Ontwikkelaar weerspreekt bericht over mogelijke aanval op Bitcoin Core

Bitcoin Core-ontwikkelaar Eric Lombrozo heeft ontkend dat er signalen zijn van een aanval op het project. Dit deed hij in een reactie op een bericht op bitcoin.org, waarin wordt gewaarschuwd voor een aanval door een overheid op de Bitcoin Core.

In het bericht staat dat bitcoin.org het vermoeden heeft dat een aanval plaatsvindt op de komende release van de Bitcoin Core en dat het niet de middelen heeft om zich daartegen te verweren. Daarom waarschuwt de site de Bitcoin-community en voornamelijk Chinese gebruikers om waakzaam te zijn als zij bestanden downloaden van de site. De mogelijkheid zou bestaan dat malware in de release aanwezig is, waardoor gebruikers bitcoins kunnen kwijtraken en hun systemen ingezet kunnen worden om aanvallen op het bitcoinnetwerk uit te voeren.

In een reactie op de waarschuwing heeft Bitcoin Core-ontwikkelaar Eric Lombrozo aan The Register laten weten dat het bericht zonder overleg is geplaatst op de site, die niet direct iets te maken heeft met de Bitcoin Core zelf. De reden achter het plaatsen van de waarschuwing is vooralsnog onbekend. Volgens Lombrozo 'zijn er geen aanwijzingen dat een overheid de Bitcoin Core als doelwit heeft'. Als het zo zou zijn, dan 'was dat inmiddels het team opgevallen'. Lombrozo acht het mogelijk dat sites die de releases als downloads aanbieden, het doelwit zijn van aanvallen, maar roept op om niet 'onnodig paranoia te verspreiden rond de Bitcoin Core'.

Gebruikers kunnen downloads van bitcoin.org verifiëren door na te gaan of de hashes van de Bitcoin Core-binaries ondertekend zijn met een bepaalde sleutel, zo vermeldt de waarschuwing op de site nog. Het is verstandig te controleren of dit inderdaad het geval is en ook te onderzoeken of de sleutel de juiste fingerprint heeft.

Reacties (40)

[Verwijderd]

"Gebruikers kunnen downloads van bitcoin.org verifiëren door na te gaan of de hashes van de Bitcoin Core-binaries ondertekend zijn met een bepaalde sleutel, zo vermeldt de waarschuwing op de site nog. Het is verstandig te controleren of dit inderdaad het geval is en ook te onderzoeken of de sleutel de juiste fingerprint heeft."

En wat nou als zowel de sleutel als het installatie bestand beiden op dezelfde server staan? Dat is toch niet vertrouwd? Als een hacker controle heeft over diezelfde server, dan kan hij zowel de sleutel als het installatie bestand manipuleren.

Een dergelijke MITM-aanval is wel eens eerder uitgevoerd, en dan vooral gericht op HTTPS-verbindingen.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 13:26]

[borft]

De sleutel hoeft niet op de server te staan. Er is een private key gebruikt om het te ondertekenen en met de public key kan je dan verifieren. Die publick key staat gewoon op vele keyservers. De private key staat als het goed is uberhaupt niet online.

En als het goed is, is die key gesigned door meerdere mensen, dus het is ook niet mogelijk de key te faken

Edit:
nog sterker, het zou redelijk dom zijn om de private key op de server te zetten, dat is vragen om problemen. Software distributiesystemen (zoals bv apt van Debian), of zelfs MS update gebruiken een vergelijkbaar mechanisme. Ik zou niet weten hoe je dit met een MITM kan aanvallen.

[Reactie gewijzigd door borft op 23 juli 2024 13:26]

[Verwijderd]

Waarschijnlijk zie ik dan iets over het hoofd. De sleutel is namelijk middels url https://bitcoin.org/laanwj-releases.asc te vinden. Deze sleutel, gecombineerd aan een hash wordt dan toch gekoppeld aan zo'n binary?

Voor de duidelijkheid, het gaat hier om een asymmetric encryption model waarbij de Public key als de binary op dezelfde server staan. Beide zijn dus te manipuleren.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 13:26]

[The Zep Man]

Wikipedia over public-key cryptography. Lees dat eerst. In dit geval wordt een privé sleutel gebruikt om software te ondertekenen en een publieke sleutel om de handtekening te verifiëren.

De privé sleutel is idealiter niet te benaderen vanuit een publieke omgeving of door systemen die te benaderen zijn via het Internet.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 13:26]

[Verwijderd]

Waar Unflux op doelt is volgens mij; Als de server compromised is, kun je de binary vervangen door een binary ondertekend door je eigen (aanvaller) private key, en kun je de public key eveneens vervangen, want die staat op dezelfde server.

