Posodobitev Ledger bo poslala zasebni ključ

Posodobitev Ledger bo poslala zasebni ključ

Časovni žig: 16. maj 2023 9:34
Izvorno vozlišče: 2657478

Uhajanje prihajajoče posodobitve je vznemirilo kriptonike glede nekakšnega razkritja Ledgerja, francoskega podjetja za strojno denarnico.

Lahko se naročite na Ledger Recover, piše, "storitev za obnovitev ključev, ki temelji na ID-ju, ki zagotavlja varnostno kopijo vaše skrivnostne obnovitvene fraze."

Če ga želite še malo popestriti, boste potrebovali potni list ali vozniško dovoljenje, da boste kasneje po potrebi dejansko uporabili storitev obnovitve in poslali antene.

ID za zasebni ključ v Ledger Recover, maj 2023

"Torej, tudi če ne uporabljam te storitve, lahko moja knjiga Nano X zdaj pošlje mojo skrivno frazo za obnovitev?" – je javno vprašal knjigovodec.

Prvi odgovor Nicolasa Bacce, tehničnega direktorja Ledgerja, se je izognil temu vprašanju:

»Napravo že uporabljate in se strinjate z dejstvom, da Ledger ne more posodobiti vdelane programske opreme brez vašega soglasja – to je enak mehanizem za obnovitev, ki je zaklenjen za lastništvom vaše naprave, znanjem o vašem PIN-u in končno za vašim soglasjem v napravi. ”

Vprašanje pa je, kako natančno se zasebni ključ podeli podjetjem. Nadaljnji pritisk je Bacca izjavil:

»Naprava pošlje šifrirane drobce vašega semena različnim podjetjem, če se odločite za uporabo storitve. Seveda se lahko še vedno odločite za varnostno kopiranje sami.«

V začetku tega meseca je Pascal Gauthier, izvršni direktor Ledgerja, je pokazala, za Wired so si prizadevali narediti lastništvo zasebnega ključa bolj dostopno:

»Ledger se pripravlja na lansiranje nove storitve, imenovane Ledger Recover, ki frazo za obnovitev denarnice – v bistvu človeku berljivo obliko zasebnega ključa – razdeli na tri šifrirane drobce in jih razdeli trem skrbnikom: Ledgerju, podjetju za skrbništvo nad kriptovalutami Coincover in koda escrow podjetje EscrowTech. 

Če nekdo izgubi obnovitveno besedno zvezo, lahko dva od treh drobcev združite – do preverjanja osebne izkaznice –, da ponovno pridobite dostop do zaklenjenih sredstev.

V bistvu je Ledger Recover dodatna varnostna mreža; za ceno 9.99 USD na mesec odpravi nevarnost kripto različice tlačenja dolarjev pod žimnico.«

Shamirjeve skrivnosti so nekoliko staro orodje v kripto. Namesto da bi imeli kot zasebni ključ en dolg niz, ga razdelite na tri ali več, tako da lahko, če enega izgubite, še vedno združite druga dva, da dobite svoj zasebni ključ.

Tu gre Ledger dlje. Po razdelitvi zasebnega ključa nato en del pošlje sebi, podjetju Ledger, enega Coincoverju in drugega EscrowTechu. Torej, če izgubite napravo, lahko pokažete svoj ID in ti trije se združijo, da vam dajo vaš zasebni ključ.

Velik problem je, kako se to izvaja. Če je bil razdeljen znotraj Ledgerja ali nekako med dve ali tri naprave Ledger, potem je to lepa nova funkcija za tiste, ki želijo še več varnosti.

Namesto tega ga strojna denarnica pošlje tem podjetjem, kar pomeni, da vaš zasebni ključ ni več povsem zaseben.

»Nobeno podjetje ne pozna vašega semena, če se ga odločite uporabiti,« pravi Bacca, in to zato, ker nobeno podjetje nima celotnega semena, le njegove dele. Prav tako je šifriran.

