Zum Inhalt springen

Seriösität Hardware Wallets?


corado

Empfohlene Beiträge

Wie seriös sind eigentlich die ganzen Hardware Wallet Anbeiter?

Wer hat den die jemals getestet?

Wer garantiert,das die nicht alle Coins kopieren und zum Zeitpunkt X selber alles transferieren?!

Es gibt doch nicht einen offiziellen Test von Seriöser Seite, die das mal geprüft hätte...

Link zu diesem Kommentar
Auf anderen Seiten teilen

Ich kann nur sagen das ich den Nano s 3 Monate verwende und sicherlich das sicherste Mittel ist um Coins aufzubewahren.

Mit den anderen Wallets bist du immer Online. Mit dem Stick nicht. Klar misstrauen ist vorhanden aber dann musst 

du allem misstrauen. Online Wallets und DesktopWallets vorallem. Kannst ja auch externe HDD nehmen.

Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 50 Minuten schrieb corado:

Wie seriös sind eigentlich die ganzen Hardware Wallet Anbeiter?

Das weiß niemand.

vor 52 Minuten schrieb corado:

Wer hat den die jemals getestet?

Ich glaub nicht.

vor 52 Minuten schrieb corado:

Wer garantiert,das die nicht alle Coins kopieren und zum Zeitpunkt X selber alles transferieren?!

Es gibt keine Garantie

vor 52 Minuten schrieb corado:

Es gibt doch nicht einen offiziellen Test von Seriöser Seite, die das mal geprüft hätte..

Was wäre Dein Vorschlag für einen Test?

 

Wenn ich mal so überlege, was ich als Bösewicht tun würde:

- Jeder Ledger würde eine interne 20-stellige Seriennummer erhalten (hat er bestimmt)
- Jeder Ledger würde dann basierend auf seiner Seriennummer einen Seed erzeugen.
- Nach einem Reset wird der nächste Seed ebenfalls basierend auf der Seriennummer erzeugt, die um 1 hochgezählt wurde.

Somit habe ich als Hersteller ebenfalls die Möglichkeit die Seeds meiner ausgelieferten Ledger zu ermitteln und ganz unbemerkt kann ich die Blockchain abfragen und so nachverfolgen auf welchen Konten welche Bestände liegen. Sollt irgendwo mal ein Bestand auf Null fallen, könnte es ja einen Reset gegeben haben, also checke ich gleich nochmal die Folge-Seeds nach Hochindizierung der Seriennummer.

Die Nutzer der Ledger wähnen sich in Sicherheit, dass sie eine Super-Hardware-Wallet haben und bis zum "Big-Bang" werden sie auch nix vom Betrug mitbekommen.

 

... dieses Problem mit der Seriennummer ist übrigens hardwarespezifisch, bei software kann das so nicht kommen.

 

 

Mir ist dieses Risiko schon länger bewusst, daher besitze ich keine Hardwarewallet.

 

  • Like 2
  • Up 1
Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 29 Minuten schrieb Svencase84:

Was schlägst du dann vor JOKIN, also Welche Wallet?

DO
- Wer den Platz für die Blockchain hat: Bitcoin Core - da schleicht sich wohl nix ein, weil genug Entwickler drauf schauen.
- Wer den Platz nicht hat: Electrum - auch das ist Open Source und es schauen genug Entwickler drauf.
- Wenn es offline als Paperwallet sein soll, dann https://iancoleman.io/bip39/ runterladen und offline benutzen (hier kann man sich mit der Technik gut befassen)
- Alternativ: http://www.bitaddress.org runterladen und offline benutzen, da gibt es direkt eine schöne Paperwallet zum Ausdrucken. 
- Für Bitcoin Cash würde ich ausschließlich Paperwallets nutzen (gleiche Adressen wie BTC, non-Segwit)
- Für Ethereum: https://github.com/kvhnuke/etherwallet/releases/latest runterladen, offline benutzen, Paperwallet erzeugen
- SEED, SEED, SEED - grundsätzlich den Seed sichern !!!

DON'T DO
- keine Wallet auf Windows-PC ohne ausreichenden Schutz
- keine Wallet auf Computer mit diverser Freeware rund um Bitcoins
- keine Browsererweiterungen
- keine Alleskönner-Wallet, die Zugriff auf hochwertige Coins und Shitcoins zugleich haben
- kein öffentliches WLAN für Bitcoin-Wallet-Computer
- keine gleichzeitige INstallation von Bitcoin-Wallet und Shitcoin-Wallet

(kann man drüber diskutieren)
- Wallet auf USB-Stick auslagern (die ist eh mit PW geschützt, bringt daher eher nix)
- Wer Bitcoin-Gewinne von mehreren Tausend Euros hat, sollte sich einen eigenen Computer für die Bitcoin-Wallet zulegen.

