Ledger waarschuwt voor te snelle publicatie van beveiligingslekken

Volgens beide hardware walletmakers moeten onderzoekers ernstige beveiligingslekken eerst privé melden. Fabrikanten krijgen zo de kans om gebruikers te beschermen voordat technische informatie over de kwetsbaarheid openbaar wordt.

AI versnelt zoektocht naar beveiligingslekken

Charles Guillemet, CTO van Ledger, ziet dat kunstmatige intelligentie de wereld van cybersecurity verandert. Met AI kunnen onderzoekers sneller grote hoeveelheden code controleren en mogelijke kwetsbaarheden vinden.

Dat voordeel geldt echter ook voor aanvallers. Zodra iemand technische details over een nog niet opgelost beveiligingslek publiceert, kunnen criminelen die informatie gebruiken om een aanval te ontwikkelen.

Guillemet waarschuwt daarom tegen onderzoekers die snel publiceren om aandacht te krijgen. Volgens hem mag publiciteit niet zwaarder wegen dan de veiligheid van gebruikers.

Voor hardware wallet beveiliging speelt dat risico extra sterk. Een kwetsbaarheid kan in het slechtste geval gevolgen hebben voor de bescherming van privésleutels en daarmee voor de toegang tot crypto.

Wat betekent responsible disclosure?

Ledger en Trezor pleiten voor responsible disclosure, in het Nederlands meestal verantwoorde openbaarmaking genoemd.

Bij deze methode neemt een onderzoeker eerst rechtstreeks contact op met het bedrijf waar hij of zij een kwetsbaarheid heeft gevonden. Beide partijen spreken vervolgens een termijn af waarin de fabrikant het probleem kan onderzoeken en oplossen. Daarna kan de onderzoeker de details publiceren.

Guillemet noemt 90 dagen als een gebruikelijke termijn. Dat is geen harde regel. Een eenvoudig probleem kan sneller opgelost worden, terwijl een complexe kwetsbaarheid mogelijk meer tijd vraagt.

Het doel blijft hetzelfde: voorkomen dat kwaadwillenden een beveiligingslek kunnen misbruiken voordat gebruikers een update kunnen installeren.

Trezor legt verantwoordelijkheid ook bij fabrikanten

Trezor ondersteunt deze aanpak, maar benadrukt dat fabrikanten eveneens verantwoordelijkheid dragen.

Jan Komárek, hoofd beveiliging bij Trezor, stelt dat een termijn van 90 dagen niet alleen betekent dat een onderzoeker moet wachten. Het bedrijf moet die periode daadwerkelijk gebruiken om een oplossing te ontwikkelen en beschikbaar te maken.

Komt een fabrikant de afgesproken termijn niet na, dan moet de onderzoeker volgens Komárek de mogelijkheid houden om de kwetsbaarheid alsnog openbaar te maken. Daarmee voorkomt responsible disclosure dat bedrijven bekende beveiligingsproblemen eindeloos geheimhouden.

Hardware wallet beveiliging krijgt meer aandacht

De discussie komt op een gevoelig moment voor fabrikanten van hardware wallets. Recente beveiligingsincidenten hebben opnieuw duidelijk gemaakt dat de bescherming van crypto verder gaat dan alleen het apparaat zelf.

Bij Coldcard-diefstallen liep de totale waarde van gestolen bitcoin op tot meer dan $100 miljoen. Trezor kreeg daarnaast te maken met een datalek bij een externe logistieke dienstverlener, waarbij persoonlijke gegevens van tienduizenden klanten bloot kwamen te liggen.

Een hardware wallet is een fysiek apparaat dat privésleutels buiten een normale computer of smartphone bewaart. Hierdoor krijgen hackers minder mogelijkheden om deze sleutels via een online aanval te bemachtigen.

Een hardware wallet neemt echter niet ieder risico weg. Problemen met firmware, phishing, software of externe leveranciers kunnen gebruikers nog steeds treffen.

Wat betekent dit voor cryptobezitters?

De opkomst van AI kan de beveiliging van hardware wallets uiteindelijk verbeteren. Onderzoekers kunnen sneller fouten ontdekken en fabrikanten kunnen dezelfde technologie gebruiken om hun systemen uitgebreider te testen.

De keerzijde is dat kwetsbaarheden ook sneller gevonden en mogelijk misbruikt worden. Voor gebruikers wordt het daardoor nog belangrijker om beveiligingsupdates op tijd te installeren en officiële communicatie van hun walletfabrikant te volgen.

Ook blijft het verstandig om de recovery seed volledig offline te bewaren. Wie deze herstelwoorden deelt of digitaal opslaat, kan ondanks een veilige hardware wallet alsnog zijn crypto verliezen.

Conclusie

AI verandert de snelheid waarmee beveiligingslekken worden gevonden. Ledger en Trezor willen voorkomen dat die ontwikkeling ten koste gaat van gebruikers. Daarom pleiten beide bedrijven voor duidelijke afspraken tussen beveiligingsonderzoekers en fabrikanten voordat kwetsbaarheden openbaar worden.

Voor cryptobezitters verandert de basis niet: een hardware wallet kan sterke bescherming bieden, maar goede beveiliging vraagt ook om actuele software, zorgvuldige omgang met herstelwoorden en aandacht voor nieuwe veiligheidsmeldingen.

Veelgestelde vragen

Wat is responsible disclosure?

Responsible disclosure houdt in dat een onderzoeker een beveiligingslek eerst privé meldt bij het betrokken bedrijf. De fabrikant krijgt vervolgens een afgesproken periode om het probleem op te lossen voordat technische details openbaar worden.

Waarom noemen Ledger en Trezor een termijn van 90 dagen?

Negentig dagen geldt als een veelgebruikte richtlijn binnen cybersecurity. De termijn geeft een fabrikant tijd om het probleem te onderzoeken, een oplossing te ontwikkelen en gebruikers een update aan te bieden. Bij specifieke kwetsbaarheden kan een kortere of langere periode beter passen.

Kan AI hardware wallets minder veilig maken?

AI maakt het vooral sneller om kwetsbaarheden te vinden. Dat helpt zowel beveiligingsonderzoekers als mogelijke aanvallers. De uiteindelijke impact hangt daarom sterk af van hoe snel onderzoekers problemen melden en fabrikanten deze oplossen.