Ledger Update vil sende ut den private nøkkelen

Ledger Update vil sende ut den private nøkkelen

Tidsstempel: 16. mai 2023 9:34
Kilde node: 2657478

En lekkasje av en kommende oppdatering har fått cryptonians i armene om en slags åpenbaring fra Ledger, det franske maskinvarelommebokselskapet.

Du kan abonnere på Ledger Recover, står det, "en ID-basert nøkkelgjenopprettingstjeneste som gir en sikkerhetskopi av din hemmelige gjenopprettingsfrase."

For å krydre det litt mer, trenger du et pass eller førerkort for å faktisk bruke gjenopprettingstjenesten senere om nødvendig, og sende opp antennene.

ID for privat nøkkel i Ledger Recover, mai 2023

"Så selv om jeg ikke bruker denne tjenesten, kan min hovedbok Nano X nå sende ut min hemmelige gjenopprettingsfrase?" – spurte en hovedbokholder offentlig.

Det første svaret fra Nicolas Bacca, CTO for Ledger, omgikk problemet:

"Du bruker allerede enheten og er enig i det faktum at Ledger ikke kan oppdatere fastvaren uten ditt samtykke - det er den samme mekanismen for Recover, som er låst bak eierskap til enheten din, kunnskap om pin-koden din og til slutt ditt samtykke på enheten. ”

Spørsmålet er imidlertid hvordan den private nøkkelen gis til bedrifter. Presset videre uttalte Bacca:

"Enheten sender krypterte skjær av frøet ditt til forskjellige selskaper hvis du bestemmer deg for å bruke tjenesten. Du kan selvfølgelig fortsatt velge å sikkerhetskopiere det selv."

Tidligere denne måneden Pascal Gauthier, administrerende direktør i Ledger, avslørt for Wired jobbet de med å gjøre privat nøkkeleierskap mer tilgjengelig:

"Ledger forbereder lanseringen av en ny tjeneste kalt Ledger Recover som deler en lommebokgjenopprettingsfrase - i utgangspunktet en menneskelig lesbar form av den private nøkkelen - i tre krypterte shards og distribuerer dem til tre depotmottakere: Ledger, kryptodepotfirmaet Coincover, og kode deponeringsselskap EscrowTech. 

Hvis noen mister gjenopprettingsfrasen, kan to av de tre skårene kombineres – i påvente av en ID-sjekk – for å få tilbake tilgang til de låste midlene.

I hovedsak er Ledger Recover et ekstra sikkerhetsnett; for prisen på $9.99 i måneden tar det faren ut av krypto-versjonen av å stappe dollar under madrassen.»

Shamir-hemmeligheter er et noe gammelt verktøy innen krypto. I stedet for å ha en lang streng som den private nøkkelen, kutter du den opp i tre eller flere, så hvis du mister en, kan du fortsatt kombinere de to andre for å få din private nøkkel.

Her går Ledger lenger. Etter å ha hakket opp den private nøkkelen, sender den en del til seg selv, Ledger selskapet, en til Coincover og en annen til EscrowTech. Så hvis du mister enheten, kan du vise din ID og de tre kombineres for å gi deg din private nøkkel.

Det store problemet handler om hvordan dette gjøres. Hvis det ble kuttet opp i Ledger eller på en eller annen måte mellom to eller tre Ledger-enheter, så er det en fin ny funksjon for de som ønsker enda mer sikkerhet.

Her sender maskinvarelommeboken den til disse selskapene i stedet, og det betyr at din private nøkkel ikke er helt privat lenger.

"Ingen enkelt selskap kjenner frøet ditt hvis du bestemmer deg for å bruke det," sier Bacca, og det er fordi ingen enkelt selskap har hele frøet, bare deler av det. Den er også kryptert.

Men hovedpoenget er at som en maskinvarelommebok, bør dette ikke kunne sende ut den private nøkkelen. Den skal være offline og utilgjengelig.

"Dette endrer ikke sikkerhetsforutsetningene sammenlignet med en fastvareoppdatering," sier Bacca.

Til det er han avhengig av at du må trykke på en knapp for å godta å sende ut fasen til disse selskapene gjennom Recovery, akkurat som du må trykke på en knapp for å godta en firmwareoppdatering.

Frøet blir ikke sendt ut av seg selv, eller i det minste er det forslaget, selv om det er enheten selv som sender det hvis du bekrefter.

Nesten frakoblet?

For de som ønsker enda mer sikkerhet, er det faktum at denne enheten i det hele tatt kan kommunisere startfasen et problem, for hvis den kan, er den ikke helt offline og gjør ikke det Ledger offentlig sa i forrige uke:

"Vi forstår det - enheten din holder de private nøklene dine offline for deg. Saken er at du kan gjøre mer med Ledger.»

Siden denne oppdateringen antyder at den private nøkkelen ikke er helt avsperret i en kald enklave, men kan sendes til disse selskapene, om enn med ditt samtykke, er det et oppstyr på sosiale medier blant Ledger-innehavere.

Selskapet har solgt seks millioner enheter av maskinvaren, men oppsettet krevde alltid et visst nivå av tillit, en avveining mellom bekvemmelighet og sikkerhet.

Hvis du vil ha din egen sikkerhet, så genererer du den private nøkkelen i en splitter ny bærbar datamaskin som du ikke koblet til internett, skriver ut den private nøkkelen eller tar et bilde av den på en telefon som heller ikke kobles til internett , og hvis du trenger tilgang til midlene, start på nytt for den gjenværende saldoen ved å opprette en ny adresse.

Bare å kjøpe en liten enhet i stedet er mer praktisk, men til syvende og sist vet du aldri hva som er i den med mindre du produserer den selv.

Dette kan potensielt gi et push til åpen kildekode-maskinvare, en idé som har blitt foreslått nå og da i kryptorommet i årevis, men som likevel ikke har gått noen vei fordi det er en enorm innsats.

Inntil da er det mer et spørsmål om avveininger og hvor mye sikkerhet. Siden i tilfelle av Ledger må du samtykke til å gi ut den private nøkkelen, er det litt bedre enn en nettlommebok, men det faktum at enheten kan sende nøkkelen motsier litteraturen deres som sier:

"Ledger-enheter genererer de private nøklene dine i et helt offline miljø – og holder dem der, alltid. Med de private nøklene dine isolert fra en internettforbindelse, forblir de beskyttet mot hackere og skadelig programvare."

Etter fastvareoppdateringen vil de antagelig ikke være helt isolert. Ledger har uttalt at de vil gi ytterligere dokumentasjon for å forklare hvordan den nye fastvareoppdateringen fungerer, men de nåværende hovedbokene fortsetter å fungere som før, og du trenger ikke nødvendigvis å oppdatere dem.

Selv om det selvfølgelig er den konseptuelle saken for potensielt alle Ledgers om hvordan denne frakoblede private nøkkelen på enheten kan sendes. Siden det ikke er ved å legge det inn manuelt, basert på Baccas uttalelse om at enheten sender det, så er antagelig ikke oppsettet helt offline.

Når det er sagt, har Ledger operert i årevis uten noen hacks, men fokuset deres i årevis har vært på å tilby en offline lommebok, i stedet for å sikkerhetskopiere den online, så vel som oppdateringen planlegger å tilby.

Tidstempel:

Mer fra TrustNodes