Ledger SDK 1.16+ sürümlerinde imza verileri varsayılan olarak toplanıyor iddiası

Ledger'ın donanım cüzdanı bağlantısı için kullanılan yazılım geliştirme kiti (SDK), imza sırasında ağ, hedef adres ve cihaz bilgilerini varsayılan olarak toplayan bir özellik içerdiği gerekçesiyle eleştirildi.

SlowMist kurucusu Yu Xian (余弦), Ledger'ın Clear Signing özelliğinin ağ ve zincir kimliği (chain ID), akıllı sözleşme veya alıcı adresi, cihaz modeli, firmware ve uygulama sürümleri ile kör imza (blind signing) kullanılıp kullanılmadığı ve nedenini topladığını belirtti. Foresight News, Yu Xian'ın açıklamasını aktardı.

Yu Xian, bu özelliğin Ledger SDK'sındaki context-module v1.16 ve üzeri sürümlerde bulunduğunu, Ledger'a bağlanan cüzdan uygulamalarının da ilgili ayarları sunması gerektiğini söyledi.

TokenPost daha önce Ledger SDK'nın varsayılan ayarlarda transfer adresini ve cihaz bilgilerini gönderdiğini bildirmişti. Bu kez yapılan açıklamada hedef adresin türü, firmware ve uygulama sürümleri, kör imza bilgisi ve özelliğin bulunduğu modül sürümü ayrıntılandırıldı.

Clear Signing, işlem ayrıntılarını onaydan önce cihaz ekranında okunabilir biçimde gösteriyor. Ledger'ın geliştirici dokümantasyonunda, kullanıcıların ekrandaki işlem bilgilerini kontrol edebileceği ve bekledikleri gibi değilse işlemi reddedebileceği belirtiliyor. İşlem içeriğinin ekranda gösterilmesi ile imza sürecindeki bilgilerin toplanması ayrı konular.