Los investigadores han descubierto una vulnerabilidad que reside en el código JavaScript SecureRandom() función que se utiliza para generar direcciones aleatorias Bitcoin y sus claves privadas correspondientes.
El defecto hace que las direcciones antiguas Bitcoin generados en el navegador o mediante aplicación de cartera basados en JS vulnerables a los ataques de fuerza bruta. Como resultado, los atacantes pueden obtener acceso a las carpetas de los usuarios y robar sus fondos criptomoneda.
JavaScript SecureRandom() La biblioteca no está segura aleatoria
La criptografía es profundamente implacable de errores. No se metan con ella. No incline su propio - que necesita algoritmos aguerridos que han sido probados-tortura por parte de los criptógrafos técnicamente más implacable que puede encontrar, dijo los investigadores que informaron de la cuestión.
Además de eso, agregaron, "el popular JavaScript SecureRandom() biblioteca no es segura al azar".
La cuestión es derivada de la función no generar datos aleatorios, ya que se supone que debe hacer.
La función generará las claves criptográficas que se, a pesar de su longitud, tener menos de 48 bits de entropía, lo que significa que la salida de la clave no tendrá más de 48 bits de entropía, aunque su semilla tiene más que eso, investigadores agregaron.
SecureRandom() a continuación, ejecuta el número se pone a través del algoritmo RC4 obsoletos, que se sabe que es más predecible de lo que debería ser, es decir. menos bits de entropía. Por lo tanto, la clave es más predecible.
Todo lo anterior significa que las direcciones Bitcoin generado a través de la la SecureRandom() función son propensos a ataques de fuerza bruta que pueden revelar la clave privada del usuario. Si esto último sucede, los fondos del usuario pueden ser robados.
¿Quién se ve afectado?
Al parecer,, todas las carteras generados por las herramientas de js dentro de los navegadores desde el comienzo de Bitcoin hasta 2011 se ven afectadas por la debilidad Math.random si se aplica a las implementaciones relacionadas, la Math.random o RC4 (Cromo) entre la debilidad 2011 y 2013, y la debilidad de RC4 para los usuarios de Chrome hasta el final de 2015, investigadores aclararon.
En otras palabras, estas teclas será fácil de romper por ataque de fuerza bruta de potencia de cálculo.
La falla afecta a los usuarios si utilizan direcciones antiguas de cifrado generadas a través de JavaScript en el navegador. Si este es el caso, los usuarios deben pasar de inmediato a sus fondos fuera de estas carteras.
Los siguientes son probablemente afectados:
– BitAddress pre-2013;
– bitcoinjs antes 2014;
– software actual que utiliza repositorios de edad que encontraron en Github.
Recientes direcciones generadas en JavaScript, probablemente, no se ven afectados, los investigadores dicen. Sin embargo, JavaScript no es la mejor manera de generar claves, así que lo mejor es que los usuarios migren sus fondos.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: