![\"Browser-Erweiterung](\"https:\/\/lh3.googleusercontent.com\/sitesv\/AG8ngQWcEPHlkTWdAl8WR5VI2bp168C7l8G_6WTjyxnjSHszP2p1t1qlhrD9JQ4W2FdE6VEaBUXnaQ6ntdoaOGnjgaP1PVcqlLJNxqgrDH3UXL-_pSCRNI-r48XbwTEP56r6g4CbtbWAe2yYbnAxYTFFR6d5fDCNCyJp_tBptgkkMaC0DCCHNGz6L7xMMd1t0kST51nmJwyXlh8VqnlyGQ\")
WebHID und WebUSB: Die technische Basis der Hardware-Kommunikation<\/h2>\n
Die Ledger Live Browser-Erweiterung verbindet sich mit Ihrem Ledger-Ger\u00e4t \u00fcber zwei standardisierte Browser-APIs: WebHID<\/strong> (Human Interface Device) und WebUSB<\/strong>. Diese sind nicht propriet\u00e4r \u2013 sie sind offene Standards, die mehrere Hardware-Wallet-Hersteller verwenden. WebHID erm\u00f6glicht der Erweiterung, Ihr Ledger-Ger\u00e4t zu erkennen und mit ihm zu kommunizieren, als w\u00fcrde es ein Standard-USB-Eingabeger\u00e4t sein. WebUSB erlaubt direkten Zugriff auf das USB-Ger\u00e4t, um Daten auszutauschen.<\/p>\n Entscheidend ist, dass diese APIs kein Datenzugriff sind. Sie erm\u00f6glichen nur dem Browser, die physische Verbindung zu Ihrem Ger\u00e4t herzustellen. Die private Schl\u00fcsselinformation verbleibt auf dem Ledger \u2013 sie verl\u00e4sst das Ger\u00e4t nicht, um in den Browser hochgeladen zu werden. Wenn Sie eine Transaktion auf einer DApp signieren m\u00f6chten, sendet der Browser die Transaktionsdaten an das Ledger-Ger\u00e4t. Das Ger\u00e4t zeigt diese Daten auf seinem Bildschirm an und wartet auf Ihre Best\u00e4tigung. Nur dann wird die Signatur berechnet und an den Browser zur\u00fcckgesendet. Die Reihenfolge ist kritisch: Die Extension kann Ihr Ledger nicht zwingen, etwas zu signieren, und der Browser kann Ihren privaten Schl\u00fcssel nicht sehen.<\/p>\n Das bedeutet nicht, dass WebHID und WebUSB risikofrei sind. Eine b\u00f6sartige Webseite oder eine manipulierte Erweiterung k\u00f6nnte versuchen, auf jedes USB-Ger\u00e4t zuzugreifen, das mit Ihrem Computer verbunden ist. Deshalb fordert der Browser Sie auf, eine Erlaubnis zu gew\u00e4hren, wenn eine Seite zum ersten Mal auf ein Ger\u00e4t zugreift. Sie m\u00fcssen Ihr Ledger-Ger\u00e4t in dieser Erlaubnis-Eingabeaufforderung best\u00e4tigen und erkennen. Ein Angreifer kann Sie nicht stillschweigend mit einem anderen Ger\u00e4t verbinden lassen. Dies ist eine bewusste Design-Entscheidung: Der Standard schreibe vor, dass Benutzer explizit zustimmen m\u00fcssen.<\/p>\n Jede Browser-Erweiterung deklariert ihre Berechtigungen in einer Manifestdatei. Das Manifest ist \u00f6ffentlich \u2013 es wird in den App-Stores aufgelistet und ist Teil des Open-Source-Codes des Ledger Live Projekts. Die Ledger Live Extension ben\u00f6tigt typischerweise Zugriff auf die Webseite, auf der Sie sich befinden (um Web3-Anfragen zu verstehen), sowie auf das USB-Ger\u00e4t (um mit dem Ledger zu kommunizieren). Es ben\u00f6tigt auch Berechtigungen f\u00fcr die Navigation, da es die Browser-Aktivit\u00e4t \u00fcberwachen muss, um zu erkennen, wann Sie sich einer DApp-Seite n\u00e4hern.