Гросбух: Новая прошивка криптокошельков не скомпрометирует сид-фразы пользователей – Bits Media

У Ledger заявілі, што падпіска на сэрвіс Ledger Recovery добраахвотна, а кампанія пазбаўлена любых магчымасцяў выдаленага кіравання і абнаўленні прылад.

Апошняе абнаўленне апаратнага криптокошелька Ledger Nano X дазваляе карыстачам падпісацца на прыладу аднаўлення Ledger Recovery, які дае магчымасць аднавіць зыходную фразу пасля праходжання праверкі асобы.

"Абнаўленне не з'яўляецца абавязковым"

Прадстаўнікі кампаніі Ledger запэўніваюць, што сэрвіс Ledger Recovery разбівае зыходную фразу на тры зашыфраваныя часткі, выкарыстоўваючы
Абмен сакрэтам Шаміра, і рассылае гэтыя часткі на захоўванне тром іншым кампаніям. Аб'яднанне частак і іх расшыфроўка магчымыя толькі пасля таго., як карыстач пацвердзіць на прыладзе Ledger сваю асобу.

«Багоднія кампаніі не маюць доступу да вашай зыходнай фразы., яна не захоўваецца ў воблаку, а самі рэзервовыя копіі шыфруюцца, фрагментуюцца і расшыфроўваюцца толькі непасрэдна ў вашым Ledger», - запэўніваюць прадстаўнікі кампаніі.

Генеральны дырэктар Ledger Паскаль Гацье (Паскаль Гацье) напісаў у Твітэры, што чуткі аб стварэнні кампаніяй бэкдора для зламыснікаў неабгрунтаваныя. Абнаўленне не з'яўляецца абавязковым, запэўніў гендырэктар, і кліентам ніхто не забараняе заставацца на папярэдніх версіях прашыўкі, самастойна забяспечваючы захоўванне дадзеных.

«Мы не кантралюем прылады Ledger і не здольныя запускаць аўтаматычныя абнаўленні. Толькі вы можаце выкарыстоўваць функцыі прылады, і ніхто іншы не можа ўвесці ваш пін-код», – написал Паскаль Готье.

Клиенты Ledger оказались так напуганы новостью об обновлении прошивки, што сталі актыўна крытыкаваць у сацыяльных сетках кампанію і адкрываны абшар для злоўжыванняў. Самыя экзальтаваныя ўдзельнікі крыптасупольнасці заклікалі ўладальнікаў Ledger Nano адмовіцца ад паслуг кампаніі і наогул ад выкарыстання апаратных крыптакашалькаў., поскольку нововведение Ledger может открыть дверь для потенциальной кражи личных данных.

«Ключи могут попасть в небезопасную среду»

Успрымаць на веру заспакаяльныя словы ад прадстаўнікоў Ledger не варта, упэўнены заснавальнік Bits.media Іван Ціханаў:

«Трэба дачакацца тэхнічнага апісання працэсу для поўнага разумення, але пакуль бачу тры спосабы, якімі можа быць перададзены seed, і ўсе яны мне не падабаюцца.

З прылады Ledger пасля абнаўлення прашыўкі. Гэта значыць папярэднія запэўненні аб тым, што ключ захоўваецца ў сек'юр элеменце, і ніяк не можа яго пакінуць - міф.

Карыстальнік сам увядзе фразу ў кашалёк Ledger Life, там яна будзе разбіта на часткі і ў зашыфраваным выглядзе адпраўлена. Но в таком случае сид-фраза будет введена на компьютере, то есть в небезопасной среде, что лишает всякого смысла использование внешнего аппаратного кошелька.

Карыстальнік сам увядзе фразу на сайце Ledger Recover, што яшчэ горш: фраза цалкам сыдзе анлайн праз інтэрнэт для наступнага разбіцця, шыфравання і не важна, чаго там на самой справе яшчэ. Таму што seed ужо сышоў анлайн.

Асноўная ідэя апаратнага кашалька мае на ўвазе, што ключы ніколі не патрапяць у небяспечнае асяроддзе, что транзакции уходят на подпись в аппаратный кошелек и возвращаются на компьютер проверенными и подписанными, а ключи никогда не покидают аппаратный кошелек. Поэтому аппаратные кошельки часто используют как холодные кошельки для длительного хранения больших сумм. Если ключ может покинуть аппаратный кошелек, доверять такому кошельку нельзя, ён будзе нічым не лепшы за звычайную праграму на кампутары. Так што для кампаніі, якая вырабляе апаратныя кашалькі, першы варыянт самы дрэнны. У маім разуменні, кампанія Ledger заб'е ўвесь сэнс свайго прадукта дзеля выгоды некваліфікаваных карыстачоў або рэгулятарных патрабаванняў. Другі і трэці варыянты хаця б маюць на ўвазе, что аппаратным кошельком Ledger можно продолжать пользоваться, если не применять сервис Ledger Recover».

В апреле американский деловой журнал Fortune сформировал
рейтинг Crypto 40, куда вошли компании, «оказывающие наиболее значимое влияние на криптоиндустрию». Лидером в категории провайдеров аппаратных кошельков был назван Ledger.