区块广播:

0.19.0版bitcoin core钱包默认禁用bip70

uc8btc副船长发布在 技术交流来自App
 13243  107
  • 正序
  • 最新
只看帖主楼层直达
  • 大绅士奇奇怪 船长 2019-09-27 21:21:12 只看该作者62楼
    BurntCoins 发表于2019-09-27 21:08:35 BIP21说白了就是把比特币地址换一种写法而已,哪来的通信功能……
    这么说来双方的出发点也是可以理解的。core主要是想把软件弄的简洁一点。虽然所谓的安全问题都是“莫须有”。bitpay大概是想把底层的东西包装起来,不让用户直接接触,做的更像一个成熟的产品。
    楼层直达
  • 大绅士奇奇怪 船长 2019-09-27 21:25:55 只看该作者63楼
    现在这个功能被咔嚓了。bitpay估计不免感觉自己辛苦向大众做推广,开发不但不支持,掣肘添乱,还给他扣个帽子批斗一番。
  • BurntCoins 副船长 2019-09-27 21:32:02 来自App只看该作者64楼
    大绅士奇奇怪 发表于 2019-9-27 21:21 这么说来双方的出发点也是可以理解的。core主要是想把软件弄的简洁一点。虽然所谓的安全问题都是“莫须有” ...
    我觉得这个安全问题不是莫须有,只不过影响并不是非常严重而已。即使不能把偷币金额放大N倍,被偷一次也够受了。我说影响不严重,是因为比特币支付本来就存在偏向卖家的问题,如果恶意卖家欺诈买家,本来买家就处于劣势,在这个背景下,这个问题才显得不是太严重。
  • BurntCoins 副船长 2019-09-27 21:35:27 来自App只看该作者65楼
    大绅士奇奇怪 发表于 2019-9-27 21:21 这么说来双方的出发点也是可以理解的。core主要是想把软件弄的简洁一点。虽然所谓的安全问题都是“莫须有” ...
    Greg Maxwell在reddit里其实还指出了另外一点——即使bitpay这样坚持用BIP70的商户/支付处理公司并没有故意要欺诈付款的客户,万一他们被黑了,有问题的BIP70实现也会成为攻击载体。
  • 大绅士奇奇怪 船长 2019-09-28 14:32:21 只看该作者66楼
    BurntCoins 发表于2019-09-27 21:32:02 我觉得这个安全问题不是莫须有,只不过影响并不是非常严重而已。即使不能把偷币金额放大N倍,被偷一次也够受了。我说影响不严重,是因为比特币支付本来就存在偏向卖家的问题,如果恶意卖家欺诈买家,本来买家就处于劣势,在这个背景下,这个问题才显得不是太严重。
    你还是没看明白重点。所谓的安全问题就是ssl的问题。bip21没有这块的功能。只是把责任和任务都推卸了出去而已。实际上是让商户开发支付功能变得更困难,开发出来的产品体验更差而已。
    楼层直达
  • 大绅士奇奇怪 船长 2019-09-28 14:48:43 只看该作者67楼
    BurntCoins 发表于2019-09-27 21:32:02 我觉得这个安全问题不是莫须有,只不过影响并不是非常严重而已。即使不能把偷币金额放大N倍,被偷一次也够受了。我说影响不严重,是因为比特币支付本来就存在偏向卖家的问题,如果恶意卖家欺诈买家,本来买家就处于劣势,在这个背景下,这个问题才显得不是太严重。
    你的软件增加了功能,当然随之也增加了出漏洞的潜在风险。也就是这个问题里面各种‘莫须有’的安全问题。
    然而这个功能却是开发一款成熟的支付功能所需要的。
    bip21只是提供一些最基础,原始的功能。并不能完全替代bip70.
