde ich da nur mit geringem Guthaben liegen lassen.

Danke dir, ich würde merken

[Gast]

vor 3 Stunden schrieb Suicide79:

Die aktuell angebotene Version 4.1.5 ist also vertrauenswürdig?

Ich setze gerade ein neues Live-System auf und möchte dabei nichts riskieren.

Download von hier:

https://electrum.org/#download

Die Gefahr ist ja daß die Website gefälscht ist und damit die Software und die Zertifikate auch gefälscht sind.

Die Domain sieht gut aus. Wurde in 2000 auf eine Adresse in Paris registriert.

Aber kommt man da sicher auf die richtige Seite? Das Hosting und DNS kann sich ja ändern. Oder eben Spoofing.

Ich komme auf

Ping wird ausgeführt für electrum.org [172.67.160.221]

Kann das bitte jemand als richtig bestätigen?

Ich arbeite nach dieser Anleitung:

https://bitzuma.com/posts/how-to-verify-an-electrum-download-on-windows/

Ich finde das ist sehr gut und übersichtlich gemacht.

Was ist noch wichtig?

Ich denke der public key des Entwicklers muß verifiziert werden.

Da für gibt es ja neben der Website noch andere Quellen.

Ich sehe

Benutzer-ID: Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>

Comment: Fingerabdruck: 6694D8DE7BE8EE5631BED9502BD5824B7F9470E6

Key ID: 0x2bd5824b7f9470e6   (Website & MIT).

Es wäre nett wenn jemand diese Daten bestätigen würde.

Dann kann eigentlich nichts mehr passieren.   (also seitens der Software)

Es sei denn der Private Key von Thomas würde gestohlen.

Ich denke, das mit der Massentauglichkeit dauert noch...

 

 

 

 

@Suicide79...ich bestätige.

[Janbtc]

Am 16.12.2021 um 18:21 schrieb battlecore:

Nachdem hier vor kurzem festgestellt wurde das Electrum die Keys / Seed unverschlüsselt im Klartext in eine Textdatei speichert obwohl Verschlüsselung aktiviert ist.... für mich ist das ein nogo.

Für welche Alternative hast Du dich entschieden?

[battlecore]

vor 1 Stunde schrieb Janbtc:

Für welche Alternative hast Du dich entschieden?

Ich benutze seit zig Jahren Exodus.