Ledger's wallet-integratiesoftware bevat een standaard rapportageservice die ondertekeningsmetadata naar de servers van het bedrijf stuurt — een gedraging die Ambire-ontwikkelaar @0xSuperKalo op 10 november onder de aandacht bracht. Ledger's openbare broncode laat zien dat de rapporten het netwerk, het doeladres, het apparaatmodel, softwareversies en of er blind werd ondertekend, kunnen bevatten.

Het mechanisme zit in de software die wallet-applicaties gebruiken om met Ledger-hardware te communiceren. Hardware wallets houden privésleutels geïsoleerd op het apparaat, en wallet-apps bereiken ze via deze herbruikbare software development kits — wat betekent dat een standaardinstelling in de SDK overal geldt waar deze wordt meegeleverd. De implementatie in versie 1.16.0 installeert een netwerkreporter, tenzij de integrerende ontwikkelaar een vervanging aanlevert. De blootstelling van gebruikers hangt daarom af van hoe hun wallet de SDK integreert, en niet alleen van een firmware-update.

De Ambire-ontwikkelaar zei dat geen enkele getroffen versie de productie-applicatie van Ambire had bereikt en dat de wallet wordt geleverd met rapportage standaard uitgeschakeld, met een opt-in schakelaar in de privacyinstellingen. "Ik zou stellen dat privacy de standaard zou moeten zijn", schreef de ontwikkelaar.

Wat de rapporten bevatten

Ledger's releaseoverzicht dateert context-module 1.16.0 op 14 april en beschrijft het toevoegen van een blind-signing reporter aan de module. De bijbehorende Ethereum-ondertekeningscode stelt rapporten op voor transacties en het ondertekenen van getypeerde gegevens, ook wanneer de operatie wordt geclassificeerd als geen blind ondertekenen.

De rapportopbouwcode levert een gegenereerde identifier voor het ondertekeningsgebeurtenis, de ondertekeningsmethode, de chain-ID, het doeladres, de blind-signing status en reden, het apparaatmodel en, indien beschikbaar, de versies van de ondertekeningsapp en firmware. Wanneer die informatie beschikbaar is, bevat deze ook het clear-signing type en een telling van contextfouten. Clear signing verwijst naar het leesbaar presenteren van transactiedetails vóór goedkeuring; blind signing is het tegenovergestelde — goedkeuring van gegevens die het apparaat niet leesbaar kan weergeven. Doeladressen zijn pseudoniem op publieke blockchains, maar elk rapport koppelt een doeladres aan de ondertekeningsmethode, het apparaatmodel en de softwareversies in één enkele payload die naar Ledger's servers wordt gestuurd.

De HTTP-implementatie voegt een bronlabel voor de applicatie toe en verstuurt het rapport met headers die de versie van de context-module en de origin-token van de integratie identificeren. De rapportbouwer bevat geen privésleutels, herstelzinnen of de cryptografische handtekening zelf — waarmee de gerapporteerde gedraging in de categorie metadata-verzameling valt in plaats van sleutelbeheer.

De rapportagebestemming is in de loop van de tijd gewijzigd. Versie 1.16.0 configureerde een staging-adres voor data-inkomst, en Ledger's latere changelog vermeldt een overstap naar het productie-eindpunt voor blind signing in versie 2.1.0. De huidige bouwer wijst de reporter naar

Voor wallet-ontwikkelaars biedt de bouwer een manier om de standaardreporter te vervangen. Ambire's ontwikkelaar zegt dat de implementatie gebruikers een schakelaar in de privacyinstellingen geeft, waarbij het versturen van rapporten standaard is uitgeschakeld. Voor gebruikers is de bepalende factor de wallet die zij gebruiken: of de ontwikkelaars de standaardreporter hebben gehouden of vervangen — een keuze die in applicatiecode wordt gemaakt en niet in apparaatinstellingen. Nu de standaardreporter sinds versie 2.1.0 is gericht op Ledger's productie-eindpunt voor data-inkomst, is de manier waarop wallet-makers de module configureren het volgende om in de gaten te houden.