vriende don t laat vriende doen slegte crypto
as elitzer is die blockchain en digitale identiteit lei op ideo colab 'n r d netwerk wat explores die impak van emerging tegnologie deur kruis industrie collaborations
in hierdie mening stukkie elitzer verduidelik waarom ontwerp vir sekuriteit vereis dink oor platforms buite 'n s eie
het onlangs ek ontmoet met die founding span van 'n groep gebou 'n projek in die cryptocurrency ruimte hulle geloop my ideo colab kollegas en my deur hul web app wat hoe users kon koop en stoor bitcoin of ether in 'n custodial beursie en dan gebruik wat fondse in 'n verskeidenheid van maniere ek opgemerk word wat hulle ook moes 'n opsie te gee 'n private sleutel direk te maak 'n transaction
eerste reël van crypto nooit ooit ooit deel jou private sleutel
ernstig net don t gif deur ideo colab
corollary wees baie skeptical indien nie outright verdagte van 'n diens of kommunikasie vra jou private sleutel
gesien ontmoet met hierdie span previously en weet hul indrukwekkende backgrounds ek gevra relatief calmly waarom hulle was vra vir 'n private sleutel die hoof tegnologie beampte verduidelik wat hulle was implementing 'n myetherwallet styl instrument vir ondertekening transactions in die browser sodat die private sleutel sou nooit wees gestuur te hul bediener
die voorneme was te laat users te maklik gebruik die diens sonder gesien te laat die platform neem bewaring van fondse terwyl ook eliminating die friction geassosieer met gesien te oop up 'n skei beursie aansoek te generate teken en uitgesaai 'n transaction dit removes 'n paar stappe geluk vir user ervaring maar nie die shortcut werklik lasbrief die handel offs
ek m baie simpatieke te die oog wat ux in die crypto wêreld is aaklig en daar s 'n nodig te kry kreatiewe in ontdek geleenthede vir simplification en soos die span gesê uit uit 'n tegniese perspektief hulle sou nie wees exposing users te 'n meer risiko as indien wat users aangegaan hul private sleutels op myetherwallet
wat s ware hulle kon implement die bladsy dieselfde oop bron kode soos myetherwallet ek vertrou wat hulle sou doen hierdie behoorlik en ek verwag wat sommige betekenisvolle bedrag van hul toekoms users sou wees bereid is om te vertrou hulle en voel veilige betree private sleutels op hierdie webwerf
egter my kommer is nie primarily of hulle kon securely implement in browser transaction ondertekening soos ek gesê: ek vertrou beide hul competence en hul voornemens
wat bekommernisse my meer is wat hierdie gee die valse indruk veral te wat nuwe te cryptocurrencies wat dit is ok te gee jou private sleutel op 'n webwerf
basiese inligting hygiene
die meeste mense is gebruik te bedryfstelsel in die konteks waar indien 'n wagwoord is gekompromitteer selfs vir 'n bank rekening gewoonlik die skade is op minstens 'n bietjie reversible crypto is verskillende indien jy deel jou private sleutels jy verloor alles daar is geen recourse vir kry terug jou gesteel bitcoin ether of ander tokens
'n veilige betroubaar diens vra private sleutels normalizes die begrip van users deel private sleutels met dienste wat hulle gebruik hierdie is slegte
selfs indien die maatskappy in vraag is betroubaar dit is 'n virtual waarborg wat almal koop gebruik of participating in die cryptocurrency ecosystem in 'n manier sal op sommige punt ontmoeting 'n hacker of scammer probeer te steel hul geld opleiding users wat 'n versoek te gee hul private sleutels kan wees wettige increases die likelihood wat wat users sal val slagoffer te 'n bedrogspul in die toekoms
'n analog te hierdie is toe 'n tradisionele finansiële dienste maatskappy roep 'n kliënt oor 'n kwessie en versoeke wat die kliënt voorsiening te maak data soos hul rekening aantal adres of laaste 4 digits van hul sosiale sekuriteit nunber voordat proceeding
doen nie trein jou kliënte te deel inligting of poging om te gedrag 'n rekening verwante interactions op 'n selfoon roep wat die kliënt het nie initiate hom of haarself
vir iemand te wie hierdie is nuus asseblief altyd altyd altyd einde so 'n roep onmiddellik en roep terug deur 'n ondersteuning lyn vermeld op die webwerf van die maatskappy in vraag
'n 'n hoë bar van vertrou
