Una mirada al interior de la nueva billetera de hardware de 3 niveles de Bitstash: entrevista con CTO, Trevor Murphy

Como informamos a principios de octubre, Bitstash es una innovación única de Bitcoin.

Bitstash tiene como objetivo ofrecer soluciones de billetera con dos puntos de venta principales: uno es la seguridad impecable, y el otro es su facilidad de uso ya que el dispositivo está diseñado para que incluso su abuela pueda usarlo. Es un sistema de billetera de 3 niveles cuya campaña de crowdfunding se lanzó el 22 de octubre en Kickstarter. Se suponía que la campaña presentaba la oportunidad de preordenar a Bitstash en su campaña de recaudación de fondos de un objetivo de financiación de US $ 50,000. Sin embargo, Kickstarter negó la solicitud de Bitstash:

& ldquo; El propósito explícito de este producto es la administración de almacenamiento y transacciones para moneda virtual, & rdquo; lee la respuesta por correo electrónico de Kickstarter. y ldquo; Esto es bastante diferente de un dispositivo multifuncional que podría usarse con servicios bancarios de terceros. Apreciamos lo que hace, pero no cumple nuestras directrices sobre productos y servicios de procesamiento de divisas. & rdquo;

Trevor llamó al incidente un & ldquo; desafortunado revés, y rdquo; pero tiene como objetivo recaudar fondos buscando en cambio una inversión de la serie A a través de canales más tradicionales.

& ldquo; Para que Bitcoin obtenga una adopción masiva, debe ser tan simple como usar PayPal o comprar en Amazon. com. BitStash lo consigue, asegurando de forma transparente las transacciones de Bitcoin. & rdquo;

- Trevor Murphy

En su lanzamiento al público, Bitstash está programado para "comenzar a enviar dispositivos certificados NO FIPS en mayo de 2015 una vez que las certificaciones de la FCC estén listas", dice Trevor, "mientras que las versiones certificadas FIPS se enviarán en noviembre 2015. "

CoinTelegraph tuvo la oportunidad de analizar en detalle la seguridad mejorada del dispositivo con CTO, Trevor Murphy, quien también compartió sus ideas sobre por qué cree que esta solución de billetera será clave para ayudar a Bitcoin a llegar al consumidor promedio.

CoinTelegraph: ¿Por qué crees que esta billetera de hardware de 3 niveles facilitará la adopción de Bitcoin?

Trevor Murphy: Bitcoin hoy es demasiado difícil de usar para el consumidor promedio, y casi demasiado difícil para todos. Los dongles complicados, como las billeteras Trezor y Paper, pueden resolver el problema del friki dedicado a la tecnología de Bitcoin, pero para la gran mayoría de los consumidores esas soluciones no serán aceptables.

Carteras en línea como BlockChain. la información es muy útil, pero ponen una compañía externa entre usted y su Bitcoin, sujeta a riesgos de continuidad del negocio, incautaciones de activos, etc. BitStash trae el poder de las mejores prácticas de la industria, dispositivo AIR GAP, libre de virus, claves privadas nunca expuestas , verdadero almacenamiento en frío, etc.a todos. Es como tener un equipo de expertos en seguridad de Bitcoin trabajando para ti a tiempo completo.

Para que Bitcoin obtenga una adopción masiva, debe ser tan simple como usar PayPal o comprar en Amazon. com. BitStash lo consigue, asegurando de forma transparente las transacciones de Bitcoin. Los tres niveles de almacenamiento son:

A) Almacenamiento en frío, almacenado en unidades USB doblemente cifradas, no se puede gastar a menos que esté conectado a BitStash. Esto es para ahorros a largo plazo. Guárdelo en una caja fuerte o bóveda del banco.

B) Dispositivo / Cartera para el hogar. Esto está en el BitStash mismo. Se accede a través de Bluetooth reforzado, es ultra seguro, pero accesible desde sus dispositivos de escritorio y dispositivos móviles. Esto es como su cuenta de cheques. Úselo para pagar facturas, transacciones, compras en línea, etc.

C) Monedero móvil. Esto reside en su teléfono, al igual que las claves privadas, totalmente encriptadas, por supuesto. Guarde balances pequeños, respaldados por el dispositivo, aquí y úselos para gastar Bitcoin mientras está fuera del alcance de BitStash. Es importante saber que puede recibir Bitcoin en las carteras de Dispositivos y Almacenamiento en frío utilizando las direcciones generadas por BIP32 en su dispositivo móvil.

