wahaha991樓其實APP有也很夠了,只有FW不能怎樣啊 05/19 03:51
usttsu2樓safepay 這款有open source嗎 05/19 08:28
safe pay? 法幣和信用卡的支付交換系統?
還是你講的是safepal? 如果是safepal的話，它沒有開源
hallow3樓只有FW不能怎麼樣？駭客可以不要用官方的SW啊 05/19 11:51
wahaha994樓駭客不用官方FW 你FW有開源是有鳥用 XD 05/19 14:19
→ wahaha995樓看錯 05/19 14:19
→ wahaha996樓不用官方APP 那對一個沒開源的FW是能怎樣? 05/19 14:20
我想內部人風險是有的，哪天熟悉這部分環節的內部人精心策畫之後rug user
這樣的情境應該不是沒可能
開源除了大家來找蟲之外，也是隔離掉大部分的內部人風險
另外FW沒有開源但SW開源，也可能被摸出怎麼去call的方法？
→ usttsu7樓我打錯字，safepal，沒有開源啊 05/19 15:13
yahooyamgoog8樓原來safepal沒開源，那可以繼續凍存了 05/19 15:46
wahaha999樓我的意思是如果FW沒開源、APP有開源的前提 05/19 15:56
→ wahaha9910樓APP既然開源, 內部人也沒法rug啊,不管怎樣要透過app去 05/19 15:56
→ wahaha9911樓跟冷錢包access不是? 05/19 15:56
其實並不一定要全面性的一次攻擊所有的使用者才是攻擊呀
誘使使用者安裝偽造過的app，使用者來不及驗證app是開源的那一個的話，就能攻擊到
這在Electrum就發生過，整個electrum是開源的，但一次的update被劫持
就導致惡意客戶端被安裝，發生了竊盜事件
要客戶裝上假的app，始終還是比要客戶裝上惡意的firmware容易
如果flawed fw先被官方給裝進了全部的裝置，那漏洞就被固定住
剩下要處理社交工程/人因工程的侵入，就會比要破解FW容易得多
當然不是說fw惡搞之後就等於全面裸奔，但對於存有大量資產的人來說，夠驚悚了
更何況ledger外流過客戶資料...
→ wahaha9912樓當然啦,開源的好處就是抓漏洞容易,FW確實有可能會被 05/19 15:57
→ wahaha9913樓找到未公開漏洞而被攻擊 05/19 15:57
wahaha9914樓考慮到這個層面那是這樣沒錯啦 XD 05/19 19:09
其實就FW是SW的後備防禦，當SW被攻破的時候，FW是最後一道防線
而硬體錢包因為大家認為有硬體這道防禦，對app更新之類的警戒心也會比較低
ledger等於是FW這一道防線無法讓人信服了，出現信用問題
他們唯一的拯救方式就是把firmware給開源
但不曉得是不是有很難秀給大家看的羞恥物 科科
是說這類東西就是如果能正常運作、沒有關於安全性的更新的話
不論firmware或是software，最好都是不要更新
或是等到更新出來好一陣子，沒有爆出問題，才考慮要不要去更新
brucetu15樓FW不開源等於有可能你更新FW然後錢就被新版的FW全部轉走 05/19 21:31
→ brucetu16樓內部人手上有開源的app加上FW sourcecode 加上你安裝了他 05/19 21:37
→ brucetu17樓新寫的惡意FW，絕對有能力把錢轉走，分析app code看key 05/19 21:37
→ brucetu18樓怎麼存的就能在FW裡面塞一段code把key傳出去或是發起交 05/19 21:37
→ brucetu19樓易，整個設備都是他控制啊 05/19 21:37
mongala20樓onekey也是開源的 05/20 08:18
