# 10 DU à gagner ! Qui sera le 1er? Clés publiques à identifiants Scrypt simples. Les clients doivent-ils laisser passer les identifiants simples pour le déverrouillage de monnaie?
**URL:** https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951
**Category:** Applications
**Tags:** game, silkaj
**Created:** [23 February 2020 00:22 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951 "2020-02-23T00:22:35Z")
**Posts on this page:** 11
**Page:** 2
### Author:  [@ManUtopiK](https://forum.duniter.org/u/ManUtopiK)
#### Post date: [24 February 2020 23:12 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/21 "2020-02-24T23:12:54Z")
> [@Moul](#):
>
> Morale de l’histoire, `7qAyAP4` , matograine et le futur acquéreur de ces 5 DU n’auraient pas pu se faire de la tune sans Silkaj 😛
Pas sûr que [julie befezzi](https://g1.duniter.fr/#/app/wot/A89DCfrmJ7HGrg9BoVXq4eib3KSqdmMoKXxSvupggzeL/) soit aussi enthousiaste !
Il y a apparement déjà eu un topic sur ce problème, mais je n’y ai pas accès :
[https://forum.duniter.org/t/qui-est-donc-3rp7ahdg-videur-de-compte-dune-lodevoise/5481](https://forum.duniter.org/t/qui-est-donc-3rp7ahdg-videur-de-compte-dune-lodevoise/5481)
> [@Moul](#):
>
> Cet avertissement n’est intéressant qu’au moment d’envoyer des unités à une clé publique de ce type. Pour ce faire il faut avoir une liste de ces clés et les générer préalablement avec toutes les combinaisons simples… Pas sûr que ça soit désirable.
Sans aller jusque là, il n’est pas possible de checker si le salt et le password sont vide ?
Tu y as bien accès dans `auth_by_script` [ici](https://git.duniter.org/clients/python/silkaj/blob/dev/silkaj/auth.py#L105). Il suffirait d’ajouter un avertissement à ce moment là, non ?
---
### Author:  [@elois](https://forum.duniter.org/u/elois)
#### Post date: [24 February 2020 23:26 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/22 "2020-02-24T23:26:23Z")
> [@tuxmain](#):
>
> 4zvwRjXUKGfvwnParsHAS3HuSVzV5cA4McphgmoCtajS (10 DU) (celle-là n’est pas trouvable avec les credentials)
haha celle la je l’ai dans mes TU Dunitrust, c’est la clé générée par la seed contenant 32 octets a zéro 🤣
---
### Author:  [@Moul](https://forum.duniter.org/u/Moul)
#### Post date: [25 February 2020 10:05 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/23 "2020-02-25T10:05:32Z")
Du coup, à ce que je pense comprendre. La personne controlant la clé publique « A89DCfrmJ7HGrg9BoVXq4eib3KSqdmMoKXxSvupggzeL » (julie befezzi) a utilisé Silkaj v0.6.0 avant [le correctif](https://git.duniter.org/clients/python/silkaj/issues/151) en [v0.6.1](https://git.duniter.org/clients/python/silkaj/blob/dev/CHANGELOG.md#v061-10th-december-2018) qui corrige le bug majeur sur les transactions dont Galuel a également pu expérimenter les méfaits et le remonter.
```auto
Transactions history from: A89DCfrmJ7HGrg9BoVXq4eib3KSqdmMoKXxSvupggzeL
[…]
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2019-03-19 16:38:00 | | | | |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2019-03-19 16:38:00 | SebasC - CPEaW4BGNaBdx | -600 | -59.350 | Cadeau |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2019-01-19 21:25:41 | 3rp7ahDGeXqffBQTnE | -600 | -59.350 | |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-12-18 17:08:06 | CWKZojYu8GWrbaaL7P | -240 | -23.740 | |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-12-18 16:52:26 | SebasC - CPEaW4BGNaBdx | 300 | 29.674 | yop |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:32:44 | 3rp7ahDGeXqffBQTnE | -400.800 | -39.640 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:32:44 | 3rp7ahDGeXqffBQTnE | -400.800 | -39.640 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:32:44 | 3rp7ahDGeXqffBQTnE | -400.800 | -39.640 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:32:44 | 3rp7ahDGeXqffBQTnE | -401.600 | -39.720 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:32:44 | 3rp7ahDGeXqffBQTnE | -951.080 | -94.070 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:29:01 | 3rp7ahDGeXqffBQTnE | -400.400 | -39.600 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:29:01 | 3rp7ahDGeXqffBQTnE | -400.400 | -39.600 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:29:01 | 3rp7ahDGeXqffBQTnE | -400.620 | -39.630 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
| 2018-11-25 23:29:01 | 3rp7ahDGeXqffBQTnE | -400.800 | -39.640 | Change operation |
+---------------------+--------------------------+------------+--------------+---------------------------------------------------------------------------+
[…]
```
Du coup, en envoyant des unités à SebasC, ça a envoyé à cette fameuse clé `3rp7ah`. Je comprends pas, le comportement est différent de celui rencontré par Galuel. Pourquoi cette clé est en destinataire pour les opérations de change en plus de celle de SebasC ?