    比如说没有通信功能,商家没法第一时间直接接收到用户已经付款的信息。而是要在监听btc公网上的广播。这意味着一个不确定的时间,也增加了错漏的可能。对于普通用户而言,体验就是支付后长时间的没有反应。
    第二不能够控制用户付款的时限。订单一般都需要时限的。更何况btc价格波动这么大。没有时限,用户完全可以下了订单,等btc下跌再支付,如果上涨就取消订单重新来过。这样商户很快就会赔本破产。
    这是我暂时想到的一些问题。core只是把这些问题推卸给了别人。
    从这个小的角度,也体现出btc之所以无法走向主流的原因。
    楼层直达
  • BurntCoins 副船长 2019-09-28 17:16:37 只看该作者68楼
    大绅士奇奇怪 发表于2019-09-28 14:32:21 你还是没看明白重点。所谓的安全问题就是ssl的问题。bip21没有这块的功能。只是把责任和任务都推卸了出去而已。实际上是让商户开发支付功能变得更困难,开发出来的产品体验更差而已。
    你有没有仔细看我说的……SSL并不是万能的(而且SSL已经被启用了,现在用的叫TLS)比如XSS攻击,再比如bitpay的这个BIP70安全问题。
    楼层直达
  • BurntCoins 副船长 2019-09-28 17:16:53 只看该作者69楼
    大绅士奇奇怪 发表于2019-09-28 14:32:21 你还是没看明白重点。所谓的安全问题就是ssl的问题。bip21没有这块的功能。只是把责任和任务都推卸了出去而已。实际上是让商户开发支付功能变得更困难,开发出来的产品体验更差而已。
    SSL已经被弃用了,打错
    楼层直达
  • BurntCoins 副船长 2019-09-28 17:18:33 只看该作者70楼
    大绅士奇奇怪 发表于2019-09-28 14:48:43 你的软件增加了功能,当然随之也增加了出漏洞的潜在风险。也就是这个问题里面各种‘莫须有’的安全问题。
    然而这个功能却是开发一款成熟的支付功能所需要的。
    bip21只是提供一些最基础,原始的功能。并不能完全替代bip70.
    比如说没有通信功能,商家没法第一时间直接接收到用户已经付款的信息。而是要在监听btc公网上的广播。这意味着一个不确定的时间,也增加了错漏的可能。对于普通用户而言,体验就是支付后长时间的没有反应。
    第二不能够控制用户付款的时限。订单一般都需要时限的。更何况btc价格波动这么大。没有时限,用户完全可以下了订单,等btc下跌再支付,如果上涨就取消订单重新来过。这样商户很快就会赔本破产。
    这是我暂时想到的一些问题。core只是把这些问题推卸给了别人。
    从这个小的角度,也体现出btc之所以无法走向主流的原因。
    BIP70的核心卖点不就是“域名有TLS证书认证,比地址更好认”么?所以我才举了EV证书的例子,来说明这个办法的效果恐怕不怎么样。更何况现有的CA体制是中心化的,去中心化的比特币何苦要抱中心化体制的大腿。
    楼层直达
  • BurntCoins 副船长 2019-09-28 17:40:48 只看该作者71楼
    大绅士奇奇怪 发表于2019-09-28 14:48:43 你的软件增加了功能,当然随之也增加了出漏洞的潜在风险。也就是这个问题里面各种‘莫须有’的安全问题。
    然而这个功能却是开发一款成熟的支付功能所需要的。
    bip21只是提供一些最基础,原始的功能。并不能完全替代bip70.
    比如说没有通信功能,商家没法第一时间直接接收到用户已经付款的信息。而是要在监听btc公网上的广播。这意味着一个不确定的时间,也增加了错漏的可能。对于普通用户而言,体验就是支付后长时间的没有反应。
    第二不能够控制用户付款的时限。订单一般都需要时限的。更何况btc价格波动这么大。没有时限,用户完全可以下了订单,等btc下跌再支付,如果上涨就取消订单重新来过。这样商户很快就会赔本破产。
    这是我暂时想到的一些问题。core只是把这些问题推卸给了别人。
    从这个小的角度,也体现出btc之所以无法走向主流的原因。
    付款时限,这个我前面已经说过了,其实BIP21也可以做到——Electrum就有这个功能,不过这个应该是他们自己扩展的,BIP21原版文档里没规定这个。然而,BIP21也考虑了兼容问题,即使不识别Electrum指定的时限选项,也仍然可以完成支付。

    要说“通信功能”,我想说,收款方无法信任付款方有没有老实播报交易,其实还是自己监听网络比较稳,而且是看进链确认而不是依赖零确认更稳;另外,再重复一次,BIP70设计中提到的“付款方把交易发给收款方”也引发了安全问题,也就是付款方本不应该信任收款方会私自扣下交易,但bitpay还就实现成这样了。
    楼层直达
  • BurntCoins 副船长 2019-09-28 17:43:49 只看该作者72楼
    大绅士奇奇怪 发表于2019-09-28 14:48:43 你的软件增加了功能,当然随之也增加了出漏洞的潜在风险。也就是这个问题里面各种‘莫须有’的安全问题。
    然而这个功能却是开发一款成熟的支付功能所需要的。
    bip21只是提供一些最基础,原始的功能。并不能完全替代bip70.