Ich hab mir einen weiteren Mac dafür gekauft, der sonst nichts zu tun hat außer Electrum beherbergen, Paperwallets zu erzeugen und die Steuerdokumentation zu erstellen. Da kommt also keine weitere Software drauf und schon gar keine Browserwerweiterungen.

Um Paperwallets zu leeren nutze ich einen Windows-PC, der kann da jegliche Software drauf haben .. ich lese den PrivateKey nur einmalig ein und dann wird der Gesamtbestand auf eine Börse geschoben - von dort aus wird weiter verteilt oder ein Teil wieder auf eine neue Paperwallet geschoben.

 

Bearbeitet von Jokin
  • Love it 1
  • Like 2
  • Up 1
Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 12 Minuten schrieb Jokin:

DO
- Wer den Platz für die Blockchain hat: Bitcoin Core - da schleicht sich wohl nix ein, weil genug Entwickler drauf schauen.
- Wer den Platz nicht hat: Electrum - auch das ist Open Source und es schauen genug Entwickler drauf.
- Wenn es offline als Paperwallet sein soll, dann https://iancoleman.io/bip39/ runterladen und offline benutzen (hier kann man sich mit der Technik gut befassen)
- Alternativ: http://www.bitaddress.org runterladen und offline benutzen, da gibt es direkt eine schöne Paperwallet zum Ausdrucken. 
- Für Bitcoin Cash würde ich ausschließlich Paperwallets nutzen (gleiche Adressen wie BTC, non-Segwit)
- Für Ethereum: https://github.com/kvhnuke/etherwallet/releases/latest runterladen, offline benutzen, Paperwallet erzeugen
- SEED, SEED, SEED - grundsätzlich den Seed sichern !!!

DON'T DO
- keine Wallet auf Windows-PC ohne ausreichenden Schutz
- keine Wallet auf Computer mit diverser Freeware rund um Bitcoins
- keine Browsererweiterungen
- keine Alleskönner-Wallet, die Zugriff auf hochwertige Coins und Shitcoins zugleich haben
- kein öffentliches WLAN für Bitcoin-Wallet-Computer
- keine gleichzeitige INstallation von Bitcoin-Wallet und Shitcoin-Wallet

(kann man drüber diskutieren)
- Wallet auf USB-Stick auslagern (die ist eh mit PW geschützt, bringt daher eher nix)
- Wer Bitcoin-Gewinne von mehreren Tausend Euros hat, sollte sich einen eigenen Computer für die Bitcoin-Wallet zulegen.

Ich hab mir einen weiteren Mac dafür gekauft, der sonst nichts zu tun hat außer Electrum beherbergen, Paperwallets zu erzeugen und die Steuerdokumentation zu erstellen. Da kommt also keine weitere Software drauf und schon gar keine Browserwerweiterungen.

Um Paperwallets zu leeren nutze ich einen Windows-PC, der kann da jegliche Software drauf haben .. ich lese den PrivateKey nur einmalig ein und dann wird der Gesamtbestand auf eine Börse geschoben - von dort aus wird weiter verteilt oder ein Teil wieder auf eine neue Paperwallet geschoben.

 

Werde weiterhin den Nano S benutzen, mit einem PC der nur für Bitcoins da ist.

 

Link zu diesem Kommentar
Auf anderen Seiten teilen

@Jokin

Bistn sicher das der Mac nicht nach Hause telefoniert? Was ja gern als Einfallstor benutzt wird bei Windoof.

Hab kein Plan wie Mac funktioniert oder was für Schadsoftware es da gibt. Ich nehm an das du nicht Windoof auf den Mac gemacht hast. Ich trau nur niemand der Handys für über 1000 euro anbietet die unter 15 Grad nicht benutzbar sind.

Bearbeitet von battlecore
Link zu diesem Kommentar
Auf anderen Seiten teilen

Hallo,

wer dem Zufallsgenerator einer Hardwarewallet nicht traut, kann auch einen eigenen Seed erzeugen/würfeln/ausdenken und den verwenden. Wenn die Hardwarewallet einen anderen privaten Schlüssel aus diesem Seed generiert (weil sie etwas hochzählt oder ihn anderweitig manipuliert) dann würde das bestimmt auffallen, da ein anderer Wallet aus dem gleichen Seed einen anderen privaten Schlüssel generiert.

