Keamanan Bitcoin (BTC) sulit dilakukan dengan benar: Segala bentuk offline, atau penyimpanan "dingin" yang tersedia saat ini memiliki kompromi. Mana yang paling aman masih menjadi bahan perdebatan antara pengembang perangkat lunak bitcoin dan pembuat dompet.
Uang kedaulatan diri datang dengan tanggung jawab. Bitcoiner berpengalaman akan memberi tahu Anda: Tidak cukup hanya membeli bitcoin – untuk benar-benar memulai perjalanan Anda menuju otonomi keuangan, Anda harus memegang kendali penuh atas kunci pribadi kriptografi Anda, artinya bitcoin Anda harus berada di perangkat Anda sendiri.
Namun, memilih perangkat untuk menyimpan bitcoin Anda adalah usaha tersendiri. Selama beberapa tahun terakhir, perusahaan yang bergerak di bidang ini menghadirkan berbagai opsi, yang semuanya memiliki pro dan kontra.
Hal termudah untuk memulai adalah mengunduh dompet perangkat lunak, atau kunci penghasil aplikasi untuk bitcoin Anda di ponsel atau laptop Anda. Tetapi ponsel dan komputer dapat dicuri atau hilang, rusak, dan dapat terinfeksi malware. Industri dompet perangkat keras muda menawarkan solusi berbeda: perangkat kecil yang dirancang untuk menyimpan kunci bitcoin dalam memorinya dan menandatangani transaksi, tanpa fitur lain dan tanpa koneksi internet yang terus-menerus.
Namun, apa solusi terbaik untuk bitcoiner rata-rata masih bisa diperdebatkan. Beberapa dari argumen tersebut muncul selama panel di konferensi Baltic Honeybadger khusus bitcoin di Riga, Latvia, akhir pekan lalu.
Di bawah ini adalah beberapa sorotan.
Perangkat keras yang rumit
Pavol Rusnak, CEO pembuat dompet perangkat keras Trezor, berpendapat produk seperti yang dibuat perusahaannya adalah cara paling aman untuk menyimpan bitcoin karena memiliki "permukaan serangan terbatas".
“Ini adalah perangkat keras yang tidak terlalu rumit, dan perangkat lunaknya tidak serumit Windows atau MacOS atau Android. Dan sebagian besar waktu offline,” kata Rusnak kepada CoinDesk, menambahkan bahwa “sebagian besar serangan adalah serangan jarak jauh menggunakan malware, dan dari situlah dompet perangkat keras melindungi Anda.”
Berbicara di panel tentang keamanan bitcoin, konsultan kriptografi Peter Todd tidak setuju dengan pendekatan ini, dengan mengatakan dia tidak menggunakan dompet perangkat keras: “Saya lebih suka menggunakan laptop, karena kecil kemungkinannya akan ditargetkan secara khusus, dan memasukkan [laptop] ke dalamnya. kotak yang aman.”
Dompet perangkat keras, yang biasanya Anda pesan melalui internet dan dikirim ke rumah Anda, mungkin menjadi target Anda sebagai pemegang bitcoin. Menggunakan laptop, orang mungkin tidak pernah tahu, Todd menjelaskan saat berbicara dengan CoinDesk di luar panggung.
Selain itu, pabrik yang memproduksi dompet perangkat keras mungkin menjadi sasaran serangan rantai pasokan, tambahnya. Seseorang dapat merusak perangkat dan mendesain ulangnya untuk mencuri bitcoin dari pengguna.
Oleh karena itu, “Saran saya untuk banyak orang adalah ambil telepon, bawa dompet perangkat keras Anda dan jangan menggunakannya untuk hal lain. Ponsel Anda bukan target. Rantai pasokan ponsel Anda bukanlah target,” kata Todd.
Penyiapan yang ideal adalah menggunakan dompet multi-tanda tangan, saat Anda menggunakan beberapa perangkat yang Anda miliki untuk menandatangani setiap transaksi yang menghabiskan bitcoin Anda, kata Todd. Namun, saat ini “tumpukan perangkat lunak untuk teknologi multisig tidak terlalu bagus dan tidak mudah digunakan.”