[The Zep Man]

Waar Unflux op doelt is volgens mij; Als de server compromised is, kun je de binary vervangen door een binary ondertekend door je eigen (aanvaller) private key, en kun je de public key eveneens vervangen, want die staat op dezelfde server.

Dat klopt. Daarom moet je ook alleen de eerste keer dat je software ophaalt de public key ophalen, en latere releases toetsen met dezelfde public key die je al eerder had opgehaald.

[Verwijderd]

Volgens mij is het nog in de ontwikkelfase. De backbone. Daar doel ik op

[cobis taba]

Dat maakt toch niet uit? De public (en private) key blijft hetzelfde.

Daarnaast kunt je de public key van keyservers halen en kijken of die zijn ondertekent / verified is door de juiste mensen.

[Verwijderd]

Moet je alleen wel je encryptie op orde hebben.

[Verwijderd]

Jij begrijpt mij

[.oisyn]

Public key encryption. Voor verificatie van de handtekening heb je de public key nodig, voor het ondertekenen zelf de private key. De auteur genereert S = encrypt(hash(bestand)). De gebruiker kan hash(bestand) zelf uitrekenen, en met de public key dus ook: decrypt(S). Hij kan dus verifiëren of ze hetzelfde zijn, zonder zelf een nieuwe signature te genereren.

Er is geen enkele logische reden waarom de private key op de server zou staan, totaal niet nodig.

[Reactie gewijzigd door .oisyn op 23 juli 2024 13:26]

[Thirler]

Zoals in andere reacties goed is uitgelegd: dit is een signature, dus je kunt verifieren dat je hash echt door de makers van bitcoin gemaakt is.

Waar jij het over hebt de hash op zichzelf, die is inderdaad net zo veilig als de server waar je het vandaan haalt. Bij veel open source projecten is het gebruikelijk dat je de hash van de makers ophaalt, en het grote installatie bestand van een van de honderden mirrors. Op die manier kun je veilig de software downloaden van een mirror die je niet perse vertrouwt, of waarnaar de verbinding niet veilig is.

Verder kun je met een hash ook nog kijken of je download wel helemaal gelukt is ('er is niet per ongeluk een bitje omgevallen'). Maar ik durf niet te zeggen of dat nog voor komt tegenwoordig. Er zit bijvoorbeeld ook al een controle voor omvallende bitjes in het TCP/IP protocol.

[FSVZ]

Je zou de hashes kunnen opslaan in een blockchain: De signer kan aantonen dat hij de binaries gesigned heeft en de hash is niet vatbaar voor manipulatie. Maakt het scenario voor man in the middle attack een stuk lastiger.

[joo5ty]

Gelijk alle BTC'ers naar ETH overstappen!

[LopendeVogel]

Haha nee joh..
Bitcoin Core = een wallet
De juiste uitspraak zou zijn: Bitcoin core gebruikers dienen over te stappen naar een andere wallet.
Dit heeft niks met Bitcoins te maken Het leest alleen wat vreemd: CORE, alsof het om de kern van Bitcoin gaat wat aangevallen gaat worden
https://bitcoin.org/nl/download

Tweakers kan dit euvel makkelijk oplossen door in de tekst te zetten: Bitcoin Core Wallet ipv alleen Bitcoin Core, want mensen zoals jij die er niks vanaf weten denken gelijk dat het om Bitcoin zelf gaat (bedoel het niet vervelend door te zeggen; mensen als jij, ik weet het momenteel niet anders te beschrijven).

Zelf gebruik ik het programma niet eens (nooit gebruikt ook trouwens), ik gebruik al een tijdje MultiBitHD.

Wat ik alleen even niet begrijp.. Als de makers van de Bitcoin Core Wallet weten dat hun nieuwe release aangevallen zal worden (ook al vind ik hier geen bewijs/bron van), waarom stellen ze de release niet uit?

Daarnaast zit ik al vanaf de eerste minuut met de hamvraag:
Welke overheid, wie wat waar hoe wanneer.. Hoe is bitcoin.org erachter gekomen dat de overheid een aanval in de planning heeft.. Het enige wat ze vermoeden is dat EEN overheid een aanval in de planning heeft.. Maar hoe weten ze dat, hoe komen ze erbij?

Niemand die weet hoe het wel zit?

