Bitte nutze die Suchfunktion bevor du eine Frage stellst!
Hallo Leute,
Ich hab mal eine generelle Frage. Vorab, bin seit jahren dabei und soweit mit allem sehr gut bekannt.
Eine frage hätte ich allerdings bezüglich den software upgrades beim ledger, bitbox oder trezor.
Angenommen mein computer ist komprimiert. Nun schließe ich meine hardware wallet an (ja immernoch kein problem). Aber was ist wenn wir jemand schadsoftware beim update, also eine falsche update software unterschmuggelt? Und diese dann auf der hardware wallet installiert wird.
Wie wird das gesichert bzw sichergestellt. Mit signaturen der hersteller zb.? Was wenn diese ebenfalls komprimiert ist, also zb der hardware wallet ersteller/schreiber der legitimen software. Dann könnte der angreifer mit gültiger signatur eine falsxhe software herausgeben und diese installiere ich dann auf mein gerät. Und dann?
Wird die software des cold chips zb. nie geupgradet? Und nur die des hot chips?Auch irgendwie komisch oder nicht?
Verstehe ich was nicht oder falsch? Hab jedenfalls immer etwas Bauchschmerzen wenn ich die wallets anschließe und ein upgrade mache, was ja jedenfalls ab und zu empfehlen ist.
Deshalb signiert der Hersteller der Hardwarewallet seine Firmware und die Signatur wird dann von deiner Software auf dem PC oder Smartphone, die auch vom Hardwarehersteller kommt, überprüft. Oder die überprüfst es manuell auf github und holst die Firmware von dort, mit Bitbox geht das. Es gibt doch massig Infos dazu im Netz. Deine Aussage “bin seit jahren dabei und soweit mit allem sehr gut bekannt.” passt daher nicht. Habe jetzt mal kurz google für dich angeworfen und die 2 ersten Treffer hier verlinkt. Es gibt natürlich noch viel mehr.
Warum so unfreundlich? Für solche Fragen gibt es doch das Forum. Natürlich kann das sein, ich selbst bin auch schon etwas dabei und habe mir Software Updates noch keine großen Gedanken gemacht.
Infos im Netz gibt es zu allem und müssen nicht immer richtig sein.
Ja die Signatur des Updates macht es sehr sicher.
Aber selbst wenn das Update verifiziert werden kann, könnte es doch sein, dass das offizielle Update eine Schwachstelle enthält oder dass ein Insider von Bitbox den Schlüssel für die Update Signatur im Darknet verkauft
Soweit ich das verstehe, sollte dann aber trotzdem noch das Secure Element vor dem Auslesen der Keys schützen.
Ich halte es aber für Denkbar, wenn auch sehr unwahrscheinlich, dass so die Transaktion und die Anzeige des Display manipuliert werden könnte. Würde mich interessieren, was andere dazu denken.
Aber die BitBox hat sich sogar darauf vorbereitet, dass sie von Regierung dazu verpflichtete werden kann, Trojaner o.ä. einzubauen und haben sogar dafür vorgesorgt. Muss ich gleich mal raus suchen. Da haben sie auf alle möglichen Bedrohungs-Szenarien aufmerksam gemacht.
Hier dann unten auf Bedrohungsprogramm klicken. Ist leider nur auf Englisch aber kannst du dir ja übersetzen lassen.
Denn meine Sorge ist auch, dass es ja technisch möglich wäre, dass sie ein Update bauen, wo quasi ein Programmcode drin ist, der zum Beispiel sagt (Schicke sie 12 Wörter an XYZ)
Folgendes steht da: “Shift Crypto könnte von einem Staat oder einer kriminellen Organisation gezwungen werden, eine schädliche Firmware zu signieren und sie Ihnen exklusiv zuzustellen. Wir ermöglichen Ihnen, dies zu erkennen, indem Sie den Bootloader so konfigurieren, dass er beim Systemstart vor dem Start immer den Hash der installierten Firmware anzeigt. Dadurch wird das erforderliche Vertrauen in uns weiter reduziert. Die Firmware selbst kann deterministisch erstellt werden, sodass Sie die installierten Komponenten vor der Installation überprüfen können.”
Sollte nicht unfreundlich sein, nur eine Feststellung. Und Ausdruck von Unverständnis meinerseits über ein solches Verhalten. Finde eher deine Antwort als unhöflich!
Ich sehe es nicht unbedingt so dass ein Forum dazu da ist, Fragen zu stellen, die man entweder mit minimalsten Aufwand oder minimalsten Kenntnissen schnell selber rausfinden kann, besonders wenn man selber schreibt, dass man sich auskennt oder damit (seit Jahren!) befasst hat. Das ist dann eben einfach nicht wahr. Gleiches gilt für Fragen, die gefühlt schon 100mal im Forum behandelt wurden und der Fragesteller einfach zu faul ist, die Suchfunktion zu benutzen. Solche Fragen müllen einfach das Forum unnötig zu, machen es unübersichtlich, das Niveau sinkt und die Leute die wirklich Ahnung haben werden das Forum immer mehr meiden. Ja und solche Fragen empfinde ich dann als unhöflich und unangemessen. Also es war alles nicht böse gemeint. Man sollte es eben von 2 Seiten sehen. Erst selber etwas bemühen und dann nachfragen wenn noch etwas unklar ist, ist meiner Meinung nach der sinnvollste und rücksichtsvollste Weg.
Vielleicht möchten manche nicht ihre Infos aus oft noch unzuverlässigen KIs beziehen oder von Internetseiten, die vielleicht einen Anreiz haben die Dinge zu ihrem Vorteil darzustellen.
Manche möchten sich eben mit Menschen über ihre Fragen unterhalten, dafür ist ein Forum mE da.
Das ist eine Unterstellung, das kannst du nicht beurteilen. Man kann auch nach Jahren noch offene Fragen haben. Vielleicht hat man sich eben bisher mit anderen Themen beschäftigt oder hatte in den Jahren nur wenig Zeit um tiefer abzutauchen.
Ich selbst weiß „seit Jahren“, dass eine Hardwarewallet mit einem Virenverseuchten PC verbunden werden darf. Wie es sich aber mit einem Virenverseuchten Update verhält, weiß ich nicht genau.
Dann entschuldige ich mich für den Ton.
Aber ich finde es wichtig für die Adoption und den Ruf der Bitcoiner, jedem die Hand zu reichen, egal ob blutiger Anfänger, Fortgeschrittener, Bitcoingegner oder vermeintlicher Profi, der auch mal eine Anfängerfrage hat.
Von außen haben wir schon ein schlechtes Image als nervige oder eingebildete „Crypto-Bros“.
Ich finde es wichtig, jedem der eine Frage hat oder zu Bitcoin kommen will, möglichst freundlich und einfach zu helfen.
Suchfunktion bevor du eine Frage stellst!
