Результаты совместного исследования обнародовали специалисты Университетского колледжа Лондона, Международной ассоциации криптологических исследований (IACR) и компании White Ops. Эксперты изучили так называемые «мозговые кошельки» Bitcoin, призванные повысить безопасность пользователей и облегчить им жизнь. Увы, исследование принесло печальные результаты: мнемонические пароли ничем не лучше обычных.
Как правило, адрес биткоин-кошелька, это строка длиной 26-35 символов, которая играет роль ID или, если угодно, имени пользователя. Второе число, привязанное к кошельку – это секретный ключ, который уже используется для осуществления транзакций. Потеря этого ключа означает для пользователя потерю доступа к кошельку. Чаще всего, секретный ключ – это сгенерированная рендомно длинная последовательность. Запомнить все это, прямо скажем, сложно. Тут в игру и вступает техника мозгового кошелька (или кошелька-в-голове), призванная одновременно помочь пользователю запомнить свой секретный ключ, а также улучшающая безопасность: похитить ключ, хранящийся в голове жертвы, сложнее, чем обычный.
Техника мозговых кошельков предлагает придумать и запомнить осмысленную парольную фразу, которую затем, при помощи хеш-алгоритма SHA-256, нужно конвертировать в последовательность, которая и станет секретным ключом. Однако данный метод хранения информации тоже нельзя считать безопасным.
Еще прошлым летом, на конференции DEFCON 23 специалисты компании White Ops представили взломщик мозговых кошельков Brainflayer. Теперь их достижения развили сотрудники Университетского колледжа Лондона: они изучили алгоритм эллиптической кривой secp256k1 и нашли способ, позволяющий взламывать мозговые кошельки в 2,5 раза быстрее.
Исследователи пишут, что успешно взломали более 18 000 паролей и сделали вывод, что пользователи, как правило, придумывают очень простые парольные фразы, что плачевно сказывается на результате. Хуже того, было подсчитано, что используя обычный аккаунт Amazon EC2 и его мощности, потенциальные злоумышленники смогут перебирать 500 000 Bitcoin-паролей в секунду. Таким образом, проверка триллиона паролей обойдется хакерам всего в $55,86. Это невероятно дешевый способ взлома.
В отчете эксперты приводят некоторые излишне простые и глупые парольные фразы, которые использовались для мозговых кошельков:
- say hello to my little friend
- to be or not to be
- party like it's 1999
- yohohoandabottleofrum
- dudewheresmycar
- andreas antonopoulos
- Arnold Schwarzenegger
- blablablablablablabla
- for the longest time
- captain spaulding
Фото: Jason Benjamin
