Співзасновник Ledger підтверджує: оновлення мікропрограми Recover без бекдору

Запуск служби Ledger Recover, яка дозволяє користувачам апаратного гаманця Ledger створювати резервні копії своїх секретних фраз відновлення, зустрів величезний опір криптовалютної спільноти. Співзасновник і колишній генеральний директор Ledger Ерік Ларшевек сприйняв критику на адресу Ledger як «повний PR-провал, але абсолютно не технічний».

Ledger Recover — це оновлення мікропрограми через OTA, яке дозволить користувачам створювати резервні копії початкових фраз сторонніми організаціями. Якщо користувач вирішує підключитися до нової послуги, фрагменти фрази відновлення шифруються та зберігаються трьома різними сторонами, які можуть бути використані для відновлення фрази в майбутньому. Однак ідея вихідної фрази з апаратного гаманця не знайшла відгуку у користувачів, які вважали Ledger надійним сервісом для зберігання криптовалют.

Відповідаючи на зростаючу стурбованість користувачів у всьому світі, Larchevêque опублікував на Reddit уточнення, що Ledger ніколи не був надійним рішенням:

«Щоб користуватися їхнім продуктом, необхідно довіряти Ledger. Якщо ви не довіряєте Ledger, тобто ставитеся до свого виробника обладнання як до супротивника, це взагалі не може працювати».

Він стверджував, що оновлення Ledger Recover не впливає на модель безпеки апаратного гаманця. Він додав:

«Моя помилка як генерального директора під час мого перебування на посаді полягала в тому, що я, ймовірно, не був досить невпинним у поясненні моделі безпеки, але в якийсь момент ти просто здаєшся, оскільки людям це абсолютно байдуже. Поки їм знову не буде байдуже, як зараз».

Larchevêque вважав, що єдине, що змінилося, — це погляди звичайних користувачів на безнадійність і що код відновлення у мікропрограмі не є шкідливим кодом:

«Ledger все ще безпечний, немає бекдору, Ledger Recover не є змовою, ніхто ніколи нікого не змусить використовувати Recover».

Він додав, що довіряти Ledger щодо шардингу початкової фрази – це все одно, що довіряти Ledger щодо підписання транзакції. Звертаючись до рекомендації користувача щодо наявності двох різних прошивок, щоб усунути проблеми з «бекдором», Ларшевек сказав, що «це нічого не змінить» і засмутить його особисто.

Оновлення мікропрограми, про яке йдеться, недоступне для Nano S — найдешевшого апаратного гаманця від Ledger — оскільки чіпсет не має достатньо пам’яті для зберігання нової мікропрограми.

За темою: криптовалютна спільнота реагує на службу секретної фрази відновлення гаманця Ledger

На тлі розгортання суперечливого оновлення мікропрограми Ledger, конкуруючий постачальник апаратного гаманця GridPlus вирішив відкрити програмне забезпечення для своїх користувачів.

The most trusted name in cryptography, relied upon by the world's governments for their highest security applications for decades, sold products backdoored by the CIA. How can we ensure this won't happen again? Open-source software.

GridPlus will open-source its firmware in Q3. pic.twitter.com/889OnqXd20

— GridPlus (@gridplus) May 18, 2023

Перетворивши суперечку про Ledger на маркетингову можливість, GridPlus оголосив про плани відкрити програмне забезпечення своїх пристроїв у третьому кварталі 2023 року, щоб забезпечити більшу прозорість.