Avatar
btcdage
f76e2a9bb1bb2cc65ef572382102d309c3efd2641081888a91e029138e8044de

也就是说,只要是修改个人信息事件发生时,必须手动签名确认。

Replying to Avatar Derek Ross

**What the fuck is going on with Derek's private key - A recap**

TL;DR - This is long so I wrote a short summary at the top in hopes to help new Nostriches and noob Nostriches alike. Please share. Thanks.

1) Read what events you are signing with your private key. Do not just authorize the event because you initiated it. The client may be doing something that you are not expecting.

2) Do not allow websites to use your signing extension forever. You don’t know what they’re doing in the background.

3) Maybe don’t use Nostr.com as it will overwrite your LUD06 Lighting address on your profile.

Yesterday, one of my followers DMed me, saying that they bought me some drinks for my upcoming trip to Costa Rica! Awesome! I checked my Lighting node and I saw that 50 sats came in an hour ago. That didn’t seem right to me, so I asked some questions. We ended up determining that they sent sats to the wrong Lightning invoice address somehow. I noticed that my profile on Astral.ninja and metadata.nostr.com both had an incorrect LUD06 LNURL address. It was an LNBits address. I do not use LNBits. Something was definitely wrong.

I had been careful with my private key, at least I thought. After my first day on Nostr, I started using the nos2x extension and used it for everything. I didn’t authorize sites “forever” as I wanted to see when they would request read/write data with my keys. I used burner keys when testing various Android clients. I was very confused how this happened. I doubt my private keys were burned. I kept telling myself that this has to be a misbehaving client!

I started tracing my steps back. I had just used a brand new client, Ananostr, yesterday morning. I thought, could this client have done something accidentally? I signed in with nos2x and authorized the transactions as normal. The developer was super helpful here. He offered to take down his site and retrace his tool set that he used, to make sure nothing fishy was being utilized in his application. Thank you for your help <3

Today, using the nostr.band search tool, I saw that I had numerous events from January 16th to January 27th that updated my profile and changed my LUD06 address to a different LNURL. Something or someone was changing my Lightning tips address on my profile and I had no clue what was doing it.

I started looking at my Nostr post history and file download history. I had first tried Amethyst on January 16th. I had very little doubt in my mind that Amethyst could be causing the issue here, but you honestly just do not know. It’s scary entering your private key into brand new Android applications. Because of this fear, I used Amethyst originally with a burner account. Once I felt comfortable, I switched to my private key.

**After talking with numerous developers and plenty of Nostriches, I believe I have figured out what has been happening with my profile metadata and specifically, my Lighting LUD06 address. I also believe several mistakes were made on my part.**

About 10 days ago or so, I visited nostr.com and signed in with nos2x. I authorized the transactions and played around with the site for 10 minutes. I saw at the bottom that the site was built on Anigma. That freaked me out because Anigma was a site that was vulnerable to XSS attacks around December 20th. I immediately went into my local storage and nuked the storage for that site, deleted cookies and did not return to that site again.

Apparently, nostr.com automatically sets your LUD06 Lightning LNURL to an automatically generated lnbits.com Lighting wallet for you when you sign into this client. I did not know this. This overwrites any existing Lighting configuration on your profile.

**My first mistake was not reading the kind 0 event that popped up by nos2x**. I never read them. I always felt that if I was the one that clicked a button and generated the event, then it was safe to authorize it. If I had taken the time to read what was actually happening, then I would have seen that this client was making changes to my profile!

**My second mistake was then keeping nostr.com as an authorized forever entity inside the options of nos2x**. I remember adding it as authorize forever, because it kept popping up and annoying the fuck out of me and I wanted to get it off of my screen so that I could check out the client. I should have 1) not done this and 2) removed it after I cleared local storage for nostr.com.

One thing I do not understand though. How was this able to continue to happen over the last 10 days? Are relays just that slow to process events? Were these events re-broadcasted to new relays and that’s why this kept happening? If that’s the case, could someone go and re-broadcast an older profile metadata change event and change my LUD06 address back to this unwanted address?

