So prüft ihr die Ledger Live Installationsdatei auf Manipulation / Integrität

[Coiner1337]

Hallo Forengemeinde,

ich habe in letzter Zeit öfters mitbekommen, wie es manchen passiert ist, dass sie aus welchen Gründen auch immer, unbemerkt eine manipulierte Ledger Live Version installiert hatten und dadurch Coins verloren haben. Es sind durchaus (auch sehr gute) gefälschte Versionen hiervon im Umlauf. Daher möchte ich unerfahrene User an dieser Stelle dafür sensibilisieren und aufzeigen, wie ihr Dateimanipulierungen erkennen könnt. Deshalb habe ich ein Video erstellt, in dem kurz erklärt wird, wie ihr die Installation von manipulierter Software verhindern könnt. In diesem Video zeige ich es am Beispiel von Ledger Live. 

 

 

[Philbert]

Danke.
Ich hatte auf der Ledger Seite auch schon mal vergeblich nach dem Hash gesucht... eigentlich ein Unding, dass der da nicht zu finden ist.
Naja, dass man auf eine andere Seite muss, die nicht zur Ledger Domain gehört, für den Hash ist jetzt sicherheitstechnisch auch nicht so ideal... aber besser als nix.

[Coiner1337]

Ich finde es für einen Sicherheitstechnik Hersteller auch sehr schwach und nicht gerade vertrauenerweckend. Die Seite ist so wie ich es sehe allerdings von ledger direkt. Auf deren github Repo, verlinken sie auch darauf. https://github.com/LedgerHQ/ledger-live-desktop

 

 

[Axiom0815]

@Coiner1337 erst mal vielen Dank dafür. 

Trotzdem, Ledger stellt keine PGP Signatur mit den Download zur Verfügung. Das ist nicht nur "schwach", das ist bewusst gemacht.
Wer solche Software und Hardware-Produkte produziert, weis warum er das macht!

Der Endverbraucher kann nicht zertifizieren, ob die Datei unverändert ist. Man kann damit auch rückwirkend Ledger nicht vorwerfen, das in einer Originaldatei dies und das drin ist/war.

Diese Seite mit einer "komischen" Domain, kein Impressum und ebenfalls wieder ohne PGP-Signatur macht es nicht besser.
Mit SHA512 wird viel Sicherheit vorgetäuscht, die nicht da ist.
Weil jeder Man-in-the-Middle-Angriff kann die Datei und natürlich auch die SHA512 Werte austauschen.

Nein, dafür gibt es von mir eine glatte 5.

Axiom

[rheingold]

Nicht optimal aber besser als nichts....