gedurende 'n diep gesprek wat aan die lig gebring die span moes gegee 'n baie van oorweging te sekuriteit en usability tradeoffs die startup hoof uitvoerende beampte gevra waarom is dit okay vir myetherwallet te vra users te gee hul private sleutels of upload hul keystore lêers maar nie ok vir ons te doen sodat wat s 'n billike vraag
eerste ek sou aanvaar wat die meerderheid van mense betree hul private sleutels te gebruik myetherwallet oorspronklik generated wat private sleutels op myetherwallet met die voorneme is om van gebruik hulle op myetherwallet in die toekoms indien jy reeds vertrou 'n webwerf of aansoek te generate jou sleutels jy weer nie greatly expanding jou aanval oppervlak deur voortgesette te vertrou hulle toe jy gaan te gebruik wat sleutels
tweede daar s 'n spesiale rol wat beursie sagteware en dienste speel in hierdie ecosystem hulle is die agent wat mediates die user s interaction met die rus van die cryptocurrency ecosystem en dit is absoluut imperative wat die user trusts wat hul beursie is presenting akkurate inligting te hulle en is gedra in accordance met die user s voorneme soos so 'n daar is 'n ongelooflik 'n hoë bar van vertrou wat beursie developers moet bereik voordat knowledgeable cryptocurrency users sal oorweeg gebruik hulle te beheer hul bates
indien die cryptocurrency ecosystem is ooit gaan te ontwikkel in so 'n 'n manier wat tokens is nuttig vir programme buite net belegging of spekulasie ons ll sien honderde duisende moontlik selfs miljoene van dienste gebou wat insluit interactions waar users nodig te generate signatures met hul private sleutels verwag mense te wees in staat te discern of hulle moet vertrou 'n nuwe diens hulle ontmoeting met hul private sleutels is untenable
'n voorstel 'n kollega van my moes was vir myetherwallet of 'n ander hoogs vertrou diens te maak 'n transaction ondertekening widget wat kon wees embedded in ander sites sodat users kon wees vertrou betree hul private sleutels die startup hoof uitvoerende beampte selfs voorgestel wat die maatskappy kan selfs maak so 'n 'n instrument self en publiseer dit vir ander te gebruik terwyl ek applaud die sentiment van gebou iets wat nuttig en deel dit met ander die probleem is nie 'n wat kan wees opgelos in hierdie manier
laat s sê myetherwallet het maak 'n branded transaction ondertekening widget hoe sou besoekers te 'n werf met die widget embedded weet wat dit was 'n ware myetherwallet widget eerder as 'n lookalike wat sou steel hul private sleutels hulle kan net doen 'n checksum goed te vertrou wat 'n checksum is geldig die user sou nodig te eerste weet wat 'n checksum is dan loop dit self 'n visuele cue soos te die validity van die widget of checksum kon maklik wees valse
nie, tensy en totdat dit raak redelike te aanvaar wat 'n oorweldigende meerderheid van users het hul eie agent sagteware outomaties verifying signatures en loop checksum funksies gebruik maklik valse visuele cues te signify sekuriteit sal net verhoog die vulnerability van jou users
ons weer al in hierdie saam
dit draai uit wat hierdie wonderlike trustless toekoms wat sodat baie van ons is striving te maak isn t eintlik sodat trustless
in feit dit s nie selfs vertrou minimized
dit s vertrou specified ons nodig te wees baie spesifieke oor wat ons is vertrou vir wat tasks dit s incumbent op al participants in die cryptocurrency ecosystem te hulp users ontwikkel 'n begrip en intuition vir hierdie deur net vra users vir die gebaar minimum bedrag van vertrou en permissions wat ons nodig en wys hulle te reputable dienste wat volg die beste practices in sekuriteit en disclosure vir al ander funksies
ons verantwoordelikheid te ons users nie nie einde toe hulle laat ons werf of naby ons app behaviors hulle leer uit ons of wat ons indien te normalizing sal gids of en hoe hulle interact met die myriad van ander dienste hulle ontmoeting in die toekoms in 'n industrie waar user foute is frequently irreversible dit s incumbent op al van ons te hou die aperture van user verwagtinge soos narrowly gefokus soos moontlik op die minstens riskant behaviors
ons kan bou 'n meer veilige en meer user vriendelike toekoms vir almal maar net indien ons bly vigilant oor sekuriteit vir ons users oor al dienste hulle interact met nie net ons eie
indien jy het 'n goeie examples van nudging users teenoor meer veilige gedrag of die beste practices vir veilige ux ontwerp asseblief deel in 'n kommentaar hieronder