<\/p>\n Das h\u00e4ufigste Missverst\u00e4ndnis ist, dass “Zugriff auf die Webseite” bedeutet, dass die Erweiterung alles sehen kann. Das ist nicht korrekt. Die Erweiterung kann das DOM (Document Object Model) der aktuellen Seite lesen \u2013 das hei\u00dft, die HTML-Struktur und die \u00f6ffentlich sichtbaren Elemente \u2013 und JavaScript-Nachrichten von der Seite empfangen und an sie senden. Sie kann nicht in andere Browser-Tabs sehen, nicht auf gespeicherte Passw\u00f6rter zugreifen, und nicht auf Ihre Browsing-Geschichte zugreifen, es sei denn, das Manifest deklariert dies ausdr\u00fccklich und Ihrem Browser erkennt es an.<\/p>\n Ledger publiziert sein Manifest auf GitHub, wo Sicherheitsforscher es \u00fcberpr\u00fcfen k\u00f6nnen. Die Extension sollte kein “unsicheres Inhalts-Sicherheits-Richtlinien”-Manifest haben, das Skripte von \u00fcberall l\u00e4dt, und sie sollte keine verlangten oder optionalen Berechtigungen haben, die \u00fcber WebHID und Web3-Kommunikation hinausgehen. Wenn Sie eine Version finden, die vollst\u00e4ndigen Lesezugriff auf alle Tabs, Verlauf, oder Downloads anfordert, oder die ohne Begr\u00fcndung auf Geolokalisierung, Kamera oder Mikrofon zugreift, ist dies ein Warnsignal. Eine legitime Hardware-Wallet-Erweiterung braucht diese Berechtigungen nicht.<\/p>\n Eine der st\u00e4rksten Schutzma\u00dfnahmen ist auch eine der wenig bekannten: Clear Signing auf dem Ledger-Display. Wenn Sie eine komplexe Transaktion mit einer intelligenten Vertragsinteraktion signieren, k\u00f6nnte eine b\u00f6sartige Erweiterung versuchen, Ihnen vorzugaukeln, dass Sie eine Sache signieren, w\u00e4hrend Sie tats\u00e4chlich etwas anderes signieren. Zum Beispiel k\u00f6nnte die Erweiterung dem Browser zeigen: “Senden Sie 1 ETH an Alice’s Adresse” \u2013 aber der tats\u00e4chliche Transaktionsinhalt k\u00f6nnte sein: “Genehmigen Sie den Smart Contract XYZ, 100 ETH von Ihrem Konto auszugeben”.<\/p>\n Clear Signing l\u00f6st dies, indem Ihr Ledger-Ger\u00e4t die rohen Transaktionsdaten dekodiert und in menschlich lesbarer Form auf dem Bildschirm anzeigt. Sie sehen also auf dem Ledger selbst, was Sie wirklich signieren \u2013 nicht nur das, was der Browser Ihnen sagt. Dies erfordert, dass Ledger die Smart-Contract-Logik und Token-Standards f\u00fcr jeden unterst\u00fctzten Netzwerk dekodiert. Es ist eine umfangreiche technische Anstrengung und ein gro\u00dfer Sicherheitsgewinn. Die Erweiterung kann die Transaktion nicht verf\u00e4lschen, nachdem sie auf dem Ledger-Display klar gelesen wurde, ohne dass Sie es sehen.<\/p>\n Das hei\u00dft nicht, dass Clear Signing jede b\u00f6sartige Szenarien verhindert. Wenn der Smart Contract selbst kompromittiert ist, oder wenn die Blockchain-Netzwerk-Parameter falsch sind, k\u00f6nnen Sie trotz klarer Anzeige Verluste erleiden. Aber es sch\u00fctzt vor dem h\u00e4ufigsten Angriff: einer b\u00f6sartigen Erweiterung oder Web-Seite, die zwischen Browser und Ger\u00e4t l\u00fcgt. Sie vertrauen Ihrem Auge auf dem Ledger-Display, nicht auf die Versprechungen des Bildschirms Ihres Computers.