Что такое Ledger Recover и как это работает?

Среди наиболее спорных тем для пользователей аппаратных кошельков — функция, представленная Ledger под названием Ledger Recover. Она призвана решить реальную проблему: потеря сид-фразы означает безвозвратную потерю доступа к средствам, но способ решения этой проблемы вызвал одни из самых жарких споров в сообществе самостоятельного хранения активов. Ниже представлен прямой взгляд на то, что на самом деле делает Ledger Recover, как это работает технически и почему это вызывает споры.

Проблема, которую пытается решить Ledger Recover

Потеря сид-фразы без резервной копии — один из самых распространенных и необратимых способов навсегда потерять криптовалюту. Обычно аппаратный кошелек спроектирован так, чтобы сид-фраза ни при каких обстоятельствах не покидала устройство или физическую резервную копию пользователя. Ledger анонсировала Ledger Recover как сервис, позволяющий пользователям создавать резервную копию своей сид-фразы с помощью набора внешних кастодианов, что меняет исходное допущение, и именно здесь начинаются споры.

Как на самом деле работает Ledger Recover

Ledger Recover работает путем разделения сид-фразы на три отдельных фрагмента (шарда), каждый из которых хранится у отдельного кастодиана, расположенного в другой юрисдикции. Это разделение происходит с использованием схемы разделения секрета Шамира (Shamir Secret Sharing) непосредственно на чипе Secure Element до того, как что-либо покинет устройство, поэтому полная сид-фраза никогда не передается и не восстанавливается вне устройства в процессе резервного копирования. Для передачи зашифрованных данных фрагментов кастодианам пользователи подключают свое устройство Ledger к телефону через сопутствующее приложение Ledger по Bluetooth, так как сам аппаратный кошелек не имеет независимого подключения к интернету или WiFi.

Тремя кастодианами, удерживающими фрагменты, являются сама компания Ledger и две независимые компании, базирующиеся в разных странах. Восстановление ключа требует от пользователя подтверждения своей личности у кастодианов, чтобы получить как минимум два из трех фрагментов, чего достаточно для восстановления закрытого ключа. Проверка личности для этого процесса осуществляется специализированными сторонними провайдерами идентификации, а не самими кастодианами, которые не просматривают и не хранят документы, удостоверяющие личность. Идея заключается в том, что ни один кастодиан не владеет достаточной частью ключа для его восстановления в одиночку, что призвано предотвратить как единую точку отказа, так и возможность любой стороны в одностороннем порядке получить доступ к средствам пользователя.

Почему анонс вызвал такой негатив

Критики обвинили Ledger в противоречии собственному давнему утверждению о том, что закрытые ключи никогда не могут покинуть устройство ни при каких обстоятельствах, поскольку Ledger Recover продемонстрировал, что зашифрованная версия ключа может, с согласия пользователя, покинуть Secure Element и быть передана куда-то еще. Видные деятели в сфере аппаратных кошельков также выразили обеспокоенность на более фундаментальном уровне: соучредитель конкурирующего производителя аппаратных кошельков утверждал, что передача любой версии сид-фразы или долей, способных восстановить ее, через интернет в принципе меняет модель угроз безопасности, которую должен гарантировать аппаратный кошелек, независимо от шифрования или фрагментации. Для сообщества, чей основной принцип — «не твои ключи, не твои монеты», идея о том, что закрытый ключ теоретически может покинуть устройство, независимо от того, является ли это опциональным или нет, была воспринята многими как философская точка невозврата, отдельная от любой конкретной доказанной технической уязвимости.

Является ли Ledger Recover действительно опциональной функцией?

Да — Ledger Recover требует от пользователей явной активации сервиса, и он не включен по умолчанию. Любой, кто не подключает эту функцию, хранит свою сид-фразу полностью офлайн и под собственным контролем, точно так же, как это работало до появления этой функции. Достаточно ли этого для полного устранения основной проблемы — само по себе является предметом продолжающихся дебатов: некоторые утверждают, что само существование такой возможности в поддерживаемой прошивке меняет модель безопасности независимо от того, активирует ли ее конкретный пользователь, в то время как другие считают, что это ничем не отличается от любой другой дополнительной функции, которая не влияет на пользователей, никогда ее не включающих.

Является ли криптография, лежащая в основе, надежной?

Схема разделения секрета Шамира сама по себе не является новой или непроверенной техникой — Trezor, один из главных конкурентов Ledger, годами предлагал аналогичный вариант резервного копирования на основе Шамира, и это широко изученный криптографический метод. Другими словами, большая часть споров касается не того, является ли лежащая в основе математика надежной, а того, совместима ли эта функция с тем, что пользователи изначально понимали под обещаниями аппаратного кошелька.

Напоминание от WEEX: поймите, что на самом деле делает любой сервис восстановления, прежде чем подключать его

WEEX напоминает пользователям, что подобные сервисы восстановления — это реальный компромисс между удобством и основным принципом самостоятельного хранения «только вы контролируете свои ключи», а не бесплатное обновление без недостатков. Любой, кто рассматривает возможность использования такого сервиса, как Ledger Recover, должен точно понимать, какие стороны будут владеть частями их ключа, какая проверка личности требуется для запуска восстановления и как эти идентификационные данные обрабатываются впоследствии, вместо того чтобы подключать сервис просто потому, что это звучит как страховочная сетка.

Заключительные мысли

Ledger Recover — это не уязвимость безопасности в традиционном смысле; криптография, лежащая в основе разделения и распределения фрагментов ключа, хорошо зарекомендовала себя и используется в других местах, включая конкурирующие бренды кошельков. Реальный спор носит философский характер: совместим ли любой механизм, позволяющий закрытому ключу покинуть аппаратный кошелек, даже в фрагментах и даже с согласия, с тем, что аппаратный кошелек должен гарантировать в первую очередь. Понимание этого различия полезнее, чем отношение к функции как к чисто безопасной или чисто опасной.