NEM秘密鍵、自己管理のためのベストプラクティス

Takanobu (2017-05-12T03:37:23Z)

PC上へ保存についての検証（たたき台）

■保存方法
・テキストファイルとして保存
・Word等アプリケーションで保存

■暗号化
・保存したものをさらに暗号化(ZIP暗号など)
・暗号化したファイルの拡張子をさらに変更

■考えられる懸念点
・全体的に言えること
災害などによりPC使用できなくなった場合にアクセス不可能。
OSが刷新した場合にファイル自体にアクセス不可能となることもあり。
クラッカーによるリモートアクセス、近親者による不正操作。
PC破棄時に回収業者による不正操作。
どこに保存したか思い出せない

・テキストファイル
（検索）PCスキャンに弱い。
アドレス先頭の”N”は強烈なパターン性を持つため、平文で保存する場合除外したほうがよい。
アドレスと秘密鍵を同じ場所に保存しておくべき？
→nanoWalletのプライベートキーウォレットを使えばアドレスは復元できるので、基本的には必要無 い（はず）。
→ただしファイル中に「これはNEMの秘密鍵です」と書くぐらいなら、アドレスと秘密鍵のセットで保存した ほうが無難かも。
（自己判断でお願いします！）


・Word等のアプリケーション
一般的によく知られたアプリケーションはスキャン方法が確立されている場合が多い。
マイナーなアプリケーションを使った場合、バージョンアップすると開けなくなる可能性が高い。
　　使用していたマインドマップアプリで議事録GOXした経験あり。

・ZIP暗号化について
結局、暗号化したパスワードをどこかに控えないといけないので、無意味？
ただし、アドレスや秘密鍵が持つパターン性を排除することができる。スキャン耐性は強くなる
暗号化プロトコルは常に進化しており、陳腐化すると、次の時代では開けなくなっている可能性もあり。
暗号化しているから大丈夫、という過信でデスクトップなどに置いておくとブルートフォースアタックを受ける 危険性もあり。

Takanobu (2017-05-12T10:26:09Z)

PC上へ保存についてのベストプラクティス案（たたき台）

パソコンの操作にあまり慣れていない方に向けて書いています。
何処に保存したか思い出せる、50年後でもおそらく使える、
ハッカーに狙い撃ちされない限りは逃れ切れる、がテーマです。

パスワードをガンガンかけて失くさない自信のある方は、
それぞれ独自の方法で保管してください。

■ベストプラクティス案
・日々持ち歩くノートPCには保存しない
・デスクトップ、Cドライブ直下への保存は避ける
　　普段自分がよく使うフォルダからさらに2階層離す
　　フォルダ名・ファイル名について
　　nanowalletなど毎日使うパスワードの一部をフォルダ名に採用する
　　他人が見て類推できないもの(WindowsUpdate.txtなど)をファイル名に採用する
　　例えばパスワードがdogcathelloであれば
　　パスワードの隠し場所は document/cat/nano/Windows.txt などにする。
・パスワードはテキストファイルに保存する。
　　Windows製品は自動でテンポラリにバックアップされたりするため。
　　その他アプリケーションの場合は非互換性によるGOX回避
・アドレスの記述方法に気を付ける
　　行頭からNで始めない
　　　ads:N～とか [[N～ などにする
　　Nと以降の文字は分離する
・PC修理依頼・廃棄時はアドレスを破棄して新しいアカウントに全送金しておく
　　完全削除に自信のある方はその限りではない
・その他の保存方法と併用する
　　災害時対策

■よりステップアップした対策
・拡張子を変更しておく(.jpgなど)
・ハードディスク暗号化
・アドレスは保存しない（自己判断！）
・本当のファイルの１階層上のフォルダにダミーファイルを置いておく

あくまでも自己判断でお願いします！

siwong (2017-05-12T14:36:38Z)

ベストでは無いけど、参考までに普段やっている方法等を記述しておきます。
使えそうな部分を抽出してください。
（思ったより長くなった・・・）

■内部用（デスクトップPCに保存）
・テキストファイルに必要な情報を記述して保存（後続処理が終わったら削除）
・テキストファイルをWinRARでパスワードとコメント（自分だけが分かるパスワードヒント）付きのRARファイルで圧縮
　（zipではなくrarの理由はコメントを付けられること、zipよりは若干マイナーであること（解析ツールの数が比較的少ない）等が理由）
・Cドライブとは別の内蔵HDD2つにそれぞれ保存
・外付けHDD（普段はPC未接続）にも保存

■外部用（自分のPC以外に保存）
・テキストファイルをWinRARで内部用よりも強固な（複雑な）パスワード付き、且つファイル名を暗号化したRARファイルで圧縮
　（ファイル名を暗号化＝中身のファイル名がWinRAR等から読み取れない状態にする）
・DropBoxの非公開フォルダに保存
　（例としてDropBoxを上げているが、暗号化したファイルを保存出来る場所、且つ非公開に出来るストレージサーバーならどこでも可）


