Ledger Nano S — broken by design?

[RGarbach]

Hallo zusammen

ich habe Zeit gefunden, mich mit den Internas aus Saleem Rachids Hack zu beschäftigen:

Saleems Blog

Ich muss feststellen, dass ich einigermaßen entsetzt über die Reaktion von Ledger sowie das Design dieses Dongles bin. 

Security by Obscurity hat noch nie funktioniert. Ich persönlich habe den Ledger Nano noch nie benutzt und werde es auch niemanden mehr empfehlen können. In der Vergangenheit habe ich technisch unbedarften Anwendern dazu geraten ihn einzusetzen. 

Das erste Mal habe ich ein mulmiges Gefühl bekommen, als sich hier im Forum Anwender beklagten, dass ihnen auf nicht nachvollziehbare Weise private keys abhanden gekommen sind. Meine Befürchtungen haben sich nun bestätigt. 

Was meint ihr dazu?

 

LG Garbach

Zitat

When you fix a critical security issue, you can take one of two routes.

• Completely conceal the security fix

  This is an effective method to avoid drawing the attention of black hats (if your product is completely closed source, which is the case for Ledger).

  This has the downside that most users will avoid updating, especially if the process is very painful to do (as it was in this case).

• Alert users of a critical security issue and force an update

  This is commonly used for open source products or when the vendor suspects a security vulnerability is being used in the wild.

  However, this has the downside that it alerts black hats of the presence of a vulnerability. Therefore, it is essential that users update immediately to gain the “first mover” advantage over a potential attacker.

 

Bearbeitet 28. März 2018 von RGarbach
Quote

[Interessiertan]

das ist aber wohl nur passiert wenn die Leute den Ledger nicht direkt über den Hersteller bezogen haben sondern über irgendwelche anderen Händeln die ihn dann manipuliert haben soweit ich das mitbekommen habe..

[coin_trace]

Bitte gut informieren. Ledger ist eine ordentlich operierende Firma, seit Jahren in der Kryptoszene bekannt. 
Das Angriffsszenario gilt, wenn Leute vor der ersten Benutzung Zugang zum Gerät haben! 

Man kann sich denken, dass bei solch einem Zugang überhaupt nichts sicher ist.

Fazit: Nur auf der offiziellen Webseite USB/Hardware Devices kaufen.

Ledger ist ein zuverlässiger USB Lieferant. Aber vorher gut informieren, welche Forks/Coins sie unterstützen!