Dompet XRP Ledger Xaman telah membela sistem penghasilan kuncinya di tengah kelemahan dalam sistem penghasilan nombor rawak (RNG) Coldcard yang menyebabkan kerugian sebanyak $38 juta.
Pendiri Xaman, Wietse Windberkata insiden ini menunjukkan bahawa menamakan dompet sebagai “peranti keras” tidak secara automatik menjadikannya selamat. Beliau berhujah bahawa kaedah yang digunakan untuk mencipta kunci peribadi sama pentingnya dengan peranti itu sendiri.
Menurut Wind, satu perubahan kod Coldcard tahun 2021 menggantikan penghasil nombor rawak peranti keras dengan sistem berdasarkan perisian yang cacat. Masalah ini tidak diperhatikan selama kira-kira lima tahun. Dengan kata lain, beberapa pengguna mungkin mempunyai dompet yang kelihatan selamat tetapi dicipta menggunakan kerawakan yang lebih lemah.
Keselamatan Dompet Perkakasan Bergantung pada Penghasilan Benih
Wind mengatakan ramai pengguna salah faham apa yang sebenarnya dilindungi oleh dompet peranti keras. Walaupun peranti-peranti ini mengekalkan kunci peribadi dan transaksi terpisah, keselamatan mereka akhirnya bergantung kepada bagaimana benih dompet dihasilkan.
Dia menjelaskan bahawa jika proses penghasilan benih lemah, ciri keselamatan lain mungkin tidak mencukupi. Sebuah peranti boleh tetap tidak terhubung dan dilindungi dengan baik, tetapi ia masih rentan jika benihnya dihasilkan menggunakan kerawakan yang lemah.
Xaman Menggunakan Keselamatan Mudah Alih Bawaan untuk Penghasilan Nombor Rawak
Wind mengatakan bahawa Xaman mencipta akaun XRP Ledger baru menggunakan penghasil nombor rawak kriptografi binaan di Android dan iOS.
Alih-alih bergantung pada alat nombor rawak tersuai, Xaman mendapat 128 bit rawak secara langsung daripada ciri keselamatan sistem pengendali telefon.
Di iOS, Xaman menggunakan SecRandomCopyBytes, yang bergantung pada sistem nombor rawak binaan Apple dan ciri keselamatan peranti. Di Android, ia menggunakan SecureRandom, yang bergantung pada kerawakan sistem peranti dan keselamatan yang disokong peranti.
Wind juga mengatakan bahawa Xaman menghalang penghasilan nombor rawak berdasarkan JavaScript dalam aplikasi React Native-nya untuk memastikan semua kerawakan datang dari sistem keselamatan asli telefon.
Pendiri Mengatakan Sistem Keselamatan Xaman Tidak Berubah
Wind mengatakan isu SecureRandom Android yang lebih lama mempengaruhi versi yang dirilis sebelum 2013 dan tidak berlaku kepada peranti semasa yang disokong oleh Xaman.
Dia menjelaskan bahawa Xaman tidak menggunakan kriptografi tersuai atau mencipta sistem nombor rawak sendiri. Sebaliknya, ia bergantung pada sumber keselamatan binaan yang sama yang digunakan oleh banyak aplikasi perbankan dan pengurus kata laluan.
Wind mengatakan soalan utama bukan sama ada dompet perisian atau peranti keras lebih selamat, tetapi bagaimana kerawakan dompet dihasilkan dan sama ada proses tersebut telah diuji secara bebas.
Dia menambah bahawa sistem Xaman telah diaudit bertahun-tahun yang lalu, terus diuji secara berkala, dan tidak berubah sejak audit asal.
Penafian: Kandungan ini adalah maklumat semata-mata dan tidak boleh dianggap sebagai nasihat kewangan. Pandangan yang dinyatakan dalam artikel ini mungkin termasuk pendapat peribadi penulis dan tidak mencerminkan pendapat The Crypto Basic. Pembaca digalakkan untuk melakukan penyelidikan menyeluruh sebelum membuat sebarang keputusan pelaburan. The Crypto Basic tidak bertanggungjawab atas sebarang kerugian kewangan.