<\/p>\n Die Ledger Live Desktop-Software und die mobile App senden einige Daten an Ledger-Server zur\u00fcck \u2013 zum Beispiel, welche Coins Sie halten, wie oft Sie die Anwendung \u00f6ffnen, oder welche Fehler auftreten. Dies ist Telemetrie f\u00fcr Produktverbesserung und Support. Die Browser-Erweiterung sammelt typischerweise weniger Daten, da sie kleiner und mit weniger Funktionen ausgestattet ist. Jedoch sollten Sie \u00fcberpr\u00fcfen, welche Telemetrie-Einstellung aktiviert ist.<\/p>\n Eine h\u00e4ufige Sorge ist: Sieht Ledger meine Adressen, meine Guthaben oder meine Transaktionen? Die Antwort h\u00e4ngt von der Architektur ab. Wenn Sie einen \u00f6ffentlichen Blockchain-Node oder Ledgers eigene Blockchain-API verwenden, werden Ihre Adressen an diesen Node \u00fcbertragen, um Ihr Guthaben und Ihre Transaktionshistorie zu \u00fcberpr\u00fcfen. Das ist technisch notwendig \u2013 um zu wissen, wie viele Coins Sie haben, muss irgendein Server Ihre \u00f6ffentliche Adresse kennen. Ledger kann diese Daten mit anderen Ledger-Benutzern kombinieren, aber die Verbindung zwischen Ihrer Adresse und Ihrer echten Identit\u00e4t ist normalerweise nicht vorhanden, es sei denn, Sie verbinden sich von einer regulierten B\u00f6rse aus oder verwenden die gleiche Adresse an mehreren \u00f6ffentlichen Orten.<\/p>\n Die Browser-Erweiterung selbst sollte Ihre Adressen oder Guthaben nicht direkt an Ledger senden. Sie kommuniziert mit dem Ledger-Ger\u00e4t und mit DApps, aber sie sollte nicht als Telemetrie-Kanal f\u00fcr Ihre Blockchain-Aktivit\u00e4ten fungieren. Wenn Sie diese Bedenken haben, k\u00f6nnen Sie die Telemetrie in den Einstellungen deaktivieren oder einen lokalen Blockchain-Node betreiben, dem Sie allein vertrauen. Der wichtigste Punkt ist, zu wissen, dass diese Option existiert \u2013 das ist nicht versteckt, sondern ein bewusster Sicherheitsschutz, den Ledger anbietet.<\/p>\n Der Desktop-Browser ist eine potenziell riskantere Umgebung als eine dedizierte Desktop-Anwendung, weil der Browser Hunderte von Tab, Erweiterungen und Diensten gleichzeitig ausf\u00fchrt. Eine b\u00f6sartige Website k\u00f6nnte versuchen, Ihre andere Tabs zu kompromittieren oder Browser-Speicher auszuspionieren. Eine installierte Browser-Erweiterung hat Zugriff auf dasselbe System und die gleichen APIs wie alle anderen Erweiterungen. Wenn Sie eine sch\u00e4dliche Erweiterung haben (eine, die Sie nicht installiert haben, oder eine, die b\u00f6sartig wurde), k\u00f6nnte sie die Ledger Live Extension observieren oder deren Nachrichten manipulieren.<\/p>\n Die Desktop-Anwendung von Ledger Live ist isolierter. Sie ist eigenst\u00e4ndig, nicht einem Browser-Sandbox untergeordnet, und hat keine anderen Erweiterungen, die damit konkurrieren. Dies ist ein Vorteil. Aber die Desktop-Anwendung braucht auch mehr Berechtigungen auf Ihrem Computer \u2013 Dateienzugriff, Speicher, m\u00f6glicherweise Netzwerk-Hooks. Die mobile App (iOS\/Android) profitiert vom Berechtigungssystem des Betriebssystems, das strengere Grenzen setzt als ein Desktop-Browser.