'Tecnicamente' possibile estrarre le chiavi utente? Indirizzi contabili Tweet eliminato

Ledger ha affrontato un tweet controverso ora cancellato che affermava che è sempre stato possibile facilitare l'estrazione delle chiavi.

Il produttore di portafogli hardware crittografici Ledger è stato al centro di polemiche dopo aver annunciato "Ledger Recover", una funzione di sicurezza opzionale che consentirebbe agli utenti di recuperare le proprie risorse dopo aver perso le chiavi private.

Un tweet del 17 maggio di un agente dell'assistenza clienti di Ledger ha ulteriormente alimentato l'opinione pubblica negativa dell'azienda.

“Tecnicamente parlando è ed è sempre stato possibile scrivere firmware che faciliti l'estrazione delle chiavi. Ti sei sempre fidato che Ledger non distribuisse tale firmware, che tu lo sapessi o no", si legge nel tweet, che da allora è stato cancellato.

La comunità crittografica era naturalmente allarmata dal messaggio, che apparentemente implicava che l'azienda avesse sempre la possibilità di inserire questo firmware nel proprio prodotto senza che gli utenti lo sapessero.

Ledger ha affrontato il tweet cancellato in un aggiornamento poche ore dopo, spiegando che un agente dell'assistenza clienti aveva usato "formulazioni confuse" nel tentativo di chiarire come funzionano i portafogli hardware dell'azienda.

[2/3] L'abbiamo eliminato perché non vogliamo che le persone continuino a essere confuse da questo, e lo stiamo sostituendo con thread Tweet che affrontano tutte le domande e i dubbi più frequenti nel modo più comprensibile e accurato possibile.

- Supporto contabile (@Ledger_Support) 18 Maggio 2023

Il CTO del libro mastro Charles Guillemet ha anche scritto un ampio thread su Twitter per affrontare le idee sbagliate e spiegare come funziona il firmware in effetti.

“L'uso di un portafoglio richiede una quantità minima di fiducia. Se la tua ipotesi è che il fornitore del tuo portafoglio sia l'attaccante, sei condannato. disse Guillemet.

“Se il portafoglio vuole implementare una backdoor, ci sono molti modi per farlo, nella generazione di numeri casuali, nella libreria crittografica, nell'hardware stesso. È persino possibile creare firme in modo che la chiave privata possa essere recuperata solo monitorando la blockchain", ha aggiunto.

A suo avviso, una base di codice open source non risolve il problema ed è impossibile avere una garanzia che il dispositivo elettronico o il firmware che lo esegue non sia backdoor.

22 /
Se vuoi essere completamente senza fiducia, dovrai imparare l'elettronica per costruire il tuo computer, imparare ASM per costruire il tuo compilatore, quindi costruire uno stack di portafogli, il tuo nodo e sincronizzatore, dovrai imparare la crittografia per costruire il tuo pila di firme.

— Charles Guillemet (@P3b7_) 18 Maggio 2023

Ha concluso dicendo agli utenti che un portafoglio hardware viene utilizzato principalmente come dispositivo di firma, che salvaguarda le chiavi private.

“Le tue chiavi private non lasciano mai il portafoglio hardware. Ogni volta che vengono utilizzati, è richiesto il tuo consenso ", ha affermato.