■補足説明
・WinRARのコメントで付けるヒントは、他者が推測できず、自分だけが知っている（パスワードを想起できる）情報にする
・PCの内蔵HDDは普段使うために保存
・内蔵HDDの故障に備えて2つのHDDに保存（HDDの故障頻度は3～10年程度と想定）
・PCそのものの故障、ファイルを破損するタイプのウィルス等に備えてPC未接続の外付けHDDにも保存
　DVD等のメディアに焼く場合は、メディアの劣化を考慮して数年ごとに焼き直した方が良い
・火災や地震等の震災対策、緊急時にスマホから情報を参照できるようにDropBox等にも保存
　DropBox等の外部ストレージに保存する場合は比較的強固なパスワードにし、非公開のフォルダに保存する
・一時的にスマホ等へ情報をコピーした場合は、使用後に削除する
　最低でも暗号化した状態で保存する
・念には念を入れるのであれば、多重暗号化も検討
　パスワード付きzipをパスワード付きrarで圧縮し、更にマイナーな暗号化ツールで圧縮等
　※パスワードは解析されるのを前提に、解析するのが面倒くさいと思わせる方向で考える

■個人的にあまりやらないこと
・拡張子の変更
　→　たまたま情報を知った一般人（主に友人知人）向けには有効だが、悪意を持った相手の場合はツールで判別が可能なため
　　　※マイナーな暗号化ソフトを使う場合はツールで判別出来ない（出来にくい）ので比較的有効
　　　※隠しファイルにするのも、どちらかと言えば一般人向けの対応という認識

・パスワードの頻繁な変更
　→　パスワード変更は、相手にパスワードが知られた状態でそのまま運用し続けることが問題という認識のため
　　　※サイトのパスワード等なら泳がされる可能性が高いけど、秘密鍵等なら速攻で重要情報（Walletの場合はXEM）を移動されて終わるという認識
　　　※パスワードの使い回しをしている場合は連鎖的に情報を抜かれる可能性があるので、変更するのは意味がある

・複数のストレージサーバー（外部保存サービス）に保存
　→　デスクトップPCとストレージサーバーが同時期に故障する可能性は低いという認識
　→　複数箇所に保存することで、逆にリスクが高まるのを避ける
　　　※同じ情報を保存しているので、どこか一カ所でもサービスに脆弱性が発見された場合、致命的になる

Takanobu (2017-05-15T03:27:07Z)

【注意喚起！】
最近WannaCryというウィルスが流行っていますが、
暗号鍵をメモったファイルまで暗号化されてしまう事態（ランサムGOX？）にはご注意ください。

物理的な紙で保管したうえで、地理的に離れた場所に暗号化した秘密鍵をハードディスクに保存しておく
というのが、まずは取るべき対策かと思われます。
（ご指摘お待ちしております）

Takanobu (2017-05-26T01:48:34Z)

最近、ウォレットにアクセスできなくなってパニックになっている方が多数いらっしゃいます。
暗号通貨を始められた方は、以下の点について再確認お願いします。

・秘密鍵さえなくしていなければ、残高は復旧できる。
　　ハーベスト情報やHDウォレットについては消失する可能性があります。
・もっとも信頼できる保管方法は金属に刻み込むこと。
　　必ずアナログにアクセスできる手段を残しておいてください。
　　USB、HDD、CD-ROMなどは長期間の保存には向かない点ご注意ください。
・取引所には高額を長期間預けておかない。
　　MtGOXで検索
・パソコンには、リモートアクセスやキーロガーが仕込まれている可能性を留意しておく。
　　会社のセキュリティー対策や電気屋・プロバイダの問い合わせサービスなどでインストールされていることもあ ります。
・初めての送金はまず少額から。
　　勘違いはだれにでもあるものです。総資産の1000分の1程度でお試しください。
・パスワードは忘れるもの。
　　最後の砦がパスワードに頼るような場所に保管するのは避けましょう。
・完璧なアンチウィルスソフトウェアは存在しない。
　　PCはフルスキャンされ、秘密鍵が破壊・暗号化されてしまう危険性を考えておきましょう。
・最大の脅威は嫁GOX w
　　https://twitter.com/GodTanu/status/869167962657177602

Takanobu (2017-05-15T03:20:50Z)

非常に参考になるアドバイス、ありがとうございます！ある程度資産が増えてくるとやっぱり暗号化は必要ですよね。私なんかはまだまだですのでそのあたりに認識が甘いのかもしれません。ハッキングとGOXの発生確率をどう考えるかで「ベスト」の手段が変わってきそうです。