CT: ¿Puedes hablar un poco sobre las diferencias entre las tres opciones diferentes que planeas ofrecer? (BitStash $ 159. 00, BitStash Ultra $ 199. 00, BitStash FIPS $ 499. 00)

TM: BitStash actualmente se vende en 3 formas BitStash, que tiene todas las características que acabamos de mencionar. BitStash Ultra agrega circuitos de autodestrucción y antimanipulación para proteger BitStash de situaciones de robo físico como un interruptor de muerte en un teléfono móvil. Hace que robar un BitStash no tenga sentido.

Además, BitStash Ultra agrega una batería de respaldo de 6 horas, que le permite llevar su BitStash a la caja fuerte del Banco, por ejemplo, y mover de manera segura el dinero de su billetera de almacenamiento en frío, sin exponerlo nunca al robo. BitStash FIPS, es certificación BitStash Ultra PLUS FIPS 140-2 de nivel 3. Este es un requisito para las empresas de servicios financieros y los clientes minoristas de punto de venta.

CT: ¿Cuál fue el razonamiento detrás del factor de forma de diseño cilíndrico?

TM: Principalmente fue diseñado de esta manera para ocupar una pequeña cantidad de espacio en el escritorio / estante, al mismo tiempo que permite que sea visible a través de una habitación, por encima del desorden en su escritorio. El LED en BitStash ™ se utiliza en un captcha de color único durante las transacciones, lo que significa que necesita saber qué color se muestra para completar una transacción. Nos da un atributo físico, para usar contra ataques de malware sin requerir que las personas cambien sus hábitos de compra, como cuando compras en línea desde el iPad mientras estás en el sofá.

CT: ¿Qué es exactamente el anillo LED y cómo mejora la seguridad?

TM: Entonces, uno de los problemas a tratar para proteger Bitcoin es el malware en el dispositivo cliente. Es un software de registro de claves o virus diseñado para registrar lo que está haciendo y luego intentar robar su Bitcoin. BitStash tiene una tecnología sofisticada para evitar ataques de repetición, es decir, capturar mensajes en BitStash e intentar reproducirlos una y otra vez para repetir más transacciones.También tiene tecnología para evitar que el malware simplemente automatice la interfaz e ingrese su contraseña en su nombre. Aquí entran en juego varias cosas, incluido el LED BitStash.

Si está utilizando BitStash con un solo dispositivo cliente registrado, como su computadora, entonces para gastar Bitcoin no solo necesita ingresar su contraseña sino también un Captcha de 4 dígitos, generado en BitStash y transmitido a través de un bluetooth encriptado. como una imagen y se muestra en tu pantalla. Además, se usa un color Captcha.

Debe seleccionar el cuadrado de color en la pantalla que se asemeja más al color actual del LED BitStash. En conjunto, estas dos respuestas de Captcha permiten que BitStash sepa que un Humano está utilizando el software del cliente, y usará la contraseña ingresada para descifrar las claves y firmar una transacción.

Ahora, si ha registrado un segundo dispositivo, como un teléfono móvil, entonces se usa la autenticación de 2 factores. En ese caso, el teléfono debe estar autenticado y conectado a través de un bluetooth reforzado, y luego el Captcha de 4 dígitos MÁS los detalles de la transacción se muestran en el teléfono, pero deben ingresarse físicamente en el otro dispositivo cliente. Además, se debe elegir el cuadrado de color en la pantalla que más se parezca al color actual del LED BitStash.

Entonces, el LED es una parte integral del proceso de autenticación. Para las personas daltónicas, puede usar el parpadeo en lugar del color. Usamos este enfoque para que las personas no tuvieran que interactuar físicamente con BitStash, simplemente mirarlo, para que pudieran gastar Bitcoin de una manera similar a la forma en que compran en línea hoy.

CT: ¿Se puede manipular físicamente el hardware de Bitstash si se lo roban?

TM: BitStash ™ viene con una carcasa antimanipulación especialmente diseñada. No es posible acceder a BitStash ™ físicamente sin destruir ese caso. BitStash ™ Ultra agrega características Full Anti-Tamper y Self Destruct a la funda endurecida.

