Quote from: -doubleU- on May 31, 2022, 10:24:01 PM

Quote from: Real-Duke on May 31, 2022, 02:24:47 PM

Quote from: mole0815 on May 31, 2022, 02:12:46 PM

Quote from: Real-Duke on May 30, 2022, 09:30:45 AM

Nehmt mir meine Zweifel bitte Undecided

Also bei In-App-Updates würde ich mir ehrlich gesagt keine Sorgen machen.
Aber auf der anderen Seite kann man nie vorsichtig genug sein.

Als Hacker wäre doch genau das der Punkt wo man ansetzen müsste, um einmal richtig abzuräumen. Soweit meine Theorie wenigstens.

Quote from: sam00 on May 31, 2022, 06:05:21 PM

Bei den ganzen Horrorgeschichten von Electrum Updates von alten Versionen, bei denen dann Malware von einem falschen Server geladen wurde, kriegt man halt wirklich Bauchschmerzen ....

Dieses Szenario hat glaube jeder im Hinterkopf, und es wäre der Supergau wenn der Ledger Downloadserer kompromittiert werden würde um eine Fake Firmware oder Ledger Live Version auszurollen.

Dennoch glaube ich das Ledger sich dieses Angriffszenario bewusst ist, denn auf der Signaturenseite finden sich 2 Hinweise

Quote

Für noch mehr Sicherheit sollten Sie sich außerdem vergewissern, dass die in der Datei ledger-live-desktop-2.42.0.sha512sum veröffentlichten SHA512-Hashes tatsächlich von Ledger signiert wurden. Intern wird zur Abwehr von Insiderangriffen eine Konfiguration mit mehreren Signaturen unter Verwendung von Ledger Nano S-Geräten genutzt.

Quote

Der Update-Mechanismus wird abgesichert, sobald Sie Ledger Live verifiziert und installiert haben. Ledger Live gleicht jedes anstehende Update mit dem öffentlichen Schlüssel von Ledger ab, um sicherzustellen, dass das Update rechtmäßig von Ledger stammt.

Quelle: https://www.ledger.com/de/ledger-live/ledger-live-downloadsignaturen

So ganz verstehe ich zwar auch noch nicht wie genau dies geprüft wird, aber ich vermute das eine bestehende Ledger Live Version auf deinem Rechner beim erkennen einer neuen Version auf dem Server zunächst die Authentität des angebotenen Updates prüft. Daher müsste der Downloadserver und gleichzeitig deine lokale Installation kompromittiert sein, damit eine Fakeversion zur Installation ausgerollt werden könnte.

Dennoch halte ich es genauso wie von mole0815 geschrieben und vergewissere mich erst einmal ob das Update legit ist und bin nie als einer der ersten dabei. Das hat man ja als Windows User bei MS über die Jahre gelernt, das dies selten eine gute Idee ist Grin

Mal angenommen die Ledger Live Software würde wirklich durch ein Update kompromittiert werden. Wäre das denn überhaupt so schlimm?

Die Sicherheit geht ja nicht von der Software, sondern doch eigentlich von der HW-Wallet aus. D.h. spätestens beim Signieren von Transaktionen würde es doch auffallen oder nicht?