Pada akhirnya, tidak ada cara bagi orang biasa untuk memeriksa apakah perangkat yang digunakan berfungsi seperti yang diklaim, kata Todd di atas panggung. “Pernahkah saya secara pribadi repot-repot mendapatkan Trezor saya, yang tidak saya gunakan karena berbagai alasan, dan benar-benar melakukan semua pekerjaan untuk memverifikasi bahwa itu berfungsi seperti yang diklaimnya? Tidak, ini banyak pekerjaan, dan kemungkinan besar itu tidak berhasil, ”katanya.
Semakin buruk, tambahnya: Jika dompet menggunakan perangkat lunak sumber terbuka – artinya, kodenya dipublikasikan di internet – Anda mungkin dapat memverifikasi kode itu, tetapi kemudian ada kompiler – jenis perangkat lunak lain yang berubah menjadi tingkat tinggi. kode ke dalam bahasa mesin yang dapat dipahami oleh komputer biasa – yang bahkan lebih sulit untuk diverifikasi.
“Sistem ini sangat rumit,” kata Todd, menambahkan bahwa kompiler ini seperti “pabrik raksasa” kode, sangat sulit untuk dilalui dan biasanya tidak semua bagian kode kompiler adalah open source.
Ke celah udara atau tidak ke celah udara
Pertanyaan kontroversial lainnya adalah bagaimana dompet perangkat keras harus berbicara dengan perangkat lain.
Untuk menerima informasi tentang transaksi yang akan ditandatangani, dompet perangkat keras pada titik tertentu harus terhubung ke perangkat yang terhubung ke internet, laptop atau ponsel. Mereka dapat terhubung melalui kabel dengan port USB, kartu memori microSD atau berkomunikasi melalui kode QR yang dihasilkan dompet untuk dibaca oleh kamera ponsel.
Beberapa produsen dompet perangkat keras menghindari koneksi kabel antara dompet dan komputer, sehingga mereka memiliki celah udara – fitur keamanan di mana perangkat tidak pernah terhubung ke internet.
“Mentransfer informasi elektronik secara fisik, seperti melalui kartu MicroSD, daripada melalui jaringan komputer, akan sangat mengurangi kemungkinan serangan sinkron,” kata Rodolfo Novak, salah satu pendiri dan CEO Coinkite, produsen dompet perangkat keras Coldcard, di email ke CoinDesk. (Coinkite tidak hadir di konferensi Riga.).
“Dengan USB, penyerang memiliki akses langsung ke perangkat keras, membuat serangan jarak jauh lebih mudah. Fakta bahwa sistem operasi komputer harus memilih driver yang tepat untuk perangkat USB berdasarkan nomor serinya menciptakan masalah anonimitas untuk perangkat seperti Trezor yang datanya dengan jelas menyertakan nomor seri saat boot,” jelas Novak, menambahkan bahwa “ aktor jahat apa pun yang mungkin telah menembus koneksi internet komputer Anda dapat memiliki akses ke kunci Anda jika Anda terhubung dengan USB.”
Dengan mengungkap keberadaan dompet dan nomor seri unik di internet, koneksi USB membuatnya rentan, kata Novak. Sebaliknya, dengan kartu micro-SD, tidak ada informasi penting yang dikompromikan saat koneksi internet langsung terlibat, tambahnya.
Namun, peserta panel Baltic Honeybadger tidak setuju bahwa kartu SD lebih aman daripada kabel USB.
“Kabel antara dompet dan komputer Anda belum tentu merupakan hal yang buruk,” kata Todd di atas panggung. “Pertanyaannya adalah bagaimana Anda mendesain kabel itu, berapa banyak arus, berapa banyak elektron, secara harfiah, per detik, mengalir melalui kabel itu dan seberapa cepat angka itu bisa berubah.”
Dia menambahkan bahwa kartu SD modern yang digunakan untuk versi dompet dengan celah udara bukanlah perangkat yang sederhana seperti yang terlihat: kartu SD adalah "seluruh mikroprosesor 32-bit".
Rusnak, dari Trezor, menggemakan gagasan itu. “Kartu SD saat ini menggunakan lebih banyak daya komputasi daripada komputer pertama saya,” katanya. “Saya lebih khawatir kartu SD ini mungkin mengekstrak beberapa data dari komputer saya.”
Novak tidak setuju. “Serangan MicroSD lebih sulit dilakukan dibandingkan dengan serangan USB dengan faktor beberapa urutan besarnya,” katanya kepada CoinDesk, menambahkan bahwa kartu microSD yang disediakan Coldcard dengan dompetnya menggunakan “jumlah kode yang jauh lebih sedikit,” dibandingkan dengan USB, “yang memudahkan untuk mengaudit bug yang dapat dieksploitasi.”