Auch wenn man einen echten Zufallsgenerator nicht wirklich sicher überprüfen kann, gibt es Methoden um die "Unordnung" zu messen die z.B. in so einem erzeugten Seed steckt. Man kann davon ausgehen, dass Auffälligkeiten von bekannten Hardwarewallets bestimmt schon veröffentlicht wären. Ganz interessant hierbei dass von Menschen erzeugte/ausgedachte Seeds ganz oft "weniger zufällig" sind als von einem echten Zufallsgenerator. Menschen wählen eventuell Worte aus der BIB 39 nach bestimmten Mustern aus weil sie etwas damit verbinden oder weil sie sich die gut merken können etc.

Ich bin mir sicher, dass wenn eine Hardwarewallet in irgendeiner Form "Nach Hause telefonieren" würde dann wäre das auch schon aufgefallen.

Soweit ich weiss verwenden die gängigen Hardwarewallets alle den "AIS-31 PTG" Chip um Zufallszahlen zu generieren. Hat jemand diesen Chip kompromittiert oder ein System dafür sind die Hardwarewallets alle im Eimer.

Bearbeitet von Theoretiker
Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 4 Stunden schrieb battlecore:

Bistn sicher das der Mac nicht nach Hause telefoniert? Was ja gern als Einfallstor benutzt wird bei Windoof.

Hab kein Plan wie Mac funktioniert oder was für Schadsoftware es da gibt. Ich nehm an das du nicht Windoof auf den Mac gemacht hast. Ich trau nur niemand der Handys für über 1000 euro anbietet die unter 15 Grad nicht benutzbar sind.

Ja, nee - ich kauf mir einen Mac und installier Windows drauf :D:D:D  ... nein, nicht wirklich.

Zum Nachhause-Telefonieren: Es ist ein Unterschied ob ein Gerät zu Supportzwecken nach Hause telefoniert (hab ich deaktiviert), Daten in einer Cloud speichert (ist deaktiviert) oder ob gezielt Malware auf dem Gerät installiert wurde um Bitcoins zu stehlen.

vor 12 Minuten schrieb Theoretiker:

Ich bin mir sicher, dass wenn eine Hardwarewallet in irgendeiner Form "Nach Hause telefonieren" würde dann wäre das auch schon aufgefallen.

Das ist nicht notwendig, wenn der Seed schon vor dessen Erstellung bekannt ist. Daher ist es ja so wichtig, dass nicht nur die entsprechende Hardware an Bord um Zufallszahlen zu generieren sondern auch benutzt wird - und genau das kann ich noch nicht abschätzen ob dem so ist - das kann auch niemand so einfach, der kein Reverse-Engineering mit dem Ding betreibt.

An sich müsste nun ein unabhängiger Auditor prüfen wie die Produktion der Hardwarewallets statt findet, eine Risikoanalyse durchführen an welchen Stellen das Gerät kompromittiert werden könnte und wie sichergestellt wird, dass keine manipulierte Software auf das Gerät gespielt wird - auch nicht bei späteren Firmwareupdates.

Link zu diesem Kommentar
Auf anderen Seiten teilen

es geht ja nicht um die Genereierung von zufall etc..es geht darum das man an zig Stellen ansetzen könnte um das System auszuhebeln.
Wie man es ..soweit es denn funktioniert..umgehen könnte ist eine andere Sache..aber als Produzent des Sticks habe ich unzählige möglichkeiten was zu manipulaeren, weiterzuleiten, Spiegeln etc pp

Und der große Markt m den Bitcoin entsteht ja gerad erst...also erstmal kasse machen...

Das gilt für das ganze Prinzip der Coins.wenn es da einen Hack gibt, das unendlich viele Coins generiert werden könnten oder sonswas..wird derjenige das sicher nicht gleich überall rumposaunen...

 

Link zu diesem Kommentar
Auf anderen Seiten teilen

vor 22 Stunden schrieb Jokin:

Wenn ich mal so überlege, was ich als Bösewicht tun würde:

- Jeder Ledger würde eine interne 20-stellige Seriennummer erhalten (hat er bestimmt)
- Jeder Ledger würde dann basierend auf seiner Seriennummer einen Seed erzeugen.
- Nach einem Reset wird der nächste Seed ebenfalls basierend auf der Seriennummer erzeugt, die um 1 hochgezählt wurde.

 

Das ist nicht der Fall. Ich habe meinem Trezor einen selbst generierten Seed verpasst und die daraus generierten Adressen geprüft. Der Trezor hält sich ans Protokoll.

