1. 首页
  2. 科普

如何更安全地保存助记词?

如何更安全地保存助记词?

网上有非常多的文章讨论“冷存储”。一般硬件钱包实现“冷存储”,是将私钥保存在离线硬件钱包内,需要进行交易的时候,通过观察钱包(热端 App),将待签名信息传输入硬件钱包,然后利用硬件钱包内的私钥进行签名,最后将签名后的信息传输到观察钱包并广播上链。

大家对“冷存储”的讨论很多,但这里其实有一个更关键的问题:助记词如何存储。

这套体系中,最薄弱的环节并不是硬件钱包,而是助记词。

所以,相对于冷存储,我们引入了“深冷存储”(Deep Cold Storage)的概念,特指对助记词的保存。

PS:有一些 BTC Maximalist 或定投党(invest a fixed amout of money into bitcoin every month and never transfer out),用钱包生成助记词并得到地址以后,会将钱包 App 删除,并持续往这个地址打币。对于这些人来说,“冷存储”不是一个大问题,但深冷存储(助记词的保存)是非常非常重要的。

深冷存储的实践

方案一:

将一套助记词抄在纸上,或者有些要求更高的用户,会使用金属类的存储产品来存储助记词并保存。这是我们最常见的方案。

方案二:

方案一经常被人诟病的一点是,如果只保存一套,一旦发生不可逆灾害(比如水灾,火灾,地震等),资产将会全部丢失。

自然而然地,人们提出了第二种深冷存储的方案:备份多份,异地保存。毕竟多地同时发生不可逆灾害的可能性极低。

如何更安全地保存助记词?

可是,同时多地保存,却增加了助记词被盗导致资产丢失的可能性。

|  这里我们做个简单的算术:

假设助记词保存在一地,被盗的概率是 1%,发生自然灾害损毁的概率也是 1%。那么,如果五份助记词异地保存,“被盗”造成损失的概率是任何一处被盗的概率,“被毁”(被自然灾害损毁)的概率是五处同时被毁的概率。我们可以得到下表:

如何更安全地保存助记词?

通过简单的概率计算,可以看到,方案二很大程度上避免了自然灾害损毁的概率。但是被盗的风险提升了 5 倍!

方案三:

那有没有一种方案,可以同时显著降低方案一被盗和被毁的概率么?答案是肯定的。

展开方案三之前,有一个密码学概念大家需要理解:Shamir’s Secret Sharing Scheme(下文简称SSSS),这是 Adi Shamir 创建的分片加密算法。可将需要加密的信息分为多个部分,使每个参与者都持有自己独特的部分。要想重建原始信息,需要最少数量(≤总数)的部分。比如,一份助记词一共分为5个部分,其中任意3个部分可以恢复原始助记词。

没错,细心的同学可能已经发现,SSSS 跟多签非常相似。

同样是做 5 份异地保存,如果我们用 SSSS 进行3/5的拆分。单一保存地被盗的概率还是 1%,被毁的概率还是 1%,那用⅗ SSSS之后,被盗和被毁的概率分别是多少呢( 5 地中任意 3 地同时被盗或者同时被毁的概率)?

如何更安全地保存助记词?

从统计数据可以看到,方案三虽然不如方案二有那么强的抵御自然灾害的能力,但是方案三把被盗的风险也显著降低了。

方案四:

方案二或者方案三,都有一个基础假设:某一处备份被毁之后,资产拥有者能够立即感知到并且转移资产。如果资产拥有者没有感知能力,那资产被毁的概率就会大大提升。

进一步,方案三中资产拥有者对“被盗”也需要感知能力,否则也会大大提升资产丢失的概率。

如果是这样的话,SSSS 生成的每一片子信息,就不能简单地“藏起来”,最好是放到线下银行保险柜。但是分布在各地的银行保险柜,也是一笔不小的开支。如果把子信息都放到朋友那里呢?朋友会不会串通起来,凑出完整的助记词然后瓜分资产?

要解决这个问题,BitGo 的 Lead Security Engineer 找到了他的方案:

如何更安全地保存助记词?

简而言之,Lance 先用 AES 对称加密的方法,对助记词进行加密,加密结果通过手术植入到自己的皮肤下面,然后将 AES 加密用的秘钥,再通过 SSSS 进行拆分,保存在世界各地的朋友处。也就是说,没有皮肤下的加密助记词,秘钥凑齐了也没有任何作用。

小白用户如何进行深冷存储

前面讲到的 SSSS,小白用户没有任何编程基础,如何使用呢?

很简单:https://iancoleman.io/shamir/  利用这个网页工具,输入要分解的份数,以及多少份子信息可以恢复出原始信息,再输入原信息,就可以得到分解后的子信息。

如何更安全地保存助记词?

但是有一点要注意:这个网页工具,最好下载后离线使用

如果有的小白用户嫌 SSSS 多地保存操作起来太麻烦(麻烦往往意味着过程中可能会出错),方案二提到的多地保存方案又增加了被盗的可能性,那有没有再“平衡”一些的方案呢?

一种常常被提及的方案是——把24 个助记词,分别记录在三张纸片上,每张纸片只记录 16 个,同时三张纸片彼此之间缺失的 8 个词各不相同。这样,即使丢失了一片纸片,黑客要完成攻击,就需要暴力破解其余 8 个词。

暴力破解这 8 个词,黑客最少需要多少成本呢?

黑客大概需要做 2^88 次Hash运算。按照最新款蚂蚁 S17+ 矿机的算力(73 THash)和能耗(2920 W)的官方数据,电费按照 0.4 元/千瓦时计算,破解成本(仅计算耗电)大概是13到14亿元人民币。

(注明:这里的计算比较简略,是按照第 24 个助记词暴露,也就是助记词的 checksum 暴露的情况,黑客通过哈希计算 checksum 来验证 8 个词的正确性;如果第 24 个助记词未暴露,黑客的暴力破解成本将会指数级上升,甚至无法用 ASIC 矿机进行破解)

所以,如果您囤币总金额在 13 亿元人民币以内,您用这种方案,黑客只窃取一份助记词并暴力破解是不高效的手段。黑客还是会尝试窃取至少 2 份助记词备份,来偷取资产。

类似的,这种方法也会需要至少摧毁三份私钥中的两份,您的资产才会不可恢复。

所以,上面的概率表加上这种新方案的话:

如何更安全地保存助记词?

本篇文章介绍了如何更安全地保存助记词。那么在助记词之上,有没有其他的机制能够进一步加强安全性呢?答案当然是肯定的。后面的文章,我们会介绍 Passphrase(密语) 和“哨兵钱包”的概念。Stay tuned~

参考链接:

[1]https://en.wikipedia.org/wiki/Shamir%27s_Secret_Sharing

[2]https://en.wikipedia.org/wiki/Advanced_Encryption_Standard​​​​

原创文章,作者:BCDC,如若转载,请注明出处:http://bullish.top/archives/13626

发表评论

电子邮件地址不会被公开。 必填项已用*标注

联系我们

在线咨询:cnblock(微信)

电子邮箱:cncpl@163.com

工作时间:周一至周五,8:00-22:00,节假日休息