Pada akhirnya, apa pun bisa diretas.
“Tugas produsen dompet perangkat keras adalah membuatnya tidak sebanding dengan waktu penyerang, terlalu mahal dalam hal waktu atau uang,” kata Douglas Bakkum, pendiri perusahaan dompet perangkat keras BitBox.
Ada beberapa tingkatan di mana dompet perangkat keras dapat diserang, Bakkum menjelaskan dalam presentasinya, yang mengulangi poin yang dibuat dalam posting blog perusahaan dari bulan Oktober: Serangan pada lapisan komunikasi (artinya, protokol yang menghubungkan dompet ke laptop, baik itu USB port, kode QR atau kartu SD, dikompromikan), lapisan logika (perangkat lunak berbahaya disuntikkan) dan lapisan fisik (penyerang membuka perangkat, memasang probe dan merusaknya).
Ancaman serangan rantai pasokan dapat mengenai perangkat yang terhubung dengan USB dan kartu SD, kata Rusnak.
“Jika ada penyerang yang ingin menyerang Anda melalui USB, mereka mungkin juga memberi Anda kartu SD yang berbahaya. Jika penyerang Anda adalah pencuri biasa, itu bukan masalah, dan jika penyerangnya adalah FBI atau agen federal lainnya, bahkan kartu SD tidak akan membantu Anda, ”katanya kepada CoinDesk.
“Anda perlu menarik garis di pasir di suatu tempat ketika Anda pergi ke lubang kelinci di mana Anda tidak dapat mempercayai apa pun,” kata Rusnak.
Gambar yang lebih besar
Saat mengamankan bitcoin Anda, penting untuk tidak membuat hal-hal terlalu rumit untuk Anda sendiri, kata Rusnak. Orang-orang yang memilih untuk merancang pengaturan keamanan yang rumit untuk penyimpanan bitcoin mereka, misalnya, menulis frase benih mereka (kunci untuk memulihkan dompet yang hilang) dalam urutan yang salah, mungkin "menembak diri sendiri" jika mereka lupa urutan yang benar atau ahli waris mereka tidak dapat merekonstruksi itu.
“Pengaturan Anda harus dapat digunakan bahkan dalam waktu 10 tahun, dalam waktu 15 tahun,” kata Rusnak di atas panggung, merekomendasikan agar pengguna selalu mendokumentasikan proses pembangunan keamanan mereka untuk masa depan.
“Hanya saja, jangan percayai otakmu,” Bakkum menggema.
Rigel Walshe, mantan petugas polisi di Selandia Baru dan sekarang menjadi pengembang di Swan Bitcoin, sebuah perusahaan yang berbasis di California yang membantu klien menghemat bitcoin, mengingatkan hadirin bahwa apa pun solusi teknis yang digunakan, penting untuk menjaga keselamatan fisik Anda – artinya, jangan biarkan orang tahu di mana Anda (dan bitcoin Anda) berada.
Misalnya, Anda dapat menggunakan kotak pos atau bahkan perusahaan LLC untuk alamat surat guna melindungi lokasi Anda yang sebenarnya; bahkan tagihan utilitas Anda dapat dikirim ke alamat selain di mana Anda sebenarnya berada, kata Walshe. Dalam hal ini, meskipun orang menemukan informasi pribadi Anda di internet, mereka tetap tidak dapat memperoleh Anda (dan bitcoin Anda).
“Asumsikan bahwa informasi Anda akan di-doxx dan akan tersebar di luar sana,” kata Walshe.
Berbicara dengan CoinDesk, Todd menyebutkan kemungkinan faktor keamanan lainnya, mencoba blockchain Ethereum, yang dianggap oleh para bitcoiner hardcore sebagai teknologi yang lebih buruk.
“Karena ekosistem seperti Ethereum ada, di mana keamanannya buruk, para bitcoiner sebenarnya tidak terlalu berisiko,” kata Todd. “Jika Anda orang jahat dan tahu cara memecahkan sesuatu, apa yang akan Anda fokuskan? Anda akan fokus mencuri dari [keuangan terdesentralisasi], yang lebih mudah daripada mencuri bitcoin. Itu menjauhkan para peretas dari kita.”
JinseFinance
Brian
Miyuki
Alex
Bitcoinist