Ledger: Новая прошивка криптокошельков не скомпрометирует сид-фразы пользователей
В Ledger заявили, что подписка на сервис Ledger Recovery является добровольной, и компания лишена всех возможностей удаленного управления и обновления устройств.
Ledger Nano X Hardware Crypto Wallet Последнее обновление позволяет пользователям подписываться на инструмент ledger Recovery, что дает возможность восстановить исходную фразу после прохождения проверки личности.
«Обновление не требуется»
Представители Ledger утверждают, что сервис Ledger Recovery разбивает исходную фразу на три зашифрованные части с помощью Shamir Secret Sharing и отправляет эти части трем сторонним компаниям для хранения. Объединение частей и их расшифровка возможны только после того, как пользователь подтвердил свою личность на устройстве Ledger.
«Сторонние компании не имеют доступа к вашей исходной фразе, она не хранится в облаке, а сами резервные копии шифруются, фрагментируются и расшифровываются только непосредственно в вашем Ledger», — уверяют представители компании.
Генеральный директор Ledger Паскаль Готье написал в Твиттере, что слухи о том, что компания создает бэкдор для злоумышленников, необоснованны. Обновление не является обязательным, заверил гендиректор, и никто не запрещает клиентам оставаться на предыдущих версиях прошивки вне зависимости от хранилища данных.
«Мы не контролируем устройства Ledger и не можем запускать автоматические обновления. Только вы можете использовать функции устройства, и никто другой не может ввести ваш PIN-код», — написал Паскаль Готье.
Клиенты Ledger были настолько встревожены новостью об обновлении прошивки, что начали активно критиковать компанию и ее открытость к злоупотреблениям в социальных сетях. Самые высокопоставленные члены криптосообщества призвали владельцев Ledger Nano отказаться от услуг компании и вообще прекратить использование аппаратных криптокошельков, поскольку нововведение Ledger может открыть дверь для потенциальной кражи личных данных.
«Ключи могут попасть в небезопасную среду»
Принимать на веру успокаивающие слова представителей Ledger не стоит, уверен основатель Bits.media Иван Тихонов:
«Нужно дождаться полного понимания технического описания процесса, но пока я вижу три способа передачи семени, и не все они мне нравятся.
С устройства Ledger после обновления прошивки. То есть прежние заверения, что ключ хранится в защищенном элементе и никак не может его покинуть — это миф.
Пользователь сам введет фразу в кошелек Ledger Life, где она будет разбита на части и отправлена в зашифрованном виде. Но в этом случае сид будет вводиться на компьютере, то есть в небезопасной среде, что делает невозможным использование внешнего аппаратного кошелька.
Пользователь сам введет фразу на сайте Ledger Recover, что еще хуже: вся фраза пойдет онлайн через интернет для последующего расщепления, шифрования и неважно, что там еще есть на самом деле. Потому что сид уже вышел в сеть.
Основная идея аппаратного кошелька заключается в том, что ключи никогда не попадают в небезопасную среду, транзакции должны быть подписаны в аппаратном кошельке и возвращены на компьютер проверенными и подписанными, а ключи никогда не покидают аппаратный кошелек. Поэтому аппаратные кошельки часто используются в качестве холодных кошельков для длительного хранения больших сумм. Если ключ может выйти из аппаратного кошелька, доверять такому кошельку нельзя, он будет ничем не лучше обычной программы на компьютере. Так что для компании, производящей аппаратные кошельки, первый вариант — худший. В моем понимании Ledger убьет весь смысл своего продукта в угоду удобству неквалифицированных пользователей или нормативным требованиям. Второй и третий варианты, по крайней мере, означают, что аппаратный кошелек Ledger можно продолжать использовать, если сервис Ledger Recover не используется».
В апреле американский деловой журнал Fortune сформировал рейтинг Crypto 40, в который вошли компании, «оказывающие наиболее существенное влияние на криптоиндустрию». Ledger был назван лидером в категории поставщиков аппаратных кошельков.
Партнерские ссылки для регистрации на биржах
При регистрации по ссылкам вы получаете максимальный кэшбэк по торговым комиссиям, а также бонусы и подарки от бирж.