- Les transactions du 25 novembre 2018 sont uniquement vers `3rp7ah` (opération de change).
- Le 18 décembre 2018, deux tx correctes (pas de tx intermediares où il y a bug).
- Le 19 janvier 2018, tx vers `3rp7ah`
- Le 19 mars 2019, tx vers SebasC avec un problème d’affichage au dessus je suppose.
---
### Author:  [@Moul](https://forum.duniter.org/u/Moul)
#### Post date: [25 February 2020 13:36 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/24 "2020-02-25T13:36:32Z")
> [@ManUtopiK](#):
>
> Tu y as bien accès dans `auth_by_script` [ici](https://git.duniter.org/clients/python/silkaj/blob/dev/silkaj/auth.py#L105). Il suffirait d’ajouter un avertissement à ce moment là, non ?
Silkaj a bien accès aux identifiants entrés par l’utilisateur. Un avertissement à quoi ? Que l’utilisateur est en train de déverrouiller des sources sur une clé publique à identifiants vides ? Ça sert à quoi ? Ça prévient quoi ?
> [@On another topic](https://forum.duniter.org/t/5481/18):
>
> c’est bien un cas de vol avéré rendu possible par l’autorisation d’utiliser des credentials vides
Récupérer la monnaie sur une clé à identifiants vides est du vol ? Alors, matograine et jardin seraient également considérés comme voleurs pour ce qui au début du post été considéré pour un jeu ? Je suppose que tu veux plutôt faire référence au possible vol de la clé `A89DCf` vers la clé `3rp7ah`. J’ai l’impression que l’émotionnel ne te permet pas de voir clairement les choses.
La question à se poser est comment les sources sont allées sur `3rp7ah` ?
Je pense plutôt que la faute est à mettre du côté du bug de Silkaj et également aussi d’une erreur de l’émetteur. Je vois pas comment Silkaj a pu volontairement envoyer des sources vers une clé publique à identifiants vides, étant donné qu’il ne génère pas la clé du destinataire à partir de Scrypt, uniquement en la récupérant tel quelle de la CLI. Ça ne peut être que la personne qui contrôle la clé publique (julie ou quelqu’un d’autre) qui a volontairement envoyé des sources sur `3rp7ah` en générant préalablement et délibérément la clé du destinataire.
---
### Author:  [@vit](https://forum.duniter.org/u/vit)
#### Post date: [25 February 2020 15:02 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/25 "2020-02-25T15:02:54Z")
> [@Moul](#):
>
> Quid de Sakia ?
Sakia, n’autorise pas de gérer des salts/passwords trop courts (encore moins vides !).
---
### Author:  [@elois](https://forum.duniter.org/u/elois)
#### Post date: [25 February 2020 15:11 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/26 "2020-02-25T15:11:27Z")
> [@Moul](#):
>
> Récupérer la monnaie sur une clé à identifiants vides est du vol ? Alors, matograine et jardin seraient aussi voleurs ?
@Moul ne fais pas preuve de mauvaise foi stp, je t’ai invité dans la discutions privée ou SebasC nous avait bine remonté un cas de disparition inexpliqué des G1 de l’utilisatrice concernée ([julie befezzi](https://g1.duniter.fr/#/app/wot/A89DCfrmJ7HGrg9BoVXq4eib3KSqdmMoKXxSvupggzeL/)) **impliquant la clé 3rp7ahDG**. Et je pense que la cause ne viens pas de silkaj car vu le profil je suis convaincu que cette personne ne maitrise pas la ligne de commande, je connais plusieurs de ces certifiés et certificateurs et tous m’indique qu’il s’agit de quelqu’un qui n’est pas tech du tout.
La cause de ce vol reste pour moi un mystère, peut-être que ce n’est pas l’autorisation d’utiliser des credentials vide qui est en cause, mais si on veut trouver l’explication de cet événement c’est plutôt du coté de Cesium qu’il faut regarder.
M’enfin 1 an et demi après les fait pour une utilisatrice qui a quittée la monnaie, perso je n’ai pas bien envie de consacrer du temps a essayer de retrouver la cause.