 

Andere Tests haben geprüft, dass der Trezor den Privaten Schlüssel nicht an den PC sendet womit das Risiko nach Hause zu telefonieren ebenfalls ausgeschlossen ist.

 

Ähnliche Tests findet man auch zu anderen Hardware Wallets oder macht den Test einfach kurz selber. Den selbst generierten Seed aber bitte nur zum Test nutzen sonst bringt einem das beste Hardware wallet nichts wenn der selbst generierte Seed bereits angreifbar ist.

 

 

  • Like 1
Link zu diesem Kommentar
Auf anderen Seiten teilen

Am 17.12.2017 um 16:39 schrieb Jokin:

Um Paperwallets zu leeren nutze ich einen Windows-PC, der kann da jegliche Software drauf haben .. ich lese den PrivateKey nur einmalig ein und dann wird der Gesamtbestand auf eine Börse geschoben - von dort aus wird weiter verteilt oder ein Teil wieder auf eine neue Paperwallet geschoben.

Wie liest Du PrivateKeys von diversen Altcoins ein?

 

Am 17.12.2017 um 16:39 schrieb Jokin:

- Für Bitcoin Cash würde ich ausschließlich Paperwallets nutzen (gleiche Adressen wie BTC, non-Segwit)
- Für Ethereum: https://github.com/kvhnuke/etherwallet/releases/latest runterladen, offline benutzen, Paperwallet erzeugen

- kein öffentliches WLAN für Bitcoin-Wallet-Computer

Würdest Du bei Altcoins grundsätzlich nicht auch die Wallets als Backups/Images etc sichern?

 

Bearbeitet von Jens Weidmann
Link zu diesem Kommentar
Auf anderen Seiten teilen

Am 17.12.2017 um 16:39 schrieb Jokin:

- Wenn es offline als Paperwallet sein soll, dann https://iancoleman.io/bip39/ runterladen und offline benutzen (hier kann man sich mit der Technik gut befassen)
- Alternativ: http://www.bitaddress.org runterladen und offline benutzen, da gibt es direkt eine schöne Paperwallet zum Ausdrucken. 

Es gibt aber viele Altcoins die bei diesen Paperwalletgeneratoren gar nicht gelistet sind! Was dann?

 

Am 17.12.2017 um 16:39 schrieb Jokin:

- Für Bitcoin Cash würde ich ausschließlich Paperwallets nutzen (gleiche Adressen wie BTC, non-Segwit)

Warum non-SegWit? Ich meine (weiß aber nicht genau) Ledger hat Bitcoin Cash sowohl auf Legacy als auch auf SegWit Chain angeboten.

Bearbeitet von Jens Weidmann
Link zu diesem Kommentar
Auf anderen Seiten teilen

Am 12/18/2017 um 13:43 schrieb skunk:

Das ist nicht der Fall. Ich habe meinem Trezor einen selbst generierten Seed verpasst und die daraus generierten Adressen geprüft. Der Trezor hält sich ans Protokoll.

 

Gut gemacht, so sollte es auch sein.

Am 12/18/2017 um 13:43 schrieb skunk:

Andere Tests haben geprüft, dass der Trezor den Privaten Schlüssel nicht an den PC sendet womit das Risiko nach Hause zu telefonieren ebenfalls ausgeschlossen ist.

Wenn der automatisch generierte Seed auf der Seriennummer basiert muss der nicht nach Hause geschickt werden - zu Hause ist er dann eh schon bekannt.

Am 12/18/2017 um 13:43 schrieb skunk:

Den selbst generierten Seed aber bitte nur zum Test nutzen sonst bringt einem das beste Hardware wallet nichts wenn der selbst generierte Seed bereits angreifbar ist.

Im Zweifel unbeding selber generieren. Offline. Per Hand.

vor 3 Stunden schrieb Jens Weidmann:

Wie liest Du PrivateKeys von diversen Altcoins ein?

Gar nicht - der Aufwand steht für mich in keinem gesunden Verhältnis von Aufwand, Chance und Risiko.

vor 3 Stunden schrieb Jens Weidmann:

Würdest Du bei Altcoins grundsätzlich nicht auch die Wallets als Backups/Images etc sichern?

Backups gehören grundsätzlich in jede Datensicherungsstrategie - das erwähne ich gar nicht erst extra. 

vor 2 Stunden schrieb Jens Weidmann:

Es gibt aber viele Altcoins die bei diesen Paperwalletgeneratoren gar nicht gelistet sind! Was dann?

Aufwand/Risiko/Chance -> bleibt aufBörse oder wird gar nicht rst gekauft.

