Pembaruan Buku Besar Akan Mengirimkan Kunci Pribadi

Pembaruan Buku Besar Akan Mengirimkan Kunci Pribadi

Stempel Waktu: 16 Mei 2023 9
Node Sumber: 2657478

Kebocoran pembaruan yang akan datang membuat para cryptonian marah tentang wahyu dari Ledger, perusahaan dompet perangkat keras Perancis.

Anda dapat berlangganan Ledger Recover, yang katanya, “layanan pemulihan kunci berbasis ID yang menyediakan cadangan untuk Frase Pemulihan Rahasia Anda.”

Untuk membuatnya lebih menarik, Anda memerlukan paspor atau SIM untuk benar-benar menggunakan layanan pemulihan nanti jika diperlukan, dengan mengirimkan antena.

ID untuk Kunci Pribadi di Ledger Recover, Mei 2023

“Jadi meskipun saya tidak menggunakan layanan ini, buku besar saya Nano X sekarang dapat mengirimkan frase pemulihan rahasia saya?” – pemegang buku besar bertanya secara terbuka.

Jawaban awal dari Nicolas Bacca, CTO Ledger, menghindari masalah ini:

“Anda sudah menggunakan perangkat dan menyetujui fakta bahwa Ledger tidak dapat memperbarui firmware tanpa persetujuan Anda – ini adalah mekanisme yang sama untuk Pemulihan, yang terkunci di balik kepemilikan perangkat Anda, pengetahuan tentang pin Anda, dan akhirnya persetujuan Anda pada perangkat. ”

Namun pertanyaannya adalah bagaimana sebenarnya kunci privat diberikan kepada perusahaan. Ditekan lebih jauh, Bacca menyatakan:

“Perangkat mengirimkan pecahan benih Anda yang terenkripsi ke berbagai perusahaan jika Anda memutuskan untuk menggunakan layanan ini. Anda tentu saja masih dapat memilih untuk mencadangkannya sendiri.”

Awal bulan ini Pascal Gauthier, CEO Ledger, mengungkapkan kepada Wired mereka berupaya membuat kepemilikan kunci pribadi lebih mudah diakses:

“Ledger sedang bersiap untuk meluncurkan layanan baru yang disebut Ledger Recover yang membagi frase pemulihan dompet—pada dasarnya, bentuk kunci pribadi yang dapat dibaca manusia—menjadi tiga pecahan terenkripsi dan mendistribusikannya ke tiga kustodian: Ledger, perusahaan penyimpanan kripto Coincover, dan perusahaan escrow kode EscrowTech. 

Jika seseorang kehilangan frase pemulihannya, dua dari tiga pecahan dapat digabungkan—menunggu pemeriksaan ID—untuk mendapatkan kembali akses ke dana yang terkunci.

Pada dasarnya, Ledger Recover adalah jaring pengaman tambahan; dengan harga $9.99 per bulan, hal ini menghilangkan bahaya dari versi kripto yang memasukkan dolar ke bawah kasur.”

Rahasia Shamir adalah alat yang agak lama dalam kripto. Daripada memiliki satu string panjang sebagai kunci pribadi, Anda membaginya menjadi tiga atau lebih sehingga jika Anda kehilangan satu, Anda masih dapat menggabungkan dua lainnya untuk mendapatkan kunci pribadi Anda.

Di sini Ledger melangkah lebih jauh. Setelah memotong kunci pribadi, ia kemudian mengirimkan satu bagian ke dirinya sendiri, Ledger perusahaan, satu ke Coincover dan satu lagi ke EscrowTech. Jadi jika Anda kehilangan perangkat, Anda dapat menunjukkan ID Anda dan ketiganya digabungkan untuk memberikan kunci pribadi Anda.

Masalah besarnya adalah bagaimana hal ini dilakukan. Jika itu dipotong di dalam Ledger atau di antara dua atau tiga perangkat Ledger, maka ini adalah fitur baru yang bagus bagi mereka yang menginginkan keamanan lebih.

Di sini, dompet perangkat keras mengirimkannya ke perusahaan-perusahaan ini, dan itu berarti kunci pribadi Anda tidak lagi bersifat pribadi.

“Tidak ada satu perusahaan pun yang mengetahui benih Anda jika Anda memutuskan untuk menggunakannya,” kata Bacca dan itu karena tidak ada satu perusahaan pun yang memiliki benih lengkap, hanya sebagian saja. Itu juga dienkripsi.

