ロックチェーンサービスのセキュリティを考える part 3【ウォレット編】

にわタコ @niwatako

サーバーサイドも、BitpayInsight、Electrum、独自実装など P2PNodeとのあいだに入りいろいろ面倒を見る（UTXO集めるのは難しい） AML/CFTに関するセキュリティを実装できる #ブロックチェーンセキュリティ

にわタコ @niwatako

怖いのが、ウォレットソースコードそのものではなくて依存ライブラリがそのような攻撃にあったというのが怖かった。 #ブロックチェーンセキュリティ

にわタコ @niwatako

アプリケーションを作るときはOSSライブラリを使ったする。 ちょうど盛り上がっていたところだが、マルチシグウォレットのCopayが依存しているライブラリに悪意のあるコードが注入された事件 #ブロックチェーンセキュリティ

にわタコ @niwatako

Index管理と残高の合算がアプリの機能だが、偽アプリは意外と存在する。 Ledgerは何回かアプリケーションがハッキングされている。 偽アプリがアプリストアに公開されてしまう事態も。 #ブロックチェーンセキュリティ

にわタコ @niwatako

HashHubでTrezor触ってみる会をやったらセットアップとニモニックメモるので1時間。 #ブロックチェーンセキュリティ

にわタコ @niwatako

24のニーモニック、SatoshiLabsがTREZORを作る際にしようかを進めた。 アイディアはElectrum実装が元。 TrezorとElectrumには互換性がない #ブロックチェーンセキュリティ

にわタコ @niwatako

SRAMは冷やすと以外なほど長時間記憶が保持される。 液体窒素で冷やして18.6秒でファームウェアを書き換えれば秘密鍵を取り出すことが出来た Frozen Trezor — Data Remanence Attacks! – Doshay Zero404Cool – Medium medium.com/@Zero404Cool/f… #ブロックチェーンセキュリティ

にわタコ @niwatako

最近は差し込むだけで悪さをするUSB端末がある。 #ブロックチェーンセキュリティ

にわタコ @niwatako

先週、偽物が出回っていることが公式からもアナウンスされた #ブロックチェーンセキュリティ

にわタコ @niwatako

ハード信じて良いのか問題 自分たちで研究のためにAmazonで購入したら偽物が届いた。分かりやすい（ドッグマイクフルボトルセットにTREZORのラベルがついてた）ものだったのでわかったが。 #ブロックチェーンセキュリティ

にわタコ @niwatako

Ledger Nano S こちらはセキュアエレメントが利用されている。物理的に壊しても鍵が取り出せない。 セキュリティ規格があり、Common Criteria基準を満たしている。 ただしファームウェア実装部のセキュリティが評価されているわけではない。 #ブロックチェーンセキュリティ

にわタコ @niwatako

原価にも素直に答えている。原価は19ドル。 検証やソフトウェア開発、輸送費などにお金がかかるので妥当な金額かなと思います。 #ブロックチェーンセキュリティ

にわタコ @niwatako

Trezorは全部OSSで、ハードの設計まで公開されている。 メモリとCPUが一緒になったマイコンを利用している。 余計な抜け道がないのでハッキングされにくい。 マイコンの中で全部やってしまう。 #ブロックチェーンセキュリティ

にわタコ @niwatako

鍵はもともとシードの情報からたくさん作れて、末端のやつ全部が秘密鍵。 マスタードシードがニーモニック。それをメモっておけば全部復元できる。 この階層はPCの方でも管理されていて、そのINDEXをハードウェアと共有することで指定の鍵を操作できる #ブロックチェーンセキュリティ

にわタコ @niwatako

ハードウェアウォレットは何で構成されているか メモリとCPU 不揮発性フラッシュメモリ。 秘密鍵を保管する CPUは、秘密鍵を作る、鍵の束を管理する、電子署名をする。 #ブロックチェーンセキュリティ

にわタコ @niwatako

PCでトランザクション作ってハードウェアウォレットにトランザクションを流して署名して、署名できたものがPCに帰ってきて、それをウォレット事業者のサーバーに送信し、ブロックチェーンネットワークにブロードキャストされる #ブロックチェーンセキュリティ

にわタコ @niwatako

ハードウェアウォレットは単体で機能するかと思いきや、裏にいろいろある。 ブロックチェーンネットワークがあって、ウォレット事業者サーバーがあって、クライアントアプリがあって、そいつがハードウェアウォレットと連携して送金する #ブロックチェーンセキュリティ

にわタコ @niwatako

既存のHDウオレット USBタイプ、Bluetoothタイプ... #ブロックチェーンセキュリティ

にわタコ @niwatako

利用者 ・ログイン型350万 ・クライアント型 37万 ・ハードウェア 23万 #ブロックチェーンセキュリティ

にわタコ @niwatako

ウォレットの種類 ・ログイン型（業者管理） ・クライアント型（自身がオンラインで管理） ・ハードウェア型（自身がオフラインで管理） #ブロックチェーンセキュリティ

にわタコ @niwatako

Andreas Antonopoulos “鍵を持っていることがビットコインを持っているということである” #ブロックチェーンセキュリティ

にわタコ @niwatako

暗号研究職からブロックチェーンに。 天空の城ラピュタで暗号に出会う 暗号技術を持つ会社だからAndGo（アンゴー） MUFGアクセラレータプログラムに採択された #ブロックチェーンセキュリティ

にわタコ @niwatako

ハードウェアウォレットのしくみ 原さんから #ブロックチェーンセキュリティ

にわタコ @niwatako

残業少なめ土日祝お休み、夏季休暇年末年始休暇あります。ウォレット開発と保守、PM。TypeScriptをサーバーサイド、Node.jsで使える方、もしくは何かの言語が触れる方。あとはLinux, AWS, Azure #ブロックチェーンセキュリティ

にわタコ @niwatako

Fressets ・ウォレット事業（Bitcoin、Ethereum。他の通貨にも対応していく） ・教育事業（EWM=Enterprise wallet management スペシャリスト講座、ブロックチェーンエンジニア集中講座 with HashHub） 研究開発（Lightning Network, DEX R&D） #ブロックチェーンセキュリティ