Bezpieczeństwo w sieci – Akceptowalne minimum

Czy można być spokojnym o swoje Bitcoiny? Czy ryzyko ich utraty zawsze będzie nam towarzyszyć? Oraz chyba najważniejsze: Jak nie dać się okraść? Niniejsza seria artykułów mam nadzieję odpowie na te pytania i uratuje użytkowników i posiadaczy kryptowalut przed często bardzo bolesną utratą środków. Całość będzie podzielona na cztery części. Trzy pierwsze będą przedstawiały metody zabezpieczania się przy posługiwaniu się kryptowalutami. Czwarta będzie poświęcona górnikom, bezpieczeństwie „pooli” i innymi słabymi ogniwami w bezpieczeństwie przy kopaniu.

CZĘŚĆ 1/4 Akceptowalne minimum

DYWERSYFIKACJA

To słowo trzeba sobie powtarzać jak mantrę. Wydrukować i powiesić nad łóżkiem, ustawić na tapecie w systemie i przykleić na lodówce. Jest pierwszym, NAJWAŻNIEJSZYM krokiem (i często wystarczającym) do bezpieczeństwa. Należy ją stosować gdziekolwiek możemy, a przede wszystkim w hasłach i loginach. Ten sam login na wszystkich giełdach, poolach, forach i serwisach czyni z nas łatwą ofiarę. To samo hasło na tych serwisach już nie jest lekkomyślnością, a zaproszeniem po nasze środki. Więc jeśli ktoś popełnia ten błąd świadomie, nie może mieć do nikogo pretensji.

a) E-mail. Większość z nas używa jednego adresu e-mail, jest to często wygodne jeśli idzie o kontakty, jednak gdy e-mail jest częścią zabezpieczeń nie jest to dobre rozwiązanie.

Ja zalecam posiadanie osobnego e-mail do każdej giełdy, co więcej nie podawanie ich nigdzie indziej i nie wysyłanie z nich ŻADNEJ korespondencji, jeśli nie jest to absolutnie wymagane do obsługi konta giełdowego. Ważne też aby e-mail był świeży i raz w roku zmieniany. Z każdej strony regularnie wypływa baza adresów e-mail i sum kontrolnych haseł z nimi związanych. Po drugiej stronie Internetu takie bazy jeśli nie są ogólnodostępne to kosztują grosze w porównaniu do tego co można na nich zarobić, więc jeśli zakładaliście maila na wp.pl, onet.pl czy interia.pl więcej niż kilkanaście miesięcy temu, gwarantuję wam, że wasze hasło i treść wiadomości nie będzie dla włamywacza tajemnicą.

b) Hasła. Krąży bardzo popularny mit, podsycany przez niemal wszystkie serwisy, że hasło do portalu, giełdy, czegokolwiek musi być minimum 12 znakowe, mieć małą i dużą literę, cyfrę, znak specjalny, być wpisywane przy pełni księżyca, w kominiarce na twarzy. Wtedy (podobno) potencjalny „haker” nie będzie mógł się włamać. Prawdy jest w tym tyle, co w stwierdzeniu, że dom jest bezpieczny jeśli drzwi są od silosu atomowego. A okna? Po co komu okna przecież włamywacze wchodzą przez drzwi.
Fakty są takie, że ataki wykorzystujące zgadnięcie hasła (metoda „brute-force”) należą do rzadkości (wg różnych źródeł od 0.1-0.5% wszystkich ataków).

Hasło, aby być dobre, musi spełniać następujące wymogi:

Minimum 8 znaków
Cyfry i litery (nie ma znaczenia czy duże czy małe)
Łatwe do zapamiętania (jeśli musisz je sobie wysłać na maila, to nie jest już hasło)
Jak najmniej logiczne. Hasło mamamadzi69 jest złe, hasło 4rshen1k mimo, że krótsze jest niepodatne na metodę ataku popularnie zwaną „słownikową” często, aby zachować łatwość zapamiętania hasła, a jednocześnie jego nielogiczność, część (nigdy wszystkie) znaków koduje się slangiem tzw. „leet” (odsyłam do google), przykładem może być hasło „arszenik” użyte wyżej.
Oczywiście każde hasło musi być inne, nie przywiązujmy się do jednego.
Dla osób, które mają problem z wymyślaniem, polecam szukanie nie znaczących przedmiotów wokół siebie i nadanie im znaczenia. Im mniej jesteśmy przewidywalni w swoich działaniach tym gorzej dla włamywacza. Dla przykładu, jakbym miał teraz wymyślić 5 haseł było by to: ch3rb4ta, gl05nik1, z0lt4sciana, n0ki4n9s, 0p3n0ffic3. Nie dość, że bardzo trudno takie hasła zgadnąć, nie są podatne na atak słownikowy, to nie można się ich domyślić na podstawie stalkingu (tak, włamywacze nas często szpiegują. Masz psa i jego zdjęcie z podpisem na FB? „Pimpuś” będzie jednym z pierwszych haseł jakie ktoś spróbuje wpisać). Trudno je też zapomnieć na amen, w końcu są to przedmioty które nas otaczają.