[Reactie gewijzigd door LopendeVogel op 23 juli 2024 13:26]

[Gilius_caesar]

Bitcoin Core is meer dan een wallet. Het is namelijk ook een node in het netwerk die ervoor zorgt dat de transacties de wereld rond gaan. Veel mijners draaien ook Bitcoin Core om hun blokken te krijgen en te versturen.

Zoals dit nieuwsbericht aanhaalt wordt er ontkend dat er weet is van een aanval, het is een enkele bron die de site zonder overleg heeft aangepast.

Een release uitstellen heeft ook weinig nut, als iemand van plan is ze aan te vallen maakt het niet uit of dit vandaag of morgen gebeurd.

[LopendeVogel]

Een release uitstellen heeft ook weinig nut, als iemand van plan is ze aan te vallen maakt het niet uit of dit vandaag of morgen gebeurd.
Dit is dus ook weer iets waar ik een vraagteken bij heb, ze zeggen namelijk dat gebruikers moeten opletten met het downloaden van de nieuwe release van de bitcoin core wallet die uitkomt. Dit doordat de wallet van hun eigen site (bitcoin.org) te downloaden is en nog weleens ''gemanipuleerd'' zou kunnen zijn... (tweakers spreekt over externe download sites, het bedrijf zelf spreekt over hun eigen site als download bron die straks onveilig kan zijn met de nieuwe bitcoin core wallet versie).

Elk bedrijf met hun eigen bitcoin wallet draagt bij aan een node, daar is niks anders aan.

Het enige wat ik wil weten is wie- en bovendien -wat er gezegd is tegen bitcoin.org, Helaas weet niemand iets, zelfs bitcoin.org laat hun bron niet zien.
Conclusie: heel vaag allemaal

[Reactie gewijzigd door LopendeVogel op 23 juli 2024 13:26]

[Gilius_caesar]

Bitcoin Core is in hoofdzaak een bitcoin node, zoals je zelf al aangaf zijn er genoeg en betere alternatieven als je een bitcoin wallet wil hebben. Je kan ook perfect Bitcoin Core draaien zonder wallet.

Multibit bijvoorbeeld heeft geen eigen node, het krijgt zijn informatie van de Bitcoin Core nodes.

Iedereen zit met dezelfde vragen, het is even vaag voor iedereen. Het enige dat geweten is, is dat anonieme mede-eigenaar van bitcoin.org "Cobra-Bitcoin" dit zonder overleg heeft aangepast op de website zonder verdere uitleg.

[Proxx]

nee joh, overmorgen lekker bitcoin shoppen

over een maand verkopen =]

[Verwijderd]

Of volgende week als de koers goed is.

[Yzord]

Hier heb ik graag een -1 voor over, maaruh:



ETH is finished als je over de categorie betrouwbaarheid wilt hebben lol.

[cobis taba]

Het kan natuurlijk aan mij liggen maar volgens mij praten mensen hier om elkaar heen en is het eerste bericht wat vaag geformuleerd. Wat ik er van begrijp is dat Bitcoin.org denkt dat hun website een doelwit is, om mensen te verleiden een versie van de wallet te downloaden met malware.

Ik heb echter niet de indruk dat ze verwachten dat de officiële Bitcoin CORE compromised wordt, maar dat de binaries vervangen worden op downloadwebsites. Zou de officiële versie compromised zijn, dan heeft verification van de signing ook geen zin immers. Als een aanvaller iets in die code krijgt zonder dat het de developers opvalt, dan signen ze het als geheel alsnog.

Dus nee, de aanval die Bitcoin.org verwacht is een aanval op de download websites of hun eigen website in het bijzonder. Dat is ook wat Lombrozo realistisch acht en logisch ook.

Kortom, ik zie het nieuws niet behalve dat men wat om elkaar heen praat. En dat het eerste bericht op bitcoin.org verwarrend geformuleerd is.

[Verwijderd]

"Gebruikers kunnen downloads van bitcoin.org verifiëren door na te gaan of de hashes van de Bitcoin Core-binaries ondertekend zijn met een bepaalde sleutel, zo vermeldt de waarschuwing op de site nog. Het is verstandig te controleren of dit inderdaad het geval is en ook te onderzoeken of de sleutel de juiste fingerprint heeft."

Als we nu ooit een teken willen zien dat bitcoin in het geheel nog niet klaar is voor de grote mensenwereld is het dit wel. Welke gebruiker wil er nu bezig zijn met hashes, sleutels en fingerprints?

[RoffaboyS]

Bitcoin is een flop blockchain wordt niks beter. Want echt geld blijft bestaan.

