Просмотреть на корейском языке
Кошелек XRP Ledger Xaman защитил свою систему генерации ключей на фоне недостатков в системе генерации случайных чисел (RNG) Coldcard, которые привели к потерям на сумму около 38 миллионов долларов.
Основатель Xaman Виетсе Виндсказал, что инцидент демонстрирует, что маркировка кошелька как «аппаратного» не делает его автоматически безопасным. Он утверждал, что метод создания закрытых ключей важен не меньше, чем само устройство.
Согласно Wind, изменение кода Coldcard 2021 года заменило его аппаратный генератор случайных чисел на неисправную программную систему. Проблема оставалась незамеченной в течение примерно пяти лет. Другими словами, некоторые пользователи могли иметь кошельки, которые выглядели безопасными, но были созданы с использованием более слабой случайности.
Безопасность аппаратного кошелька зависит от генерации семени
Wind отметил, что многие пользователи неправильно понимают, что именно защищают аппаратные кошельки. Хотя эти устройства изолируют закрытые ключи и транзакции, их безопасность в конечном итоге зависит от того, как генерируется seed-фраза кошелька.
Он объяснил, что если процесс генерации семени слабый, другие функции безопасности могут оказаться недостаточными. Устройство может оставаться оффлайн и хорошо защищенным, но все еще уязвимо, если его семя было создано с использованием плохой случайности.
Xaman использует встроенную мобильную безопасность для генерации случайных чисел
Wind сказал, что Xaman создает новые аккаунты XRP Ledger с использованием встроенных криптографических генераторов случайных чисел на Android и iOS.
Вместо использования пользовательских инструментов для генерации случайных чисел Xaman получает 128 бит случайности непосредственно из функций безопасности операционной системы телефона.
На iOS Xaman использует SecRandomCopyBytes, который опирается на встроенные системы случайных чисел и аппаратные функции безопасности Apple. На Android он использует SecureRandom, который зависит от системной случайности устройства и аппаратной безопасности.
Wind также сообщил, что Xaman блокирует генерацию случайных чисел на основе JavaScript в своем приложении React Native, чтобы обеспечить, чтобы вся случайность исходила от родных систем безопасности телефона.
Основатель говорит, что система безопасности Xaman осталась неизменной
Wind заявил, что проблемы со старыми версиями Android SecureRandom затрагивали выпуски до 2013 года и не относятся к текущим устройствам, поддерживаемым Xaman.
Он объяснил, что Xaman не использует собственную криптографию или создает собственные системы случайных чисел. Вместо этого он полагается на те же встроенные источники безопасности, которые используются многими банковскими приложениями и менеджерами паролей.
Wind отметил, что главный вопрос — не в том, какие кошельки — программные или аппаратные — безопаснее, а в том, как генерируется случайность в кошельке и был ли этот процесс независимо протестирован.
Он добавил, что система Xaman была проверена несколько лет назад, продолжает регулярно тестироваться и оставалась неизменной с момента первоначальной аудиторской проверки.
Отказ от ответственности: Этот материал носит информационный характер и не должен рассматриваться как финансовая консультация. Мнения, выраженные в этой статье, могут включать личные взгляды автора и не отражают позицию The Crypto Basic. Читателям рекомендуется провести тщательное исследование перед принятием любых инвестиционных решений. The Crypto Basic не несет ответственности за какие-либо финансовые потери.