c) Środki. Kolejny aspekt, który wiele osób pomija. Nie chcesz zwracać uwagi swoimi pieniędzmi, rozdziel je na 40 adresów. Wszak bardziej zwraca uwagę górnik ze 100BTC, niż Kowalski co ma 0.5BTC. Jeśli ktoś ma do pokonania te same zabezpieczenia to będzie celował zawsze w najbardziej opłacalne portfele.

d) Wypłaty. Serce aż rośnie gdy „nic nie warte” bitki zamieniają się na pięciocyfrowe kwoty na koncie. Równie szybko rośnie apetyt włamywacza, gdy wykradł listę ostatnich wypłat. Ma już twoje nazwisko, e-mail, adres konta i wie, że jest o co grać. Jak ktoś się nie chce podkładać niech lepiej zrobi więcej mniejszych wypłat. Najlepiej w kilkudniowych odstępach. Dwadzieścia wypłat po tysiąc złotych przemknie niezauważenie. Zaś jedna za dwadzieścia tysięcy – pomyśl sam.

Bezpieczeństwo komputera

a) Szyfrowanie portfela i kopia zapasowa.

b) Usługi działające w tle. W tej części ograniczymy się jedynie do ich powierzchownego sprawdzenia, warto czasem spojrzeć co jest uruchomione na naszej maszynie, oprogramowanie antywirusowe nie zapewnia takiego bezpieczeństwa jak ręczna kontrola. Nie wiesz co powinno być uruchomione, a co nie? Jest w internecie szereg forów, na których jak zadasz pytanie ktoś na pewno pomoże Ci ocenić (np. http://ocforum.pl/49-systemy-operacyjne/).

c) Dostęp do Internetu. Chcesz coś kupić lub sprzedać na giełdzie siedząc w kawiarni, czy na uczelni? Zastanów się kilka razy czy na pewno jest to rozsądne. Podsłuchy (sniffing) są wszędzie, zwłaszcza w darmowych sieciach. Chcesz mieć bezpieczne połączenie z giełdą czy webwalletem z dowolnego miejsca – wykup sobie VPN lub serwer ze zdalnym pulpitem. Koszt to kilka lub kilkanaście dolarów na miesiąc, a znacząco poprawia bezpieczeństwo.

d) Backup portfela. Przy obecnej cenie Bitcoin mało prawdopodobne aby ktoś po prostu wyrzucił dysk z setkami BTC jak to miało miejsce jeszcze kilka lat temu. Jednak często są sytuacje nieprzewidywalne jak nagła awaria czy kradzież laptopa. Jeśli używasz portfela lokalnego (np. najpopularniejszy Bitcoin-QT) rób backup po dodaniu każdego adresu.

Giełdy

Niby wszyscy wiedzą, że nie należy trzymać na nich środków, a robi to niemal każdy. Poniżej kilka informacji jak zmniejszyć ryzyko.

a) Dywersyfikacja raz jeszcze. Załóż kilka kont na kilku giełdach i rozdziel środki. W razie zniknięcia jednej giełdy nie wyprowadzasz się pod most.

b) Jesteś Daytraderem i musisz mieć środki pod ręką – więc nie możesz używać cold walleta? Wypłacaj je na noc. Każdy musi spać, i wątpię, że w tym czasie 100% środków jest w złożonych ofertach.

c) Używaj szybkich giełd. Sprawdź na małych kwotach jak szybko możesz wycofać fundusze. Jeśli wycofanie Bitcoinów trwa więcej niż 60min/ 6 bloków powinna Ci się zapalić czerwona lampka. To samo dotyczy wpłat.

d) Nie sugeruj się tym, ile lat giełda działała bezproblemowo, jeśli są jakieś kłopoty wycofaj się. Taka postawa nie dość, że chroni Twój interes, to jeszcze wymusza na właścicielach giełd ostrą rywalizację pod względem zabezpieczeń i poprawą standardów.

Na tym koniec pierwszej części poradnika. Zawarte tu wskazówki w połączeniu ze zdrowym rozsądkiem powinny uchronić większość użytkowników przed utratą pieniędzy. Zagrożenie może iść jedynie ze strony bardzo wyspecjalizowanych ataków, lub tych spersonalizowanych pod konkretną osobę, ale o tym w następnych częściach.