Ledger Recover, un nouveau service qui fait débat


Ledger a annoncé aujourd’hui le lancement d’un nouveau service de récupération de clés, basé sur l’identité, destiné aux utilisateurs qui souhaitent pourvoir récupérer l’accès à leur fonds même en cas de perte de l’appareil, du code PIN et des 24 mots de récupération.

Utilisant le partage de clé secrète de Shamir, Ledger Recover crypte votre clé et la divise en trois fragments. Chaque fragment est envoyé à une société distincte : Coincover, Ledger et « un fournisseur de services de sauvegarde indépendant ». Lorsque vous souhaitez récupérer votre portefeuille, il suffit de s’authentifier auprès de deux ces détenteurs. Les fragments seront alors renvoyés à votre appareil qui peut ainsi reconstituer la clé.

Si on peut comprendre qu’une telle solution peut convenir à certains utilisateurs – ceux qui ne sont pas à l’aise avec l’idée d’être les seuls responsables de la sécurité de leurs clés – pour de nombreux bitcoiners en revanche, la solution proposée par Ledger Recover constitue un renoncement à la complète souveraineté et un affaiblissement de la sécurité et de la confidentialité [1]… pour le prix de 9,99 $ par mois.

En effet, même si la probabilité d’un tel évènement peut sembler faible, si, pour une raison ou pour une autre, deux des trois détenteurs des fragments du secret sont piratés [2] ou s’ils s’entendent [3], vos fonds (qui sont liés à votre identité) peuvent être confisqués ou volés.

L’utilisation de Ledger Recover reste cependant purement optionnelle et Pascal Gautier, CEO de Ledger, assure qu’il n’y aura pas d’activation automatique : « Je suis dans Bitcoin depuis 2014 et j’ai investi dans Ledger la même année. J’ai toujours cru en l’auto-conservation et une sécurité sans compromis. Cela ne changera jamais. Et c’est ce qu’est Ledger Recover : un produit que VOUS pouvez librement choisir d’utiliser. Il n’y a pas d’activation automatique avec les mises à jour du micrologiciel. »

Malgré cette optionalité, le service ne convainc pas tout le monde :

Lire aussi article :  plus de 5 ans après son annonce, enfin une date pour l'Early Access

« De savoir que le même firmware permet d’exporter ou non sa seed, alors que le principe même est qu’elle ne sorte JAMAIS, me pose problème. Et ce nouveau service qui impose un KYC n’est pas élégant sachant que la cryptographie est là pour supprimer les tiers d’identification. »Marco

« Les personnes qui ne se font pas confiance avec 12 ou 24 mots ne devraient pas utiliser de portefeuille crypto. Autant utiliser un exchange ou un compte bancaire. »LaurentMT

Si la solution proposée par Ledger est discutable, l’utilisation du partage de clé secrète de Shamir (Shamir’s Secret Sharing) à titre individuel pour pouvoir retrouver les mots de récupération d’un wallet est en revanche une bonne pratique. Ca peut servir de sauvegarde en cas de perte, mais ça peut surtout fournir à vos héritiers un moyen d’accéder à vos bitcoins à votre décès. Shamir Secret permet en effet de distribuer des parts « cryptées » d’un message qui ne peut être divulgué que si on rassemble un nombre défini de ces parts (par exemple 3 sur 5). Le partage de fragments de secret avec des proches est certes fastidieux à réaliser dans les règles de l’art, sans compter qu’il faut en expliquer le fonctionnement à chaque partie impliquée. Pour autant ça reste largement faisable même sans grande expertise technique et, pour un bitcoiner, c’est sans doute une bien meilleure pratique que de confier en ligne des données sensibles (comme une copie de passeport, de carte d’identité ou les fragments d’un secret) à des sociétés privées assujetties aux autorités de leur pays [3].

En savoir plus : https://support.ledger.com/hc/en-us/articles/9579368109597-Ledger-Recover-FAQs

Lire aussi article :  Biden demande au Congrès de ratifier un traité sur la réduction de gaz super-polluants

[1] L’utilisation du service implique l’envoi de documents d’identité.

[2] Par exemple par quelqu’un qui parviendrait à se faire passer pour vous, malgré les procédures d’identification biométriques complexes de Onfido, et à se connecter à votre compte.

[3] On peut imaginer, par exemple, une pression conjointe des autorités françaises (pour Ledger) et britanniques (pour Coincover). Soulignons tout de même que le choix de juridictions différentes rendent plus difficile la réquisition des fragments.





Source link