[Reactie gewijzigd door RoffaboyS op 23 juli 2024 13:26]

[LopendeVogel]

Lees ik nu ergens grandioos overheen of staat het simpelweg nergens hierboven? Hoe komen ze erbij dat de overheid dit in de planning heeft?
Waar staat de waarschuwing dat ze de bitcoin core wallet willen aanvallen? En dan niet van bitcoin.org zelf, maar hoe weet het bedrijf ''Bitcoin Core Wallet'' dat de overheid hun wilt aanvallen?

Ik neem aan dat ze dit niet verzinnen, maar waar is de bron/het bewijs dan dat dit misschien gaat gebeuren?

Dit staat in het tweakers artikel:
Lombrozo acht het mogelijk dat sites die de releases als downloads aanbieden, het doelwit zijn van aanvallen, maar roept op om niet 'onnodig paranoia te verspreiden rond de Bitcoin Core'.
Dit staat er daadwerkelijk op de site van Bitcoin Core:
As a website, Bitcoin.org does not have the necessary technical resources to guarantee that we can defend ourselves from attackers of this calibre. We ask the Bitcoin community, and in particular the Chinese Bitcoin community to be extra vigilant when downloading binaries from our website.
ONZE website betekent namelijk iets anders dan: andermans websites zoals in het tweakers artikel staat

Dan weet ik nog steeds niet hoe ze erbij komen dat de overheid dit in de planning heeft. Ik kan het klakkeloos geloven omdat tweakers dat zegt, maar ik heb nog geen bewijs ervan gezien.

[Reactie gewijzigd door LopendeVogel op 23 juli 2024 13:26]

[LopendeVogel]

Nee dit heb ik allang gelezen, als je mijn reactie überhaupt gelezen had, heb ik een stuk tekst van de door jou geposte link gebruikt....
Gevalletje; pot verwijt de ketel? Ik heb heus wel de links uit het artikel open gehad hoor

[Reactie gewijzigd door LopendeVogel op 23 juli 2024 13:26]

[Tormbo]

Van mijn link:

Bitcoin.org has reason to suspect that the binaries for the upcoming Bitcoin Core release will likely be targeted by state sponsored attackers.

[LopendeVogel]

Ja...
Ah ja nee is goed dan gaan we voortaan zulke uitspraken als feit gebruiken, geen bewijzen / bronnen voortaan meer nodig Normaal boeit een bron me vrij weinig, indien het me niet veel interesseert.. In dit geval was ik wel nieuwsgierig naar een bron, maar die heb jij dus ook niet.
Als ik zeg: over een jaar landen hier aliens, dan mag jij dat gerust als een bron / feit gebruiken Echter ik wil ook daadwerkelijk, een echt stukje bewijs/bron zien

Ik zal de vraag anders stellen: Hoe komt Bitcoin Core erbij dat de overheid dit in de planning heeft?

Ik blijf me verbazen over je uitspraak richting mij: lezen is lastig, want jij hebt na 3 reacties nog altijd moeite met lezen..

[Reactie gewijzigd door LopendeVogel op 23 juli 2024 13:26]

[Bas1234567]

Ik zal de vraag anders stellen: Hoe komt Bitcoin Core erbij dat de overheid dit in de planning heeft?

Nou meneer LopendeVogel je mag inderdaad wat beter lezen. Het antwoord op je vraag is namelijk vrij eenvoudig:

Niet.

Ontwikkelaar (lees: Bitcoin Core) weerspreekt bericht over mogelijke aanval op Bitcoin Core.

De titel geeft het al een beetje weg. Als je nou zou vragen hoe bitcoin.org er bij komt dat een overheid dit in de planning heeft, dan heb je een goede vraag. En zonder bewijs zal dit waarschijnlijk ook de reden zijn dat Bitcoin Core meldt dat er geen reden tot paniek is.

[LopendeVogel]

Precies ik heb dus een goede vraag. Bedankt voor het compliment

[Reactie gewijzigd door LopendeVogel op 23 juli 2024 13:26]

[cobis taba]

Niet echt, want die opmerking / vraag is al exact wat de ontwikkelaars zelf zeggen... dus je vraag is niet nieuw .

[Verwijderd]

Twijfelachtig verhaal. Heb je een bron ?

[Tormbo]

Dat *is* de bron, tenminste de bron die de schrijver van het artikel aanhaalt.

[Tormbo]

*zucht*

Uit bovenstaand bericht van t.net

In het bericht staat dat bitcoin.org het vermoeden heeft dat een aanval plaatsvindt op de komende release van de Bitcoin Core en dat het niet de middelen heeft om zich daartegen te verweren.

Als je klikt op het linkje, dan zie je de tekst uit mijn reactie.