 

vor 2 Stunden schrieb Jens Weidmann:

Warum non-SegWit? Ich meine (weiß aber nicht genau) Ledger hat Bitcoin Cash sowohl auf Legacy als auch auf SegWit Chain angeboten.

Segwit und Bitcoin Cash? nope ...

Ich nutze keine Hardwarewallets.

 

Link zu diesem Kommentar
Auf anderen Seiten teilen

On 25.12.2017 at 7:19 AM, Jokin said:

Wenn der automatisch generierte Seed auf der Seriennummer basiert muss der nicht nach Hause geschickt werden - zu Hause ist er dann eh schon bekannt.

 

Der Trezor und mit Sicherheit jede andere Hardware-Wallet generiert immer wieder einen neuen Seed, wenn man ihn neu aufsetzt. Damit sollte ausgeschlossen sein, dass der Seed auf der Seriennummer basiert. Zudem kann zumindest beim Trezor durch ein zusätzliches hardware-unabhängiges Passwort quasi ein 25. Wort dem Seed hinzugefügt werden, was die Sicherheit weiter erhöht. Selbst wenn also jemand den Seed kopiert, hat dieser noch immer keinen Zugriff auf den privaten Schlüssel, sondern würde nur ein leeres Wallet vorfinden.

  • Like 1
Link zu diesem Kommentar
Auf anderen Seiten teilen

Streng genommen sollte man sich zwei Passwörter erstellen. Ein Passwort für den Fall, dass man in unschöne Angelegenheiten verwickelt wird und jemand unter Androhung von Gewalt das Wallet leer räumen möchte. In dem Fall einfach das zweite Passwort nennen und das Wallet opfern. Das Haupt Wallet bleibt unangetastet und man selber kommt unbeschadet davon.

Fraglich ist nur welche Beträge man auf dem Opfer Wallet deponieren muss damit es glaubwürdig bleibt. Mit einem 100€ Hardware Wallet rum rennen aber nur 10€ damit verwalten und auch in der Transaktions Historie ist nicht viel zu sehen? Das mag für den Moment funktionieren weil die Täter sich erst weiter bilden müssen. Langfrstig muss da aber ein Betrag liegen mit dem sich die Täter im Zweifel auch begnügen und einen dann in Ruhe lassen.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Ich glaube dir ist nicht ganz bewusst wie ein Hardware Wallet arbeitet.

Die Wallet Software erstellt eine unsignierte Transaktion und schickt diese über das USB Kabel an das Hardware Wallet. Das signiert intern die Transaktion ohne dabei den Private Schlüssel Preis zu geben. Am Ende wird die signierte Transaktion zurück an die Software gesendet. Nicht mal die Trezor Software kommt an deinen privaten Schlüssel. Das wurde bereits mehrfach in entsprechenden Tests bewiesen.

Link zu diesem Kommentar
Auf anderen Seiten teilen

das ist eben die Theorie wie es laufen sollte...

und eben von solchen tests rede ich doch...gibt ea auch nur EINEN einzigen seriösen?!

Also C't oder sonstige halbegs seriöse Quellen? Nicht Bitcoin-Wallet-tester.de oder sowas...

Link zu diesem Kommentar
Auf anderen Seiten teilen

Ja gibt es. Einige Tests waren auch erfolgreich und die gefundenen Lücken wurden über Firmware Updates behoben.

Unter einem seriösen Test verstehe ich keine Inbetriebnahme Anleitung sondern eben ein Test mit selbst geschriebenen Programmen, Aufzeichnung der USB Kommunikation und optional noch zerlegen des Hardwarewallets und Messung der Elektronik. Kein Witz. Letzteres hat beim Trezor Rückschlüsse auf den Privaten Key zugelassen. Wurde vor einigen Jahren mit einem Firmware Update behoben.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Erstelle ein Benutzerkonto oder melde Dich an, um zu kommentieren

Du musst ein Benutzerkonto haben, um einen Kommentar verfassen zu können

Benutzerkonto erstellen

Neues Benutzerkonto für unsere Community erstellen. Es ist einfach!

Neues Benutzerkonto erstellen

Anmelden

Du hast bereits ein Benutzerkonto? Melde Dich hier an.

Jetzt anmelden
×
×
  • Neu erstellen...

Wichtige Information

Wir haben Cookies auf Deinem Gerät platziert. Das hilft uns diese Webseite zu verbessern. Du kannst die Cookie-Einstellungen anpassen, andernfalls gehen wir davon aus, dass Du damit einverstanden bist, weiterzumachen.