Immettere la password per la CLI di Bitcoin

Naviga le tue risposte
3

Sono nuovo del bitcoin e sono molto preoccupato di proteggere il mio portafoglio. Poiché preferisco i CLI su GUI per molte ragioni, inclusa la sicurezza, sto imparando come usare il comando bitcoin-cli su GNU / Linux. In particolare, il comando bitcoin-cli walletpassphrase ti consente di sbloccare il tuo portafoglio per un determinato periodo di tempo al fine di effettuare una transazione. Dovresti eseguire questo comando in questo modo: 

bitcoin-cli walletpassphrase p4$$w0rd 45

Dove gli ultimi due argomenti sono la password in chiaro e il tempo di sblocco in secondi. Ovviamente non è affatto sicuro perché la tua password verrà memorizzata in testo normale in ~/.bash_history , e anche qualcuno potrebbe guardarti digitare la tua password non offuscata in chiaro sulla tua spalla, o anche scorrere indietro dopo.

Quindi, dopo aver provato alcuni suggerimenti in questo post correlato , ho trovato una soluzione molto semplice. Devo menzionare che utilizzo pass per l'archiviazione delle mie password: 

pass bitcoin | xargs -I '{}' bitcoin-cli walletpassphrase '{}' 45

In altre parole, uso un pipe e xargs (vedi questo post ) per inserire la mia password ed evitare tutti i suddetti problemi di sicurezza.

La mia domanda è: è davvero sicuro? C'è qualche possibilità per un utente malintenzionato di ottenere in qualche modo la mia password mentre sta viaggiando da pass a bitcoin-cli ? Qualche altra idea su questo?

    
posta e18r 21.12.2016 - 18:07
fonte

2 risposte

4

In definitiva, la tua soluzione xargs continua a far sì che bitcoin-cli venga eseguito con la password come argomento della riga di comando. La tua soluzione impedisce con successo che la password finisca nel tuo file ~ / .bash_history. Tuttavia, non impedisce la visualizzazione della password nell'elenco dei processi del sistema mentre il comando è in esecuzione. Qualsiasi utente sul tuo sistema che esegue "ps -ef" al momento giusto (ad esempio inviando spam al comando) può vedere la password.

Su un sistema desktop per utente singolo standard, questa non è una grande preoccupazione. Puoi disabilitare la possibilità per gli utenti di elencare i processi degli altri utenti seguendo le istruzioni al link .

Un'altra possibilità da considerare è che alcune utilità di sistema possono registrare l'elenco dei processi attivi. Se si configura un sistema di rilevamento delle intrusioni, può registrare ogni processo avviato e i relativi argomenti. Se un programma sul computer si blocca, un'utilità di registrazione degli arresti anomali può includere un elenco dei processi in esecuzione nel log del sistema. (Sarebbe piuttosto sfortunato farlo girare nello stesso momento in cui è bitcoin-cli, ma considera il caso in cui il tuo sistema sta esaurendo la memoria, causando il blocco di bitcoin-cli e causando l'arresto anomalo di un altro programma, attivando un crash logger ...)

La soluzione migliore e infallibile sarebbe se bitcoin-cli avesse un flag per consentire all'utente di passare la password in modo interattivo o direttamente sullo standard input. E convenientemente, ha l'opzione -stdin che ti permette di farlo: 

bitcoin-cli -stdin walletpassphrase
    
risposta data 21.01.2017 - 03:05
fonte
-1

Sei sicuro lo vuoi? Su Unix il pipe viene implementato tramite un socket Unix. Uno potrebbe connettersi alla presa, leggere il buffer e conservarlo da qualche parte, senza che tu te ne accorga. Questo potrebbe essere peggiore del problema di ~/.bash_history (che puoi disabilitare).

As I prefer CLIs over GUIs for many reasons including security.

Non sono così sicuro che l'interfaccia sia importante quando si tratta di sicurezza. Posso certamente pensare a pochi casi d'uso, mentre l'interfaccia web potrebbe porre meno problemi di sicurezza rispetto a una GUI.

    
risposta data 21.12.2016 - 21:15
fonte

Leggi altre domande sui tag

Trova algoritmo hash e fattore di lavoro Rileva intercettazione SSL