Abrir la carcasa, perforarla, usar ataques de energía o ataques de temperatura, intentar cortocircuitar la batería, etc., todos activan una característica de autodestrucción, que genera un pico de alta tensión en la SSD de almacenamiento interno, derrite físicamente el silicio y crea BitStash inutilizable y las claves encriptadas no se pueden recuperar.

Esto hace que el robo de un BitStash no tenga sentido por cualquier motivo. Por supuesto, su BitStash está completamente respaldado en una o más unidades USB dobles cifradas, por lo que puede descansar de forma segura y construir un nuevo BitStash de manera rápida y fácil desde estas unidades USB cifradas.

CT: ¿Qué sucede con sus claves privadas si se roba la unidad USB cifrada LUKS?

TM: Las unidades USB encriptadas están destinadas a ser almacenadas en un lugar seguro, como una bóveda. Puede crear tantas copias de seguridad como desee y almacenarlas en diferentes ubicaciones geográficas. Las unidades en sí están cifradas LUKS y solo pueden leerse con un dispositivo BitStash ™.

Además, todos los datos en las unidades se cifran aún más primero con la contraseña del usuario y luego con el pin del usuario.Ambos son PBDKF2 extendieron 2, 000 rondas para seguridad adicional. Entonces, sin su PIN y su Contraseña y un dispositivo BitStash, las unidades USB en sí mismas son inútiles.

Para obtener la máxima seguridad de sombrero TIN FOIL, use unidades USB certificadas FIPS 140-2 de nivel 3, almacenadas en una bolsa de Faraday. Es lo que hacemos

CT: Recientemente ha habido mucha preocupación con técnicas de generación de aleatoriedad deficiente que pueden hacer que los dispositivos sean vulnerables al ataque. ¿Cómo genera Bitstash su entropía?

TM: Con el fin de garantizar la generación correcta de claves aleatorias para su semilla maestra BIP32, BitStash recibe entropía del dispositivo cliente durante su proceso de configuración inicial. Esa entropía se obtiene de forma segura en una transacción firmada de Random. org, que genera entropía para loterías y casinos del ruido atmosférico. Por lo tanto, para cada BitStash nuevo, se extraen muchos datos aleatorios de Random. org por el escritorio o dispositivo móvil del usuario y empujado a BitStash.

BitStash luego mezcla esta entropía, la mezcla, usando un algoritmo Mersenne Twister, y luego BitStash corta 64bytes de ella. Luego, BitStash genera una semilla aleatoria de 128 bits utilizando un generador de PRNG y usa esa semilla más los 64 bytes de entropía de forma aleatoria. org en un extensor PBDKF2 para generar una semilla maestra BIP32 completamente aleatoria.

y ldquo; [E] el abordaje en el tráfico de bluetooth no revelará nada, incluso si se capturan ambos pares de claves Diffie Hellman de ambos dispositivos, no se pueden usar para generar la clave de cifrado AES correcta para decodificar más mensajes. & rdquo;

- Trevor Murphy

CT: ¿Qué pasa con la vulnerabilidad de Bluetooth, ya que se ha demostrado que se puede escuchar a escondidas si tiene una radio definida por software suficientemente poderosa para escanear la mayor parte del espectro de 2,4 GHz?

TM: BitStash usa lo que llamamos un protocolo de Bluetooth reforzado. Los servicios personalizados Bluetooth RFCOMM y GATT residen en BitStash. El emparejamiento simple estándar de Bluetooth se usa para conectar BitStash al dispositivo cliente. En ese momento, BitStash solo responde a 2 mensajes. 1) una solicitud de intercambio de claves Diffie Hellman o 2) un cuerpo de mensaje cifrado AES autenticado.

Entonces, después del emparejamiento Bluetooth, un cliente normal primero le envía a BitStash un nuevo par de llaves públicas Diffie Hellman, y BitStash responde, permitiendo que ambas partes establezcan una clave simétrica AES de 128 bits, que se utiliza para encriptar todos los mensajes entre ellos.

Por lo tanto, escuchar a escondidas el tráfico de bluetooth no revelará nada, incluso si se capturan ambos pares de claves Diffie Hellman de ambos dispositivos, no se pueden usar para generar la clave de cifrado AES correcta para decodificar más mensajes. Cada nueva conexión a BitStash genera un nuevo Acuerdo clave y nuevas claves de cifrado.

