Não existe uma solução universal para todas as ocasiões, mas tentaremos dar dicas que se aplicam quase sempre. A implementação específica da arquitetura deve ser planejada com base nas suas necessidades e riscos. Este artigo pode ser usado como uma lista de verificação para verificação.
Recomendações para organizar o armazenamento de criptomoedas e tokens
Não coloque todos os ovos na mesma cesta! Divida seus fundos e guarde aqueles que você não planeja usar em um futuro próximo em uma carteira fria. Se necessário, podem existir várias carteiras frias. Por exemplo, parte dos fundos estará em uma carteira de hardware, parte em uma carteira com múltiplas assinaturas e parte na forma de uma chave privada em um contêiner criptográfico com uma senha forte. Em caso de perigo real, você pode até passar 1 ou 2.
Computadores separados para criptografia. Se você trabalha com criptoativos, que custam várias vezes mais do que o custo de suas instalações de armazenamento, aloque computadores separados que não serão usados para mais nada. É melhor navegar na web, jogar e editar documentos enviados em outro computador.
Nada extra. Os computadores da carteira não devem ter nenhum software de terceiros instalado, sem mencionar o Windows hackeado com um crack do C001_][aker. Apenas distribuições comprovadas do fabricante.
Tolerância ao erro. O maior incômodo em termos de tolerância a falhas é a falha do disco rígido. As peças restantes do computador geralmente são substituídas rapidamente e sem quaisquer consequências especiais. No caso de discos rígidos, a tolerância a falhas do sistema é mais fácil de obter usando matrizes RAID com espelhamento. Grosso modo, é quando dois discos rígidos são instalados e as operações de gravação e leitura ocorrem neles em paralelo, e o sistema os vê como um disco. Nesse caso, o aumento de preço vai para um disco rígido; o controlador RAID pode até ser usado embutido na placa-mãe. A probabilidade de ambos os discos rígidos falharem ao mesmo tempo é extremamente pequena e, se algum deles falhar, você insere um novo em seu lugar e continua trabalhando. Alguns controladores RAID podem fazer isso mesmo em tempo real, sem desligar o sistema.
Cópia de segurança. Você deve estar preparado para o fato de que o sistema mais tolerante a falhas pode ficar indisponível. Incêndio, ladrões, serviços especiais ou apenas um gato fazendo xixi na fonte de alimentação e todas as placas e discos rígidos vão queimar, não importa. Isso pode acontecer. Você deve ter backups atualizados de todas as carteiras. Além disso, devem ser criptografados e enviados para vários locais ao mesmo tempo. Para a nuvem, para o correio, um pen drive em um cofre, um arquivo em um smartphone, etc. Escolha várias opções, é melhor criar as suas próprias e usá-las. Crie um cronograma de backup e cumpra-o. Baixe periodicamente um dos backups e verifique a disponibilidade das informações nele contidas, se nada foi quebrado, você lembra de todas as senhas e consegue extrair informações do backup.
Criptografia e senhas. Aceite como fato que seu computador, telefone, pen drive ou acesso à sua caixa de correio e outros serviços podem acabar nas mãos de criminosos. Ao mesmo tempo, é necessário evitar que um invasor obtenha acesso às carteiras. Se todos os seus dispositivos estiverem criptografados com segurança e as senhas não forem semelhantes a Qwerty123, no mínimo você ganhará tempo para transferir ativos para outras carteiras e, no máximo, a obtenção de dispositivos e acesso será inútil para um invasor. Portanto, use a criptografia ao máximo, inclusive em partições de sistema, smartphones, arquivos e backups. Defina senhas para carregar e desbloquear seu smartphone. Não deve haver contas em computadores sem senhas fortes. Em serviços web, use autenticação de dois fatores sempre que possível. Defina senhas fortes e diferentes para todos os serviços e dispositivos. É aconselhável substituí-los por novos em alguns intervalos.
