Gulungan dadu menyimpan kunci bitcoin secara luar talian, tetapi tidak semua orang akan bersusah payah

Sebuah dadu enam sisi menghasilkan sekitar 2,6 bit maklumat yang tidak dapat diramalkan dengan setiap lontaran. Itu mungkin tidak terdengar banyak, tetapi jika diulang cukup kerap, lontaran-lontaran itu boleh mencipta kerawakan mentah yang diperlukan untuk mengamankan dompet bitcoin tanpa bergantung pada perisian atau komponen elektronik.

Claude Shannon, ahli matematik yang menubuhkan teori maklumat, menggunakan entropi untuk mengukur seberapa tidak pasti suatu kesudahan. Dengan dadu enam muka yang adil, setiap muka mempunyai peluang satu dalam enam yang sama untuk muncul. Ini memberikan setiap lontaran kira-kira 2.585 bit entropi. Lontaran syiling menghasilkan 1 bit, manakala dadu lapan muka menghasilkan 3 bit.

Kejadian terkini Coldcard telah mendorong penghasilan benih berdasarkan dadu melalui media sosial. Sesetengah pengguna kini menganggapnya sebagai perkara penting, yang lain mengatakan ia melindungi dana mereka, manakala operator berpengalaman menunjukkan bahawa kebanyakan pengguna baharu tidak akan tahan dengan proses penyetelan yang perlahan dan mudah salah.

Bahagian penting bukanlah dadu yang berguling berkelakuan rawak pada peringkat atom. Ia tidak. Keputusan dikawal oleh fizik, tetapi terlalu banyak pemboleh ubah kecil berubah serentak sehingga tiada siapa mampu mengira hasilnya dengan boleh dipercayai. Dadu meninggalkan tangan dengan kelajuan, sudut, ketinggian dan putaran tertentu, kemudian menumbuk meja dan berubah arah dengan setiap pantulan.

Dalam amalan, walaupun perubahan kecil dalam pelepasan boleh menghasilkan hasil yang sama sekali berbeza. Kedudukan jari yang sedikit berbeza atau lontaran yang sedikit lebih kuat mengubah laluan cukup untuk nombor akhir tidak dapat diramalkan dengan memerhatikan gerakan tersebut. Hasilnya mungkin deterministik secara teori, tetapi untuk penghasilan dompet, yang penting ialah penyerang tidak boleh mereplikasi atau menghitungnya.

Sebuah komputer tidak boleh menggunakan senarai keputusan dadu secara langsung. Lontaran mesti ditukar terlebih dahulu kepada data binari, dan kaedah penukaran itu penting.

Kaedah ganjil-atau-genap yang asas mudah difahami, tetapi membuang sebahagian besar entropi yang tersedia. Setiap lambungan dikurangkan kepada satu bit, walaupun dadu menghasilkan sekitar 2.6 bit maklumat. Kaedah yang lebih cekap mengumpulkan urutan lambungan yang panjang dan memproses keseluruhan rentetan, biasanya melalui fungsi hash kriptografi. Ini mengekalkan jauh lebih banyak kerawakan.

Prinsip yang sama muncul dalam Diceware, kaedah yang telah lama digunakan untuk mencipta frasa laluan yang selamat, serta dalam penghasilan dompet bitcoin secara manual. Frasa pemulihan dompet 12 perkataan biasa dibina daripada 128 bit entropi. Dengan kira-kira 2.6 bit setiap gulingan, sekitar 50 gulingan adil memberikan cukup maklumat mentah untuk melampaui ambang tersebut.

Coinkite, pembuat dompet peranti keras Coldcard, mencadangkan 99 atau lebih gulungan bagi pengguna yang mencari hampir 256 bit entropi. Ini tidak menjadikan dompet tersebut dua kali lebih sukar digunakan, tetapi memberikan margin keselamatan matematik yang jauh lebih besar kepada rahsia yang dihasilkan.

Perbezaan itu menjadi penting selepas Coinkite mengungkapkan masalah firmware yang bermula pada 2021. Pada beberapa peranti Coldcard, perisian boleh melangkau penghasil nombor rawak peranti dalam talian dan sebaliknya menggunakan proses yang lebih lemah yang berkaitan dengan maklumat peranti bukan rahsia.

Kerana sebahagian proses itu boleh dipulihkan, penyerang berjaya mempersempit kemungkinan kunci dompet daripada mencari seluruh ruang kunci. Kelemahan ini dikaitkan dengan pencurian sebanyak 1,128.6633 BTC dari sekitar 1100 alamat, pada pukul 1 petang masa Timur.

Benih dompet yang dicipta sepenuhnya daripada jumlah yang mencukupi gulungan dadu bebas tidak terdedah melalui laluan yang sama. Pengguna-pengguna tersebut telah menyediakan entropi sendiri, jadi penghasil entropi peranti yang rosak tidak bertanggungjawab atas penciptaan rahsia dompet utama.

Perlindungan itu, bagaimanapun, hanya berlaku kepada benih yang dihasilkan daripada dadu. Ia tidak melindungi secara automatik setiap rahsia lain yang dihasilkan oleh peranti tersebut.