Además del intercambio de claves Diffie Hellman y el cifrado AES, BitStash va más allá. Cada mensaje hacia y desde BitStash contiene una contraseña de uso único, generada con un algoritmo HMAC OTP utilizando un secreto compartido en la autorización inicial del dispositivo. A continuación, el dispositivo de envío firma los mensajes y el dispositivo receptor los verifica mediante la criptografía de clave pública y las claves que se compartieron en la autorización inicial del dispositivo.

Esto significa que incluso si se captura el tráfico bluetooth, no se puede volver a reproducir para causar una nueva transacción ya que la OTP sería incorrecta y la firma impide modificar el mensaje o que alguien haga un MAN en el ataque MIDDLE.

Finalmente, mencionamos la configuración inicial y la autorización, cada dispositivo cliente necesita estar autorizado para acceder a BitStash y obtener una ID única, un secreto compartido único para OTP y claves únicas para firmar mensajes. Por lo tanto, nuestro protocolo Bluetooth reforzado garantiza que todas las comunicaciones con BitStash se realicen con dispositivos autenticados a través de un canal seguro.

y ldquo; [L] og término, para que Bitcoin sea exitoso debe ser accesible globalmente por personas en todos los países, donde los niveles de ingresos son sustancialmente diferentes. & rdquo;

- Trevor Murphy

CT: También está planeando una solución similar pero a un precio más bajo en el futuro. ¿Podría hablar sobre esto y decirnos cuándo estará disponible para el público y cuánto?

TM: Nuestro primer dispositivo para ir al mercado resuelve muchos casos de uso diferentes, el mercado de consumo, los servicios financieros y los mercados de intercambio, y de hecho el punto de venta minorista, con la incorporación de nuestro chip NFC y pantalla HDMI para los comerciantes de ladrillos y morteros que realizan transacciones de Bitcoin y pagos de remesas.

Para la mayoría de estos casos de uso, es muy importante entregar un dispositivo certificado por FIPS, un proceso que es muy costoso y prolongado. Por lo tanto, nuestro primer dispositivo resuelve todos estos casos de uso en un solo dispositivo que contará con la certificación FIPS 140-2 nivel 3. Sin embargo, a largo plazo, para que Bitcoin sea exitoso, debe ser accesible globalmente por personas en todos los países, donde los niveles de ingresos son sustancialmente diferentes.

Muchas de estas personas no valorarán la certificación FIPS tanto como valorarán un precio más bajo, por lo que eventualmente construiremos un dispositivo para ellos, que no certificaremos FIPS, pero que vendrá con todas las características básicas de BitStash. Por supuesto, nuestra generación actual de productos será la primera línea de productos de almacenamiento de Bitcoin en el mercado.

CT: Parece que trataste de cubrir todas las bases con Bitstash, pero ¿por qué debería uno optar por él en comparación con los métodos convencionales (y más baratos) de "almacenamiento en frío", como una billetera de papel o cerebral, por ejemplo?

TM: Se trata de seguridad, usabilidad y simplicidad. Las carteras de papel y Trezors funcionan bien para muchos de los primeros usuarios, y muchos de ellos se sentirán cómodos usándolos para siempre. Pero la gran cantidad de consumidores en el mundo no encontrará estos enfoques aceptables. Son demasiado engorrosos, demasiado propensos a errores, demasiado complejos.

Recuerdo que hace dos años, mi hija más joven se encontró con una billetera de papel en el cajón de mi escritorio. Encantada por su diseño, pensó que haría algo limpio para mí, y lo cortaría en forma de ángel, descartando partes de la clave privada. Yikes. ¡Afortunadamente no contenía mucho Bitcoin!

Brain wallet, algunos días No recuerdo mi número de teléfono, y ciertamente para la planificación de eventos de vida, no es una solución global.Si Bitcoin va a obtener la adopción masiva de los consumidores, debe ser totalmente seguro, más fácil de usar y debe adaptarse a los estilos de vida existentes de las personas.

CT: Gracias Trevor por tu tiempo y visión.

BitsStash en uso:

¿Te gustó este artículo? Usted también podría estar interesado en leer estos:

  • Bitstash anuncia la billetera de hardware de máxima seguridad de 3 niveles
  • Los muchos tipos y funciones de las billeteras de Bitcoin
  • Engineer reclama defectos de seguridad en Coinbase Android Wallet

Síganos en Facebook


  • BitStash
  • Trevor Murphy
  • billetera de hardware