Ich habe nichts gegen die Politik von Ledger, da ich als Nutzer ja gehen kann, wenn es mir nicht gefällt.
Aber dieser Artikel ist nur PR
Bei Ledger sind wir stark von Open Source überzeugt. Das ist einer unserer Grundwerte, eine großartige Philosophie
Sie veröffentlichen den Code nicht als Open Source Projekt. Sie wollen den Code transparent zeigen, was eine wirklich sehr gute Entwicklung ist und eigentlich Pflicht bei einer Hardware Wallet sein sollte.
Aber der Code darf nicht kommerziell genutzt werden, weswegen „die Grundwerte“ und „Philosophie“ nichts mit der eigentlichen Open Source Szene zu tun haben. Das ist okay, aber dann sollte man dies nicht als PR verwenden. Für mich heißt das: Unsere Nutzer haben keine Ahnung und müssen jetzt schnell in Watte eingepackt werden, weil sie verunsichert sind (weil sie eben keine Ahnung vom eigentlichen Risiko haben).
Toll für Ledger Nutzer. Ein essentielles Feature kommt hoffentlich hinzu.
Open Source muss leider nicht zwangsläufig bedeuten dass auch das Nutzungsrecht frei ist. Manche verstehen darunter nicht viel mehr als dass der Quelltext frei zugänglich ist. Verändern oder selbst nutzen bleibt strikt untersagt. Es erfüllt somit nicht die Kriterien von freier Software. Das heißt Open Source ist nicht zwangsläufig Free Software.
Ich halte jedenfalls auch nicht viel von dieser Marketing Sprache. Und ich finde es nicht hinnehmbar dass gewisse Teile weiterhin closed source bleiben sollen. Gibt es eigentlich einen vernünftigen Grund wieso man den Code nicht einfach freigibt? Ich bezweifle dass man den Code für eine HW vor der Konkurrenz schützen muss. Die Konkurrenz hat eine andere Architektur und kann mit dem Code von Ledger nicht viel anfangen. Warum ist das closed source? Aus Prinzip?
Und wieso muss man daran arbeiten es frei zu geben? Das klingt fast schon so als wolle man die Codequalität prüfen um der Öffentlichkeit keinen schlechten Code zu zeigen 
Dieses Phänomen gibt es bei Programmier Anfängern die sich oft nicht trauen ihren Code zu zeigen. Gilt vielleicht für Unternehmen auch die um ihren Ansehen fürchten? Dabei ist das ein wichtiger Prozess um durch die Kritik und Kommentare erfahrener Programmierer zu lernen.
Das hab ich mir auch schon gedacht.
Sicher auch das. 
Aber Ledger schreibt ja, warum man Teile der Software auf dem Secure Element (SE) nicht freigeben kann und es deshalb noch Anpassungsarbeit bedarf:
Da es sich bei diesem Know-how um das geistige Eigentum der Hersteller handelt, wollen diese nicht, dass es nach außen dringt. Als Konsequenz kann die Firmware von Ledger nicht vollständig quelloffen sein. […]
Die anderen Teile [= Ledger-eigene Secure Element Software] werden etwas mehr Zeit in Anspruch nehmen, da sie überarbeitet werden müssen, um die chip-spezifischen, unter Geheimhaltung stehenden Merkmale von unserem Betriebssystem zu abstrahieren.
Egal ob das nun ein vorgeschobener Grund ist oder nicht. Ich kann nachvollziehen, dass diese Aufgabe nicht trivial ist. Die Ledger-eigene Software auf dem SE sollte möglichst gar keine Informationen über die Funktionsweise des SEs preisgeben.
Wie das gehen soll, ist mir ehrlich gesagt ein Rätsel. Wahrscheinlich ist diese Software aktuell viel stärker mit der proprietären Software des SE-Herstellers vewoben, als wenn man nur über eine externe API mit dem SE kommuniziert.
Außerdem ist m.E. noch folgender Aspekt wichtig, der einen Einfluss auf den Zeitplan hat…
Open-Source Software und Sicherheit haben ein Henne-Ei-Problem:
- Ich möchte Software veröffentlichen, um sie durch die Masse an „Reviews“ noch sicherer zu machen.
- Sobald ich Software veröffentliche, sollte sie aber schon sicher sein.
Ich kann mir vorstellen, dass jeder HW-Wallet Hersteller in den Wochen nach der Erstveröffentlichung der Software erst einmal unruhig schläft. Abhilfe gegen dieses Problem schaffen ausschließlich folgende zwei Dinge:
- Ethos der Hacker, die Schwachstellen finden.
- Ein Bug Bounty Programm, das auch wirklich gelebt wird.
Inzwischen scheint das auch bei Ledger zu klappen (Beispiel), was in der Vergangenheit nicht immer der Fall war (Beispiel). Wenn solche Belohnungen nicht zuverlässig gezahlt werden, ist das sehr gefährlich.
Lange Rede, kurzer Sinn. Ich vermute mal, dass Ledger vor einer eventuellen Veröffentlichung auch noch mehrere zusätzliche, unabhängige Reviews durchführen wird.
Evtl. fahren sie aber auch eine der Strategien, die in der Politik sehr beliebt sind. Sie zögern das ganze entweder so lange heraus, bis niemand mehr darüber redet. Oder sie wissen jetzt schon, dass das ganze am NDA mit dem SE-Hersteller scheitern wird, und wälzen nachher die Schuld ab.