Il software di integrazione dei wallet di Ledger include un servizio di reportistica predefinito che trasmette i metadati di firma ai server dell'azienda — un comportamento evidenziato dallo sviluppatore di Ambire @0xSuperKalo il 10 novembre. Il codice sorgente pubblico di Ledger mostra che i report possono includere la rete, l'indirizzo di destinazione, il modello del dispositivo, le versioni software e se la firma è stata eseguita alla cieca.

Il meccanismo risiede nel software che le applicazioni wallet utilizzano per comunicare con l'hardware Ledger. Gli hardware wallet mantengono le chiavi private isolate sul dispositivo, e le app dei wallet vi accedono attraverso questi kit di sviluppo software riutilizzabili — il che significa che un'impostazione predefinita all'interno dell'SDK si applica ovunque venga distribuito. L'implementazione della versione 1.16.0 installa un reporter di rete a meno che lo sviluppatore integratore ne fornisca uno sostitutivo. L'esposizione degli utenti dipende quindi da come il loro wallet integra l'SDK, piuttosto che da un solo aggiornamento firmware.

Lo sviluppatore di Ambire ha dichiarato che nessuna versione interessata è arrivata nell'applicazione di produzione di Ambire e che il wallet viene distribuito con la reportistica disattivata per impostazione predefinita, offrendo un'opzione attivabile nelle impostazioni sulla privacy. "Sostenerei che la privacy dovrebbe essere l'impostazione predefinita", ha scritto lo sviluppatore.

Cosa contengono i report

Il registro dei rilasci di Ledger data il context-module 1.16.0 al 14 aprile e descrive l'aggiunta di un reporter per la blind signing al modulo. Il codice di firma Ethereum di accompagnamento genera report per le transazioni e la firma di dati tipizzati, incluso quando l'operazione è classificata come firma non alla cieca.

Il codice di generazione dei report fornisce un identificatore generato dell'evento di firma, il metodo di firma, il chain ID, l'indirizzo di destinazione, lo stato e il motivo della blind signing, il modello del dispositivo e le versioni dell'app di firma e del firmware quando disponibili. Include inoltre il tipo di clear signing e un conteggio degli errori di contesto quando tali informazioni sono disponibili. La clear signing consiste nel presentare i dettagli della transazione in forma leggibile prima dell'approvazione; la blind signing è il suo opposto — l'approvazione di dati che il dispositivo non può visualizzare in forma leggibile. Gli indirizzi di destinazione sono pseudonimi sulle blockchain pubbliche, ma ogni report abbina un indirizzo di destinazione al metodo di firma, al modello del dispositivo e alle versioni software in un unico payload inviato ai server di Ledger.

L'implementazione HTTP aggiunge un'etichetta dell'origine dell'applicazione e invia il report con intestazioni che identificano la versione del context-module e il token di origine dell'integrazione. Il generatore di report non include chiavi private, frasi di recupero o la firma crittografica stessa — collocando il comportamento segnalato nella categoria della raccolta di metadati piuttosto che della custodia delle chiavi.

La destinazione della reportistica è cambiata nel tempo. La versione 1.16.0 configurava un indirizzo di ingesting di staging, e il changelog successivo di Ledger registra il passaggio all'endpoint di produzione per la blind signing nella versione 2.1.0. L'attuale generatore punta il reporter a

Per gli sviluppatori di wallet, il generatore offre un modo per sostituire il reporter predefinito. Lo sviluppatore di Ambire afferma che la sua implementazione offrirà agli utenti un'opzione nelle impostazioni sulla privacy, con l'invio dei report disattivato per impostazione predefinita. Per gli utenti, il fattore decisivo è il wallet che utilizzano: se i suoi sviluppatori hanno mantenuto il reporter predefinito o l'hanno sostituito — una scelta fatta nel codice dell'applicazione piuttosto che nelle impostazioni del dispositivo. Con il reporter predefinito ora orientato verso l'endpoint di ingesting di produzione di Ledger a partire dalla versione 2.1.0, il prossimo elemento da monitorare è come i produttori di wallet configurano il modulo.