这下争议很大了 影响远比Google authenticator开放云端备份严重的多 因为Google authenticator私钥本来就存在手机里 大家预期的安全性不会太高 但Ledger的硬体钱包 一直以来的卖点主打就是 "私钥永远不会离开你的硬体装置" "任何对实体进行电压/雷射/辐射精密测量也无法取出私钥" https://i.imgur.com/AiuD3we.png 这意思一般人都会认为是受到最高硬体IC层级的保护 就算是Ledger原厂拿到你的硬体钱包装置本身 他也无法导出私钥明文 但这个安全性假设在今天被完全破坏了 Ledger原厂开放了一项新的订阅服务 只要月付10镁 升级韧体後 就能帮你把"现有"硬体钱包里的"私钥"完整导出 加密并拆分给三家云端保存 这对不打算用这服务的人也是一个晴天霹雳的消息 代表Ledger完全自打脸他上述的2项广告声明 原来硬体钱包里的私钥在初始化设置完成後并不是不可被提取出来的 今天只要Ledger愿意 它可以出一个韧体更新导出私钥(*号称加密过) 同时也代表了改天Ledger随时都有能力再出一个韧体更新 导出私钥的明文版本 或是签署韧体的私钥被骇 骇客直接能用新韧体取得私钥明文 瞬间Ledger硬体钱包的安全性 从"硬体"降阶为"对Ledger这间公司本身软体开发的信任" 那跟用一般软体钱包 也差不了多远了 简单来说大家今天才发现从头到尾就只是韧体保护 却一直宣传误导私钥是由硬体IC保护 这才是现在各币圈大佬气愤的地方 是说气愤归气愤 现在也还不知道哪一家硬体钱包能代替 照国外讨论区的说法 现在可能没有任何一个硬体钱包是真正安全的 只能再观察看看这部分的市场缺口之後会由谁补上 在那之前只能先劝大家不要随便更新手上Ledger硬体钱包的韧体 -- 现在Ledger Twitter/Reddit讨论区整个被炎上 客服只能虚弱无力的玩文字游戏 "私钥从未离开硬体钱包 导出硬体钱包的是私钥的加密後版本" ※ 引述《tadashi1024 (只要50圆)》之铭言： : 新闻来源连结：https://abmedia.io/ledger-recovery-controversy : 新闻本文： : 加密硬体钱包商 Ledger 於昨日 (16) 宣布将为旗下冷钱包产品推出「Ledger 恢复」功 : 能，这是一个透过多间第三方公司进行托管的助记词恢复服务。尽管此功能看似为用户带 : 来多一层保护，但却引起加密社群诸多批评，而在 Ledger 的回应中，可感受到他们是为 : 了公司「钱途」才这麽做的。 : Ledger 助记词恢复功能介绍 : Ledger 此次推出的助记词恢复功能是个可选择的订阅服务，若用户使用此功能，其冷钱 : 包的助记词便会进行加密并分成三个片段，各片段将由不同的第三方机构托管，分别为加 : 密保险公司 Coincover、Ledger 及一个独立的备份服务提供商。 : 若用户意外遗失自己的钱包助记词，只要通过身份验证，其中两间托管方便会将加密的助 : 记词片段发送回用户的 Ledger 设备，使其可以重新组合成原有助记词。 : Ledger 助记词恢复功能引发批评 : 尽管此功能似乎为用户提供了多一层保险，但同时也踩到那些认为「冷钱包，就是要冷到 : 底」的人的底线。另外，身份验证的可靠性、Ledger 的资安风控水准也成为社群讨论的 : 重点，并为 Ledger 引来了不少质疑声浪。 : Polygon 的资安长 Mudit Gupta 於 Twitter 上表示：「任何受『身份验证』所保护的东 : 西本质上都不太安全，因为太容易造假了。」 : 其呼吁用户不要使此功能，并好奇是否 Ledger 是否想用此订阅功能赚取收入，亦或是监 : 管机构要求的功能，使监管机构可获得客户资料以没收资产。 : 另外，币安执行长 CZ 也询问 Mudit 这是否代表冷钱包助记词可以与装置分离？并称这 : 与加密社群所支持的理念「你的私钥绝不会离开你的装置」背道而驰。 : ChainLink 的社群大使 ChainLinkGod 则是点名了 Ledger 过往的资安风波，提醒用户 : Ledger 曾因多次资安漏洞导致大量用户个人资讯外泄，并认为 Ledger 推出的新功能似 : 乎考虑不够周全。 : 台湾知名冷钱包厂商 CoolWallet 的执行长欧仕迈也於今日对此事件发表看法，其表示 : 若 Ledger 的新功能被多数钱包用户采用，加密生态的弹性可能会受到严重的威胁。 : 「想像一下，如果 50% 的所有加密钱包采用了这种服务，这将意味着全球一半的加密资 : 产将掌握在少数几个持有这些钱包金钥的实体手中。在内部管理失当或外部强迫的情况下 : ，这些资产的安全将处於严重的风险之中。」欧仕迈说道。 : Ledger 对大量质疑进行回应 : 在新功能引来诸多批评後，Ledger 的执行长、技术长及创办人於昨日晚间透过 Twitter : Space 发表想法，之所以推出此功能似乎是为了拓展客源。 : Ledger 技术长 Charles Guillemet 表示，当他想到他母亲要使用 Ledger 产品时，会面 : 临两种障碍，一是不好读的地址、二是如何管理私钥。而 Ledger 的新功能便是要给这些 : 用户带来方便，因为 24 个单词组成的助记词对他们来说太复杂。 : 而 Ledger 执行长 Pascal Gauthier 也在谈话中表示：「Ledger Recover 是我们未来 : 1 亿个客户想要的，他们将透过 Ledger Recover 以安全的方式将入加密世界。」从此句 : 话更可看出，Ledger 降低使用门槛以拉拢新用户扩展收入来源的决心。 : 另外，关於资安问题，Ledger 创办人 Nicolas Bacca 表示不会有任何的後门，在进行助 : 记词恢复时，未经用户於装置上同意前，不会有任何事情发生。 : 至於监管方面的质疑，Ledger 体验长 Ian Rogers 则表示仅保留法律上面的要求，并称 : 不想负起成为托管者的责任。尽管向用户提供可能需要 KYC 的服务，但这取决於用户是 : 否想使用。 : 评论： : 先说自己的感想 : 这Ledger是想赚月租费想疯了吗 ?? : 硬体冷钱包号称的硬体上隔离私钥，却能把私钥加密後汇出?? : (後面拆成三份什麽KYC的就不是重点了) : https://i.imgur.com/tmwIQSC.jpg --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 59.127.45.141 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/DigiCurrency/M.1684341289.A.34C.html ※ 编辑: MRjk (59.127.45.141 台湾), 05/18/2023 00:45:29