Toda glavna točka spora je, da kot strojna denarnica ne bi smela imeti možnosti pošiljanja zasebnega ključa. Moral bi biti brez povezave in nedostopen.

»To ne spremeni varnostnih predpostavk v primerjavi s posodobitvijo vdelane programske opreme,« pravi Bacca.

Za to se zanaša na dejstvo, da morate pritisniti gumb, da se strinjate s pošiljanjem faze tem podjetjem prek obnovitve, tako kot morate pritisniti gumb, da se strinjate s posodobitvijo vdelane programske opreme.

Seme ni poslano samo od sebe ali vsaj tako se domneva, čeprav ga naprava sama pošlje, če potrdite.

Skoraj brez povezave?

Za tiste, ki želijo še več varnosti, je dejstvo, da lahko ta naprava sploh sporoča semensko fazo, težava, ker če lahko, potem ni povsem brez povezave in ne počne tega, kar je Ledger javno povedal prejšnji teden:

»Razumemo – vaša naprava namesto vas hrani vaše zasebne ključe brez povezave. Stvar je v tem, da lahko s svojim Ledgerjem naredite več.«

Ker ta posodobitev nakazuje, da zasebni ključ ni povsem zaprt v hladni enklavi, ampak ga je mogoče poslati tem podjetjem, čeprav z vašim soglasjem, je na družbenih omrežjih med imetniki Ledgerja prišlo do razburjenja.

Podjetje je prodalo šest milijonov enot strojne opreme, vendar je njena namestitev na koncu vedno zahtevala določeno stopnjo zaupanja, nekaj kompromisa med udobjem in varnostjo.

Če želite lastno varnost, potem ustvarite zasebni ključ v čisto novem prenosniku, ki ga niste povezali z internetom, natisnete zasebni ključ ali ga slikate na telefonu, ki prav tako nima povezave z internetom. , in če potrebujete dostop do sredstev, začnite znova za preostalo stanje, tako da ustvarite nov naslov.

Bolj priročno je le kupiti majhno napravo, vendar na koncu nikoli ne veš, kaj je v njej, razen če je sam izdelaš.

To lahko potencialno spodbudi odprtokodno strojno opremo, zamisel, ki se že leta občasno predlaga v kriptoprostoru, vendar ni prišla povsem nikamor, ker je to velik napor.

Do takrat je bolj stvar kompromisov in količine varnosti. Ker se morate v primeru Ledgerja strinjati z izdajo zasebnega ključa, je nekoliko boljši od spletne denarnice, vendar je dejstvo, da lahko naprava pošlje ključ, v nasprotju z njihovo literaturo, ki pravi:

»Naprave Ledger ustvarjajo vaše zasebne ključe v okolju popolnoma brez povezave – in jih vedno hranite tam. Z vašimi zasebnimi ključi, izoliranimi od internetne povezave, bodo ostali zaščiteni pred hekerji in zlonamerno programsko opremo.«

Po posodobitvi vdelane programske opreme verjetno ne bodo popolnoma izolirani. Ledger je izjavil, da bo zagotovil nadaljnjo dokumentacijo, ki bo pojasnila, kako deluje nova posodobitev vdelane programske opreme, vendar trenutne knjige še naprej delujejo kot prej in vam jih ni treba nujno posodabljati.

Čeprav seveda obstaja konceptualna zadeva za potencialno vse Ledgerje glede tega, kako je mogoče poslati ta zasebni ključ brez povezave v napravi. Glede na Baccino izjavo, da ga naprava pošlje, ni z ročnim vnosom, nastavitev verjetno ni povsem brez povezave.

Kljub temu Ledger že leta deluje brez kakršnih koli vdorov, vendar se že leta osredotočajo na zagotavljanje denarnice brez povezave, namesto da bi jo varnostno kopirali na spletu, pa tudi na ponujanje načrtov posodobitev.

Časovni žig:

Več od TrustNodes