Ledger lanzó el firmware 2.2.1 e introdujo el servicio "Ledger Recover", el cual permite recuperar la frase secreta de recuperación después de pasar por un proceso de KYC en los dispositivos Ledger Nano X.
El servicio Ledger Recover proporciona una copia de seguridad de la frase semilla a tres entidades para permitir la recuperación del acceso a los fondos en caso de pérdida o falta de acceso a la frase secreta.
Las tres entidades que respaldarán los fragmentos de las llaves privadas son EscrowTech (EE. UU.), Coincover (Reino Unido) y Ledger (Francia).
El proceso de recuperación a través de KYC plantea preocupaciones de seguridad, considerando una posible filtración de datos similar a la ocurrida en 2020.
La actualización se realizó para facilitar la recuperación de la frase semilla a aquellos usuarios menos familiarizados con métodos avanzados como el Esquema Shamir.
Ledger asegura que no hay una "puerta trasera" en sus dispositivos y que la frase semilla está protegida en el chip Secure Element y en el lugar de almacenamiento previo.
La comunidad ha recibido negativamente esta actualización, y se han expresado preocupaciones sobre la seguridad de los dispositivos y la posible exposición de la clave privada.
Algunos expertos argumentan que Ledger debería hacer su firmware de código abierto para demostrar que no hay una puerta trasera habilitada previamente.
Ledger anuncia una nueva actualización que permitirá recuperar tu frase semilla. ¿QUÉEEE?
DESCARGO DE RESPONSABILIDAD
La información, investigación y material contenido en este documento, se ofrece únicamente con el propósito de brindar información y no debe bajo ninguna circunstancias considerarse como una oferta para comprar, vender o ser partícipe en operaciones relacionadas al proyecto o activo mencionado. Kairos no asegura que los valores a los que se refiere este reporte son apropiados para algún inversionista en particular. Ninguna información en este reporte se considerará como asesoría en materia de inversiones, legal, contable o tributaria ni de otro tipo. Tampoco se considera que esta o cualquier inversión o estrategia es apropiada para sus circunstancias individuales y de ninguna forma constituye una recomendación personal para usted. Kairos ha obtenido la información y los materiales incluidos en la Web de fuentes consideradas como fiables, pero, si bien se han tomado medidas razonables para asegurarse de que la información contenida sea correcta, Kairos no garantiza que sea exacta, completa, o actualizada y, consecuentemente, no debe confiarse en ella como si lo fuera. Asimismo, no se asume responsabilidad por ningún tipo de pérdidas que surjan del uso directo o indirecto del material presentado en este documento. Kairos se reserva el derecho a modificar, suspender, cancelar o restringir el contenido del sitio, sin necesidad de previo aviso.
Miembros de nuestro equipo pueden poseer alguno de los criptoactivos mencionados en este análisis. Esta declaración tiene como objetivo revelar cualquier conflicto de intereses y no deben interpretarse erróneamente como una recomendación financiera. Este contenido solo tiene fines informativos y usted no debe tomar decisiones basándose únicamente en esta investigación. Bajo ninguna circunstancia esta publicación puede considerarse una asesoría en materia de información.
El martes 16 de mayo, Ledger lanzó la versión 2.2.1 de su firmware, en la cual anunció su nuevo producto llamado "Ledger Recover".
Se trata de un servicio de suscripción opcional que permite recuperar la frase secreta de recuperación después de pasar por un proceso de KYC en todos los dispositivos Ledger Nano X.
Si bien es una excelente mejora para la experiencia del usuario, esta actualización trae consigo algunos aspectos que deben tenerse en cuenta.
Para comenzar, en el pasado, Ledger dejó en claro que era imposible filtrar las llaves privadas mediante una actualización del firmware, ya que estas nunca abandonaban el chip Secure Element.
Una actualización de firmware no puede extraer las claves privadas del Secure Element. — Ledger
Primero lo primero, ¿cómo funciona Ledger y qué es Ledger Recover?
