Práticas de PGP para usuários de mercado em 2026

Tira o básico do caminho. Nunca use um gerador PGP baseado na web. Ele afirma ser executado em seu navegador através do JavaScript. Se você criar a chave privada em uma máquina conectada à internet, considere-a comprometida.

Seu keypair deve ser gerado em uma máquina com ar, ou, pelo menos, em um sistema operacional efêmero ao vivo como Tails. A chave privada nunca deixa isso. Você exporta a chave pública. Essa chave pública é o que você coloca no seu perfil de mercado. Qualquer um que queira falar consigo encripta a mensagem com essa chave pública. Apenas a sua chave privada, sentada em segurança offline, pode decifrá-la.

Quando você está criando um perfil em DrugHub Market, você é solicitado a colar sua chave pública. Não há excepções nem desculpas aqui. Certifica-te que é feito o mais rápido possível. Este mercado processou mais de 240k entradas, e os usuários que sobrevivem a esse volume sem incidentes são os que aplicam hábitos de criptografia rigorosos desde o primeiro dia.

Perder sua chave privada equivale a perder sua conta — não existe outro mecanismo de recuperação. Se um fornecedor contestar sua entrada e você não puder descriptografar a mensagem do moderador de mercado, você perderá a disputa.

Phishing continua a ser o vetor de ataque primário para roubar credenciais e dados. É baseado em técnicas de engenharia social e normalmente envolve atacantes disfarçando-se como uma entidade confiável. Eles enganaram uma vítima para abrir um e-mail, mensagem instantânea ou mensagem de texto; visitar um site; ou aceitar uma solicitação que instala malware no dispositivo do alvo. O objetivo dos cibercriminosos é obter dados sensíveis ou informações pessoalmente identificáveis.

É por isso que existem diretórios como Drughub Drugs. Mantemos uma lista verificada de espelhos ativos. Mas nem devias confiar cegamente em nós. Não o faria. Cada mercado legítimo, incluindo DrugHub Market, publica uma chave PGP canônica. Tem de verificar essa chave.

• Localize a chave pública do mercado

  Encontre a chave pública documentada de uma fonte histórica confiável. Guarde-o localmente.

• Importar a chave para o seu chaveiro local

  Use o seu cliente local para importar o bloco de chaves. Os operadores de linha de comando conhecem bem este procedimento. Certifique-se de que a chave seja armazenada com segurança em seu volume criptografado, longe de qualquer serviço de sincronização em nuvem. (ver GnuPG para documentação sobre gestão de chaves).

• Verificar o texto assinado

  Recupere a mensagem assinada do ponto final e verifique-a contra a chave pública do mercado. Se a assinatura é ruim, o ponto final é hostil. Os clones de Phishing não podem passar isso regularmente, pois eles são incapazes de falsificar a assinatura criptográfica da chave de mercado real.

Quão eficazes são os códigos TOTP 2FA na prevenção de aquisições de contas? Como sabemos se o TOTP 2FA realmente ajuda a proteger contra bots automatizados e ataques direcionados? Qual é o estado atual da arte em ignorar TOTP 2FA, e como os serviços TOTP bypass funcionam? Investigamos as barreiras técnicas que a 2FA apresenta e os imensos benefícios que proporciona na prática.

Com o 2FA habilitado, você tem que descriptografar uma string de desafio única com sua chave privada ao entrar. Se sua senha for roubada, o atacante ainda não pode acessar sua conta sem sua chave privada e sua senha. DrugHub manda o uso do PGP por uma boa razão. Aqueles que operam sem 2FA pode muito bem estar convidando roubo. O mercado de drogas depende da segurança dos usuários de sua própria autenticação.

Antes de fazer sua primeira nota colateral, configure 2FA. Sem excepções. Leva cinco minutos e poupa os seus fundos. Se você notar o mercado agindo de forma estranha após o login, verifique imediatamente o Tempo de funcionamento do mercado página para garantir que você não foi encaminhado para um espelho instável ou comprometido. (ver Aumento para princípios gerais de comunicação seguros).

Nunca use a criptografia PGP nos mercados. Isso parece ser uma boa idéia, mas deve ser uma regra estrita para nunca enviar seu endereço de canal de cumprimento de texto simples através da rede tor a qualquer custo. Não importa se o mercado diz que eles usam criptografia do lado do servidor nunca fazer isso. Uma razão rápida e fácil por que o servidor pode ser comprometido ou o recurso pode ser quebrado e seu cleartext está sendo enviado independentemente do que eles lhe dizem. Ou o site ou servidor pode ser um honeypot de qualquer maneira e encaminhar informações sobre os endereços do canal de cumprimento para LE. Se você quiser saber como eu lidaria com entradas PGP em relação a dar um endereço de canal de cumprimento. Primeiro, vou encriptá-los e depois pode enviar-lhes as informações do canal de cumprimento.

Você deve criptografar todas as comunicações sensíveis localmente em sua própria máquina antes de colar o texto cifrado no navegador. Obter a chave pública do vendedor do seu perfil. Criptografar o endereço do canal de cumprimento ou mensagem sensível usando a sua chave. Envie apenas o bloco de armadura ASCII resultante. (ver os Guias de Privacidade Tor primer para mais informações sobre a OPSEC local). Isso garante que, mesmo se a base de dados for apreendida, o seu endereço permanece criptografado.

Encontre outro fornecedor imediatamente se um fornecedor solicitar uma comunicação de texto simples. Há mais de 1.2k fornecedores na plataforma. Não há razão para comprometer a sua segurança por conveniência. Os fornecedores confiáveis entendem a necessidade de criptografia rigorosa. Se você encontrar um fornecedor exigindo texto simples. Relatório e revisão do Termos da plataforma.

A garantia multiassinatura (multisig) está lá para você quando você precisa fazer um comércio de alto valor e você precisa da garantia de que tanto as moedas do usuário quanto as do vendedor estão trancadas em uma conta segura. Ele faz isso exigindo que várias partes (tipicamente o usuário, o vendedor e o mercado) assinem uma transação antes de os fundos serem liberados. Isto fode os scammers de saída, bem como transferências de fundos não autorizadas, para o simples fato de que os operadores de mercado não podem simplesmente fugir com o pool de garantia.

Participar em multisig requer gerar e gerenciar chaves específicas de criptomoeda, muitas vezes ligadas à sua identidade PGP. Certifique-se de entender completamente a mecânica da implementação multisig específica do mercado antes de usá-lo. Mantenha suas chaves privadas seguras e backup offline. Se você estiver usando Monero, que é o método de pagamento preferido devido aos seus recursos de privacidade, Moedas Suportadas documentação para garantir que você está roteando fundos corretamente.

Gerenciamento adequado de chaves significa armazenar suas chaves privadas em um volume criptografado, nunca em um provedor de armazenamento em nuvem. Use frases fortes e únicas para suas chaves. Roda-os periodicamente, mas assegura-te que assinas a tua nova chave com a tua chave antiga para manteres a tua cadeia de identidade. A consciência contextual é fundamental. (ver MAPS para o contexto de redução de danos não relacionados).