I truly believe this is what happened and my private key is safe, I just do not understand how it continued after I stopped using that client. For now, I’m not abandoning this key pair. I think this is a large lesson for all of us.

A super special thank you to #[0] and #[1] <3

THANK YOU FOR HELPING ME FIGURE THIS OUT!

只需要nos2x加上一个功能,在授权所有的时候,不包括修改个人信息,即可。

一些关于nostr的思考

群里常看到有人抱怨豆瓣发文审核时间长,有人抱怨微信公众号老是被封,有人抱怨朋友圈和群聊功能被夹,有人抱怨微博账户被限流被封号。。。

这些中心化平台由于众所周知的原因,经常进行毫无道理的所谓审查,以所谓的“违反法律法规”为由粗暴干涉用户权利,却从来不告知你的哪段文字违反了哪部法律的哪条法条。大家被这种蛮不讲理的操作搞得苦不堪言。

在上古时期,“去中心化”的概念是一个军事概念。互联网的诞生就来源于免于“单点指挥部被军事打击就完全瘫痪”的思想。进入民用网络信息时代,“去中心化”表现在服务器集群的分布式部署上,是为了保障服务器在单点故障时的高可用性。

随着时间的推移,环境的恶化,去中心化逐渐成为“强权干涉打击某节点”时,系统保持可用性的技术保障。最典型的例子就是Bitcoin网络,没有中心节点,强权无法关闭,只能任由Bitcoin发展壮大。

nostr协议也是一个高度“去中心化”的技术,它首次同时实现了:

1、用户账户的去中心化:

账户与平台无关,不需要手机号、不需要邮箱无须任何许可即可接入,强匿名(你不说,没人知道你是谁)

2、客户端的去中心化:

跨平台通用,用户可随意选择符合习惯的客户端,无惧单点被墙。

3、服务端的去中心化:

建立容易,添加方便,易于管理,无惧单点被墙。

用户在A客户端发一个文章,使用B/c/d/e/f/...客户端的人只要关注了他的账户(公钥)都一样能看。 甲无论用什么客户端,对乙的账户(公钥)发送一个私聊消息(网络传输信息是加密的),乙在任何一个客户端都能收到。从技术上而言,这比联邦式的长毛象( Mastodon)更先进,更cool。

在目前恶劣的网络环境下,用户的抗审查的需求是很大的。但是在宣传nostr协议的过程中,我发现大家不是没有需求,而是在认知上对新技术不信任,对强权有畏惧感。很多人没有意识到这是一个对抗强权的振金盾牌。以前没有这种技术,现在有了,选择权交到用户手上,就看你用还是不用了。

比如有群友害怕使用无需翻墙的nostr应用会有人身安全问题,觉得还是使用墙外平台更安全。就是没想明白:是一个需要手机号、邮箱地址来注册的墙外平台更安全,还是一个不需要任何个人信息就可以登录发文的平台更安全?

再比如nostr的强匿名特性,只要用户愿意且足够小心不暴露自己的信息,完全可以化身中本聪一样的匿名者,没人知道你的账户公钥后面是一个什么样的人。从数字账户无法定位到肉身是真正的强匿名。

有群友就说了:“两棍子下去什么都说了”。这是对强权的恐惧压倒了逻辑能力。都定位不到你是谁,给谁两棍子呢?想给中本聪两棍子让他承认自己是中本聪,首先得先找到能承受棍子的中本聪肉体不是吗。我知道铁拳很厉害,可以用棍子让熊承认自己是兔子。但是就算熊承认自己是兔子,兔子依然在自由奔跑,你仍然手握私钥登录公钥继续发帖。铁拳的暴力只能自欺欺人罢了。

nostr协议是一个好技术,但是酒香也怕巷子深。我个人觉得目前缺乏杀手级的应用客户端(直接和中继器进行通讯的真正客户端而非访问网站客户端),彻底消除客户端网站被墙以后无法使用的风险。这掣肘着对nostr协议的宣传。(开发者们,加油啊!)