Atualizações. Preste atenção especial às atualizações de software. Freqüentemente, os invasores exploram erros no algoritmo de atualização ou disfarçam downloads de software malicioso como atualizações. Isso já aconteceu com algumas carteiras de criptomoedas, por exemplo, com a Electrum, quando foi exibida uma mensagem sobre a necessidade de atualização e um Trojan foi baixado. Um método mais simples é exibir uma janela do navegador em uma página da web que supostamente solicita a atualização do navegador. Às vezes, isso abre em uma nova janela pop-up e tenta, tanto quanto possível, copiar os detalhes da interface da janela de atualização real. É claro que se o consentimento do usuário for obtido, um Trojan será baixado para ele. Portanto, apenas atualizações de sites oficiais, e é aconselhável verificá-las mais detalhadamente.
Não deixe as coisas sem vigilância. Todo mundo entende tudo sobre pen drives ou smartphone sem senha. Mas, em alguns casos, até mesmo um laptop pode ser hackeado simplesmente inserindo um dispositivo semelhante a uma unidade flash na porta USB. Mas, na realidade, será um emulador de teclado HID de hardware e um conjunto de explorações. Portanto, em um ambiente Windows, após configurar todos os seus dispositivos, é recomendável impedir a instalação automática de drivers e dispositivos ativando a política “Proibir instalação de dispositivos não descritos por outras configurações de política”.
O que fazer se um hack já tiver sido detectado?
Desconecte o computador atacado da rede, verifique o que foi roubado e o que não foi.
Transfira as criptomoedas e tokens restantes para outras carteiras e, se necessário, crie-os em um computador limpo. Para agilizar o processo, você pode criar endereços temporários nas carteiras web mais famosas.
Acompanhe para onde foram as moedas, talvez sejam serviços como bolsas ou carteiras online. Nesse caso, escreva urgentemente para o suporte sobre o incidente indicando endereços, hashes de transações e outros detalhes. Se possível, ligue, após enviar a carta, ligue e use a voz para chamar a atenção para a urgência da situação.
Altere todas as senhas de um computador limpo, mesmo aquelas que não estejam diretamente relacionadas às carteiras. O computador infectado provavelmente tinha um keylogger que coletava todas as informações inseridas. As senhas devem passar por pelo menos 2 limpezas – temporária e uma nova permanente. As senhas devem ser fortes: longas o suficiente e não de dicionário.
Faça backup de todas as informações necessárias de computadores, smartphones e tablets que você não quer perder. Arquivos executáveis e outros arquivos que possam estar infectados não devem estar no backup. Criptografe o backup. Faça várias cópias de backup em locais geograficamente dispersos.
Limpe todos os pen drives e discos rígidos, redefina o smartphone para o padrão de fábrica e configure tudo novamente. Se você pretende trabalhar no futuro com informações muito importantes, ou valores muitas vezes superiores ao custo do equipamento, então o ideal é que valha a pena substituir todo o hardware, pois alguns tipos de programas de Trojan podem ser registrados em áreas de serviço em discos rígidos e não são excluídos mesmo durante a formatação, além de modificar o BIOS nas placas-mãe.
Recomendações gerais de segurança
Phishing. Na maioria das vezes, sites de trocas, carteiras online e trocadores populares são atacados. Os líderes são myetherwallet.com, blockchain.com e localbitcoins.com. Na maioria das vezes, os golpistas registram um domínio semelhante àquele que está sendo atacado. Eles carregam um site ou fórum inofensivo lá. Eles compram publicidade em motores de busca para isso. Assim que os anúncios passam pela moderação, o site é substituído por um clone do site atacado. Ao mesmo tempo, não é incomum que as pessoas iniciem ataques DDoS. O usuário não consegue acessar o site, insere seu nome em um mecanismo de busca, clica na primeira linha do resultado da pesquisa sem perceber que se trata de um anúncio e acaba em um site fraudulento que parece real. Em seguida, ele insere seus logins e senhas, e o dinheiro de sua conta vaza para os invasores. Muitas vezes, mesmo a autenticação de dois fatores, códigos PIN, etc., não ajudam. O próprio usuário inserirá tudo isso. Digamos que ao fazer login você digita um código, o sistema vai dizer que o código está incorreto, digite novamente. Ele digitará o segundo código. Mas, na verdade, o primeiro código foi usado para fazer login e o segundo para confirmar a retirada de fundos.
Outro exemplo são os ataques retardados. Quando você abre um site enviado a você que parece seguro e deixa a aba aberta. Depois de algum tempo, se não houver nenhuma ação na página, seu conteúdo será substituído por um site de phishing que solicitará que você faça login. Os usuários geralmente tratam as guias abertas anteriormente com mais confiança do que as abertas anteriormente e podem inserir seus dados sem verificar.