<\/p>\n F\u00fcr maximale Sicherheit bei h\u00e4ufigen Transaktionen ist eine dedizierte Desktop-Anwendung oder mobile App vorzuziehen. F\u00fcr gelegentliche Web3-Zugriffe und Ketten\u00fcberpr\u00fcfungen ist die Browser-Erweiterung praktisch. Die Wahl h\u00e4ngt von Ihrer Risikotoleranz, Ihrer Betriebssystem-Sicherheit und davon ab, wie oft Sie DApps verwenden. Keine dieser Optionen ist absolut sicher \u2013 sie alle erfordern, dass Ihr Ger\u00e4t selbst sauber ist. Ein kompromittierter Computer gef\u00e4hrdet jeden dieser Ans\u00e4tze.<\/p>\n Eine der h\u00e4ufigsten Angriffsarten ist Phishing durch Typosquatting: Ein Angreifer erstellt eine Website, die ledger-live.com \u00e4hnelt, oder eine gef\u00e4lschte Browser-Erweiterung mit einem Namen wie “Ledger Live Wallet” statt der echten “Ledger Live”. Der Nutzer wird verwirrt, installiert die falsche Version, und die b\u00f6sartige Erweiterung stiehlt Adressen, Transaktionen oder sogar private Schl\u00fcssel (wenn eine Backup-Phrase eingegeben wird).<\/p>\n Ledger betont wiederholt, dass Sie nur von ledger.com oder den offiziellen App-Stores (Chrome Web Store, Mozilla Add-ons, Apple App Store, Google Play Store) herunterladen sollten. Die Chrome Web Store zeigt einen Scheck oder ein Abzeichen, wenn eine Erweiterung von einem verifizierten Entwickler stammt. Firefox und andere Browser kennzeichnen auch vertrauensw\u00fcrdige Erweiterungen. \u00dcberpr\u00fcfen Sie den Entwickler-Namen und den Verifizierungsstatus. Wenn die Erweiterung weniger als 1000 Bewertungen hat und von einem unbekannten Konto kommt, ist es sehr wahrscheinlich eine F\u00e4lschung.<\/p>\n Ein zweiter Schutz ist, die Berechtigungen zu \u00fcberpr\u00fcfen. Wenn eine “Ledger Live” Erweiterung um Zugriff auf alle Ihre Daten, Ihre Verlauf oder den Lesezugriff auf alle Tabs bittet, ist dies ein klares Zeichen f\u00fcr eine F\u00e4lschung. Die legitime Erweiterung fordert nur WebHID\/WebUSB und Zugriff auf Webseiten an, damit sie mit DApps kommunizieren kann. Alles dar\u00fcber hinaus ist verd\u00e4chtig. Browser zeigen diese Berechtigungen klar an, wenn Sie die Erweiterung zum ersten Mal installieren \u2013 ignorieren Sie nicht die Warnung.<\/p>\n Ledger ver\u00f6ffentlicht den Quellcode f\u00fcr Ledger Live und die Browser-Erweiterung auf GitHub unter einer Open-Source-Lizenz. Dies erm\u00f6glicht unabh\u00e4ngigen Sicherheitsforschern, den Code zu \u00fcberpr\u00fcfen und Schwachstellen zu identifizieren. Es ist keine Garantie \u2013 Open-Source bedeutet nicht automatisch, dass kein Code schlecht ist \u2013 aber es bedeutet, dass Angriffe nicht im Geheimen verborgen bleiben k\u00f6nnen. Ledger hat auch Sicherheitsaudits von Drittparteien durchgef\u00fchrt, besonders f\u00fcr die Ledger Live Anwendung.<\/p>\n Wenn Sie paranoid sein m\u00f6chten, k\u00f6nnen Sie den Code selbst \u00fcberpr\u00fcfen oder eine Zusammenfassung eines Sicherheitsaudits lesen. Ledger ver\u00f6ffentlicht Audit-Berichte und erkl\u00e4rt bekannte Probleme. Es gibt keine perfekte Sicherheit, und die Audits sind nicht \u00e4lter als ein oder zwei Jahre. Aber dies zeigt ein Engagement f\u00fcr Transparenz, das nicht alle kommerziellen Wallet-Anbieter teilen. Die M\u00f6glichkeit, den Code zu \u00fcberpr\u00fcfen, ist ein Vorteil.