Ang mga pag-rol ng dice ay nagpapanatili ng mga bitcoin key nang offline, ngunit hindi lahat ang magiging pagsisikap

Ang isang karaniwang dies na may anim na panig ay nagpapagawa ng halos 2.6 bits ng hindi makikilalang impormasyon sa bawat paghuhulog. Maaaring hindi ito mukhang marami, ngunit kung paulit-ulit na gawin, ang mga hulog na ito ay maaaring lumikha ng kailangang raw randomness upang mapanatili ang isang bitcoin wallet nang hindi nakasalalay sa software o elektronikong komponente.

Si Claude Shannon, ang matematikong nagtatag ng teorya ng impormasyon, ay gumamit ng entropy upang sukatin kung gaano kahihinahunan ang isang resulta. Sa isang patas na die na may anim na mukha, ang bawat mukha ay may parehong isang-sa-limang-anim na pagkakataon na lumabas. Ibinibigay nito ang bawat pag-iihaw ng halos 2.585 bits ng entropy. Ang pag-flip ng coin ay nagpapagawa ng 1 bit, habang ang die na may walong mukha ay nagpapagawa ng 3 bits.

Ang kamakailang pagbagsak ng Coldcard ay nagdulot ng pagtaas ng paggamit ng seed generation na batay sa dice sa social media. Ilan sa mga user ay itinuturing ito bilang kailangan, habang iba ay nagsasabing ito ang nagprotekta sa kanilang pera, samantalang ang mga karanasan na operator ay nagpapahalaga na ang karamihan sa mga baguhan ay hindi makakatanggap ng isang mabagal at madaling magkamali na proseso ng pag-setup.

Ang mahalagang bahagi ay hindi na ang isang gumagalaw na dada ay nag-uugnay nang random sa atomic level. Hindi ito. Ang resulta ay pinag-uugnay ng pisika, ngunit masyadong maraming maliit na baryable ang nagbabago nang sabay-sabay para sa sinuman na kalkulahin ang resulta nang maaasahan. Ang dada ay umalis sa kamay na may tiyak na bilis, anggulo, taas at pag-ikot, tapos ay tumatama sa mesa at nagbabago ng direksyon sa bawat pagbango.

Sa praktika, kahit anumang maliit na pagbabago sa paglalabas ay maaaring magproduksi ng ganap na iba’t ibang resulta. Ang kaunting pagbabago sa posisyon ng daliri o kaunting mas malakas na paghagis ay nagbabago ng landas sapat upang ang huling bilang ay hindi maaaring makikita sa pamamagitan ng pagmamasid sa galaw. Ang resulta ay maaaring deterministiko sa teorya, ngunit para sa paggawa ng wallet, ang mahalaga ay hindi kayang muling iproduko o kalkulahin ng isang attacker.

Hindi direktang gagamitin ng isang computer ang isang lista ng mga resulta ng dice. Dapat muna i-convert ang mga roll sa binary data, at mahalaga ang paraan ng pag-convert.

Ang isang simpleng paraan ng odd-or-even ay madaling maintindihan, ngunit ito ay nagwawala ng maraming available entropy. Bawat pag-rol ay nababawasan sa isang bit, bagaman ang dice ay nagproduksyon ng halos 2.6 bits ng impormasyon. Mas epektibong mga paraan ay nagkukuha ng mahabang sequence ng mga roll at pinoproseso ang buong string, karaniwan sa pamamagitan ng isang cryptographic hash function. Ito ay nagpapanatili ng mas maraming randomness.

Kaparehong prinsipyo ang lumalabas sa Diceware, isang matagal nang paraan para lumikha ng mga secure na passphrase, at sa manual na paggawa ng Bitcoin wallet. Ang isang karaniwang 12-salitang wallet recovery phrase ay binubuo mula sa 128 bits ng entropy. Sa halos 2.6 bits bawat pag-rol, ang halos 50 patas na pag-rol ay nagbibigay ng sapat na raw na impormasyon upang makalabas sa threshold na iyon.

Ang Coinkite, ang tagagawa ng Coldcard hardware wallet, ay nagrerekomenda ng 99 o higit pang rolls para sa mga gumagamit na naghahanap ng halos 256 bits ng entropy. Hindi ito ginagawang dalawang beses na mas mahirap gamitin ang wallet, ngunit ibinibigay nito ang mas malaking mathematical security margin sa nilikhang lihim.

Naging mahalaga ang pagkakaiba na iyon pagkatapos ipahayag ni Coinkite ang isang problema sa firmware na nagsimula noong 2021. Sa ilang mga device na Coldcard, ang software ay makakalampas sa loob na hardware random-number generator at gagamit ng mas mahinang proseso na may kinalaman sa impormasyon ng device na hindi lihim.

Dahil maaaring muling isaulo ang ilang bahagi ng proseso, nakapagpaliit ang mga attacker sa posibleng mga wallet key kaysa maghanap sa buong key space. Ang kahinaan ay nalikha sa pagkawala ng isang inaasahang 1,128.6633 BTC mula sa higit sa 1100 mga address, ayon sa 1 p.m. Eastern time.

Hindi inilabas ang wallet seeds na nilikha nang buo mula sa sapat na bilang ng mga magkakalayong pag-rol ng dice sa parehong daan. Ang mga gumagamit na iyon ay nagbigay ng kanilang sariling entropy, kaya hindi responsable ang may defekto na hardware generator sa paglikha ng pangunahing lihim ng wallet.

Ang proteksyon na iyon, gayunman, ay nag-apply lamang sa seed na ginawa mula sa mga dice. Hindi ito awtomatikong pinrotektahan ang bawat iba pang lihim na ginawa ng device.