Ledger es una billetera de hardware, un dispositivo físico que almacena de manera segura tus claves criptográficas privadas de forma offline. Se trata de una billetera fría que no está conectada a Internet, a diferencia de las billeteras calientes, que son software y están expuestas a mayores riesgos de hackeo.
Ledger utiliza un chip de seguridad llamado Secure Element, el cual almacena información de forma segura. Este chip se utiliza en tarjetas bancarias y pasaportes. Aunque el chip en sí tiene un código cerrado, las aplicaciones instaladas en el dispositivo (como Bitcoin, Ethereum, etc.) son de código abierto.
En una publicación encabezada por Charles Guillemet, CTO de Ledger, se explica que Ledger Recover es un servicio opcional de recuperación de claves basado en ID. Este servicio proporciona una copia de seguridad de tu frase semilla a tres entidades, con el objetivo de permitir la recuperación del acceso a tus fondos. Si pierdes o no tienes acceso a tu frase secreta de recuperación, este servicio te permite restaurar de manera segura tus claves privadas utilizando un dispositivo Ledger.
Sin embargo, el proceso de recuperación mediante KYC representa un riesgo de seguridad para los usuarios, ya que podría haber otra filtración de datos similar a la ocurrida en 2020, donde se filtraron los números de teléfono y direcciones de casi 300,000 usuarios, así como más de 1 millón de correos electrónicos.
¿Por qué esta actualización?
La razón es obvia: Recuperar la frase semilla en caso de extraviarla de forma sencilla.
Durante la presentación en Twitter Spaces, el equipo de Ledger resaltó que aunque muchos usuarios experimentados utilizan métodos avanzados como el Esquema Shamir para fragmentar y recuperar la llave privada de manera "sencilla", existen posibles usuarios que podrían tener dificultades con esto (por ejemplo, tus padres, personas con pocos conocimientos técnicos, etc.). En resumen, este servicio está dirigido a aquellas personas que no comprenden completamente el concepto de "autocustodia".
Según Ledger, esto no significa que haya una "puerta trasera" en ningún dispositivo Ledger. Tu frase semilla está protegida en el chip Secure Element y en el lugar donde has almacenado previamente la frase. Si optas por utilizar Ledger Recover, hay una copia de seguridad adicional en forma de 3 fragmentos encriptados almacenados con 3 entidades diferentes.
Teniendo en cuenta lo anterior, es importante recordar que desde el principio los usuarios han confiado al 100% en la seguridad de sus activos por parte de Ledger por una simple y sencilla razón: no es de código abierto. Si bien Crypto y Web 3 se tratan de "propiedad", en la práctica no hay nada de malo en delegar cierta responsabilidad a terceros. De hecho, Ledger ha formado un equipo de seguridad extremadamente talentoso llamado Donjon, el cual trabaja constantemente para resolver los inconvenientes que podrían surgir en los dispositivos Nano.
Antes = la clave privada NO podía salir del chip.
Ahora = la clave privada siempre pudo salir del chip.
La comunidad se siente traicionada.
A pesar de esto, el anuncio no fue bien recibido por la comunidad, y numerosos comentarios negativos comenzaron a aparecer en diferentes medios, principalmente en Twitter y Reddit.
No debemos olvidar que una de las principales fortalezas de Bitcoin y las criptomonedas es sin duda alguna su verdadera resistencia a ser confiscadas.
Si se almacenan adecuadamente, nadie puede robar tus criptomonedas, sin importar lo que suceda. Por lo que al leer entre líneas esta actualización, la amenaza a nuestros activos se vuelve realmente tangible.
Sin embargo, ¿debemos confiar en lo que Ledger dice después de este incidente? La Web 3 nos ha enseñado una lección: "No confíes, verifica". En este momento, Pascal Caversaccio, un investigador de seguridad independiente, sostiene que solo hay una forma en la que Ledger puede demostrar que no ha habilitado esta supuesta "puerta trasera" previamente: haciendo el firmware de código abierto.
¿Cómo funciona Ledger Recover?