<\/p>\n Ein Punkt der Vorsicht: Das Verifizieren von Quellcode hilft Ihnen nicht, wenn Sie eine kompromittierte Version installieren. Wenn ein Angreifer die Chrome Web Store Version hackt, wird die GitHub-Version nicht Ihnen helfen. Deshalb ist die Verifizierung der Authentizit\u00e4t des Download-Orts (ledger.com, Chrome Web Store mit Ledger als Entwickler) genauso wichtig wie der Code-Review. Die Sicherheit ist ein Prozess, nicht ein einmaliges \u00dcberpr\u00fcfungssiegel.<\/p>\n Um die Ledger Live Browser-Erweiterung sicher zu nutzen, folgen Sie dieser Checkliste. Erstens: Installieren Sie ausschlie\u00dflich von ledger.com oder dem Chrome Web Store (oder Firefox Add-ons), nicht von Google-Suchanzeigen oder zuf\u00e4lligen Downloadseiten. \u00dcberpr\u00fcfen Sie den Developer-Namen und suchen Sie nach dem Verifizierungsabzeichen. Zweitens: \u00dcberpr\u00fcfen Sie die angeforderten Berechtigungen. Die Erweiterung sollte nur auf WebHID\/WebUSB und auf Webseiten zugreifen (kein Vollzugriff auf den Browser).<\/p>\n Drittens: Bevor Sie eine Transaktion signieren, \u00fcberpr\u00fcfen Sie sie zwei Mal \u2013 zuerst auf dem Monitor (was die Erweiterung und die Webseite zeigen), dann auf dem Ledger Display (Clear Signing). Wenn beide nicht \u00fcbereinstimmen, brechen Sie ab. Viertens: Verwenden Sie ein starkes Passwort oder eine Phrase zum Entsperren Ihres Ledger und Ihres Computers. Ein Angreifer, der physischen Zugriff auf Ihren Computer hat, kann die Erweiterung durch Brute-Force-Angriffe \u00fcberwinden, wenn die Verschl\u00fcsselung schwach ist.<\/p>\n F\u00fcnftens: Deaktivieren Sie die Telemetrie, wenn Sie m\u00f6chten. Dies kann in den Ledger Live Einstellungen erfolgen. Sechstens: Halten Sie die Erweiterung und Ledger Live aktuell. Sicherheits-Patches werden regelm\u00e4\u00dfig ver\u00f6ffentlicht. Browser-Erweiterungen sollten sich automatisch aktualisieren, aber \u00fcberpr\u00fcfen Sie gelegentlich in den Einstellungen. Siebtens: Verwenden Sie den Web3-Zugriff nur auf vertrauten Webseiten. Wenn Sie auf einer Phishing-Website landen, wird die Erweiterung Sie nicht sch\u00fctzen. \u00dcberpr\u00fcfen Sie immer die URL und das Zertifikat des Sperrkontexts.<\/p>\n Nein. Die Erweiterung kommuniziert mit dem Ledger-Ger\u00e4t \u00fcber WebHID und WebUSB APIs, aber die privaten Schl\u00fcssel verlassen das Ger\u00e4t nie. Der Browser kann nicht auf das Ger\u00e4tespeicher zugreifen. Wenn Sie eine Transaktion signieren, senden Sie die Daten an das Ledger, das Ger\u00e4t zeigt die Details auf seinem Display an (Clear Signing), und Sie best\u00e4tigen mit einer physischen Aktion auf dem Ger\u00e4t. Die Signatur wird berechnet und an den Browser zur\u00fcckgesendet, nicht der private Schl\u00fcssel.