目前nostr协议主要应用在社交类和即时通讯类,前者可以替代推特类或公众号类应用,后者可以做微信电报类的聊天应用。我觉得推广nostr应用还是以前者为重点比较好。即时通讯软件受制于用户规模,很多人只是尝试一下便回归了微信,毕竟聊天好友都还在微信里。只有使用nostr的人多了,大家才能相互影响逐渐进入这个世界。而在社交、公众号类的应用中,信息对实时性要求不高,发的帖子无需其他读者立即进行反馈,就算作为常规平台的备用站点也是可以的,有助于慢慢的积累用户。

我建议各位有识之士在常规平台中发表高论时,同时发在nostr一份,并留下连接,有意识的引导粉丝、读者进入nostr的大门。这样,万一常规平台封禁了您的账户,删除了您 的雄文。您在nostr世界不但有备份,也不会丢失所有的粉丝。这对nostr、 对您、对我们每一个热爱自由的人都是有益处的。

当认知、使用nostr的人数越来越多,在nostr平台中的私信功能才会被频繁使用,当大家认识到不同平台的私信是相通的,这时相互关注的用户们已经建立起了新的社交圈。此时即时通讯类的nostr应用的使用也就水到渠成了(无需重新注册账户,无需重新添加好友,nostr协议账户通用)。

在此呼吁,内容制作者们,热爱自由的人们,不要再旁观,不要再等待,主动使用nostr,宣传nostr,共同铺设这条自由的道路。

历史上的今天

流浪地球里,还有电影吗?

iris.to的安卓APK是不是伪客户端?为什么我在模拟器上运行,显示仍然在访问https://iris.to这个网站客户端?(ios上的APP没测试,是不是也是如此?)

这就没有去中心化的效果了,如果iris.to的网站被墙,iris的APP客户端一样需要翻墙才可以访问。这意义就不大了。真正的客户端就应该支持直接和中继器进行联系,并允许用户自己添加中继器。这样才能在nostr协议的应用蓝海中脱颖而出。

给大家体会一下,账户A从一个nostr应用(iris.to)中给另外一个账户B发送私信以后,账户B可以从各种nostr应用中收到该条私信。

使用了nostr协议,再也不会出现因为不用微信/微博/推特就找不到朋友的尴尬局面。

nostr协议将用户使用应用平台的迁移成本降至零。

什么样的人民就有什么样的政府

什么样的用户就有什么样的企业

自由,自主,不迷信权力,才看透价值主观,才能认同去中心化,才会做hodler,才懂用nostr,才能免于被印钞机收割,逃离权力的随意干涉,才能从经济和人格上得救。

多数人永远跟不上,救不了。

自救者终得救。

其实我并不希望大饼现在就开始一路暴涨,因为我的定投计划预设一直到2024年,过早的上涨会造成提前的定投截止,导致囤的饼数量不如计划的多。

当然我一点也不会看空大饼,因为饼本位只买不卖。如果从市场上买就是多方,卖就是空方。那我就一直是个死多头。我所谓的不希望大饼暴涨,只是希望有空头继续做空而已,这点善良的愿望总是能被满足的。

前两天跌回2.1以下想必空头们开始兴奋了,结果,就被轧空了。又被爆了不少吧。刀头舔血日子不好过吧。

iris的图文混编显示做的没有astral好。最好能够所见即所得的方式展现图文。#[0]

本月定投已执行,平均成交价 21138。筹码价格回到了2W上方,还真有点舍不得呢。哈哈

【图文教程】使用nos2x管理nostr私钥。

nostr协议中,用户可以在所有的应用使用同一个账户,使用私钥进行账户的登录。

在各个客户端中使用同一个私钥登录,客户端的安全性就显得十分重要。

为避免私钥泄露的风险,在目前网站类型的标准客户端,均支持浏览器插件进行私钥签名操作。

下面介绍如何使用chrome插件nos2x管理私钥。

1、在chrome中打开扩展程序,打开chrome应用商店,搜索nos2x。

2、打开nos2x应用页,安装chrome插件。

3、chrome应用商店可能需要科学上网,如果没有科学,也可以下载插件进行离线安装,下载地址:

https://pan.baidu.com/s/1nc7WNGhU56YgcSoKiSDO9Q?pwd=vf36

4、安装完毕后,打开nos2x扩展程序的显示,右键点击nos2x图标,选择选项。

5、输入你的nostr私钥,点击save保存。

6、当你进入一个nostr应用时,请不要使用私钥登录,而是选择 extension(扩展插件)登录。

7、插件将弹出选项,选择“一直授权”还是“授权5分钟”或者“仅授权本次操作”。推荐“authorize forever”(一直授权)。这样每次需要私钥进行签名时会自动进行签名,而客户端网站是不接触私钥的。