Je soulevais juste un point qui est selon moi une évidence sur ce qu’un client devrait permettre ou non, j’ai déjà exposé mes arguments je ne vais pas me répéter ça ne sert a rien, on est pas d’accord et on ne se mettra pas d’accord, ce n’est pas grave, c’est la vie, passons a autre chose 🙂
---
### Author:  [@vit](https://forum.duniter.org/u/vit)
#### Post date: [26 February 2020 09:01 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/27 "2020-02-26T09:01:23Z")
Pour info, Sakia, en mode expert, permettra de faire tout ce qu’un expert en sécurité doit pouvoir faire pour intervenir via les API sur la blockchain. Donc aussi tout ce qu’un pirate doit pouvoir faire pour pirater des comptes.
Comme la [distribution gnu/linux Kali](https://www.kali.org/) un outil qui sert finalement aux deux camps.
Je dois pouvoir accéder aux Junes du compte à identifiants vides aussi bien qu’un pirate. Actuellement je suis frustrer, Sakia ne peut pas, et je suis obligé d’utiliser DuniterPy avec lequel je peux intervenir sur ce compte. Silkaj aussi, comme outil expert, semble le permettre et c’est une bonne chose.
Alors laissons les différents bridages et garde-fou aux outils destinés au grand public et faisons en sorte que les outils experts soient aussi puissants que possible.
Sakia a pour objectif d’être le client GUI technique expert de référence.
---
### Author:  [@Frederic\_Renault](https://forum.duniter.org/u/Frederic_Renault)
#### Post date: [27 February 2020 18:16 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/28 "2020-02-27T18:16:08Z")
J’❤ c’est le **Cluedo 😉 Mais qui a tué l’identifiant vide** 👮
On vient de trouver la tombe du soldat inconnu… et cherchez à savoir qui a mis des fleurs et qui en a piqué…
Je suis pour augmenter la responsabilité, mais surtout laisser le jeu s’infiltrer quand on pourrait voir une erreur ou un défaut. Chacun ne joue pas au même jeu au même moment… Ni vol, ni malveillance, juste une suite d’événements qui font le sort de ceux qui y participent…
Gloire au « SOLDAT INCONNU » `3rp7ahDGeXqffBQTnENiXEFXYS7BRjYmS33NbgfCuDc8` on a sa photo et accès à sa caméra de surveillance 😉
---
### Author:  [@tuxmain](https://forum.duniter.org/u/tuxmain)
#### Post date: [29 February 2020 18:22 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/29 "2020-02-29T18:22:35Z")
[Une petite aide pour trouver les credentials d’une longueur connue d’une pubkey donnée.](https://gitlab.jeunes-science.asso.fr/tuxmain/blockchain-py/blob/master/bruteforce.py) (programmé rapidement par un ami, très lent mais fonctionnel)
```
python3 bruteforce.py
```
---
### Author:  [@Frederic\_Renault](https://forum.duniter.org/u/Frederic_Renault)
#### Post date: [1 March 2020 11:43 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/30 "2020-03-01T11:43:46Z")
> [@tuxmain](#):
>
> [Une petite aide pour trouver les credentials d’une longueur connue d’une pubkey donnée.](https://gitlab.jeunes-science.asso.fr/tuxmain/blockchain-py/blob/master/bruteforce.py) (programmé rapidement par un ami, très lent mais fonctionnel)
Ah cool, on va avoir de quoi organiser quelques sessions de PWONing 😉
Ca me fait penser à ce conseil de @elois “le salt doit faire **a minima 128bits** (16 octets)”
[[dup-mnemonic] cli mnemotic passphrase generator - #16 by elois](https://forum.duniter.org/t/dup-mnemonic-cli-mnemotic-passphrase-generator/6922/16)
Je pense que pas mal de credentials ne respectent pas cela…
---
### Author:  [@kimamila](https://forum.duniter.org/u/kimamila)
#### Post date: [18 March 2020 10:59 UTC](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951/31 "2020-03-18T10:59:46Z")
> [@matograine](#):
>
> En l’occurrence sur Cesium, si la « création de compte » requiert effectivement 8 caractères au moins, la « connection » 😉 en requiert au moins un.
Oui, c’était une demande de @cgeek : de laisser les gens libres de choisir leur difficulté de salt/pwd.
De même pour les paramètres de scrypt, avec le mode avancé.
[Previous page](https://forum.duniter.org/t/10-du-a-gagner-qui-sera-le-1er-cles-publiques-a-identifiants-scrypt-simples-les-clients-doivent-ils-laisser-passer-les-identifiants-simples-pour-le-deverrouillage-de-monnaie/6951.md?page=1)