Ledgers Wallet-Integrationssoftware enthält einen standardmäßigen Meldedienst, der Signatur-Metadaten an die Server des Unternehmens überträgt – ein Verhalten, auf das der Ambire-Entwickler @0xSuperKalo am 10. November hingewiesen hat. Ledgers öffentlicher Quellcode zeigt, dass die Berichte Netzwerk, Zieladresse, Gerätemodell, Softwareversionen und die Information enthalten können, ob blind signiert wurde.

Der Mechanismus befindet sich in der Software, die Wallet-Anwendungen zur Kommunikation mit Ledger-Hardware verwenden. Hardware-Wallets halten private Schlüssel isoliert auf dem Gerät, und Wallet-Apps greifen über diese wiederverwendbaren Software Development Kits darauf zu – was bedeutet, dass ein Standard im SDK überall dort gilt, wo es eingesetzt wird. Die Implementierung in Version 1.16.0 installiert einen Netzwerk-Reporter, sofern der integrierende Entwickler keinen Ersatz bereitstellt. Die Betroffenheit der Nutzer hängt daher davon ab, wie ihr Wallet das SDK integriert – nicht allein von einem Firmware-Update.

Der Ambire-Entwickler erklärte, dass keine betroffene Version in Ambires Produktionsanwendung gelangt sei und dass das Wallet mit standardmäßig deaktivierten Meldungen ausgeliefert wird, mit einer Opt-in-Umschaltoption in den Datenschutzeinstellungen. „Ich würde sagen, dass Privatsphäre der Standard sein sollte“, schrieb der Entwickler.

Was die Berichte enthalten

Ledgers Release-Aufzeichnung datiert das Kontextmodul 1.16.0 auf den 14. April und beschreibt das Hinzufügen eines Blind-Signing-Reporters zum Modul. Der zugehörige Ethereum-Signaturcode erstellt Berichte für Transaktionen und typisiertes Signieren von Daten, auch wenn der Vorgang als kein Blind-Signing eingestuft ist.

Der berichterstellende Code liefert eine generierte Signaturereignis-Kennung, Signaturmethode, Chain-ID, Zieladresse, Blind-Signing-Status und -Grund, Gerätemodell sowie – falls verfügbar – Versionen der Signatur-App und Firmware. Er enthält außerdem den Clear-Signing-Typ und, wenn verfügbar, die Anzahl der Kontextfehler. Clear Signing bezeichnet die Darstellung von Transaktionsdetails in lesbarer Form vor der Freigabe; Blind Signing ist das Gegenstück – die Freigabe von Daten, die das Gerät nicht in lesbarer Form anzeigen kann. Zieladressen sind in öffentlichen Blockchains pseudonym, doch jeder Bericht verknüpft eine Zieladresse mit Signaturmethode, Gerätemodell und Softwareversionen in einer einzigen Nutzlast, die an Ledgers Server übermittelt wird.

Die HTTP-Implementierung fügt eine Anwendungsquellen-Kennung hinzu und sendet den Bericht mit Headern, die die Version des Kontextmoduls und den Origin-Token der Integration identifizieren. Der Report-Builder enthält keine privaten Schlüssel, keine Seed-Phrase und keine kryptografische Signatur selbst – das gemeldete Verhalten fällt somit in die Kategorie der Metadaten-Sammlung und nicht der Schlüsselverwahrung.

Das Meldeziel hat sich im Laufe der Zeit geändert. Version 1.16.0 konfigurierte eine Staging-Ingestion-Adresse, und Ledgers späteres Changelog verzeichnet den Wechsel zum Produktions-Endpunkt für Blind-Signing in Version 2.1.0. Der aktuelle Builder verweist den Reporter auf

Für Wallet-Entwickler bietet der Builder eine Möglichkeit, den Standard-Reporter zu ersetzen. Ambires Entwickler erklärt, dass die Implementierung den Nutzern eine Umschaltoption in den Datenschutzeinstellungen bieten wird, mit standardmäßig deaktiviertem Versand von Berichten. Für die Nutzer ist der entscheidende Faktor das Wallet, das sie verwenden: ob dessen Entwickler den Standard-Reporter beibehalten oder ersetzt haben – eine Entscheidung im Anwendungscode und nicht in den Geräteeinstellungen. Da der Standard-Reporter seit Version 2.1.0 auf Ledgers Produktions-Ingestion-Endpunkt gerichtet ist, ist die Konfiguration des Moduls durch die Wallet-Anbieter das, worauf man achten sollte.