这样在使用网站类型的nostr客户端时,都可以用nos2x进行插件签名操作,确保账户私钥安全。

从WEB1.0到WEB4.0

by Btcdage

本文列举WEB1.0到WEB4.0(nostr)的特点及优缺点,聊以抛砖引玉。

【WEB1.0】

BS架构,B为浏览器客户端,S为服务器端。

1、所有数据由平台所有者发布在服务器中,用户只能通过浏览器被动接受服务器返回的数据。

2、数据产权完全归平台所有者,平台所有者(服务器管理员)拥有数据的全部增删改的权限。

缺点:数据采集缺乏用户参与

【WEB 2.0】

BS架构,B为浏览器或者APP“客户端”,S为“服务器端”。

1、数据可由用户进行发布,数据存放在平台所有者的中心服务器(或集群)中。

2、用户通过账户和口令进行平台登录,所有账户数据包括口令(有可能加密过)等敏感信息也存放在平台

3、所有者的中心服务器(或集群)中。不同的平台需要分别注册账户,用户信息不能跨平台使用。

4、用户数据产权完全归平台所有者,平台所有者有权对用户账户的权限进行限制甚至封禁,也可对用户数据进行修改或删除。

进步:用户深度参与数据的采集

缺点:用户无法保护对自己数据的权利,任由平台方处置。平台自身也容易被铁拳限制或者关闭。

【WEB 3.0】

BS架构,B为浏览器或者APP访问的“DAPP”,S为“区块链”。

1、数据由用户进行发布,数据存放在区块链中(不考虑毫无意义的非公链)。

2、用户通过加密学,根据公链的不同使用相应的不对称加密算法,使用公钥(地址)作为账户ID,私钥作为签名凭据。用户私钥不保存在任何服务器中。同一类型的公链的“用户账户”通用(比如ETH/BSC/OKC/KSC通用,不能跨异类型的公链),但是用户其他数据只保存在平台方使用的单独链上,无法跨链使用。

3、虽然理想状态的公链,元数据无法修改或删除。但通过智能合约,平台方实际控制了用户数据的指针。另外智能合约的版本升级也完全由平台方控制。用户对自己的数据仍然没有真正的权利。

进步:不再使用用户密码进行账户鉴权,私钥由用户独自控制,独立性、安全性、隐私性得到极大提升。

缺点:数据仍由平台方实际控制,通过智能合约,平台方仍然可以对用户进行限制甚至封禁。

【nostr协议(WEB 4.0)】

BS架构,B为浏览器或者APP访问的“客户端”,S为“中继器”。

1、数据由用户进行发布,数据存储在任意数量的中继器中。

2、用户通过统一的不对称加密算法,使用公钥作为账户ID,私钥作为签名凭据,实现对身份和操作的鉴权。这种账户鉴权发生在客户端,是通用且与中继器无关的。

3、每个中继器的管理员只能对自己架设的中继器的数据进行裁剪操作(只能删不能改,因为修改数据需要私钥签名,篡改的数据会被客户端丢弃)。虽然中继器之间不会自动同步,但由于客户端同时连接若干中继器,可以同时发布数据到这些中继器中。读取也是同时读取若干个中继器。因此,一部分中继器的用户数据被删除不影响用户的使用。任何一个中继器的管理员都无法实现封禁某个用户数据(无论是账户信息还是发布的数据)。

4、中继器很容易搭建,任何人都可以搭建一个自己的中继器来实现自己的数据副本。加强了去中心化,确保第三点的实现。

进步:

