​​'Technisch' mogelijk om gebruikerssleutels te extraheren? Grootboekadressen verwijderde tweet

Ledger richtte zich op een inmiddels verwijderde controversiële tweet waarin stond dat het altijd mogelijk is geweest om sleutelextractie te vergemakkelijken.

Ledger, fabrikant van crypto-hardwareportefeuilles, was het middelpunt van de controverse na de aankondiging van ‘Ledger Recover’, een optionele beveiligingsfunctie waarmee gebruikers hun bezittingen kunnen herstellen nadat ze hun privésleutels zijn kwijtgeraakt.

Een tweet op 17 mei van een klantenservicemedewerker van Ledger zorgde voor een verdere negatieve publieke opinie over het bedrijf.

“Technisch gezien is het altijd mogelijk geweest om firmware te schrijven die sleutelextractie mogelijk maakt. Je hebt er altijd op vertrouwd dat Ledger dergelijke firmware niet zou implementeren, of je het nu wist of niet”, aldus de tweet, die inmiddels is verwijderd.

De cryptogemeenschap was uiteraard gealarmeerd door de boodschap, die schijnbaar impliceerde dat het bedrijf altijd de mogelijkheid had om deze firmware in hun product te verwerken zonder dat gebruikers beter wisten.

Ledger behandelde de verwijderde tweet een paar uur later in een update en legde uit dat een medewerker van de klantenondersteuning “verwarrende bewoordingen” had gebruikt in een poging duidelijk te maken hoe de hardware-wallets van het bedrijf werken.

[2/3] We hebben het verwijderd omdat we niet willen dat mensen hierdoor in de war blijven, en vervangen het door Tweet-threads die alle veelgestelde vragen en zorgen op de meest begrijpelijke en nauwkeurige manier behandelen.

- Ledger-ondersteuning (@Ledger_Support) 18 mei 2023

Ledger CTO Charles Guillemet schreef ook een uitgebreide Twitter-thread om misvattingen aan te pakken en uit te leggen hoe de firmware in feite werkt.

“Het gebruik van een portemonnee vereist een minimale hoeveelheid vertrouwen. Als uw hypothese is dat uw portemonnee-aanbieder de aanvaller is, bent u gedoemd, ' zei Zeekoet.

“Als de portemonnee een achterdeur wil implementeren, zijn er veel manieren om dat te doen: bij het genereren van willekeurige getallen, in de cryptografische bibliotheek, in de hardware zelf. Het is zelfs mogelijk om handtekeningen te maken, zodat de privésleutel alleen kan worden opgehaald door de blockchain te monitoren”, voegde hij eraan toe.

Volgens hem lost een open source codebase het probleem niet op en is het onmogelijk om te garanderen dat het elektronische apparaat of de firmware die erop draait, geen backdoor is.

22 /
Als je volledig betrouwbaar wilt zijn, moet je elektronica leren om je computer te bouwen, ASM leren om je compiler te bouwen, dan een portefeuillestapel bouwen, je eigen knooppunt en synchronisatie, je zult cryptografie moeten leren om je eigen te bouwen handtekening stapel.

— Charles Guillemet (@P3b7_) 18 mei 2023

Hij sloot af door gebruikers te vertellen dat een hardware wallet vooral wordt gebruikt als ondertekeningsapparaat, dat privésleutels beveiligt.

“Uw privésleutels verlaten nooit de hardware wallet. Wanneer ze worden gebruikt, wordt uw toestemming gevraagd”, zei hij.