<\/p>\n<\/p><\/div>\n WebHID erm\u00f6glicht dem Browser, das Ledger-Ger\u00e4t als ein Standard-USB-Eingabeger\u00e4t zu erkennen und einfache Befehle zu senden. WebUSB erlaubt direkteren USB-Zugriff f\u00fcr komplexere Kommunikation. Beide sind standardisierte Browser-APIs, nicht propriet\u00e4r zu Ledger. Sie erm\u00f6glichen nur die physische Verbindung und das Datenaustausch mit dem Ger\u00e4t, nicht auf lokale Dateien oder andere Browser-Tabs zuzugreifen.<\/p>\n<\/p><\/div>\n \u00dcberpr\u00fcfen Sie den Entwickler-Namen (sollte “Ledger” sein), suchen Sie nach einem Verifizierungsabzeichen und \u00fcberpr\u00fcfen Sie die Berechtigungen. Eine gef\u00e4lschte Erweiterung wird wahrscheinlich einen \u00e4hnlichen, aber nicht identischen Namen haben (z. B. “Ledger Wallet Live”), wenige Bewertungen (unter 1000), und wird um breitere Berechtigungen bitten (Lesen aller Tabs, Verlauf, Dateien). Installieren Sie nur von ledger.com oder dem offiziellen Chrome Web Store. Verwenden Sie Autofill-Vorschl\u00e4ge von Google nicht, um die Website zu finden \u2013 geben Sie ledger.com direkt ein.<\/p>\n<\/p><\/div>\n<\/div>\n <\/p>\n","protected":false},"excerpt":{"rendered":" Ein Nutzer mit einem Ledger Nano X m\u00f6chte sich mit einer dezentralen Finanzanwendung verbinden, um Token zu tauschen oder Liquidit\u00e4t bereitzustellen. Die Browser-Erweiterung f\u00fcr Ledger Live verspricht, dies zu erm\u00f6glichen, ohne private Schl\u00fcssel dem Browser auszusetzen. Aber die Erweiterung ben\u00f6tigt Berechtigungen von Ihrem Browser \u2013 und jede Berechtigung ist ein Angriffsvektor, der verstanden werden sollte. […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-6412","post","type-post","status-publish","format-standard","hentry","category-1"],"_links":{"self":[{"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=\/wp\/v2\/posts\/6412","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=6412"}],"version-history":[{"count":0,"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=\/wp\/v2\/posts\/6412\/revisions"}],"wp:attachment":[{"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=6412"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=6412"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/polytexintl.co.kr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=6412"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Berechtigungen im Manifest: Welche Seiten kann die Erweiterung sehen?<\/h2>\n
Clear Signing: Warum die Transaktion auf dem Ger\u00e4t angezeigt wird<\/h2>\n
Daten\u00fcbertragung zu Ledger-Servern: Telemetrie und Analytik<\/h2>\n
Sicherheitskontraste: Desktop-Erweiterung versus mobile App versus Desktop-Anwendung<\/h2>\n
Phishing, Typosquatting und die Bedeutung, von der richtigen Quelle herunterzuladen<\/h2>\n
\u00dcberpr\u00fcfung des Quellcodes und Sicherheitsaudits<\/h2>\n
Praktische Schritte zur sicheren Nutzung der Erweiterung<\/h2>\n
H\u00e4ufig gestellte Fragen<\/h2>\n
Kann die Ledger Live Browser-Erweiterung meine privaten Schl\u00fcssel sehen?<\/h3>\n
Was ist der Unterschied zwischen WebHID und WebUSB?<\/h3>\n
Wie erkenne ich eine b\u00f6sartige Ledger Live Erweiterung?<\/h3>\n