Além disso, em alguns casos, podem ocorrer ataques de phishing em redes públicas especialmente preparadas. Você se conectou a uma rede Wi-Fi pública, mas seu DNS fornece endereços errados para solicitações de domínio ou todo o tráfego não criptografado é coletado e analisado em busca de dados importantes.
Para não cair nessa, não desligue a vigilância, utilize verificações adicionais e um canal mais seguro, mais sobre eles a seguir.
Verificações adicionais. Para os sites mais visitados e importantes em um computador seguro, detecte vários parâmetros indiretos. Por exemplo, o emissor do certificado e sua data de validade. Valor do contador Alexa ou tráfego estimado pela Similarweb. Você pode adicionar seus próprios parâmetros. E quando você visita sites, acompanhe-os. Por exemplo, se o certificado mudou repentinamente muito antes de o antigo expirar, esse é um motivo para ser cauteloso e verificar o site adicionalmente. Ou, por exemplo, se bitfinex.com costumava mostrar cerca de 7 mil pontos no contador Alexa, mas agora de repente mostra 8 milhões, então este é um sinal claro de que você está em um site fraudulento. O mesmo acontece com as métricas Similarweb usadas por CDN, registrador de nomes de domínio, hoster, etc.
Senhas. Não use senhas fracas. É melhor lembrar as senhas mais importantes sem anotá-las em lugar nenhum. Porém, tendo em conta que é melhor definir palavras-passe diferentes para todos os serviços e carteiras, algumas delas terão de ser armazenadas. Nunca os guarde abertos. Usar programas especializados de “porta-chaves” é muito preferível a usar um arquivo de texto. Eles são pelo menos armazenados de forma criptografada, e os dados são automaticamente apagados da área de transferência após o uso. É melhor usar soluções offline de código aberto.
Crie algumas regras de segurança para você, por exemplo, até mesmo adicionando três caracteres aleatórios às senhas anotadas no início. Após copiar e colar onde precisa da senha, exclua esses caracteres. Não compartilhe métodos de armazenamento de senhas, crie os seus próprios. Nesse caso, mesmo que o detentor da chave esteja comprometido, existe a possibilidade de o invasor não conseguir utilizá-lo.
Canal seguro. Para trabalhar com mais segurança em redes públicas, faz sentido criar seu próprio servidor VPN. Para fazer isso, você pode comprar uma máquina virtual de um dos hosters no exterior e escolher o local a seu critério; O custo médio de uma máquina virtual é de US$ 3 a US$ 7 por mês, o que é um valor bastante razoável para um acesso um pouco mais seguro à rede. Você instala seu próprio servidor VPN no servidor e permite que todo o tráfego de dispositivos móveis e computadores passe por ele. Antes do servidor VPN, todo o tráfego é criptografado adicionalmente, para que eles não possam envenenar seu DNS ou obter dados adicionais de seu tráfego instalando um sniffer em seu caminho.
Windows/Linux/MacOS? O melhor sistema operacional é aquele que você pode configurar de maneira mais profissional e trabalhar com segurança. Um Windows bem configurado é melhor que um Linux mal configurado. Problemas de segurança são encontrados em todos os sistemas operacionais e precisam ser corrigidos em tempo hábil. No entanto, a maior quantidade de software malicioso é escrita no Windows; na maioria das vezes, os usuários têm direitos de administrador e, ao investigar o sistema, os golpistas primeiro tentam usar explorações no Windows. Portanto, em igualdade de condições, vale a pena escolher um sistema operacional menos comum e mais voltado para a segurança, por exemplo, uma das distribuições Linux.
Direitos de uso. Conceda ao usuário exatamente quantos direitos forem necessários para executar tarefas. Não fique sob o comando de um usuário com privilégios administrativos. Além disso, você pode proteger ainda mais sua carteira usando direitos de usuário limitados. Por exemplo, crie duas contas, a primeira tem acesso à carteira, mas você não pode fazer login nela localmente ou pela rede. A segunda conta pode ser usada para fazer login, mas não tem acesso à carteira. Para trabalhar com a carteira abaixo dela, você também deve iniciá-la usando o comando Runas.