A pesar de que Ledger no ha explicado cómo funcionará este servicio de manera detallada, el proceso aparenta ser el siguiente:
Sin embargo, Pascal (y la mayor parte de la comunidad) aseguran que este movimiento por parte de Ledger es crítico para la seguridad de los dispositivos debido a que con esta actualización se abre la puerta a que exista un canal de comunicación entre el dispositivo y el exterior.
Ledger ha roto la regla de seguridad número uno para las hardware wallets: NO exponer nunca la clave privada de ninguna manera, cifrada, sin cifrar o de cualquier otra forma. — Pascal Caversaccio
Mudit Gupta, jefe de seguridad de información en Polygon Labs, señala que uno de los principales riesgos de este servicio es compartir los fragmentos cifrados de la clave con tres entidades centralizadas. De esta manera, si solo dos de ellas se confabulan o se ven comprometidas, podrían reconstruir la clave.
Por otro lado, Ouriel Ohayon, CEO de ZenGo (competidor de Ledger), escribió un artículo a favor de esta actualización, destacando que el modelo actual de frases semilla es muy complicado. Además, aclaró algunos puntos, como el hecho de que esta actualización no implica la existencia de una puerta trasera y que el servicio es opcional. Sin embargo, resaltó que esto podría abrir la puerta a otros vectores de seguridad, como:
Malware local.
Coerción por parte del gobierno.
Recuperación a través de KYC falsos.
Usuarios en Twitter como Alex Lebed consideran que si una actualización de firmware se ve comprometida, o si las autoridades fuerzan introducir una puerta trasera en una actualización, todos los fondos podrían perderse, no importa dando semilla o tx firmado que transfiere todos los fondos.
¿Quiénes son las 3 entidades que custodiarán los shards?
Hablemos ahora de las 3 entidades que respaldarán los fragmentos de tus llaves privadas en caso de utilizar el servicio
EscrowTech - USA
EscrowTech es una empresa especializada en soluciones de continuidad empresarial que brinda protección frente a catástrofes jurídicas y financieras. Su destacado servicio de custodia de software se ha convertido en un recurso esencial para mitigar los riesgos inherentes a las licencias de software.
Coincover - UK
Coincover ofrece una tecnología única que protege los activos digitales de empresas y usuarios particulares a través de almacenamiento cifrado y de grado militar para recuperar la clave. Como protección adicional, Coincover podría ofrecer una indemnización de 50.000 dólares, sujeta a previa investigación, en el improbable caso de que algo saliera mal.
Ledger - France
La tercera y última entidad es la ya conocida Ledger.
Fallas de seguridad en el pasado
Es claro que ningún dispositivo está libre de ser vulnerado, como te comentamos anteriormente, Ledger decidió crear un departamento especial llamado Donjon para tratar las amenazas que puedan ir surgiendo y a la fecha de hoy ha resuelto 19 problemas de seguridad que han aparecido en sus dispositivos.
Algunos de las fallas más famosas son las siguientes
LSB 013: Ledgers as keyboards - 08/07/20La interfaz de depuración se encontraba habilitada en Ledger Nano X lo que permitía flashear el dispositivo e instalar un software malicioso que podía comprometer la computadora del usuario.
LSB 014: Ledger App Isolation Bypass - 04/08/20Una vulnerabilidad que permitía que un atacante transfiriera Bitcoin mientras el usuario pensaba que estaba ejecutando una transacción de una altcoin.
Sin duda alguna, Ledger puede perder clientes con esta actualización, pero a largo plazo, si más empresas ofrecen opciones como ésta, la tecnología se generalizará más rápidamente y los niveles de seguridad aumentarán considerablemente. Para los primeros en adoptarla, la seguridad de las claves de acceso es algo natural, pero hay un gran porcentaje de la población que puede haber oído hablar de "esto del blockchain" y que tiene demasiado miedo como para probarlo.
Tanto si está bien como si está mal, la posibilidad de optar por esta opción les resultará más atractiva y, en última instancia, nos beneficiará a todos.
Al utilizar este sitio web, aceptas el almacenamiento de cookies en tu dispositivo para mejorar la navegación del sitio, analizar el uso del sitio y asistir en nuestros esfuerzos de marketing. Consulta nuestra Política de Privacidad para más información.
.png)