    比如说没有通信功能,商家没法第一时间直接接收到用户已经付款的信息。而是要在监听btc公网上的广播。这意味着一个不确定的时间,也增加了错漏的可能。对于普通用户而言,体验就是支付后长时间的没有反应。
    第二不能够控制用户付款的时限。订单一般都需要时限的。更何况btc价格波动这么大。没有时限,用户完全可以下了订单,等btc下跌再支付,如果上涨就取消订单重新来过。这样商户很快就会赔本破产。
    这是我暂时想到的一些问题。core只是把这些问题推卸给了别人。
    从这个小的角度,也体现出btc之所以无法走向主流的原因。
    要说“责任”的话,我只能说,软件开发这件事不是一成不变的,但凡用过电脑的,都知道升级到新操作系统有可能碰到兼容性问题。开发者的时间和精力都是有限的,不可能把历史上出现的任何东西都一直抱着。
    楼层直达
  • 大绅士奇奇怪 船长 2019-09-28 20:43:24 只看该作者73楼
    BurntCoins 发表于2019-09-28 17:16:37 你有没有仔细看我说的……SSL并不是万能的(而且SSL已经被启用了,现在用的叫TLS)比如XSS攻击,再比如bitpay的这个BIP70安全问题。
    没有什么东西是万能的。我并不清楚ssl和tls的区别。貌似tsl是ssl的改进版本。这都无关紧要。也许你指望不依赖其他技术来完善btc生态。但这是不靠谱的。你不可能什么都自己搞一套,应用别的主流技术,跟上技术上的升级改进,这是必要。
    没事就指责别人的产品,抱中心化大腿什么的,上纲上线。后果就是无休止的内斗,最终一事无成
    楼层直达
  • BurntCoins 副船长 2019-09-28 21:09:09 只看该作者74楼
    大绅士奇奇怪 发表于2019-09-28 20:43:24 没有什么东西是万能的。我并不清楚ssl和tls的区别。貌似tsl是ssl的改进版本。这都无关紧要。也许你指望不依赖其他技术来完善btc生态。但这是不靠谱的。你不可能什么都自己搞一套,应用别的主流技术,跟上技术上的升级改进,这是必要。
    没事就指责别人的产品,抱中心化大腿什么的,上纲上线。后果就是无休止的内斗,最终一事无成
    这不仅是个“技术问题”,我一直都在强调,目前的CA体制是中心化的,这个不是我上纲上线,它本来就是这么工作的,验证域名的时候,你就是在信任CA这个权威机构。
    楼层直达
  • BurntCoins 副船长 2019-09-28 21:15:30 只看该作者75楼
    大绅士奇奇怪 发表于2019-09-28 20:43:24 没有什么东西是万能的。我并不清楚ssl和tls的区别。貌似tsl是ssl的改进版本。这都无关紧要。也许你指望不依赖其他技术来完善btc生态。但这是不靠谱的。你不可能什么都自己搞一套,应用别的主流技术,跟上技术上的升级改进,这是必要。
    没事就指责别人的产品,抱中心化大腿什么的,上纲上线。后果就是无休止的内斗,最终一事无成
    理论上,你可以不用操作系统(比如微软)或浏览器(比如Mozilla)开发者预置的证书,而是自己选一组root CA,但即便如此,还是有个权威在担当CA这个中心/权威。
    楼层直达
  • 大绅士奇奇怪 船长 2019-09-30 00:32:28 只看该作者76楼
    BurntCoins 发表于2019-09-28 21:09:09 这不仅是个“技术问题”,我一直都在强调,目前的CA体制是中心化的,这个不是我上纲上线,它本来就是这么工作的,验证域名的时候,你就是在信任CA这个权威机构。
    这里用到的可能主要是建立安全连接,不知道是否有验证域名的需要。
    进一步讲,如果有必要,对CA这种机构,也许我确实应该信任它。这就是现实。开发一个真实的应用,就要基于广泛通用的技术。而不是只有理想化的空中楼阁。别开发一个支付软件,先要颠覆目前广泛使用的安全连接技术。有事没事拿去中心化说事,感觉就像种几根青菜都要讨论是社会住亿还是资苯住亿。
    楼层直达
  • 1
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
前往
登录 账号发表你的看法,还没有账号?立即免费 注册