Antivírus. Devo instalar um antivírus ou não? Se o computador estiver conectado à rede e for usado para qualquer outra tarefa além do armazenamento de criptomoedas, ele poderá conectar unidades flash ou carregar malware de outra forma - recomendamos o uso de um antivírus. Se o computador estiver especialmente configurado apenas como carteira, a segurança é reforçada ao máximo em todos os lugares, não há software estranho no computador e não há como carregá-lo lá - é melhor ficar sem antivírus. Há uma pequena chance de o antivírus enviar a carteira para a empresa do fabricante como um arquivo suspeito, por exemplo, ou de uma vulnerabilidade ser encontrada no próprio antivírus. Embora isto seja muito improvável, já ocorreram casos semelhantes e não devem ser completamente descartados.
Se você instalou um antivírus, mantenha os bancos de dados atualizados, não exclua ou “passe” as verificações de malware, preste atenção a todos os alertas e realize periodicamente uma verificação completa do sistema.
Considere a conveniência de instalar um antivírus em seus smartphones e tablets.
Caixas de areia. Crie uma máquina virtual separada para visualizar os arquivos enviados. Sempre existe o risco de receber um documento com exploração de dia 0 que ainda não foi detectado pelo antivírus. As máquinas virtuais têm a vantagem de trabalhar bastante rápido com instantâneos. Ou seja, você faz uma cópia do sistema, executa nele arquivos questionáveis e, após finalizar o trabalho, retorna o estado da máquina virtual ao momento em que ainda não havia aberto os arquivos suspeitos. Isso é necessário, no mínimo, para um trabalho seguro subsequente com outros dados.
Verifique os endereços. Ao enviar dados de pagamento para um computador seguro, imediatamente antes do envio, verifique adicionalmente visualmente o endereço e o valor. Alguns programas de Trojan substituem os endereços das carteiras de criptomoedas na área de transferência pelos seus próprios. Você copia um e o outro será colado.
Ambiente. Observe que o ataque principal pode não ser contra você, mas sim contra seus funcionários ou entes queridos. Uma vez em uma zona confiável, será mais fácil para o malware atingir seus ativos.
Comunicação. Trate quaisquer mensagens durante conversas telefônicas ou correspondências como se estivessem sendo lidas/ouvidas e gravadas por terceiros. Portanto, não há dados confidenciais em texto não criptografado.
Melhor estar do lado seguro. Se você suspeitar que algumas carteiras podem ter sido comprometidas, crie novas e transfira todos os fundos daquelas que são suspeitas.
Distribua menos informações confidenciais. Se em uma conferência o apresentador pede a quem tem criptomoeda que levante a mão, você não deve fazer isso, você não conhece todos na sala, e colocar possíveis vítimas no lápis é o primeiro passo para ajudar o atacante. Ou, por exemplo, houve um caso assim: um proprietário de criptomoeda levou muito a sério a segurança do armazenamento. Mas os agressores descobriram que ele estava vendendo um terreno. Encontramos um e o contatamos disfarçados de comprador. Durante diálogos e troca de documentos, os invasores conseguiram plantar um Trojan no computador da vítima e monitorar seu funcionamento por algum tempo. Isso foi o suficiente para entender como os fundos eram armazenados e roubá-los. Ao vender um terreno, a vigilância da vítima era claramente menor do que quando trabalhava com criptoativos, o que fez o jogo dos agressores.
Conclusão
Lembre-se de que todas as dicas de segurança fornecidas acima são para o invasor médio. Se você for sequestrado fisicamente e usar a criptoanálise termorretal, você mesmo entregará todos os endereços e senhas. Além disso, se serviços especiais com treinamento adequado estiverem caçando você, pode haver apreensão de servidores com congelamento criogênico de RAM para apreensão de chaves, bem como apreensão física durante o trabalho com canal aberto para a carteira. E se você seguir as regras de segurança, não infringir as leis ou ninguém souber sobre você, a probabilidade de encontrar tais problemas tende a zero. Portanto, escolha os métodos de proteção corretos dependendo do nível dos seus riscos. Não deixe as questões relacionadas à segurança para mais tarde, se puder fazê-las agora. Então pode ser tarde demais.
É mais fácil prevenir um incêndio do que apagá-lo.