Namun poin utama yang diperdebatkan adalah bahwa sebagai dompet perangkat keras, dompet ini seharusnya tidak dapat mengirimkan kunci pribadi. Itu harus offline dan tidak dapat diakses.

“Ini tidak mengubah asumsi keamanan dibandingkan dengan pembaruan firmware,” kata Bacca.

Untuk itu dia mengandalkan fakta bahwa Anda harus menekan tombol untuk menyetujui pengiriman fase ke perusahaan-perusahaan ini melalui Pemulihan, sama seperti Anda harus menekan tombol untuk menyetujui pembaruan firmware.

Benih tidak dikirim dengan sendirinya, atau setidaknya itulah sarannya, meskipun perangkat itu sendiri yang mengirimkannya jika Anda mengonfirmasi.

Hampir Offline?

Bagi mereka yang menginginkan keamanan lebih, fakta bahwa perangkat ini dapat mengkomunikasikan fase awal merupakan sebuah masalah karena jika bisa, maka perangkat tersebut tidak sepenuhnya offline dan tidak melakukan apa yang Ledger katakan secara publik minggu lalu:

“Kami mengerti – perangkat Anda menyimpan kunci pribadi Anda secara offline untuk Anda. Masalahnya adalah, Anda dapat berbuat lebih banyak dengan Buku Besar Anda.”

Karena pembaruan ini menunjukkan bahwa kunci pribadi tidak sepenuhnya dibatasi di dalam wilayah yang dingin, tetapi dapat dikirim ke perusahaan-perusahaan ini, meskipun dengan persetujuan Anda, ada keributan di media sosial di antara pemegang Ledger.

Perusahaan ini telah menjual enam juta unit perangkat kerasnya, namun pengaturannya pada akhirnya selalu memerlukan tingkat kepercayaan tertentu, pengorbanan antara kenyamanan dan keamanan.

Jika Anda menginginkan keamanan Anda sendiri, maka Anda membuat kunci pribadi di laptop baru yang tidak Anda sambungkan ke internet, cetak kunci pribadi tersebut atau ambil gambarnya di ponsel yang juga tidak terhubung ke internet , dan jika Anda memerlukan akses ke dana tersebut, mulailah dari awal lagi untuk sisa saldo dengan membuat alamat baru.

Membeli perangkat kecil saja sudah lebih nyaman, tetapi pada akhirnya Anda tidak akan pernah tahu apa isinya kecuali Anda memproduksinya sendiri.

Hal ini berpotensi memberikan dorongan terhadap perangkat keras open source, sebuah ide yang telah disarankan selama bertahun-tahun di dunia kripto, namun belum berhasil karena ini adalah upaya yang sangat besar.

Sampai saat itu tiba, yang terpenting adalah pengorbanan dan seberapa besar keamanannya. Karena dalam kasus Ledger Anda harus menyetujui untuk memberikan kunci pribadi, ini sedikit lebih baik daripada dompet online tetapi fakta bahwa perangkat dapat mengirim kunci tersebut bertentangan dengan literatur mereka yang mengatakan:

“Perangkat buku besar menghasilkan kunci pribadi Anda dalam lingkungan yang sepenuhnya offline – dan selalu menyimpannya di sana. Dengan kunci pribadi Anda yang diisolasi dari koneksi internet, kunci tersebut akan tetap terlindungi dari peretas dan malware.”

Setelah pembaruan firmware, mereka mungkin tidak akan sepenuhnya terisolasi. Ledger telah menyatakan bahwa mereka akan memberikan dokumentasi lebih lanjut untuk menjelaskan cara kerja pembaruan firmware baru, namun buku besar saat ini tetap berfungsi seperti sebelumnya dan Anda tidak perlu memperbaruinya.

Meskipun tentu saja ada masalah konseptual untuk semua Buku Besar mengenai bagaimana kunci pribadi offline pada perangkat ini dapat dikirim. Karena tidak dengan cara menginputnya secara manual, berdasarkan keterangan Bacca bahwa perangkat mengirimkannya, maka agaknya setupnya belum sepenuhnya offline.

Meskipun demikian, Ledger telah beroperasi selama bertahun-tahun tanpa peretasan apa pun, namun fokus mereka selama bertahun-tahun adalah menyediakan dompet offline, dibandingkan mencadangkannya secara online serta rencana pembaruan yang ditawarkan.

Stempel Waktu:

Lebih dari TrustNode