1、用户账户完全由加密学生成,且所有平台通用,在互联网上第一次实现了“用户实际意义拥有自己账户数据的权利”。

2、用户去中心化,由于第一点的进步,用户数据第一次完全跨平台,不同的平台客户端访问同样的一批中继器,返回的数据完全一致。

3、客户端的去中心化,只要是按照nostr协议开发的客户端,就可以从中继器读取数据,比如iris和astral是不同的客户端,但是读取的数据是一样的。使用户不再担心平台被铁拳制裁——一个客户端站点访问不了换一个就是。如果客户端做成应用程序或app,就更彻底的去中心化了。

3、中继器的去中心化,使得权力无法完全封禁数据源,提高了数据的鲁棒性。

在nostr协议下:

1、中继器管理员拥有自己中继器的完全权利,但是无法干涉用户权利。

2、用户掌控自己数据的完全权利,但是无法干涉某一个中继器管理员的权利。

3、应用平台的企业家可以根据自己的判断,在自己发布客户端时,在客户端侧对数据进行审查和筛选,也可以添加广告和其他业务,但是无法干涉用户是否选择采用其他客户端去访问中继器的权利,也无法干涉其他人建立的中继器的管理权。

人人管好属于自己产权的事情,没有权力干涉他人权利。自己的任何行为的结果交给市场。

这就是nostr协议的哲学思想,也是其有资格可以称之为未来的WEB4.0的重要原因。

图文教程

使用Anigma.io进行点对点加密私聊

Anigma是一个类似电报群的nostr协议应用。但是目前在想和某个用户点对点加密聊天时,搜索对方的公钥,会报“coming soon”。无法查找对方,也就无法进行点对点聊天。这应该是客户端的一个bug。

经过达哥的摸索,找到了绕过bug的方法:

1、如果直接搜索达哥的公钥:npub17ahz4xa3hvkvvhh4wguzzqknp8p7l5nyzzqc3z53uq538r5qgn0q40z7pw

2、就会报 coming soon,无法联系对方

3、手动编辑连接:https://anigma.io/index.html?profile=对方公钥

比如达哥就是:

https://anigma.io/index.html?profile=npub17ahz4xa3hvkvvhh4wguzzqknp8p7l5nyzzqc3z53uq538r5qgn0q40z7pw

复制到浏览器地址栏访问。

4、就能找到达哥的资料,点击 Direct message this user。

5、可以开始愉快的进行点对点加密聊天啦。

Anigma自带闪电网络钱包,可以方便的建立群聊频道。作为微信/电报群的替代品,基于去中心化的nostr协议,非常值得一试。

关于脑钱包的讨论:

nostr为什么会成功?因为说真话是刚需。

中心化的产品曾经可以满足这个需求,然而环境不可挽回的恶化。nostr协议及时出现了。

权力作恶越是泛滥凶猛,越是在推动去中心化协议的探索和进步。

皇上,丐帮是不是壮大还不是你决定的。——苏乞儿。

iris.to可以点击用户信息签名下面的闪电标志进行闪电网络打赏。

astral.ninja则在每一篇po文下都有闪电标志,点击进行闪电网络打赏。

昨晚用了将近4个小时从0开始建立了第一个nostr中继器。

大家可以通过 iris.to 或者 astral.ninja 等客户端访问。

比如我的公钥是:npub17ahz4xa3hvkvvhh4wguzzqknp8p7l5nyzzqc3z53uq538r5qgn0q40z7pw

可以访问:https://iris.to/#/profile/npub17ahz4xa3hvkvvhh4wguzzqknp8p7l5nyzzqc3z53uq538r5qgn0q40z7pw

或者访问:

https://astral.ninja/npub17ahz4xa3hvkvvhh4wguzzqknp8p7l5nyzzqc3z53uq538r5qgn0q40z7pw

都可以访问我的po。

iris.to对新手更加友好。

astral.ninja支持直接用闪电网络进行btc打赏。

nostr的客户端最好是能封装到个人电脑或者手机上,毕竟bs架构的客户端(好绕),有被墙风险,大大增加使用门槛。所以封装成应用程序直接和中继器通讯(允许自己添加中继器),更为合理。