Ang security researcher na si Kevin Loaec ay nag-publish ng pagtataya sa Coldcard exploit sa website ni Wizard Sardine noong Aug. 1. Ang kanyang pinakamahalagang obserbasyon ay tungkol sa mga tampok ng Coldcard na nagbuo ng kanilang sariling mga lihim nang hiwalay sa pangunahing wallet seed.

“Naniniwala ako na napakahalaga na bigyang-diin na kahit anong mga gumagamit na nag-import o nag-generate ng seed gamit ang dice ay vulnerable, kung gagamitin nila ang mga sumusunod na tampok,” Loaec wrote on X, bago ipakita ang isang diagram ng apektadong sistema.

Ipapakita ng diagram ang may kamalian na random-number generator na nagpapagana sa ilang pangalawang punsiyon ng Coldcard. Kasama rito ang paggawa ng paper wallet, pag-clone ng device, pag-encrypt ng USB session, ang Secret Teleport transfer feature, paglikha ng co-signing key, ang built-in password generator at mga authentication code ng hardware security module.

Ang pangunahing wallet na nilikha gamit ang 99 na pag-rol ng dice ay nanatili sa hiwalay na bahagi ng sistema. Ang problema ay ang iba pang mga kasangkapan ay maaari pa ring humiling ng bagong randomness mula sa may kakaibang generator. Bilang resulta, ang isang secure seed ay hindi nagjamin na ang bawat password, backup, authentication code o secondary key na nilikha sa parehong device ay may parehong antas ng seguridad.

Ang dice-generated entropy ay teknikal na tama kapag ginawa nang tama, ngunit hindi ito realistikong default para sa karamihan ng mga bagong user. Ang pag-rol ng dice 50 o 99 beses, pagpapakilala ng bawat resulta nang tama, at pagpapatotoo na walang roll na napagdaan o dinuplicate ay nangangailangan ng pagtitiis at maraming pagkakabukod. Isang maling type ng numero ay maaaring magbago sa huling wallet nang buo, at karamihan sa mga device ay hindi makakapagsabing kung saan galing ang pagkakamali—mula sa masamang roll, error sa pagpapakilala, o pagkakamali sa pag-unawa sa mga tagubilin.

Ang proseso ay nagdadala rin ng mga panganib na hindi umiiral sa isang maayos na gumagana na hardware generator. Maaaring isulat ng mga gumagamit ang mga roll sa papel, mag-take ng litrato nito, i-enter ang mga ito sa isang online na tool, o iwan ang listahan sa isang lugar kung saan makakahanap ng iba. Ilan sa mga tao ay hinihila ang die sa paulit-ulit o kontroladong paraan, gumagamit ng load o nasirang die, o tumigil nang maaga dahil ang proseso ay tila sobra. Maaaring malakas ang matematika, ngunit ang resulta ay kasing-ligtas lamang ng proseso ng gumagamit.

Kaya ang pag-roller ng dice ay hindi laging itinuturing na pinakamahusay na paraan sa maraming tao, kahit sa mga karanasan na bitcoin user. Ito ay nagpapalit ng tiwala sa isang device sa tiwala sa isang manual na proseso. Para sa isang teknikal na maingat na user na nauunawaan ang entropy, binabale-wala ang paraan, at pinapanatili ang sekreto ng sequence ng pag-roller, maaaring magkakaroon ng sensibilidad ang ganitong pagtukoy. Para sa isang karaniwang buyer na nagtatatag ng wallet para sa unang beses, ito ay nagdaragdag ng ilang pagkakataon upang gumawa ng permanenteng pagkakamali, habang isa ring isang nakakainis na proseso sa parehong oras.

Mahirap din ipagpalagay ang malawakang paggamit ng bitcoin na nakasalalay sa mga tao na nakaupo sa isang mesa at nagrerecord ng 99 resulta ng dice bago sila makatanggap ng pera at gawin ito nang ligtas. Dapat mabuhay ang mga praktis sa seguridad sa tunay mga tahanan, malalaking jadwal, mga pagkakahumaling, at mga gumagamit na ayaw mag-aral ng kriptograpiya. Dapat manatiling magagamit ang manual na entropy bilang advanced na opsyon, ngunit ang pangmatagalang layunin ay ang hardware at software na gumagawa ng malakas na randomness nang tama, nagpapaliwanag nang malinaw kung ano ang nangyayari, at nangangailangan ng kakaunting espesyalisadong kaalaman.

Dapat muna ang mga may-ari ng mga apektadong Coldcard device na i-verify ang bersyon ng firmware na nakainstal sa device. Dapat pag-aralan nila kung anong mga tampok ang ginamit nila habang gumagamit ng mas lumang firmware, kaysa mag-focus lamang kung paano ginawa ang pangunahing wallet seed.

Ang sinumang gumamit ng apektadong device upang lumikha ng paper wallet, pagkopya ng lihim, password, co-signing key, o authentication code ay maaaring kailanganin na palitan ang mga materyal na iyon agad. Ang pag-install ng update ay nagpapabawas sa pagkakaroon ng parehong problema sa mga bagong lihim, ngunit hindi ito nagpapabuti sa anumang nilikha na dati.

Ang insidente ay nagbibigay din ng mas malakas na praktikal na kaso para sa mga setup ng wallet na may maraming vendor. Sa isang multi-signature arrangement, maaaring hingin ang pagpapayag mula sa mga hiwalay na hardware device mula sa iba’t ibang manufacturer upang aprubahan ang isang transaksyon. Ang istrukturang ito ay hindi nagiging imposible ang mga bug sa firmware, ngunit maaari itong pigilan ang isang mag-isa lamang na may defekto na random-number generator na mag-expose ng buong wallet.