Penyelidik keselamatan Kevin Loaec menyediakan penilaian terhadap eksploit Coldcard di laman web Wizard Sardine pada 1 Ogos. Pemerhatian paling pentingnya berkaitan ciri-ciri Coldcard yang menghasilkan rahsia mereka sendiri secara berasingan daripada benih dompet utama.

"Saya percaya ia sangat penting untuk menekankan bahawa pengguna yang mengimport atau menghasilkan benih dengan dadu juga rentan, jika mereka menggunakan ciri-ciri berikut," Loaec menulis di X, sebelum memaparkan gambarajah sistem yang terjejas.

Rajah tersebut menunjukkan penghasil nombor rawak yang cacat yang memberi makan kepada beberapa fungsi Coldcard sekunder. Yang termasuk ialah penciptaan dompet kertas, penggandaan peranti, enkripsi sesi USB, ciri pindahan Secret Teleport, penciptaan kunci co-signing, penghasil kata laluan binaan dan kod autentikasi modul keselamatan peranti.

Dompet utama yang dicipta dengan 99 gulingan dadu kekal di bahagian berasingan sistem. Masalahnya ialah alat-alat lain masih boleh meminta kerawakan segar daripada penghasil yang rosak. Akibatnya, benih selamat tidak menjamin bahawa setiap kata laluan, sandaran, kod autentikasi atau kunci sekunder yang dicipta pada peranti yang sama adalah selamat dengan cara yang sama.

Entropi yang dihasilkan dadu secara teknis sah apabila dilakukan dengan betul, tetapi ia bukan pilihan lalai yang realistik untuk kebanyakan pengguna baru. Melempar dadu sebanyak 50 atau 99 kali, memasukkan setiap keputusan dengan tepat, dan mengesahkan bahawa tiada lemparan yang terlepas atau diduplikasi memerlukan kesabaran dan banyak kefokusan. Satu nombor yang salah taip boleh mengubah dompet akhir sepenuhnya, dan kebanyakan peranti tidak dapat menentukan sama ada kesilapan itu datang daripada lemparan yang buruk, kesilapan input, atau kekeliruan terhadap arahan.

Proses ini juga memperkenalkan risiko yang tidak wujud dengan penghasil peranti keras yang berfungsi dengan baik. Pengguna mungkin menulis hasil gulungan di atas kertas, mengambil gambar, memasukkannya ke dalam alat dalam talian, atau meninggalkan senarai di tempat yang boleh ditemui oleh orang lain. Sebahagian orang menggulung dadu dengan cara yang berulang atau terkawal, menggunakan dadu yang dimanipulasi atau rosak, atau berhenti awal kerana proses ini dirasakan berlebihan. Matematik mungkin kuat, tetapi keputusan hanya sesecara penggunaan pengguna.

Itu sebabnya melempar dadu tidak selalu dianggap sebagai kaedah terbaik oleh ramai orang, walaupun di kalangan pengguna bitcoin yang berpengalaman. Ia menggantikan kepercayaan terhadap peranti dengan kepercayaan terhadap proses manual. Bagi pengguna yang teliti secara teknikal, memahami entropi, mengesahkan kaedah, dan menjaga kerahsiaan urutan lemparan, pertukaran itu mungkin masuk akal. Bagi pembeli biasa yang menetapkan dompet untuk pertama kalinya, ia menambah beberapa peluang untuk membuat kesilapan kekal, sambil juga menjadi proses yang menjengkelkan pada masa yang sama.

Ia juga sukar untuk membayangkan penggunaan bitcoin yang meluas bergantung kepada orang-orang yang duduk di meja dan merekod 99 keputusan dadu sebelum mereka boleh menerima dana secara selamat. Amalan keselamatan perlu bertahan dalam rumah sebenar, jadual yang sibuk, gangguan, dan pengguna yang tidak ingin mempelajari kriptografi. Entropi manual harus tetap tersedia sebagai pilihan lanjutan, tetapi matlamat jangka panjang ialah peranti keras dan perisian yang menghasilkan kerawakan yang kuat dengan betul, menjelaskan apa yang berlaku dengan jelas, dan memerlukan seberapa sedikit pengetahuan khas mungkin.

Pemilik peranti Coldcard yang terkesan harus terlebih dahulu mengesahkan versi firmware yang dipasang pada peranti. Mereka harus memeriksa ciri-ciri yang digunakan semasa menjalankan firmware lama, bukan hanya berfokus pada bagaimana benih dompet utama dihasilkan.

Sesiapa yang menggunakan peranti yang terkesan untuk menghasilkan dompet kertas, kloning rahsia, kata laluan, kunci ko-penandatangan, atau kod autentikasi mungkin perlu menggantikan bahan tersebut segera. Memasang kemas kini mencegah isu yang sama daripada mempengaruhi rahsia baru, tetapi ia tidak membaiki apa-apa yang telah dicipta sebelumnya.

Insiden ini juga memberikan kesan praktikal yang lebih kuat kepada penyelesaian dompet pelbagai vendor. Dalam perjanjian tanda tangan berganda, peranti keras yang berbeza dari pembuat yang berbeza boleh diperlukan untuk mengesahkan transaksi. Struktur ini tidak menjadikan ralat firmware mustahil, tetapi ia boleh mencegah penjana nombor rawak yang rosak tunggal daripada mendedahkan keseluruhan dompet secara sendiri.